Authentication before access

Tärkeää tietoa sisältäviin järjestelmiin olisi kirjauduttava useita tunnistamiskeinoja käyttävällä kirjautumisella, jota kutsutaan englanniksi joko "two-factor", “multi-factor” tai “dual factor” tunnistautumiseksi.

Esimerkiksi kirjautuessaan ensin salasanalla, käyttäjälle voidaan lähettää lisäksi kertakäyttöinen tunnistautumiskoodi tekstiviestinä. Tällöin hänet on tunnistettu kahden tekijän avulla (salasanan tietäminen ja puhelimen omistajuus).

Kaksivaiheisessa tunnistautumisessa voidaan käyttää apuna myös biometrisiä tunnisteita (esim. sormenjälki) ja muita laitteita. Kannattaa kuitenkin huomioida kustannukset ja vaikutukset yksityisyydensuojalle.

Organisaatio on ennalta määritellyt tunnistautumistavat, joita työntekijöiden tulisi suosia tietojärjestelmiä käytettäessä.

Useita pilvipalveluita käyttäessään käyttäjä voi itse määritellä, millä tavalla hän palveluun tunnistautuu. Yksittäinen keskitetty tunnistautumistili (esim. Google- tai Office365-tili) voi auttaa sulkemaan iso määrä pääsyoikeuksia kerralla, kun tunnistautumistapana toimiva käyttäjätili suljetaan.

Organisaatio ottaa käyttöön ja ylläpitää nollaluottamusta todennuksessa kaikissa järjestelmissään ja laitteistoissaan. Autentikoinnissa olisi otettava huomioon ainakin nämä kontrollit:

• Käyttäjien, palveluiden ja laitteistojen säännöllinen uudelleentodentaminen riskitasojen ja toimintamallien perusteella.
• Käytetään kontekstisidonnaisia tekijöitä, kuten käyttäjän rooleja, laitteen kuntoa, sijaintia ja käyttötapaa, määritettäessä uudelleen todentamisen tiheyttä ja vaatimuksia.
• Kunkin laitteiston, palvelun ja käyttäjän eheys, identiteetti ja aitous olisi vahvistettava, pääsy olisi evättävä oletusarvoisesti ja pääsy olisi myönnettävä vähimpien oikeuksien perusteella.
• Monitekijätodennuksen (MFA) sisällyttäminen pakolliseksi vaiheeksi todennus- ja uudelleentodennusprosesseihin.

Monivaiheinen tunnistautuminen (multi-factor authentication, MFA) auttaa suojaamaan laitteita ja tietoja. Sen soveltamiseksi käyttäjistä on oltava identiteetinhallintajärjestelmässä muutakin tietoa kuin vain sähköpostiosoite - esimerkiksi puhelinnumero tai liitetty Authenticator-sovellus (esim. Microsoft, Google tai LastPass Authenticator).