Det ene tiltag, der stopper flest angreb.

Når en virksomhed bliver ramt, er det sjældent, fordi nogen har fundet en sårbarhed, ingen kendte. Det er, fordi nogen har fået fat i en adgangskode. Den er fisket via en falsk loginside, lækket fra en anden tjeneste, hvor den blev genbrugt, eller gættet, fordi den var svag. Derefter logger angriberen ind som en helt almindelig bruger, og ingen alarm går.

Flerfaktor-login (ofte kaldet MFA eller totrinsbekræftelse) betyder, at adgangskoden alene ikke er nok. Der skal også noget, angriberen ikke har: en kode fra en app, en fysisk nøgle, en godkendelse på telefonen. Microsoft, der ser flere loginforsøg end nogen anden, har i årevis oplyst, at flerfaktor-login stopper langt over 99 pct. af de automatiserede angreb på konti. Det er ikke et salgsargument. Det er den mest veldokumenterede sammenhæng i hele feltet.

Derfor er det det ene tiltag, der giver mest for mindst. Det koster typisk ingenting i licens, en times opsætning, og lidt tilvænning. Og det er samtidig det, alle regelsættene forudsætter.

• NIS2Det eneste regelsæt, der nævner det ved navn. Artikel 21, stk. 2, litra j: brug af multifaktorautentificering eller løsninger med kontinuerlig autentificering, hvor det er relevant. "Hvor det er relevant" betyder i praksis: alle systemer, der kan nås udefra, og alle med administratorrettigheder.
• GDPRArtikel 32 kræver sikkerhed, der passer til risikoen, under hensyn til det aktuelle tekniske niveau. Flerfaktor-login er det aktuelle tekniske niveau. En virksomhed, der mister kundedata via et login uden det, vil have svært ved at forklare Datatilsynet, hvorfor det manglede.
• ISO 27001Bilag A's kontroller om autentifikationsoplysninger og sikker autentifikation forventer, at adgang til systemer sikres i forhold til risikoen, og at stærk autentifikation bruges, hvor risikoen kræver det.
• KunderneSpørgsmålet "bruger I flerfaktor-login, og hvor ikke?" står i stort set alle leverandørspørgeskemaer. Svaret "nej" lukker døren hos flere og flere.

Alt på én gang er sjældent realistisk. Rækkefølgen bør følge risikoen:

• 1. Mail og kontorpakkeDet er her, angrebene starter, og herfra kan angriberen nulstille adgangskoder til alt andet. Slå det til for alle, uden undtagelse, i dag.
• 2. AdministratorerAlle konti med administratorrettigheder, i alle systemer, også hos leverandøren. Én kompromitteret administrator er hele virksomheden.
• 3. FjernadgangVPN, fjernskrivebord, adgang til servere. Alt, der kan nås fra internettet.
• 4. ForretningssystemerØkonomi, løn, CRM, kundedata. Alt, der indeholder personoplysninger eller kan bruges til at flytte penge.
• 5. RestenSociale medier, leverandørportaler, det lille værktøj marketing bruger. Det tager tid, men det er også her, glemte konti ligger.

Bemærk, at "hos leverandøren" står under punkt 2. Jeres IT-supporter har typisk administratoradgang til alt. Har de ikke flerfaktor-login på den adgang, har I det heller ikke.

Koder på sms er den svageste form. De kan opsnappes, og telefonnumre kan overtages. De er stadig langt bedre end ingenting, så brug dem, hvis det er det eneste, systemet tilbyder. Men vælg noget bedre, hvor I kan.

En app på telefonen, der genererer koder eller beder om godkendelse, er standarden for de fleste. Vær opmærksom på "godkendelsestræthed": angribere sender godkendelser igen og igen, til brugeren trykker ja for at få fred. Vælg derfor indstillinger, hvor brugeren skal taste et tal, der vises på skærmen, i stedet for bare at trykke godkend.

Fysiske sikkerhedsnøgler eller passkeys er den stærkeste form, fordi de ikke kan fiskes: de virker kun på den rigtige hjemmeside. Det er det rigtige valg til administratorer og til dem, der kan flytte penge. Det er også det, de store leverandører selv er gået over til.

Der vil være systemer, der ikke understøtter flerfaktor-login, og konti, der er svære at få med: fælles postkasser, gamle maskiner, en leverandørs portal fra 2012. De findes i alle virksomheder. Det, der adskiller en god fra en dårlig, er, om undtagelserne er kendte og besluttede, eller bare glemte.

Skriv dem ned: system, hvorfor det ikke kan, hvad I gør i stedet (begrænset adgang, kun fra kontoret, lang og unik adgangskode, overvågning), hvem der har accepteret risikoen, og hvornår det ses igen. Det er præcis det, en risikovurdering er. Læs også Risikovurderingen, alle kræver, og få har.

Revisor, tilsyn og kunde spørger ikke "har I flerfaktor-login?". De spørger "på hvilke systemer, og hvor ikke?". Svaret er en liste: hvert system, om flerfaktor-login er slået til, hvilken metode, om det er tvunget for alle eller frivilligt, og for undtagelserne henvisningen til risikovurderingen.

Suppler med et skærmbillede af indstillingen fra de vigtigste systemer, med dato. Det viser, at det ikke bare er besluttet, men gjort. Og gennemgå listen, hver gang I tager et nyt system i brug: "kan det flerfaktor-login?" er et spørgsmål, der skal stilles før købet, ikke efter. Læs også Hvad en revision faktisk spørger om.