Iniciar sesión cun nome de usuario e contrasinal é a forma de autenticación máis insegura. Polo tanto, recoméndase ás organizacións que queiran protexer mellor as súas contas que elixan métodos de autenticación máis fortes, como a autenticación de dous factores (2FA) e o estándar FIDO2 da Alianza FIDO. Así o indica o Centro Nacional de Seguridade Cibernética (NCSC) nunha nova folla de datos chamada "Autenticación de adultos".
Segundo o NCSC, as contas con privilexios elevados dentro dun sistema, como as de administrador, son cada vez máis obxecto de ataques. "Dado este desenvolvemento, é moi importante protexer as contas dunha forma adecuada. A Avaliación da Seguridade Cibernética Países Baixos 2021 avala a importancia dunha boa autenticación e mostra que o nivel de ameaza para unha autenticación débil é alto ", advirte o servizo gobernamental. Polo tanto, recomenda métodos de autenticación máis fortes como 2FA.
Non todas as formas de 2FA son iguais. Por exemplo, a folla de datos indica que a autenticación de dous factores mediante SMS ou correo electrónico é a forma menos segura de 2FA. Un atacante podería interceptar os códigos de inicio de sesión enviados por correo electrónico ou SMS. O uso da biometría como segunda capa de seguridade é menos susceptible a tal ataque, pero está suxeito ás leis e regulamentos de privacidade, como o Regulamento Xeral de Protección de Datos (GDPR), dixo o NCSC.
O goberno tamén aconsella distinguir entre diferentes contas en función do risco asociado. As contas de alto impacto, como as dos administradores, requiren unha seguridade diferente que, por exemplo, as contas de convidados. As organizacións poden dividir as súas contas en contas de impacto baixo, medio e alto en función dunha avaliación de risco. As contas pódense asegurar de forma adecuada usando o modelo de madurez para a autenticación.
Finalmente, a folla de datos recomenda establecer un número máximo de intentos de inicio de sesión permitidos por unidade de tempo para todos os clientes. Ademais, os empregados deberían poder ver o seu historial de inicio de sesión, para que poidan detectar e informar de actividade sospeitosa máis rapidamente.