Двухэтапный вход для команды: Microsoft 365 и Google Workspace

Если ваша команда хранит корпоративную почту, файлы и встречи в облачных сервисах, достаточно взлома одной учётной записи, чтобы злоумышленник беспрепятственно вошёл в письма, документы и переписку с клиентами. Самый распространённый путь - кража пароля: поддельная страница входа, фишинговое письмо или пароль, утёкший из другого сервиса. Именно поэтому двухэтапный вход (MFA, а в терминологии Google - 2SV) является одной из самых практичных защит для малого и среднего бизнеса.

Идея проста: помимо пароля система запрашивает второе подтверждение. Это может быть уведомление на телефоне, код из приложения, физический ключ безопасности или так называемый passkey. Если кто-то знает пароль, без второго этапа в учётную запись он всё равно не попадёт.

Microsoft 365: что уже включено

Согласно документации Microsoft, все тарифы Microsoft 365 Business включают базовую версию Microsoft Entra ID, в которой есть функция Security defaults. Она включена по умолчанию, поэтому в организациях с Microsoft 365 Business MFA по умолчанию активна. Однако если ваша среда старая или кто-то когда-то отключил этот параметр, стоит проверить.

Чтобы проверить:

• Войдите в Microsoft Entra admin center под учётной записью администратора;
• Откройте Identity > Overview, затем Properties, и ниже найдёте раздел Security defaults;
• Убедитесь, что параметр включён или что вместо него настроены политики Conditional Access.

Сила Security defaults в простоте: она требует MFA и блокирует устаревшие протоколы авторизации, которые обходили второй этап. Её недостаток - нехватка гибкости: она работает для всех одинаково, и настроить её по местоположению, устройству или уровню риска нельзя. Для более тонкого контроля используется Conditional Access, для которого нужна лицензия Microsoft Entra ID P1 или P2. По документации Microsoft, в Microsoft 365 Business Premium входит Entra ID P1. Microsoft также не рекомендует старый режим per-user MFA и указывает, что для использования Security defaults или Conditional Access его нужно отключить.

Из методов Microsoft Entra ID поддерживает Microsoft Authenticator, passkey (FIDO2), Windows Hello for Business, SMS и звонок. Не все они одинаково устойчивы, поэтому, если есть выбор, отдавайте предпочтение приложению или passkey.

Google Workspace: включение и обязательное требование

В Google Workspace нужно учесть одну деталь: администратор может требовать двухэтапный вход на уровне организации, но для конкретного пользователя включить его может только сам пользователь. Поэтому одной лишь «возможности включения» недостаточно; нужен режим обязательного требования (enforcement).

Путь в Admin console такой: Security > Authentication > 2-Step Verification. Там вы можете:

• Разрешить пользователям включать 2SV;
• Выбрать режим обязательного требования и дать команде разумный срок на регистрацию;
• Внедрять поэтапно по организационным подразделениям или группам;
• Определить допустимые методы: любые, любые, кроме кодов по SMS/звонку, или только ключ безопасности.

Google рекомендует обязательно требовать 2SV для администраторов и для сотрудников, работающих с самой важной информацией бизнеса. Кроме того, Google постепенно ужесточает требование и для учётных записей администраторов и заранее предупреждает их, так что второй этап для этих записей вам всё равно придётся настроить. С passkey пользователь может входить с помощью телефона, ключа безопасности или блокировки экрана компьютера (screen lock).

Какой второй этап выбрать

Американское агентство кибербезопасности CISA прямо заявляет, что любая форма MFA лучше, чем ничего, и снижает риск. Тем не менее наиболее устойчивой к фишингу CISA считает аутентификацию на основе стандарта FIDO/WebAuthn (ключи безопасности, passkey). Причина в том, что такой метод не работает на поддельном сайте: код, который сотрудника могут обманом заставить ввести на фальшивой странице, здесь никто украсть не сможет.

Практический порядок для небольшой команды:

• Для администраторов и людей, работающих с финансами, используйте passkey или ключ безопасности;
• Для остальных используйте приложение-аутентификатор или уведомление на телефоне;
• Если вы используете push-уведомления и пока не можете перейти на более устойчивый вариант, CISA рекомендует number matching (ввод числа, показанного на экране), чтобы сотрудник не подтверждал уведомление не задумываясь;
• SMS и коды по звонку оставьте только как резервный вариант или вовсе отключите, если это удобно для команды.

Как избежать блокировки

При внедрении MFA самая частая проблема - потерянный или замененный телефон. Поэтому заранее подготовьте следующие шаги:

• Вовремя предупредите команду, чего ожидать и когда вступит в силу требование;
• Дайте срок на регистрацию и внедряйте поэтапно, сначала для администраторов и небольшой группы;
• Посоветуйте каждому зарегистрировать как минимум два метода, например приложение и резервный;
• В Google Workspace администратор может получить резервный код для заблокированного пользователя; определите, кто и как проверяет личность пользователя, прежде чем выдать такой код;
• Запишите порядок решения инцидентов и поделитесь им между администраторами.

Учтите также, что старые программы, которые подключаются к почте только по паролю (старые клиенты IMAP/SMTP, сканеры, устаревшие приложения), после включения MFA могут перестать работать. Security defaults в Microsoft намеренно блокируют такие протоколы, а в Google Workspace иногда требуются пароли приложений. Поэтому перед включением выпишите, какое устройство и какой сервис как использует почту.

Самая важная часть - люди. CISA советует объяснять сотрудникам, зачем это нужно: один дополнительный быстрый шаг защищает и их, и компанию, и клиентов. Хорошо также посоветовать людям включить MFA и на личных учётных записях.

Краткий чек-лист для начала:

• Проверьте, включена ли MFA на всех учётных записях, особенно у администраторов;
• Для администраторов выберите passkey или ключ безопасности;
• Остальным дайте срок на регистрацию и чёткую инструкцию;
• Подготовьте процедуру восстановления доступа;
• Проверьте старые устройства и программы.

Если пройти эти шаги самостоятельно сложно, Appy.ge - грузинская IT-компания, официальный CSP-партнёр Microsoft, которая также помогает с настройкой Google Workspace, - поможет вам проверить безопасность учётных записей и упорядоченно внедрить двухэтапный вход.

Источники:
• Microsoft 365 for business security overview - Microsoft 365 admin - https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/m365b-security-overview?view=o365-worldwide
• Set up multifactor authentication for users - Microsoft 365 admin - https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/set-up-multi-factor-authentication?view=o365-worldwide
• Protect your business with 2-Step Verification - Google Workspace Help - https://knowledge.workspace.google.com/admin/security/protect-your-business-with-2-step-verification
• Manage a user's security settings - Google Workspace Help - https://knowledge.workspace.google.com/admin/security/manage-a-users-security-settings
• Require Multifactor Authentication - CISA - https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication