Een MFA herstelplan beschrijft hoe een legitieme gebruiker weer toegang krijgt zonder een aanvaller een omweg te geven. Het moet identiteitscontrole, goedgekeurde herstelmethoden en beheerderstoegang vastleggen voordat een telefoon zoekraakt.
Maak herstel mogelijk voordat een telefoon zoekraakt
- Stel vast wie toestemming kan geven voor een authenticatie-reset.
- Spreek een identiteitscontrole af die niet alleen afhankelijk is van de betreffende mailbox.
- Registreer een tweede goedgekeurde methode waar dit wordt ondersteund.
- Test het herstel voor beheerders apart van het dagelijkse herstel voor gebruikers.
Scheid dagelijks herstel van noodtoegang voor beheer
Een medewerker die een telefoon vervangt en het verlies van alle inlogmethoden van beheerders zijn verschillende incidenten. Leg beide vast. Stel per bedrijfsapplicatie vast wie authenticatie kan herstellen en hoe die persoon inlogt wanneer de gebruikelijke dienst niet beschikbaar is. De handleiding van Microsoft voor het plannen van een Microsoft Entra MFA-implementatie beschrijft de ondersteunde verificatiemethoden en de uitrol.
Volg de ondersteunde richtlijnen van het identiteitsplatform voor noodtoegang. Noodaccounts vragen zorgvuldige bescherming, monitoring en tests. Gebruik ze niet als dagelijkse accounts en gebruik ze niet als excuus om de authenticatie binnen de hele organisatie te verzwakken.
Controleer de persoon voordat u een methode wijzigt
Een verzoek vanaf een bekend e-mailadres is onvoldoende wanneer juist die mailbox gehackt kan zijn. Spreek met HR en de helpdesk een identiteitscontrole af. Gebruik informatie die een aanvaller eenvoudig online kan vinden niet als doorslaggevend bewijs.
Leg vast wie de reset goedkeurde, welke methoden zijn verwijderd en waarom. Een reset moet waar nodig een verloren methode verwijderen, en niet simpelweg een nieuwe methode toevoegen terwijl een onbekend apparaat vertrouwd blijft.
Twee herstelpaden, geen gedeelde workaround
Gebruik de ondersteunde procedures van het identiteitsplatform. Deze paden laten zien wie er actie moet ondernemen, het is geen kortere route om authenticatie heen.
Een gebruiker verliest een telefoon
- Meld het verlies via de afgesproken helpdeskroute.
- Verifieer de identiteit voordat u authenticatiemethoden wijzigt.
- Verwijder de verloren methode waar nodig, test de vervanging en log de goedkeuring.
Beheerders verliezen toegang
- Gebruik de vastgelegde procedure voor noodtoegang.
- Houd noodtoegang beveiligd en gemonitord.
- Bevestig dat het normale beheer is hersteld en evalueer het incident achteraf.
Bied praktische alternatieven aan voordat ze nodig zijn
Controleer welke extra authenticatiemethoden uw platform ondersteunt en toestaat. Een beheerde beveiligingssleutel of een tweede goedgekeurde methode kan de afhankelijkheid van één telefoon verkleinen. Compatibiliteit en beveiligingseisen verschillen per toepassing, dus beloof niet dat één methode overal werkt.
Bewaar herstelmateriaal veilig en beperk de toegang tot de juiste personen. Zet herstelcodes nooit in een breed gedeelde map naast het wachtwoord van het account. Neem de vervanging van apparaten en het vertrek van medewerkers op in het controleproces.
Moeten we MFA uitschakelen wanneer iemand niet kan inloggen?
Voorkom dat dit de standaardreactie wordt. Gebruik een goedgekeurd herstelpad dat de gebruiker verifieert en eventuele tijdelijke uitzonderingen beperkt. Als een uitzondering onvermijdelijk is, leg dan de reikwijdte, eigenaar en vervaldatum vast, en bevestig daarna dat de beveiliging is hersteld.
Hoe kunnen we herstel testen zonder iedereen buiten te sluiten?
Gebruik een gecontroleerd testaccount en de ondersteunde procedures van het platform. Controleer of geautoriseerd personeel het herstel kan voltooien en of de gebeurtenis wordt gelogd. Verwijder niet alle actieve authenticatiemethoden als test.
Houd het MFA herstelplan bruikbaar tijdens een incident
ICT Shift verbindt accountherstel met Cybersecurity & Business Continuity en dagelijkse Managed IT Support. Zorg dat een beveiligde kopie van het plan toegankelijk blijft, zelfs wanneer normaal inloggen niet lukt.
Praat met een engineer over accountherstel als uw huidige vangnet bestaat uit het bellen van die ene persoon die elk wachtwoord uit zijn hoofd kent.
