Een MFA herstelplan beschrijft hoe een medewerker weer toegang krijgt zonder een aanvaller een omweg te geven. Leg identiteitscontrole, goedgekeurde herstelmethoden en beheerderstoegang vast voordat een telefoon zoekraakt.
Scheid gebruikersherstel van noodtoegang voor beheer
Een medewerker die een telefoon vervangt en het verlies van alle inlogmethoden van beheerders zijn verschillende situaties. Beschrijf beide. Leg per bedrijfsapplicatie vast wie authenticatie kan herstellen en hoe die persoon inlogt wanneer de gebruikelijke dienst uitvalt. De planningshandleiding van Microsoft voor Entra MFA beschrijft de ondersteunde verificatiemethoden en de uitrol.
Volg de ondersteunde richtlijnen van uw identiteitsplatform voor noodtoegang. Noodaccounts vragen zorgvuldige bescherming, monitoring en tests. Gebruik ze niet dagelijks en verzwak niet de authenticatie van de hele organisatie om noodtoegang eenvoudiger te maken.
Controleer de persoon voordat u een methode wijzigt
Een bericht vanaf een bekend e-mailadres is onvoldoende wanneer juist die mailbox gehackt kan zijn. Spreek met HR en de helpdesk een identiteitscontrole af. Gebruik publiek vindbare informatie niet als doorslaggevend bewijs.
Leg vast wie de reset goedkeurde, welke methoden zijn verwijderd en waarom. Voeg niet alleen een nieuwe methode toe terwijl een onbekend of verloren apparaat vertrouwd blijft.
Regel bruikbare alternatieven vooraf
Controleer welke extra authenticatiemethoden uw platform ondersteunt en toestaat. Een beheerde beveiligingssleutel of tweede goedgekeurde methode kan afhankelijkheid van één telefoon verkleinen. Ondersteuning en beveiligingseisen verschillen per toepassing.
Bewaar herstelmateriaal veilig en beperk toegang tot de juiste personen. Zet herstelcodes niet naast het wachtwoord in een breed gedeelde map. Neem vervanging van apparaten en vertrek van medewerkers mee in de controle.
Moeten we MFA uitzetten wanneer iemand niet kan inloggen?
Maak dat niet de standaardoplossing. Gebruik een goedgekeurde herstelroute met identiteitscontrole en een beperkte tijdelijke uitzondering als dat nodig is. Leg omvang, eigenaar en eindtijd vast en controleer dat de bescherming daarna terug is.
Hoe testen we herstel zonder medewerkers buiten te sluiten?
Gebruik een gecontroleerd testaccount en ondersteunde procedures. Controleer of bevoegde medewerkers het herstel kunnen afronden en of dit wordt gelogd. Verwijder niet alle authenticatiemethoden van productieaccounts om een test uit te voeren.
Zorg dat het MFA herstelplan ook tijdens een incident bereikbaar is
ICT Shift verbindt accountherstel met cybersecurity en bedrijfscontinuïteit en dagelijks Managed IT Support. Bewaar een beschermde kopie die bereikbaar blijft wanneer normale aanmelding niet werkt.
Is uw huidige terugvaloptie die ene collega met alle wachtwoorden bellen? Bespreek accountherstel met een engineer.
