Logowanie przy użyciu nazwy użytkownika i hasła jest najbardziej niepewną formą uwierzytelnienia. Organizacjom, które chcą lepiej chronić swoje konta, zaleca się zatem wybranie silniejszych metod uwierzytelniania, takich jak uwierzytelnianie dwuskładnikowe (2FA) i standard FIDO2 od FIDO Alliance. Stwierdza to Krajowe Centrum Bezpieczeństwa Cybernetycznego (NCSC) w nowym arkuszu informacyjnym zatytułowanym „Uwierzytelnianie osób dorosłych”.
Według NCSC konta z podwyższonymi uprawnieniami w systemie, takie jak konta administratorów, są coraz częściej celem ataków. „Biorąc pod uwagę ten rozwój, szczególnie ważna jest odpowiednia ochrona kont. Ocena bezpieczeństwa cybernetycznego w Holandii 2021 potwierdza znaczenie dobrego uwierzytelniania i pokazuje, że poziom zagrożenia w przypadku słabego uwierzytelnienia jest wysoki” – ostrzega służba rządowa. Dlatego zaleca silniejsze metody uwierzytelniania, takie jak 2FA.
Nie wszystkie formy 2FA są sobie równe. Na przykład w arkuszu informacyjnym stwierdza się, że uwierzytelnianie dwuskładnikowe za pomocą wiadomości SMS lub e-mail jest najmniej bezpieczną formą 2FA. Osoba atakująca może przechwycić kody logowania wysyłane e-mailem lub SMS-em. NCSC twierdzi, że wykorzystywanie danych biometrycznych jako drugiej warstwy bezpieczeństwa jest mniej podatne na taki atak, ale podlega przepisom i regulacjom dotyczącym prywatności, takim jak Ogólne rozporządzenie o ochronie danych (RODO).
Rząd zaleca również rozróżnienie pomiędzy różnymi rachunkami na podstawie związanego z nimi ryzyka. Konta o dużym wpływie, takie jak konta administratorów, wymagają innych zabezpieczeń niż na przykład konta gości. Organizacje mogą podzielić swoje konta na konta o niskim, średnim i dużym wpływie na podstawie oceny ryzyka. Rachunki można następnie odpowiednio zabezpieczyć, wykorzystując do uwierzytelnienia model dojrzałości.
Na koniec w arkuszu informacyjnym zalecono ustawienie maksymalnej liczby dozwolonych prób logowania w jednostce czasu dla wszystkich klientów. Ponadto pracownicy powinni mieć możliwość przeglądania historii swoich logowań, dzięki czemu będą mogli szybciej wykryć i zgłosić podejrzane działania.