ორსაფეხურიანი შესვლა გუნდისთვის: Microsoft 365 და Google Workspace

თუ თქვენი გუნდი კორპორატიულ ელფოსტას, ფაილებს და შეხვედრებს ღრუბლოვან სერვისებში ინახავს, ერთი ანგარიშის გატეხვაც საკმარისია, რომ ბიჭი-ბიჭობით შევიდნენ წერილებში, დოკუმენტებსა და მომხმარებლებთან მიმოწერაში. ყველაზე გავრცელებული გზა პაროლის მოპარვაა: ყალბი შესვლის გვერდი, ფიშინგის წერილი ან სხვა სერვისიდან გაჟონილი პაროლი. სწორედ ამიტომ ორსაფეხურიანი შესვლა (MFA, Google-ის ტერმინოლოგიით 2SV) ერთ-ერთი ყველაზე პრაქტიკული დაცვაა მცირე და საშუალო ბიზნესისთვის.

იდეა მარტივია: პაროლის გარდა სისტემა მეორე დადასტურებასაც ითხოვს. ეს შეიძლება იყოს ტელეფონზე მიღებული შეტყობინება, აპლიკაციის კოდი, უსაფრთხოების ფიზიკური გასაღები ან ე.წ. passkey. თუ ვინმემ პაროლი იცის, მეორე საფეხურის გარეშე ანგარიშში მაინც ვერ შევა.

Microsoft 365: რა გვაქვს უკვე ჩართული

Microsoft-ის დოკუმენტაციის მიხედვით, Microsoft 365 Business-ის ყველა გეგმა მოიცავს Microsoft Entra ID-ის საბაზისო ვერსიას, რომელშიც არის ფუნქცია Security defaults. ის ნაგულისხმევად ჩართულია, ამიტომ Microsoft 365 Business-ის ორგანიზაციებში MFA ნაგულისხმევად აქტიურია. თუმცა თუ თქვენი გარემო ძველია ან ვინმემ ეს პარამეტრი ოდესღაც გამორთო, ღირს გადამოწმება.

გადასამოწმებლად:

• შედით Microsoft Entra admin center-ში ადმინისტრატორის ანგარიშით;
• გახსენით Identity > Overview, შემდეგ Properties და ქვემოთ იპოვით Security defaults-ის განყოფილებას;
• დარწმუნდით, რომ პარამეტრი ჩართულია, ან რომ მის ნაცვლად Conditional Access პოლიტიკებია მორგებული.

Security defaults-ის ძალა სიმარტივეშია: ის ითხოვს MFA-ს და ბლოკავს ძველ ავტორიზაციის პროტოკოლებს, რომლებიც მეორე საფეხურს უვლიდა გვერდს. მისი ნაკლი კი მოქნილობის ნაკლებობაა: ის ყველასთვის ერთნაირად მუშაობს და მას ადგილმდებარეობის, მოწყობილობის ან რისკის მიხედვით ვერ მოარგებთ. უფრო დახვეწილი კონტროლისთვის გამოიყენება Conditional Access, რომელიც Microsoft Entra ID P1 ან P2 ლიცენზიას მოითხოვს. Microsoft-ის დოკუმენტაციის თანახმად, Microsoft 365 Business Premium-ში Entra ID P1 შედის. Microsoft ასევე არ გვირჩევს ძველ per-user MFA რეჟიმს და მიუთითებს, რომ Security defaults-ის ან Conditional Access-ის გამოსაყენებლად ის უნდა გამოირთოს.

მეთოდებიდან Microsoft Entra ID მხარს უჭერს Microsoft Authenticator-ს, passkey-ებს (FIDO2), Windows Hello for Business-ს, SMS-სა და ზარს. ყველა ერთნაირად მდგრადი არ არის, ამიტომ თუ არჩევანი გაქვთ, უპირატესობა მიანიჭეთ აპლიკაციას ან passkey-ს.

Google Workspace: ჩართვა და მკაცრად მოთხოვნა

Google Workspace-ში ცალკე გასათვალისწინებელია ერთი დეტალი: ადმინისტრატორს ორსაფეხურიანი შესვლის მოთხოვნა ორგანიზაციის დონეზე შეუძლია, მაგრამ კონკრეტული მომხმარებლისთვის მას მხოლოდ თავად მომხმარებელი რთავს. ამიტომ მხოლოდ „ჩართვის შესაძლებლობა“ საკმარისი არ არის; საჭიროა მოთხოვნის (enforcement) რეჟიმი.

გზა Admin console-ში ასეთია: Security > Authentication > 2-Step Verification. იქ შეგიძლიათ:

• მისცეთ მომხმარებლებს 2SV-ს ჩართვის უფლება;
• აირჩიოთ მოთხოვნის რეჟიმი და დაუთმოთ გუნდს რეგისტრაციის გონივრული ვადა;
• ორგანიზაციული ერთეულების ან ჯგუფების მიხედვით ეტაპობრივად დანერგოთ;
• განსაზღვროთ დაშვებული მეთოდები: ნებისმიერი, ნებისმიერი გარდა SMS/ზარით მიღებული კოდებისა, ან მხოლოდ უსაფრთხოების გასაღები.

Google-ის რეკომენდაციაა, 2SV აუცილებლად მოვითხოვოთ ადმინისტრატორებისთვის და იმ თანამშრომლებისთვის, ვინც ბიზნესის ყველაზე მნიშვნელოვან ინფორმაციასთან მუშაობს. გარდა ამისა, Google თანდათანობით ამკაცრებს მოთხოვნას ადმინისტრატორის ანგარიშებზეც და წინასწარ აფრთხილებს მათ, ამიტომ ამ ანგარიშებისთვის მეორე საფეხური მაინც მოგიწევთ. Passkey-ით მომხმარებელს შეუძლია შევიდეს ტელეფონით, უსაფრთხოების გასაღებით ან კომპიუტერის ეკრანის დაბლოკვით (screen lock).

რომელი მეორე საფეხური აირჩიოთ

ამერიკის კიბერუსაფრთხოების სააგენტო CISA პირდაპირ ამბობს, რომ MFA-ს ნებისმიერი ფორმა უკეთესია, ვიდრე არარაობა და ამცირებს რისკს. თუმცა ფიშინგის წინააღმდეგ ყველაზე მდგრადად CISA FIDO/WebAuthn სტანდარტზე დაფუძნებულ ავთენტიფიკაციას (უსაფრთხოების გასაღებები, passkey-ები) მიიჩნევს. მიზეზი ისაა, რომ ასეთი მეთოდი ყალბ საიტზე არ მუშაობს: კოდს, რომელსაც თანამშრომელი შეიძლება მოატყუონ და ყალბ გვერდზე შეატანინონ, აქ ვერავინ მოიპარავს.

პრაქტიკული თანმიმდევრობა მცირე გუნდისთვის:

• ადმინისტრატორებისა და ფინანსებთან მომუშავე ადამიანებისთვის გამოიყენეთ passkey ან უსაფრთხოების გასაღები;
• დანარჩენებისთვის გამოიყენეთ ავთენტიფიკატორი აპლიკაცია ან ტელეფონზე შეტყობინება;
• თუ push-შეტყობინებებს იყენებთ და უფრო მდგრად ვარიანტზე ჯერ ვერ გადადიხართ, CISA რეკომენდაციას უწევს number matching-ს (ეკრანზე ნაჩვენები რიცხვის შეყვანა), რათა თანამშრომელმა შეტყობინება დაუფიქრებლად არ დაადასტუროს;
• SMS და ზარით კოდები დატოვეთ მხოლოდ რეზერვად, ან საერთოდ გამორთეთ, თუ გუნდისთვის ეს მოსახერხებელია.

როგორ ავირიდოთ ჩაკეტვა

MFA-ს დანერგვისას ყველაზე ხშირი პრობლემა დაკარგული ან შეცვლილი ტელეფონია. ამიტომ წინასწარ მოამზადეთ ეს ნაბიჯები:

• გუნდს დროზე გააფრთხილეთ, რას ელოდოს და როდის ამოქმედდება მოთხოვნა;
• დაუთმეთ რეგისტრაციის ვადა და ეტაპობრივად დანერგეთ, ჯერ ადმინისტრატორებზე და მცირე ჯგუფზე;
• თითოეულს ურჩიეთ მინიმუმ ორი მეთოდის დარეგისტრირება, მაგალითად აპლიკაცია და რეზერვი;
• Google Workspace-ში ადმინისტრატორს შეუძლია დაბლოკილი მომხმარებლისთვის სარეზერვო კოდის აღება; დაადგინეთ, ვინ და როგორ ამოწმებს მომხმარებლის ვინაობას, სანამ ასეთ კოდს გასცემს;
• მოვლენების გადაწყვეტის წესი ჩაწერეთ და ადმინისტრატორებს შორის გაიზიარეთ.

ასევე გაითვალისწინეთ, რომ ძველი პროგრამები, რომლებიც მხოლოდ პაროლით უკავშირდებიან ფოსტას (ძველი IMAP/SMTP კლიენტები, სკანერები, ძველი აპები), MFA-ს ჩართვის შემდეგ შეიძლება შეწყვეტდნენ მუშაობას. Microsoft-ის Security defaults ასეთ პროტოკოლებს განზრახ ბლოკავს, ხოლო Google Workspace-ში ზოგჯერ აპლიკაციის პაროლებია საჭირო. ამიტომ ჩართვამდე ჩამოწერეთ, რომელი მოწყობილობა და სერვისი ფოსტას როგორ იყენებს.

უმნიშვნელოვანესი ნაწილი ადამიანებია. CISA გვირჩევს, თანამშრომლებს ავუხსნათ, რატომ არის ეს საჭირო: ერთი დამატებითი სწრაფი ნაბიჯი იცავს მათაც, კომპანიასაც და მომხმარებლებსაც. კარგია, თუ ხალხს ვურჩევთ MFA პირად ანგარიშებზეც ჩაირთონ.

მოკლე ჩეკლისტი დასაწყებად:

• შეამოწმეთ, ჩართულია თუ არა MFA ყველა ანგარიშზე, განსაკუთრებით ადმინისტრატორებზე;
• ადმინისტრატორებისთვის აირჩიეთ passkey ან უსაფრთხოების გასაღები;
• დანარჩენებს მიეცით რეგისტრაციის ვადა და მკაფიო ინსტრუქცია;
• მოამზადეთ აღდგენის პროცედურა;
• გადაამოწმეთ ძველი მოწყობილობები და პროგრამები.

თუ ამ ნაბიჯების გავლა დამოუკიდებლად რთულია, Appy.ge - ქართული IT კომპანია, Microsoft-ის ოფიციალური CSP პარტნიორი, რომელიც Google Workspace-ის მორგებასაც ეხმარება - დაგეხმარებათ ანგარიშების უსაფრთხოების გადამოწმებასა და ორსაფეხურიანი შესვლის მოწესრიგებულ დანერგვაში.

წყაროები:
• Microsoft 365 for business security overview - Microsoft 365 admin - https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/m365b-security-overview?view=o365-worldwide
• Set up multifactor authentication for users - Microsoft 365 admin - https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/set-up-multi-factor-authentication?view=o365-worldwide
• Protect your business with 2-Step Verification - Google Workspace Help - https://knowledge.workspace.google.com/admin/security/protect-your-business-with-2-step-verification
• Manage a user's security settings - Google Workspace Help - https://knowledge.workspace.google.com/admin/security/manage-a-users-security-settings
• Require Multifactor Authentication - CISA - https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication