Çok faktörlü kimlik doğrulama (MFA), bir hesaba girişte şifrenin yanında ikinci bir doğrulama adımı daha istenmesidir. Bu ikinci adım; telefondaki bir uygulamaya gelen onay, tek kullanımlık kod ya da fiziksel bir güvenlik anahtarı olabilir. Şifre çalınsa bile saldırgan ikinci faktöre sahip olmadığı için hesaba giremez.
Hangi yöntem ne kadar güvenli?
- SMS ile kod: Hiç olmamasından iyidir ancak SIM kartı kopyalama gibi saldırılara açıktır.
- Doğrulayıcı uygulama (kod): SMS'e göre daha güvenlidir.
- Uygulama bildirimi + numara eşleştirme: Kullanıcıya kolaylık sağlar; numara eşleştirme, "onay yorgunluğu" saldırılarını engeller.
- Güvenlik anahtarı ve parolasız giriş (FIDO2 / passkey): Oltalamaya karşı en dayanıklı yöntemdir; yöneticiler ve kritik hesaplar için önerilir.
Önce hangi hesaplar?
- Yönetici hesapları ve bulut yönetim panelleri,
- E-posta ve iş birliği araçları (Microsoft 365, Google Workspace),
- VPN ve uzaktan erişim,
- Muhasebe, bankacılık ve ERP sistemleri,
- Web sitesi, alan adı ve DNS yönetim panelleri.
Adım adım devreye alma
- Envanter: Hangi sistemlerin MFA desteklediğini ve kimlerin hangi sistemi kullandığını listeleyin.
- Merkezi kimlik: Mümkünse tek oturum açma (SSO) ile uygulamaları tek bir kimlik sistemine bağlayın; MFA'yı tek yerden yönetin.
- Pilot grup: BT ekibi ve birkaç gönüllüyle başlayın, kılavuzu bu deneyime göre hazırlayın.
- Duyuru ve kısa rehber: Kullanıcılara neden ve nasıl yapılacağını ekran görüntülü, tek sayfalık bir rehberle anlatın.
- Kademeli zorunluluk: Önce kayıt süresi tanıyın, ardından MFA'yı zorunlu hâle getirin.
- Kurtarma süreci: Telefonunu kaybeden kullanıcının kimliğinin nasıl doğrulanacağını önceden belirleyin.
Sık yapılan hatalar
- Yalnızca bazı kullanıcılar için açıp eski protokollere (MFA desteklemeyen e-posta bağlantıları) izin vermeye devam etmek.
- Yönetici hesaplarını istisna tutmak.
- Ortak kullanılan hesaplarda MFA'yı devre dışı bırakmak.
ujans; kimlik ve erişim yönetimi kapsamında MFA, tek oturum açma ve koşullu erişim politikalarını kullanıcı deneyimini bozmadan devreye alır.