Dvoufaktorové a vícefaktorové ověření patří mezi nejúčinnější způsoby, jak ochránit online účty před zneužitím. Přidávají totiž další vrstvu zabezpečení nad rámec samotného hesla, které lze uhodnout, prolomit nebo získat při úniku dat. V článku si vysvětlíme, jak oba způsoby ověření fungují, jaký je mezi nimi rozdíl a proč by měly být samozřejmostí při používání e-mailu, internetového bankovnictví i dalších online služeb.
Nejprve je třeba ujasnit rozdíl mezi dvěma pojmy, které se často mylně zaměňují, a to autentizací a autorizací. Přestože se často používají společně, ve skutečnosti označují dvě odlišné fáze zabezpečení přístupu k účtu.
Jako příklad může posloužit firemní informační systém. Zaměstnanec se nejprve přihlásí pomocí svých přihlašovacích údajů a tím proběhne autentizace. Poté systém podle jeho role rozhodne, zda může pouze zobrazovat data, upravovat je nebo spravovat uživatelské účty. To už je autorizace. V následujícím článku se tedy budeme věnovat zejména autentizaci.
Heslo bylo dlouhá léta základním prostředkem pro ověření identity uživatelů. Přestože se požadavky na jeho složitost postupně zpřísňovaly, samotné heslo dnes již nepředstavuje dostatečnou ochranu firemních účtů. Důvod je jednoduchý. Útočníci se stále častěji snaží spíše než hesla prolomit, je získat jinými způsoby (například prostřednictvím phishingu a následné instalace malwaru či spywaru do uživatelova zařízení).
Tento postup je mezi nimi velmi oblíbený – podle pravidelně vydávané studie Verizon Data Breach Investigations Report z roku 2024 se odcizené přihlašovací údaje objevily přibližně u 31 % všech analyzovaných bezpečnostních incidentů za posledních 10 let. To z kompromitace hesel činí jeden z nejčastějších způsobů, kterými začíná kybernetický útok na firemní systémy.
Pokud se totiž k heslu útočník skutečně dostane, většina systémů jej bez dalšího ověřování považuje za legitimního uživatele. V současnosti se k získání hesel používají nejčastěji následující metody.
Phishing je technika sociálního inženýrství, při které se útočník snaží uživatele přimět, aby své přihlašovací údaje zadal na podvržené stránce nebo je poskytl jinou cestou. Nejčastěji se jedná o e-mail nebo SMS (tzv. smishing), ale může mít také podobu např. telefonního hovoru (vishing). Po kliknutí na podvržený odkaz se uživatel dostane na věrnou kopii přihlašovací stránky, kde nevědomky odevzdá své přihlašovací údaje přímo útočníkovi. Při absenci dalšího faktoru ověření identity už pak útočníkovi v přístupu do účtu nic nebrání.
Credential stuffing využívá skutečnosti, že mnoho lidí používá stejné heslo pro více různých služeb. Pokud dojde k úniku přihlašovacích údajů z jedné služby, útočníci je pak mohou automatizovaně zkoušet také u dalších systémů, například u firemního e-mailu, VPN nebo cloudových aplikací. Stačí, aby zaměstnanec použil stejné heslo na soukromém e-shopu i ve firemním účtu, a kompromitace jedné služby může ohrozit i firemní prostředí či vyústit v průmyslovou špionáž. V případě použití druhého ověřovacího faktoru se toto riziko výrazně minimalizuje.
Brute force představuje automatizovaný útok, při kterém se útočník snaží s pomocí počítače uhodnout heslo postupným zkoušením velkého množství kombinací. Moderní systémy sice obvykle omezují počet neúspěšných pokusů o přihlášení nebo dočasně blokují účet, přesto se s těmito útoky stále můžete setkat. Riziko výrazně roste také v případě slabých nebo často používaných hesel.
K únikům databází dochází při napadení internetových služeb, e-shopů nebo jiných systémů, které uchovávají uživatelské účty. Pokud útočníci získají databázi s přihlašovacími údaji, mohou je následně využít při dalších útocích. I když jsou hesla správně uložena v zašifrované podobě, slabá hesla lze často prolomit během relativně krátké doby. Pokud navíc uživatel stejné heslo používá i jinde, dopady úniku se mohou rychle rozšířit i na další účty.
Nyní už víme, že heslo samo o sobě nepředstavuje dostatečnou ochranu uživatelských účtů. Aktuálně nejlepším řešením je proto přidání další vrstvy zabezpečení v podobě 1 nebo více dalších autentizačních faktorů.
Tento bezpečnostní mechanismus, někdy označovaný též jako dvoufázové ověření či dvoufaktorová autentizace (anglicky 2FA authentication), je způsob ověření identity, při kterém musí uživatel při přihlášení prokázat svou totožnost pomocí 2 různých typů autentizačních faktorů. Nestačí tedy pouze znát správné heslo. Kromě něj je potřeba například zadat jednorázový kód z mobilní aplikace nebo potvrdit přihlášení na důvěryhodném zařízení.
Vícefaktorová autentizace (MFA – multi factor authentication) funguje na stejném principu. Rozdíl spočívá v tom, že namísto 2 faktorů využívá 2 nebo více různých typů autentizačních faktorů. V praxi se proto pojem MFA často používá jako zastřešující označení pro všechny způsoby přihlašování, které kombinují více než jeden autentizační faktor (tedy včetně dvoufaktorového ověření).
Je ale důležité si uvědomit, že nejde o počet ověřovacích metod, ale o počet různých typů autentizačních faktorů. Pokud se například přihlásíte pomocí hesla a následně zadáte jednorázový kód zaslaný e-mailem, stále používáte pouze jeden typ faktoru. Skutečné dvoufaktorové ověření vzniká až tehdy, když zkombinujete 2 odlišné typy faktorů, například heslo a mobilní telefon nebo bezpečnostní klíč.
Autentizační faktory můžeme rozdělit do 3 základních kategorií.
Jak už jsme si řekli, dvoufaktorové a vícefaktorové ověření významně zvyšují bezpečnost uživatelských účtů. Neznamená to však, že jsou všechny metody MFA stejně bezpečné nebo že dokáží zastavit každý typ útoku.
V zásadě účinně omezují hlavně rizika spojená s útoky popsanými výše, a to zejména phishingem, credential stuffingem, brute force útoky a úniky databází. Existují ale i takové typy útoků, které umí vícefaktorové ověření účinně obejít. Mezi ty nejnebezpečnější patří například následující.
Útok typu MFA fatigue se snaží zneužít push notifikace. Útočník, který již zná uživatelovo heslo, opakovaně vyvolává žádosti o schválení přihlášení. Pokud uživatel notifikaci bezmyšlenkovitě potvrdí nebo podlehne dojmu, že jde o technickou chybu, útočník získá přístup k účtu. Tento typ útoku proto ukazuje, že ani vícefaktorové ověření nemůže nahradit přirozenou obezřetnost uživatele.
Při útoku typu SIM swap útočník přiměje mobilního operátora k převodu telefonního čísla na novou SIM kartu, kterou má pod svou kontrolou. Pokud organizace používá SMS jako druhý ověřovací faktor, začne jednorázové kódy přijímat útočník místo oprávněného uživatele. Právě proto jsou SMS kódy dnes považovány za méně bezpečnou metodu ověření než autentizační aplikace nebo bezpečnostní klíče.
Tato technika spočívá v tom, že útočník vytvoří prostředníka mezi uživatelem a skutečnou přihlašovací službou. Uživatel zadává své údaje i ověřovací kód na podvržené stránce, která je v reálném čase předává skutečné službě. Některé starší metody MFA, například jednorázové kódy, tak mohou být za určitých okolností obejity. Výrazně vyšší odolnost proti těmto útokům poskytují moderní standardy, jako jsou bezpečnostní klíče FIDO2 nebo passkeys.
Ani nejlepší technické zabezpečení nepomůže, pokud útočník přesvědčí pracovníka IT podpory nebo helpdesku, aby mu přístup obnovil nebo resetoval ověřovací metody. Útočníci často využívají naléhavé situace, vydávají se za zaměstnance nebo vedení společnosti a snaží se obejít zavedené bezpečnostní postupy. Proto by součástí ochrany měla být nejen vícefaktorová autentizace, ale také jasně nastavené procesy ověřování identity při komunikaci s IT podporou.
Dává smysl mít nastavené pravidelné zálohování důležitých dat pro případ kybernetického útoku a rizika zašifrování dat.
Vícefaktorové ověření můžete v praxi implementovat několika různými způsoby. Jednotlivé metody se liší úrovní zabezpečení, uživatelským komfortem i náklady na zavedení. Neexistuje proto univerzálně nejlepší řešení. Vhodná metoda vždy závisí na konkrétním způsobu použití a úrovni požadovaného zabezpečení.
Jednou z nejstarších, ale stále velmi rozšířených metod, je zasílání jednorázových ověřovacích kódů prostřednictvím SMS. Po zadání správného hesla systém odešle na registrované telefonní číslo krátký číselný kód, který uživatel zadá při dokončení přihlášení.
Výhodou této metody je jednoduché nasazení a skutečnost, že nevyžaduje instalaci žádné další aplikace. Na druhou stranu je dnes považována za jednu z méně bezpečných forem vícefaktorového ověření. Je zranitelná například vůči útokům typu SIM swap a závisí na dostupnosti mobilní sítě. V současnosti se proto doporučuje spíše jako minimální úroveň ochrany než jako dlouhodobé řešení.
Time-based One Time Password (neboli TOTP) jsou autentizační aplikace jako Google Authenticator, Microsoft Authenticator nebo Authy, které generují jednorázové časově omezené kódy přímo v mobilním zařízení. Tyto kódy se mění zpravidla každých 30 sekund a fungují i bez připojení k internetu.
Ve srovnání se SMS představují výrazně bezpečnější přístup. Nevýhodou ale může být nutnost zálohování nebo přenosu účtů při výměně telefonu. Přesto dnes patří mezi nejčastěji doporučované metody vícefaktorového ověřování.
Při použití této metody namísto opisování číselného kódu uživatel pouze potvrdí přihlášení v mobilní aplikaci stisknutím tlačítka. Některé systémy navíc zobrazují informace o místě nebo zařízení, ze kterého se někdo pokouší přihlásit. Výhodou je vysoký uživatelský komfort a rychlost přihlášení, nevýhodou zase riziko útoků typu MFA fatigue.
Hardwarové bezpečnostní klíče (například YubiKey nebo Google Titan Security Key) představují jednu z nejbezpečnějších forem vícefaktorového ověřování. Uživatel při přihlášení připojí klíč přes USB, NFC nebo Bluetooth a jeho přítomnost potvrdí stisknutím tlačítka nebo dotykem.
Klíče využívají standard FIDO2 nebo WebAuthn a jsou navrženy tak, aby odolaly phishingovým i man-in-the-middle útokům. Proto jsou doporučovány zejména pro administrátorské účty, přístup ke kritickým systémům nebo organizace s vysokými bezpečnostními nároky.
Biometrická identifikace využívá jedinečné fyzické vlastnosti uživatele, například otisk prstu nebo rozpoznání obličeje. Nejčastěji se používá pro odemykání mobilních telefonů nebo počítačů, stále častěji ale také při přihlašování do firemních systémů.
Hlavní výhodou této metody je rychlost a pohodlí. Samotná biometrie však obvykle nepředstavuje samostatný bezpečnostní systém. Ve většině případů pouze odemyká kryptografický klíč bezpečně uložený v zařízení. Právě tato kombinace dnes tvoří základ moderních technologií, jako jsou passkeys.
Přestože SMS kódy i autentizační aplikace slouží ke stejnému účelu, a to k ověření identity při přihlašování, jejich fungování se zásadně liší. A právě tento rozdíl má významný vliv na výslednou úroveň zabezpečení.
Při prvním nastavení vícefaktorového ověření si služba a autentizační aplikace bezpečně vymění tajný kryptografický klíč. Nejčastěji k tomu dochází naskenováním QR kódu, který se zobrazí při aktivaci vícefaktorového ověření.
Od této chvíle mají služba i aplikace uložen stejný tajný klíč. Na jeho základě pak nezávisle na sobě generují jednorázové ověřovací kódy, které se automaticky mění zpravidla každých 30 sekund. Protože obě strany používají stejný algoritmus i aktuální čas, vždy vytvoří shodný kód. Server tak může jednoduše ověřit, že zadaný kód byl skutečně vygenerován oprávněnou aplikací.
Výhodou tohoto principu je, že se ověřovací kódy nikam neposílají. Vznikají přímo v zařízení uživatele, a proto autentizační aplikace fungují i bez mobilního signálu nebo připojení k internetu.
Na rozdíl od autentizačních aplikací jsou SMS kódy doručovány prostřednictvím mobilní sítě. Ta však nikdy nebyla navržena jako bezpečnostní mechanismus pro ověřování identity, ale jako prostředek pro přenos textových zpráv. Právě proto mohou být SMS zprávy za určitých okolností zachyceny nebo zneužity, například při útoku typu SIM swap, kdy útočník získá kontrolu nad telefonním číslem oběti.
Z tohoto důvodu dnes bezpečnostní standardy i většina odborníků doporučují používat SMS kódy pouze v případech, kdy není k dispozici bezpečnější alternativa.
Autentizační aplikace představují pro většinu firem velmi dobrý kompromis mezi bezpečností, cenou i jednoduchostí používání. Existují ale situace, kdy ani tato úroveň ochrany nemusí být dostatečná. Typicky jde o účty správců IT, administrátorů cloudových služeb, vedení společnosti nebo zaměstnanců, kteří mají přístup k citlivým firemním datům.
Právě pro tyto případy jsou určeny hardwarové bezpečnostní klíče, například YubiKey nebo Google Titan Security Key.
Na rozdíl od jednorázových ověřovacích kódů hardwarový klíč žádný kód negeneruje, ani jej uživatel nikam neopisuje. Při registraci si vytvoří jedinečný kryptografický pár klíčů, přičemž soukromý klíč zůstává bezpečně uložen uvnitř zařízení, zatímco veřejný klíč se uloží u přihlašovací služby.
Při každém přihlášení pak server odešle bezpečnostnímu klíči kryptografickou výzvu, kterou klíč podepíše svým soukromým klíčem. Server následně pomocí uloženého veřejného klíče ověří, že odpověď skutečně pochází z registrovaného zařízení. Soukromý klíč přitom zařízení nikdy neopustí a není možné jej zkopírovat ani odeslat útočníkovi. Díky tomu odpadá většina rizik spojených s jednorázovými kódy a jejich opisováním.
Hardwarové bezpečnostní klíče nejsou určeny pouze velkým podnikům. Největší přínos mají všude tam, kde by kompromitace účtu mohla mít závažné následky. Typicky se vyplatí pro:
Naopak pro běžné uživatelské účty představují ve většině případů dostatečně bezpečné řešení autentizační aplikace. Mnoho firem proto volí kombinovaný přístup, kdy administrátorské a privilegované účty chrání hardwarovými bezpečnostními klíči, zatímco ostatní zaměstnanci používají autentizační aplikace či jinou formu vícefaktorového ověření.
Přestože vícefaktorové ověření výrazně zvyšuje bezpečnost uživatelských účtů, stále vychází z předpokladu, že uživatel používá heslo. V posledních letech se proto stále více prosazuje nový přístup označovaný jako passwordless authentication, jehož cílem je hesla zcela nahradit.
Nejznámějším příkladem jsou právě passkeys (přístupové klíče), které dnes podporují například Microsoft, Google, Apple i řada dalších online služeb.
Passkey je kryptografický přihlašovací údaj uložený v zařízení uživatele, například v mobilním telefonu nebo počítači. Při jeho vytvoření vznikne dvojice kryptografických klíčů, a to soukromý a veřejný. Veřejný klíč se uloží u online služby, zatímco soukromý klíč zůstává bezpečně uložen pouze v zařízení uživatele.
Při přihlášení server odešle zařízení kryptografickou výzvu, to ji podepíše soukromým klíčem a server pak pomocí veřejného klíče ověří správnost odpovědi. Uživatel přitom přihlášení pouze potvrdí biometricky nebo zadáním PINu zařízení. Na rozdíl od klasického přihlašování se tedy nikam nezadává heslo ani jednorázový ověřovací kód.
Technologie passkeys jsou postaveny na otevřených standardech FIDO2 a WebAuthn, které společně definují bezpečný způsob ověřování identity bez použití hesel.
FIDO2 představuje soubor technologií umožňujících bezpečné ověřování pomocí kryptografických klíčů, zatímco WebAuthn je webový standard, díky kterému mohou internetové prohlížeče a online služby s těmito klíči komunikovat. Právě jejich kombinace umožňuje, aby stejný způsob přihlášení fungoval napříč různými zařízeními, operačními systémy i webovými aplikacemi.
Hlavní výhodou passkeys je, že odstraňují nejslabší článek tradiční autentizace, heslo. Uživatel si nemusí pamatovat složitá hesla ani přepisovat jednorázové kódy. Zároveň není možné přihlašovací údaj odcizit prostřednictvím běžného phishingu, protože soukromý kryptografický klíč zařízení nikdy neopouští.
Passkeys tak spojují vysokou úroveň zabezpečení s velmi jednoduchým používáním. Právě proto je dnes podporují největší technologické společnosti a stále více organizací je zavádí jako preferovaný způsob přihlašování.
Zatímco klasické přihlášení vyžaduje zadání hesla a následně druhého ověřovacího faktoru, passkeys oba kroky nahrazují jediným kryptografickým ověřením provedeným přímo v zařízení uživatele.
Nejde tedy o další variantu vícefaktorového ověření, ale o zcela odlišný způsob autentizace. Ve většině scénářů poskytují passkeys vyšší úroveň zabezpečení než kombinace hesla a jednorázového ověřovacího kódu a současně výrazně zjednodušují samotné přihlašování.
Ve firemním prostředí zaměstnanci běžně používají desítky různých aplikací, typicky např. e-mail, kancelářský balík, účetní systém, cloudové úložiště či interní informační systémy. Pokud by se do každé z nich měli přihlašovat samostatně, museli by si pamatovat velké množství hesel a každé přihlášení by navíc představovalo další potenciální bezpečnostní riziko. Právě tento problém řeší Single Sign-On (SSO), tedy jednotné přihlašování.
Princip SSO spočívá v tom, že se uživatel ověří pouze jednou prostřednictvím centrálního poskytovatele identity. Po úspěšném přihlášení pak může bez opakovaného zadávání přihlašovacích údajů přistupovat ke všem aplikacím a službám, které jsou do tohoto systému zapojeny.
Místo správy desítek samostatných účtů tak organizace spravuje jednu centrální identitu uživatele a jednotlivé aplikace důvěřují rozhodnutí centrální autority o tom, že byl uživatel úspěšně ověřen.
SSO a vícefaktorové ověření se vzájemně doplňují. SSO samo o sobě totiž nezvyšuje bezpečnost, ale pouze mění způsob přihlašování. Jeho skutečný přínos přichází až ve chvíli, kdy je toto centrální přihlášení chráněno vícefaktorovým ověřením.
Uživatel tak například při začátku pracovního dne zadá své přihlašovací údaje a potvrdí přihlášení druhým ověřovacím faktorem. Poté může bezpečně pracovat s ostatními firemními aplikacemi, aniž by se musel znovu přihlašovat nebo opakovaně potvrzovat svou identitu.
Zavedení jednotného přihlašování přináší výhody jak z pohledu bezpečnosti, tak každodenní správy IT. Mezi ty nejvýznamnější patří následující.
Biometrické ověřování je dnes běžnou součástí mobilních telefonů, notebooků i moderních podnikových zařízení. Mnoho uživatelů proto získává dojem, že právě biometrie představuje nejvyšší možnou úroveň zabezpečení. Ve skutečnosti je její role poněkud odlišná.
Ve většině moderních systémů biometrie sama o sobě neověřuje identitu vůči online službě. Jejím hlavním úkolem je ověřit, že zařízení skutečně používá jeho oprávněný vlastník. Teprve následně zařízení využije bezpečně uložený kryptografický klíč pro samotné přihlášení. Tento princip dnes využívají například passkeys nebo hardwarové bezpečnostní moduly integrované v chytrých telefonech a počítačích.
Největší předností biometrického ověřování je kombinace vysokého uživatelského komfortu a rychlosti. Uživatel si nemusí pamatovat další hesla ani opisovat jednorázové kódy. Ověření identity proběhne během několika sekund pouhým přiložením prstu nebo pohledem do kamery. Zároveň se tak odstraňuje riziko, že uživatel své přihlašovací údaje někomu prozradí nebo použije stejné heslo u více služeb.
Na rozdíl od hesla nelze biometrické údaje jednoduše změnit. Pokud by došlo ke kompromitaci biometrické šablony, není možné si nastavit nový otisk prstu nebo změnit podobu obličeje. Moderní zařízení proto biometrická data zpravidla neukládají na vzdálené servery, ale pouze do chráněného úložiště přímo v zařízení.
Dalším tématem posledních let jsou pak technologie založené na umělé inteligenci, zejména deepfake. Moderní systémy dnes dokáží věrohodně napodobit lidský hlas nebo vytvořit realistický obraz obličeje. Kvalitní biometrické systémy sice využívají pokročilé mechanismy pro ověření živé osoby, přesto je tento typ útoků jedním z důvodů, proč by biometrie neměla představovat jedinou vrstvu zabezpečení.
Biometrické ověřování je nejvhodnější jako pohodlný způsob odemknutí zařízení nebo potvrzení přihlášení, nikoliv jako samostatná náhrada všech ostatních bezpečnostních mechanismů. Nejvyšší úroveň zabezpečení přináší v kombinaci s kryptografickými technologiemi, jako jsou passkeys nebo hardwarové bezpečnostní klíče. Uživatel tak získá rychlé a komfortní přihlášení, aniž by musel slevit z bezpečnosti.
Vícefaktorové ověřování dnes není pouze doporučeným bezpečnostním opatřením. V řadě odvětví se stalo standardem, jehož zavedení vyžadují právní předpisy nebo regulatorní požadavky. V ČR se s nimi mohou firmy setkat zejména v souvislosti s novým zákonem o kybernetické bezpečnosti, evropskou směrnicí NIS2 nebo pravidly pro finanční sektor.
Evropská směrnice NIS2 byla do českého právního řádu transponována novým zákonem o kybernetické bezpečnosti, který je účinný od 1. listopadu 2025. Zákon rozšiřuje okruh regulovaných organizací a zavádí požadavek na řízení kybernetických rizik prostřednictvím technických i organizačních bezpečnostních opatření.
Přestože zákon nestanovuje, že každá organizace musí povinně používat vícefaktorové ověřování pro všechny uživatelské účty, právě MFA představuje jedno z nejúčinnějších opatření pro ochranu identit a přístupů. U organizací, na které se zákon vztahuje, je proto jeho nasazení pro privilegované účty, vzdálený přístup nebo přístup ke kritickým systémům v praxi považováno za očekávanou součást bezpečnostních opatření vycházejících z řízení rizik.
Národní úřad pro kybernetickou a informační bezpečnost dlouhodobě doporučuje chránit důležité uživatelské účty vícefaktorovým ověřováním. Zvláštní důraz je kladen zejména na administrátorské účty, vzdálený přístup, cloudové služby a systémy obsahující citlivá data. Cílem je minimalizovat riziko zneužití odcizených přihlašovacích údajů, které patří mezi nejčastější příčiny bezpečnostních incidentů.
V oblasti platebních služeb je vícefaktorové ověřování zakotveno již několik let prostřednictvím evropské směrnice PSD2. Ta zavedla požadavek na tzv. silné ověření klienta, které při elektronických platbách kombinuje alespoň 2 nezávislé autentizační faktory z kategorií znalost, vlastnictví nebo biometrie.
Právě díky těmto pravidlům je dnes běžné, že internetové bankovnictví nebo potvrzení plateb vyžaduje kromě hesla také potvrzení v mobilní aplikaci, biometrické ověření nebo jiný druhý faktor.
I organizace, na které se nový zákon o kybernetické bezpečnosti přímo nevztahuje, dnes čelí stále rostoucím bezpečnostním rizikům. Současně většina významných poskytovatelů cloudových služeb (například Microsoft, Google nebo další dodavatelé podnikových aplikací) považuje vícefaktorové ověřování za doporučený standard a některé služby jej již pro vybrané typy účtů vyžadují.
Z pohledu firem proto dnes nejde jen o otázku legislativy, ale také o splnění bezpečnostních standardů, požadavků obchodních partnerů, kybernetického pojištění nebo interních pravidel řízení rizik. V roce 2026 je tak vícefaktorové ověřování pro většinu organizací fakticky povinnou součástí moderního zabezpečení firemních účtů.
Samotná aktivace vícefaktorového ověřování u jednoho účtu je obvykle otázkou několika minut. Úspěšné zavedení napříč celou firmou ale vyžaduje promyšlený postup. Pokud zaměstnanci nebudou vědět, proč se změna zavádí nebo jak nové přihlašování funguje, mohou ji vnímat jako zbytečnou komplikaci. Správně naplánovaná implementace proto výrazně zvyšuje šanci, že bude nové řešení zavedeno bez větších problémů. Jak na to v praxi?
Pravidelná kontrola nastavení pomáhá udržet úroveň zabezpečení i ve chvíli, kdy se mění používané technologie nebo personální obsazení firmy.
MFA by vždy mělo být součástí širší strategie celkového zabezpečení firemní infrastruktury, včetně důkladného zabezpečení Wi-Fi sítě, všech firemních počítačů i tiskáren (včetně zabezpečení jejich firmware).
Vícefaktorové ověřování představuje pouze jednu část moderní správy identit. Aby firma měla přehled o tom, kdo má přístup k jednotlivým systémům a jaká oprávnění může využívat, používají se specializované systémy pro správu identit a přístupových oprávnění. Nejčastěji se setkáte se zkratkami IAM (Identity and Acces Management) a PAM (Privileged Access Management).
IAM je soubor procesů a technologií, které umožňují centrálně spravovat identity uživatelů a jejich oprávnění. Organizace díky němu rozhoduje, kdo může přistupovat ke konkrétním aplikacím, jaká oprávnění má po přihlášení k dispozici a jakým způsobem bude svou identitu ověřovat.
Součástí moderních IAM řešení bývá také jednotné přihlašování SSO, vícefaktorové ověřování, správa životního cyklu uživatelských účtů nebo automatické odebírání přístupů při změně pracovní pozice či odchodu zaměstnance. Jinými slovy, zatímco vícefaktorové ověřování řeší bezpečné přihlášení uživatele, IAM zajišťuje správu celé jeho digitální identity.
PAM je specializovaná oblast zaměřená na ochranu privilegovaných účtů. Jde o účty, které mají výrazně vyšší oprávnění než běžní uživatelé a jejich kompromitace může mít závažné dopady na bezpečnost celé organizace. Typicky se jedná o administrátorské účty, účty správců serverů, databází, síťových zařízení nebo cloudových platforem.
PAM systémy umožňují například bezpečně ukládat administrátorská hesla, poskytovat privilegovaný přístup pouze na nezbytně dlouhou dobu, zaznamenávat administrátorské relace nebo automaticky měnit hesla po jejich použití.
Vícefaktorové ověřování je jedním ze základních bezpečnostních mechanismů, které IAM i PAM běžně využívají. Zatímco u běžných uživatelských účtů představuje důležitou ochranu před zneužitím odcizených přihlašovacích údajů, u privilegovaných účtů by mělo být považováno za samozřejmost.
Útočníci se totiž často nesnaží kompromitovat desítky běžných účtů. Mnohem větší hodnotu pro ně představuje jediný administrátorský účet, který jim může otevřít přístup k celé firemní infrastruktuře.
Právě proto organizace obvykle chrání privilegované účty přísnějšími pravidly než běžné uživatele. Vedle povinného vícefaktorového ověřování často využívají také hardwarové bezpečnostní klíče, princip minimálních oprávnění, časově omezené administrátorské přístupy nebo průběžné monitorování všech privilegovaných operací.
Vícefaktorové ověřování tak nepředstavuje samostatné řešení, ale jednu z klíčových součástí moderní správy identit a přístupových oprávnění.
Vícefaktorové ověřování sice chrání přístup k citlivým účtům, samo o sobě ale nechrání data uložená v souborech nebo na přenosných médiích. Pokud pracujete s citlivými dokumenty, vyplatí se tyto soubory zabezpečit samostatným heslem. Stejným způsobem pak můžete zaheslovat i celé složky nebo externí disky obsahující důvěrná firemní data.
Tzv. koncept nulové důvěry vychází z jednoduchého principu, že žádnému uživateli ani zařízení není důvěřováno automaticky. Každý požadavek na přístup tak musí být ověřen. A právě z toho důvodu se vícefaktorové ověřování stalo jedním ze základních pilířů tohoto přístupu.
MFA ale není jediným prvkem konceptu Zero Trust. Společně se správou identit IAM, ochranou privilegovaných účtů PAM, firewallem, segmentací sítě, principem minimálních oprávnění a průběžným vyhodnocováním rizik tvoří základ moderního zabezpečení firemních systémů.
Vícefaktorové ověřování dnes představuje jeden ze základních pilířů moderního zabezpečení firemních účtů. Kombinace více autentizačních faktorů výrazně snižuje riziko zneužití odcizených přihlašovacích údajů. Správně nastavené MFA ale není samostatným a jediným řešením. Největší hodnotu přináší jako součást širší strategie ochrany identit, společně s IAM, PAM, principy Zero Trust a dalšími bezpečnostními opatřeními.
Dvoufaktorové a vícefaktorové ověření patří mezi nejúčinnější způsoby, jak ochránit online účty před zneužitím. Přidávají totiž další vrstvu zabezpečení nad rámec samotného hesla, které lze uhodnout, prolomit nebo získat při úniku dat. Číst celý článek
Kybernetické útoky jsou stále častější, sofistikovanější a jejich dopady čím dál fatálnější. V článku se podíváme na to, co je kybernetický útok, jak obvykle probíhá, jaké techniky útočníci nejčastěji využívají a proč se jejich terčem stávají i české organizace. Číst celý článek
Pracovní tablet dokáže výrazně zvýšit produktivitu, ale jen pokud zvolíte správný model. V tomto článku vám poradíme, jak se zorientovat v nabídce a vybrat tablet, který bude spolehlivým pracovním nástrojem dnes i v následujících letech. Číst celý článek
Gymnázium se rozhodlo podívat na tisk jinak. Místo pořizovací ceny zařízení se zaměřilo na celkové náklady provozu, bezpečnost dokumentů a jednoduchost správy. Číst celý článek
Sestavení vlastního počítače vám dává možnost přizpůsobit výkon, výbavu i rozpočet přesně vašim potřebám. Přestože může montáž jednotlivých komponent na první pohled působit složitě, při dodržení správného postupu ji zvládne i začátečník. Číst celý článek
Fotografie, dokumenty, hesla i firemní komunikace dnes ukládáme do počítačů, telefonů a cloudových služeb. Jak ale zajistit, aby se k citlivým datům nedostal nikdo nepovolaný, ani když zařízení ztratíte nebo dojde k úniku dat? Řešením je šifrování. Číst celý článek
