Κυβερνοασφάλεια · 14 Νοεμβρίου 2026
MFA στην επιχείρηση: είναι ενεργό ή απλώς δηλωμένο;
Ο πολυπαραγοντικός έλεγχος ταυτότητας (MFA) συνδυάζει διαφορετικούς παράγοντες επαλήθευσης κατά τη σύνδεση. Η καταχώριση ενός κινητού ή μιας εφαρμογής ταυτοποίησης δεν αρκεί για να γνωρίζετε ότι οι κρίσιμοι λογαριασμοί προστατεύονται στην πράξη. Ένας οργανωμένος έλεγχος συνδέει τις ρυθμίσεις πρόσβασης με την καθημερινή λειτουργία της επιχείρησης.
Γιατί αξίζει να το ελέγξετε τώρα
Το NIST δημοσίευσε την τελική έκδοση του SP 800-63B-4 στις 31 Ιουλίου 2025 και, με σημείωση της 6ης Οκτωβρίου 2026, παρέπεμψε σε νέο υλικό υποστήριξης εφαρμογής. Η καθοδήγηση δίνει ιδιαίτερη έμφαση στη διαχείριση των μέσων ταυτοποίησης και στην αντοχή απέναντι στο phishing. Για μια επιχείρηση, το πρακτικό ερώτημα είναι συγκεκριμένο: ποια μέθοδος απαιτείται πραγματικά όταν κάποιος συνδέεται σε μια κρίσιμη υπηρεσία; Δείτε την επίσημη δημοσίευση του NIST.
1. Ξεχωρίστε την εγγραφή από την εφαρμογή
Στην τεκμηρίωση του Microsoft Entra, η εγγραφή μιας μεθόδου και η επιβολή συγκεκριμένης ισχύος ταυτοποίησης αντιμετωπίζονται ως διακριτά βήματα. Συνεπώς, η ένδειξη ότι ένας χρήστης έχει καταχωρίσει εφαρμογή ή passkey δεν αρκεί από μόνη της ως απόδειξη κάλυψης κάθε πρόσβασης. Ζητήστε από το IT να ελέγξει τις ενεργές πολιτικές, τις εφαρμογές στις οποίες εφαρμόζονται και τις τυχόν εξαιρέσεις. Η δυνατότητα εφαρμογής εξαρτάται από την πλατφόρμα και τη διαμόρφωσή της.
2. Μην θεωρείτε όλες τις μεθόδους ισοδύναμες
Το NIST διευκρινίζει ότι οι κωδικοί μίας χρήσης που πληκτρολογούνται χειροκίνητα δεν θεωρούνται ανθεκτικοί στο phishing. Η Microsoft περιγράφει τα passkeys ως ανθεκτικά στο phishing και επισημαίνει ότι μπορούν να αποτελέσουν μέθοδο MFA όταν συνδυάζονται με PIN ή βιομετρική επαλήθευση στη συσκευή. Εξετάστε με τον υπεύθυνο IT ποιες επιλογές υποστηρίζονται στα δικά σας συστήματα, πριν αποφασίσετε αλλαγές για όλους τους εργαζομένους.
3. Δημιουργήστε έναν μικρό πίνακα ελέγχου
Ως πρακτική πρόταση της TKBI, ξεκινήστε με το εταιρικό email, την απομακρυσμένη πρόσβαση και τη διαχείριση του cloud. Για κάθε υπηρεσία καταγράψτε: υπεύθυνο, ομάδες χρηστών, απαιτούμενη μέθοδο σύνδεσης, εξαιρέσεις, ημερομηνία ελέγχου και επόμενη ενέργεια. Δώστε πρώτη προτεραιότητα στους λογαριασμούς διαχειριστών και σε όσους χειρίζονται κρίσιμα δεδομένα. Μην συμπεριλάβετε στον πίνακα κωδικούς, μυστικά εγγραφής ή κωδικούς ανάκτησης.
4. Δοκιμάστε τη διαδικασία με ασφαλή τρόπο
Συμφωνήστε με το IT μια μικρή πιλοτική ομάδα και ελέγξτε την κανονική σύνδεση, τη χρήση νέας συσκευής και ένα σενάριο απώλειας κινητού. Καταγράψτε τι ζητά το σύστημα και ποιος μπορεί να βοηθήσει τον εργαζόμενο. Χρησιμοποιήστε εγκεκριμένους δοκιμαστικούς λογαριασμούς όπου ενδείκνυται. Αποφύγετε μαζικές αλλαγές σε ώρες αιχμής και οργανώστε τη μετάβαση ώστε να μη χαθεί η νόμιμη διαχειριστική πρόσβαση.
5. Ελέγξτε και την ανάκτηση πρόσβασης
Η ασφαλής σύνδεση χρειάζεται και οργανωμένη ανάκτηση. Το NIST περιλαμβάνει χωριστή καθοδήγηση για την ανάκτηση λογαριασμού και τις σχετικές ειδοποιήσεις. Στην πράξη, ορίστε ποιος εγκρίνει την αλλαγή μεθόδου, πώς επιβεβαιώνεται η ταυτότητα και πού καταγράφεται το αίτημα. Ελέγχετε επίσης αν οι παλιές συσκευές και οι προσωρινές εξαιρέσεις παραμένουν ενεργές χωρίς λόγο.
Ένα εφαρμόσιμο πρώτο βήμα
Μέσα στην επόμενη εβδομάδα, επιλέξτε μία κρίσιμη υπηρεσία και ολοκληρώστε τον παραπάνω πίνακα μαζί με το IT. Για κάθε κενό ορίστε υπεύθυνο και ημερομηνία επανελέγχου. Το αποτέλεσμα πρέπει να είναι μια τεκμηριωμένη εικόνα της πραγματικής πρόσβασης, χρήσιμη τόσο στη διοίκηση όσο και στην ομάδα υποστήριξης. Οι προτάσεις του άρθρου αποτελούν πρακτική καθοδήγηση και δεν συνιστούν από μόνες τους πλήρη αξιολόγηση συμμόρφωσης.
Πώς μπορεί να βοηθήσει η TKBI
Η TKBI παρέχει συμβουλευτικές υπηρεσίες για την αξιολόγηση πρακτικών πρόσβασης, την οργάνωση πολιτικών ασφάλειας και την παρακολούθηση ενεργειών βελτίωσης. Επικοινωνήστε μαζί μας για να οργανώσουμε έναν έλεγχο προσαρμοσμένο στη λειτουργία της επιχείρησής σας.
Επίσημες πηγές
NIST SP 800-63B-4 — τελική έκδοση 31 Ιουλίου 2025, σημείωση υποστήριξης εφαρμογής 6 Οκτωβρίου 2026
NIST — ενότητες Phishing Resistance και Account Recovery
Microsoft Learn — Passkeys (FIDO2)
Microsoft Learn — σχεδιασμός ανάπτυξης ανθεκτικής στο phishing ταυτοποίησης
Έλεγχος πηγών: 14 Νοεμβρίου 2026.