《華爾街日報》呼籲中小企業採用多因素認證

James Rundle

2022-07-05

作者：詹姆斯·蘭德爾2022年7月5日11:40更新 ET|WSJ專業版多因素認證是一種相對簡單的防範黑客手段。圖片來源：凱蒂·戴頓政府官員和網絡安全主管表示，太多中小企業僅依賴用户名和密碼保護系統安全，這使得它們容易遭受本可預防的網絡攻擊。

多因素認證（MFA）通過短信驗證碼、電話或專用應用等多重保護層驗證登錄嘗試，是一種相對簡單的黑客防禦措施。

然而，美國非營利組織"網絡準備研究所"週二發佈的全球約1400家中小企業調查顯示，55%的企業尚未啓用多因素認證。在已部署的企業中，僅28%要求員工使用該功能。

“我們知道近所有賬户入侵攻擊都能通過MFA徹底阻斷。這是經過驗證的有效防範手段，“CRI常務董事卡倫·埃文斯表示。該機構成立於2017年，旨在為中小企業提供網絡安全資源，由曾參與聯邦網絡安全特別工作組的公共和私營部門專家組建。

美國最高網絡安全機構——網絡安全與基礎設施安全局局長珍·伊斯特利指出，推廣困境部分源於行業和政府向私營部門傳達安全概念的方式。她表示，MFA等技術術語常造成理解混亂，模糊了核心信息。

國土安全部下屬機構CISA（網絡安全與基礎設施安全局）推廣多因素認證（MFA）作為防範常見網絡攻擊的簡易解決方案，近期通過其"不止是密碼"宣傳活動大力倡導。

“網絡安全不是技術問題，也不是代碼問題，而是人的問題，“伊斯特利女士表示，“從人類行為學角度看關乎人，同時也關乎人們意識到自己的操作方式藴含着重大風險——而通過一些簡單措施就能降低這種風險。”

黑客通常通過在暗網論壇購買泄露的密碼，或嘗試數百萬字母數字組合的暴力破解來入侵系統。發送至手機或郵箱的登錄授權請求能增加額外安全層，即使攻擊者獲得密碼，這種機制也能阻止大多數初級入侵嘗試。

政府已將MFA確立為最佳實踐。2021年5月的行政令中，拜登總統要求所有聯邦機構和政府承包商在180天內將MFA納入基本網絡安全措施。

CRI調查還顯示，近60%受訪者表示未與員工討論過MFA。曾擔任美國國土安全部首席信息官的埃文斯女士指出，向公眾傳達MFA的價值是網絡安全行業需要加強的工作領域。

網絡安全與基礎設施安全局（CISA）局長珍·伊斯特利。圖片來源：列寧·諾利/Zuma Press保險和投資管理公司Principal Financial Group的首席信息安全官梅格·安德森表示，多因素認證（MFA）面臨的一個障礙是員工或客户的牴觸，他們不願意被迫通過多個步驟登錄系統。對於金融服務等高度監管行業的企業來説，MFA已不再是可選項。