Tofaktor er ikke bare en ekstra kode
Tofaktor beskytter ikke bare tekniske systemer. Det gir mennesker et ekstra stoppunkt når passord, lenker og innlogginger havner på avveie.
Tofaktor blir ofte forklart som «en ekstra kode ved innlogging». Det er riktig, men litt for smalt. Den egentlige verdien er at passordet ikke lenger er hele nøkkelen.
Hvis et passord blir gjettet, lekket, gjenbrukt eller tastet inn på en falsk side, kan tofaktor være forskjellen på et stoppet forsøk og en overtatt konto. For små virksomheter er dette et av de enkleste sikkerhetstiltakene med stor praktisk effekt.
Passord alene er sårbart
Et passord kan være sterkt og likevel havne feil. Folk kan bli lurt av en falsk innloggingsside, bruke samme passord flere steder, lagre passord i nettleseren på feil maskin, eller miste kontroll på en privat konto som også brukes i arbeid.
Tofaktor løser ikke alt, men den gjør angrepet vanskeligere. En angriper trenger ikke bare passordet. Angriperen må også komme forbi en ekstra kontroll, for eksempel en app, sikkerhetsnøkkel, passkey, kodebrikke eller biometrisk godkjenning.
Hva betyr tofaktor egentlig?
Tofaktor handler om at innloggingen bruker mer enn én type bevis. Vanligvis er det:
- noe du vet, som passord eller PIN
- noe du har, som mobil, app, kodebrikke eller sikkerhetsnøkkel
- noe du er, som fingeravtrykk eller ansiktsgjenkjenning
Poenget er ikke at innloggingen skal bli tungvint. Poenget er at et stjålet passord alene ikke skal være nok.
Start med de viktigste kontoene
Hvis alt virker uoversiktlig, start der konsekvensen er størst. For en liten virksomhet betyr det ofte:
- e-postkontoer
- Microsoft 365, Google Workspace eller tilsvarende
- bank, regnskap og betalingsløsninger
- domene, DNS, webhotell og WordPress-administrator
- skylagring og fildeling
- sosiale medier og annonsekontoer
- administratorbrukere og eierkontoer
E-post bør prioriteres høyt. Den brukes ofte til passordreset for andre tjenester. Mister noen kontroll på e-postkontoen, kan det raskt bli enklere å overta mer.
SMS-kode er bedre enn ingenting, men ikke alltid best
SMS-koder kan være et godt steg opp fra bare passord, særlig der alternativet er ingen tofaktor. Men SMS er ikke alltid det sterkeste valget.
Der det er mulig, bør virksomheter vurdere autentiseringsapp, sikkerhetsnøkkel eller passkey. Slike løsninger kan gi bedre beskyttelse mot enkelte typer phishing og misbruk enn en enkel SMS-kode.
Det viktigste er likevel å komme i gang. Ikke la ønsket om den perfekte løsningen stoppe et enkelt tiltak som kan innføres nå.
Godkjenn aldri innlogginger du ikke startet
Tofaktor kan misbrukes hvis brukeren blir stresset til å godkjenne en innlogging. Hvis du får et varsel i autentiseringsappen uten at du selv prøver å logge inn, skal du ikke trykke godkjenn.
Gjør heller dette:
- avslå forespørselen
- bytt passord hvis du mistenker at det er lekket
- sjekk aktive økter i kontoen
- si fra til IT-ansvarlig eller leder hvis det gjelder jobb
Dette henger tett sammen med phishing. Se også sjekklisten for falsk SMS og e-post.
Husk gjenoppretting før telefonen blir borte
Tofaktor må planlegges litt. Det er ikke nok å skru det på og håpe at alt ordner seg.
Før virksomheten aktiverer tofaktor bredt, bør dere vite:
- hvem som kan hjelpe hvis noen bytter telefon
- hvor nød- eller reservekoder lagres
- hvem som har administratorrettighet
- hvordan tilgang fjernes når ansatte slutter
- hvilke kontoer som må ha mer enn én eier eller administrator
Uten en enkel gjenopprettingsrutine kan sikkerhetstiltaket bli en driftsstopp. Med en ryddig rutine blir det normalt bare en liten ekstra kontroll.
Ikke bland privat og jobb ukritisk
Mange små virksomheter starter med private kontoer, delte innlogginger eller gamle e-postadresser. Det kan fungere en stund, men blir fort rotete når tofaktor skal innføres.
En ansatt bør ikke være eneste person som kan godkjenne innlogging til en bedriftskritisk konto. En privat mobil kan brukes som faktor, men bedriften bør fortsatt vite hvordan tilgang håndteres ved sykdom, ferie, fratreden eller telefonbytte.
Dette er en av grunnene til at privat e-post på jobb kan bli et problem over tid.
En 30-minutters start for små virksomheter
Vil dere komme i gang uten et stort prosjekt, kan dere starte slik:
- Lag en liste over de ti viktigste kontoene.
- Marker hvilke kontoer som mangler tofaktor.
- Aktiver tofaktor på e-post først.
- Aktiver tofaktor på økonomi, domene og administratorkontoer.
- Lagre reservekoder trygt.
- Avtal hvem som hjelper ved telefonbytte.
- Skriv én enkel regel: Godkjenn aldri innlogginger du ikke startet selv.
Det trenger ikke være perfekt første dag. Det viktigste er å få bort situasjonen der ett passord alene kan åpne alt.
Kort oppsummert
Tofaktor er ikke bare en ekstra kode. Det er et ekstra stoppunkt når passord kommer på avveie, phishing lykkes, eller noen prøver å logge inn som deg.
Start med e-post, økonomi, skytjenester og administratorbrukere. Velg bedre metoder enn SMS der det er praktisk, men ikke vent med alt fordi den perfekte løsningen tar tid. Og viktigst: Godkjenn aldri en innlogging du ikke selv startet.
