Nhân viên đặt mật khẩu dài, không chia sẻ cho đồng nghiệp và chỉ đăng nhập trên máy tính của mình. Như vậy đã đủ an toàn cho email và tài liệu công ty chưa? Mật khẩu tốt giúp giảm một số rủi ro, nhưng vẫn có thể bị đánh cắp qua trang đăng nhập giả hoặc thiết bị bị xâm nhập.
Với Microsoft 365, doanh nghiệp nên hiểu đúng mối quan hệ giữa mật khẩu và MFA trước khi triển khai. Trong luồng đăng nhập dùng mật khẩu, MFA bổ sung bước xác minh thuộc một yếu tố khác. Hai cơ chế có thể cùng bảo vệ tài khoản; việc dùng MFA không phải lý do để tiếp tục sử dụng mật khẩu yếu.
Mật khẩu và MFA khác nhau thế nào?
Mật khẩu là thông tin người dùng biết. Xác thực đa yếu tố, hay MFA, kết hợp từ hai nhóm yếu tố xác minh trở lên, chẳng hạn thông tin người dùng biết với thiết bị họ sở hữu. Nhập mật khẩu rồi nhập thêm một mật khẩu khác không tự trở thành MFA.
Trong tình huống phổ biến, nhân viên nhập mật khẩu tài khoản công ty rồi xác nhận yêu cầu bằng Microsoft Authenticator trên điện thoại đã đăng ký. Nếu người khác chỉ có mật khẩu, họ chưa có đủ điều kiện để hoàn tất luồng xác minh này.
Điều đó không có nghĩa MFA ngăn được mọi cuộc tấn công. Người dùng vẫn có thể bị dụ phê duyệt yêu cầu lạ; các phương thức MFA cũng có mức độ chống lừa đảo khác nhau. Doanh nghiệp cần kết hợp phương thức phù hợp với thói quen kiểm tra yêu cầu đăng nhập.
Microsoft Authenticator đóng vai trò gì?
Microsoft Authenticator là ứng dụng hỗ trợ xác minh danh tính. Tùy chính sách của công ty, ứng dụng có thể hiển thị thông báo để xác nhận đăng nhập hoặc cung cấp mã xác minh. Cài ứng dụng vào điện thoại chưa đồng nghĩa tài khoản công ty đã được bảo vệ: người dùng còn phải đăng ký tài khoản và hoàn thành kiểm tra theo yêu cầu của tổ chức.
Một điểm dễ nhầm là tài khoản Microsoft cá nhân và tài khoản cơ quan. Nhân viên cần kiểm tra đúng địa chỉ email công ty khi thêm tài khoản. Nếu ứng dụng có nhiều tài khoản, hãy đối chiếu tài khoản đang nhận yêu cầu trước khi phê duyệt.
Ví dụ, bạn đang mở Outlook trên máy tính và điện thoại hiện yêu cầu nhập số hiển thị ở màn hình đăng nhập. Hãy xác nhận khi yêu cầu đó xuất phát từ thao tác vừa thực hiện. Nếu không đăng nhập mà vẫn có thông báo, hãy từ chối và báo bộ phận IT qua kênh đã thống nhất.
Doanh nghiệp nên chọn cách triển khai nào?
Microsoft 365 hỗ trợ các cách triển khai MFA với phạm vi điều khiển khác nhau. Security defaults cung cấp lớp bảo vệ cơ bản thông qua Microsoft Entra ID Free. Conditional Access cho phép đặt điều kiện truy cập chi tiết hơn và cần giấy phép Entra ID P1 hoặc P2 phù hợp. Microsoft không khuyến nghị cách quản lý MFA theo từng người dùng cũ làm lựa chọn triển khai mới mặc định.
Nhóm IT cần kiểm tra cấu hình hiện tại trước khi thay đổi. Không nên bật chồng nhiều cơ chế theo hướng dẫn rời rạc, hoặc tắt lớp bảo vệ đang hoạt động chỉ để làm theo một bài viết. Với chính sách mới, hãy kiểm thử trên nhóm nhỏ, chuẩn bị phương án truy cập khẩn cấp và xác nhận các ứng dụng đang dùng vẫn hoạt động.
Nếu cần nhìn lại những lớp bảo vệ liên quan, bài Microsoft 365 và bảo mật tài khoản giúp đặt MFA trong tổng thể quản lý tài khoản, quyền và giám sát.
Nhân viên đăng ký Authenticator như thế nào?
Các bước dưới đây dành cho tài khoản cơ quan; giao diện và phương thức được phép có thể khác theo cấu hình công ty.
- Mở trang thông tin bảo mật của tài khoản cơ quan từ cổng tài khoản Microsoft đã xác minh, hoặc làm theo màn hình đăng ký xuất hiện khi đăng nhập.
- Chọn thêm phương thức đăng nhập và chọn Microsoft Authenticator nếu tổ chức cho phép.
- Cài ứng dụng Microsoft Authenticator từ kho ứng dụng chính thức. Trong ứng dụng, thêm tài khoản cơ quan hoặc trường học.
- Quét mã QR trên màn hình đăng ký và hoàn thành yêu cầu thử nghiệm. Không gửi ảnh mã QR cho người khác.
- Kiểm tra phương thức vừa thêm trong thông tin bảo mật và thử đăng nhập theo hướng dẫn của IT.
Hãy làm việc này khi vẫn còn truy cập tài khoản. Đợi đến lúc điện thoại cũ đã hỏng mới tìm cách đăng ký lại thường khiến công việc bị gián đoạn. Trước khi đổi máy, nhân viên nên hỏi IT về quy trình đăng ký thiết bị mới và phương thức khôi phục được công ty cho phép.
Chuẩn bị gì để triển khai không làm gián đoạn công việc?
Một đợt triển khai nên có người hỗ trợ, thời gian thử nghiệm và hướng dẫn dễ hiểu. Doanh nghiệp có thể chuẩn bị danh sách người dùng, ứng dụng cần truy cập, phương thức được phép, cách xử lý mất điện thoại và kênh báo yêu cầu đáng ngờ.
Ví dụ, phòng kinh doanh thường làm việc ngoài văn phòng. Trước khi áp dụng rộng, nhóm IT có thể cho vài nhân viên thử đăng nhập trên máy tính và điện thoại đang sử dụng thực tế. Kết quả cần ghi nhận cả trường hợp thành công lẫn trường hợp bị chặn, thay vì chỉ kiểm tra tài khoản quản trị trên một máy.
Về giấy phép, hãy đối chiếu nhu cầu điều khiển chính sách với các gói Microsoft 365 bản quyền. Không nên mặc định mọi gói đều có cùng khả năng Conditional Access hoặc xử lý rủi ro nâng cao.
Ba thói quen cần tránh khi dùng MFA
Phê duyệt mọi thông báo để hết bị làm phiền. Yêu cầu không do mình khởi tạo cần được từ chối và báo kiểm tra. MFA chỉ có ích khi người dùng hiểu mình đang xác nhận điều gì.
Cho đồng nghiệp dùng chung tài khoản và điện thoại xác thực. Cách này làm mờ trách nhiệm và khó thu hồi quyền. Mỗi người nên sử dụng danh tính được công ty cấp cho công việc của mình.
Cho rằng đã bật MFA thì không cần quan tâm phishing. Nhân viên vẫn cần kiểm tra trang đăng nhập, bảo vệ thiết bị và báo ngay khi nghi ngờ lộ thông tin. Với nhu cầu cao hơn, IT nên đánh giá phương thức xác thực chống phishing phù hợp.
Chọn lớp xác thực phù hợp với cách doanh nghiệp làm việc
Với câu hỏi “Microsoft 365: mật khẩu hay MFA?”, điểm bắt đầu là kiểm tra cách đăng nhập đang được bảo vệ. Doanh nghiệp dùng mật khẩu cần mật khẩu tốt, đồng thời nên triển khai MFA theo chính sách thống nhất và có phương án hỗ trợ người dùng.
Bạn có thể tìm hiểu giải pháp Microsoft 365 tại Vinaweb để trao đổi về gói dịch vụ và nhu cầu triển khai thực tế. Phạm vi cấu hình, giấy phép và hỗ trợ cần được xác nhận trước khi thực hiện.
