Een MFA-herstelplan definieert hoe een legitieme gebruiker opnieuw toegang krijgt zonder een aanval een kortere route te bieden. Het moet identiteitscontroles, goedgekeurde herstelmethoden en beheerderstoegang omvatten voordat een telefoon verloren gaat.
Scheid dagelijks herstel van noodbeheer
Een medewerker die een telefoon vervangt en het verlies van de inlogmethode van elke beheerder zijn verschillende incidenten. Documenteer beide. Identificeer voor elke bedrijfsapplicatie wie de authenticatie kan resetten en hoe die persoon inlogt als de gebruikelijke service niet beschikbaar is. Microsofts handleiding voor het plannen van een Microsoft Entra MFA-implementatie behandelt de ondersteunde authenticatiemethoden en uitrol.
Gebruik de ondersteunde richtlijnen voor noodtoegang van het identiteitsplatform. Noodaccounts vereisen zorgvuldige bescherming, monitoring en testen. Ze mogen geen alledaagse accounts worden of een excuus om de authenticatie binnen de organisatie te verzwakken.
Verifieer de persoon voordat u een methode wijzigt
Een verzoek van een bekend e-mailadres is niet voldoende als die mailbox mogelijk gecompromitteerd is. Spreek een identiteitsverificatieprocedure af met HR en de helpdesk. Voorkom dat informatie die een aanvaller gemakkelijk online kan vinden de doorslaggevende factor is.
Leg vast wie de reset heeft goedgekeurd, welke methoden zijn verwijderd en waarom. Een reset moet, indien van toepassing, een verloren methode verwijderen en niet simpelweg een andere methode toevoegen terwijl een onbekend apparaat vertrouwd blijft.
Bied praktische alternatieven aan voordat ze nodig zijn
Controleer welke aanvullende authenticatiemethoden uw platform ondersteunt en toestaat. Een beheerde beveiligingssleutel of een tweede goedgekeurde methode kan de afhankelijkheid van één enkele telefoon verminderen. Compatibiliteits- en beveiligingsvereisten variëren per applicatie, dus beloof niet dat één methode overal werkt.
Bewaar herstelmateriaal veilig, met toegang beperkt tot de juiste personen. Plaats herstelcodes nooit in een breed gedeelde map naast het accountwachtwoord. Neem apparaatvervanging en vertrek van personeel op in het beoordelingsproces.
Moeten we MFA uitschakelen als iemand niet kan inloggen?
Voorkom dat dit de standaardreactie wordt. Gebruik een goedgekeurd herstelpad dat de gebruiker verifieert en eventuele tijdelijke uitzonderingen beperkt. Als een uitzondering onvermijdelijk is, documenteer dan de reikwijdte, eigenaar en vervaldatum, en bevestig vervolgens dat de bescherming is hersteld.
Hoe kunnen we herstel testen zonder iedereen buiten te sluiten?
Gebruik een gecontroleerd testaccount en de ondersteunde procedures van het platform. Controleer of geautoriseerd personeel het herstel kan voltooien en of de gebeurtenis wordt gelogd. Verwijder niet alle productie-authenticatiemethoden als test.
Houd het MFA-herstelplan bruikbaar tijdens een incident
ICT Shift verbindt accountherstel met Cybersecurity & Business Continuity en dagelijkse Managed IT Support. Bewaar een beschermde kopie van het plan die toegankelijk is, zelfs wanneer de normale aanmelding mislukt.
Praat met een engineer over accountherstel als uw huidige fallback is om die ene persoon te bellen die elk wachtwoord kent.
