Tvåfaktorsinloggning för företagets webbverktyg

De flesta intrång i mindre företags webbverktyg börjar med ett enda kapat lösenord, inte med en avancerad teknisk attack. Tvåfaktorsinloggning gör att ett stulet eller gissat lösenord inte längre räcker för att komma in, eftersom inloggningen även kräver en kod från en app, en säkerhetsnyckel eller i vissa fall ett sms. IMY skriver att autentiseringen ska anpassas efter risken och skydda åtkomsten till personuppgifter och system, och att stark autentisering tillsammans med säkra återställningsrutiner minskar risken för att ett kapat lösenord ger full åtkomst. Den här sidan går igenom var tvåfaktor ska aktiveras först, vad som ska dokumenteras och hur teamet undviker att låsa sig ute.

Vad tvåfaktorsinloggning faktiskt skyddar

Tvåfaktor skyddar mot precis den situationen där ett lösenord av någon anledning hamnat i fel händer, till exempel genom ett nätfiskemejl, ett återanvänt lösenord från en annan tjänst eller ett dataintrång hos en tredje part. Utan en andra bekräftelse ger det läckta lösenordet direkt åtkomst. Med tvåfaktor stoppas inloggningen tills även den andra faktorn bekräftats, vilket ger tid att upptäcka och byta det läckta lösenordet innan skada uppstår. NCSC lyfter fram stark autentisering och aktiv förvaltning av behörigheter som en av de rekommenderade säkerhetsåtgärderna, och betonar särskilt att höga behörigheter bör begränsas, skyddas extra och bara användas när det verkligen behövs. Där tjänsten stödjer det är säkerhetsnycklar och passkeys ofta ett säkrare alternativ än sms, eftersom CISA lyfter fram den typen av phishing-resistent tvåfaktor som mer motståndskraftig mot nätfiske och sim-swap-bedrägerier.

Snabb checklista: var ska tvåfaktor aktiveras först

Börja där konsekvensen av ett kapat konto är störst och arbeta neråt. En rimlig ordning för en vecka är:

1. E-postkontot (huvudkonto och alias) – det är oftast vägen in för att återställa lösenord till alla andra tjänster.
2. Adminpanelen för webbplatsen, till exempel CMS- eller e-handelsinloggningen, eftersom den ger direkt kontroll över innehåll och kunddata.
3. Domänkontot hos registraren eller DNS-leverantören, som styr vart webbplats och e-post pekar (läs mer om att sätta upp e-post på egen domän på cronaweb.com).
4. Lösenordshanteraren där teamet delar inloggningar till övriga verktyg.
5. Hosting- eller serverkontrollpanelen, om den hanteras separat från CMS:et.

Utse en ansvarig för genomgången, sätt en tidsgräns på en till två veckor för hela listan, och dokumentera vilka konton som är klara i takt med att de aktiveras.

Risk, åtgärd och kontrollbevis

Risk	Åtgärd	Kontrollbevis	Källa
Kapat lösenord ger full åtkomst till adminpanelen	Aktivera tvåfaktor på samtliga konton med administratörsbehörighet, inte bara på huvudkontot	Skärmdump eller logg från säkerhetsinställningarna, daterad	NCSC
E-postkontot är nyckeln till återställning av andra tjänster	Aktivera tvåfaktor på e-post före övriga tjänster, med app eller säkerhetsnyckel snarare än enbart sms	Bekräftelse i e-postleverantörens säkerhetsinställningar	IMY
Domänkontot kapas och webbplats eller e-post omdirigeras	Aktivera tvåfaktor hos domänleverantören och lås domänen om leverantören erbjuder det	Notering i domänpanelen samt dokumenterad lista över vem som har åtkomst	NCSC
Delade generiska adminkonton gör det omöjligt att se vem som gjort en ändring	Ge varje person ett eget konto med egen tvåfaktor, avveckla delade konton	Aktuell användarlista, uppdaterad vid personalbyte	IMY
Ingen kan logga in om enda enheten med tvåfaktor tappas bort	Spara backup-koder säkert och testa återställningsflödet innan det behövs	Dokumenterat återställningstest med datum	NCSC

Rutin för små team: roller, undantag och när ni bör be om hjälp

I ett litet team räcker det sällan med en enda person som vet hur allt hänger ihop. Utse en huvudansvarig för inloggningar och en reservadministratör som känner till samma rutin och vet var backup-koderna finns, så att företaget inte står utan åtkomst om huvudansvarig är otillgänglig eller slutar. IMY pekar särskilt på att delade adminkonton gör det svårare att veta vem som gjort vad, vilket i sin tur försvårar en incidentutredning om något ändå går snett. Ge därför hellre varje medarbetare ett eget konto med egen tvåfaktor än att dela på ett gemensamt.

När inloggningar och lösenord ändå behöver delas mellan flera i teamet, till exempel till en gemensam adminpanel eller ett CMS-konto som inte stödjer flera användare, är det här en lösenordshanterare med stöd för säker delning gör nytta. Vill ni jämföra fler alternativ innan ni väljer verktyg finns en bredare guide till lösenordshantering för företag på systersajten cronaweb.com. NordPass är ett exempel på ett verktyg som riktar sig till team och som har inbyggt stöd för både lösenordshälsa, dataintrångsskanning och passkeys, vilket gör att tvåfaktor och delade inloggningar kan hanteras på samma ställe snarare än i ett separat dokument. Om teamet redan har vuxit ur en enkel lösning, eller om ni är osäkra på hur en specifik tjänst hanterar tvåfaktor och återställning, är det värt att kontakta leverantörens support direkt i stället för att gissa er fram – särskilt för konton som styr domän, e-post eller betalningar.

Vanliga frågor

Annonslänkar: Cronaweb kan få provision om du går vidare via länkarna på sidan.