Vad är tvåfaktorsinloggning och varför ska ett företag kräva det i sina system?

Tvåfaktorsinloggning innebär att en användare behöver två olika typer av bevis för att logga in. Det kan vara något användaren vet, som ett lösenord, och något användaren har, som en kod från en app eller en fysisk säkerhetsnyckel. CERT-SE beskriver multifaktorautentisering som en viktig åtgärd i det förebyggande arbetet mot nätfiske.

Varför rekommenderar myndigheter tvåfaktorsinloggning?

CERT-SE rekommenderar att organisationer inför multifaktorautentisering och en genomtänkt lösenordspolicy för alla medarbetare. Nätfiske, eller phishing, är en vanlig metod för angripare att komma över användaruppgifter och lösenord. Med tvåfaktorsinloggning räcker det inte att en angripare har kommit över lösenordet, eftersom det andra steget kräver något som bara användaren har.

Vad är skillnaden mellan tvåfaktorsinloggning och multifaktorautentisering?

Tvåfaktorsinloggning är en form av multifaktorautentisering, ofta förkortat MFA. Multifaktorautentisering kan använda fler än två faktorer, men två faktorer är det vanligaste. CERT-SE använder begreppet multifaktorautentisering och rekommenderar att organisationer även överväger phishing resistant MFA för det mer skyddsvärda.

Hur fungerar tvåfaktorsinloggning i praktiken?

Ett litet företag kan till exempel aktivera tvåfaktorsinloggning i sitt CRM-system. När en medarbetare loggar in med sitt lösenord skickas en kod till medarbetarens mobilapp, eller så används en fysisk säkerhetsnyckel. Först när både lösenordet och koden eller nyckeln stämmer släpps användaren in. CERT-SE nämner fysiska säkerhetsnycklar och smarta kort som exempel på implementation för phishing resistant MFA.

Vad säger källorna om vilka system som ska ha tvåfaktorsinloggning?

CERT-SE:s rekommendation gäller alla medarbetare i en organisation, inte bara vissa system. I källmaterialet finns ingen uppgift om att regeln skulle vara begränsad till särskilda typer av tjänster. För molntjänster som hyrs per månad, vilket är vanligt bland affärssystem, är det därför rimligt att kontrollera om leverantören erbjuder tvåfaktorsinloggning som kan slås på för användarna.

Enligt Plattformsguiden har vi kunnat belägga att tvåfaktorsinloggning går att slå på hos 71 av 285 system. Det betyder att 25 procent av systemen har stöd för tvåfaktorsinloggning enligt leverantörernas egna sajter.

Vad betyder det här när ni väljer system?

När ni jämför system kan ni använda kriteriet tvåfaktorsinloggning i Plattformsguiden. Kriteriet visar om leverantören har kunnat belägga att tvåfaktorsinloggning går att slå på för användarna. Ni kan också titta på enkel inloggning (SSO), som kan kombineras med tvåfaktorsinloggning för smidigare hantering. Besök gärna affärssystem för att jämföra system.