Usługi chmurowe

Czym jest chmura

Definicja chmury

Chmura to zbiorcze określenie usług zdalnego dostępu dostępnych w Internecie.

Usługi, z których korzystasz, oraz informacje, które przechowujesz w chmurze, nie znajdują się na twoim osobistym urządzeniu (na przykład na dysku twardym w laptopie, telefonie lub na dyskach zewnętrznych), lecz na komputerach należących do innego podmiotu i zlokalizowanych w innej fizycznej lokalizacji.

Komputery wykorzystywane do świadczenia usług w chmurze są zazwyczaj umieszczone w dużych centrach przetwarzania danych i mogą znajdować się w dowolnym miejscu na świecie.

Lokalizacja danych i aspekty prawne

Większość komputerów wykorzystywanych do świadczenia usług w chmurze należy do prywatnych organizacji, które przechowują ogromne ilości danych i udostępniają je użytkownikom przez Internet.

Lokalizacja komputerów znajdujących się „w chmurze” ma duże znaczenie prawne, ponieważ wiąże się z lokalizacją danych.

W przypadku danych osobowych przedsiębiorca może naruszać prawo, jeśli przechowuje dane poza Polską lub poza Unią Europejską. Istotne jest także posiadanie informacji o przedsiębiorstwie, które świadczy usługę w chmurze i zarządza systemami komputerowymi, na których przechowywane są twoje dane.

Wiele centrów danych jest aktualizowanych i odpowiednio zabezpieczonych, ale część z nich nie jest właściwie utrzymywana i może narażać twoje dane na ryzyko.

Usługi w chmurze w organizacji

Usługi w chmurze jako usługi zewnętrzne

Usługi w chmurze to zewnętrznie zarządzane usługi dostępne dla użytkowników pracujących zdalnie. Są one zazwyczaj rozliczane w modelu subskrypcyjnym, rzadziej w formie pojedynczej płatności. Wiele organizacji korzysta z usług w chmurze, aby elastycznie i wspólnie korzystać z zasobów bez konieczności ponoszenia dużych nakładów na szybko zmieniającą się technologię.

W czasie pandemii wiele organizacji mogło dostosować się i kontynuować działalność, udostępniając pracownikom informacje firmowe z dowolnego miejsca i świadcząc usługi online – bardzo często właśnie dzięki usługom w chmurze.

Zrewolucjonizowało to model pracy, ale jednocześnie wywołało poważne obawy dotyczące bezpieczeństwa. Jeśli pracownicy mogą uzyskać dostęp do informacji organizacji z dowolnego miejsca, mogą to zrobić także przestępcy. Dlatego usługi w chmurze muszą być prawidłowo skonfigurowane i posiadać odpowiednie zabezpieczenia.

Modele usług chmurowych IaaS, PaaS i SaaS

Model „as a service”

Oprogramowanie biurowe i aplikacje internetowe to powszechnie stosowane usługi chmurowe, określane jako oprogramowanie jako usługa (Software as a Service – SaaS). Przykładem jest Office 365, który umożliwia zalogowanie się na konto Microsoft na dowolnym urządzeniu i uzyskanie dostępu do aplikacji, takich jak Microsoft Word, Excel i PowerPoint, a także do własnych plików. Aplikacje i pliki dostępne w ten sposób są przechowywane na komputerach w centrum przetwarzania danych (w chmurze), a użytkownik korzysta z nich zdalnie, pod warunkiem posiadania połączenia z Internetem.

Oprócz SaaS klient może wynajmować jeden z komputerów i systemów operacyjnych w centrum przetwarzania danych – jest to platforma jako usługa (Platform as a Service – PaaS). W tym modelu użytkownik nie odpowiada za zarządzanie, aktualizację i utrzymanie komputera i systemu operacyjnego, na którym działa aplikacja. Może skupić się na rozwoju oprogramowania lub świadczeniu innych usług dla swoich klientów.

Jeszcze dalej idzie infrastruktura jako usługa (Infrastructure as a Service – IaaS). Dostawca usług w chmurze jest właścicielem elementów infrastruktury, które tradycyjnie znajdowały się w dużych firmach, takich jak serwery, pamięć masowa i sieci. Klient jest odpowiedzialny za zarządzanie i aktualizację systemów działających na tej zdalnej infrastrukturze, nawet jeśli znajduje się ona w centrum przetwarzania danych w innym kraju.

Trzy główne kategorie chmur obliczeniowych

Litery „aaS” oznaczają „as a service” („jako usługa”), czyli możliwość wynajmowania zasobów znajdujących się w innym miejscu do różnych celów.

Wyróżnia się trzy główne modele:

• infrastruktura jako usługa (IaaS) – dostawca usług w chmurze hostuje elementy infrastruktury (serwery, pamięć masową, sprzęt sieciowy) oraz warstwę wirtualizacji (hipernadzorcę). Organizacja użytkownika uzyskuje dostęp do zasobów, konfiguruje je i zarządza nimi za pomocą pulpitu nawigacyjnego lub interfejsu programowania aplikacji (API). IaaS wykorzystuje się między innymi do rozwoju oprogramowania i utrzymywania środowisk testowych, odzyskiwania danych po awarii lub tworzenia kopii zapasowych, hostingu złożonych stron internetowych, obliczeń wysokiej wydajności i analizy big data. W modelu IaaS dostawca zapewnia tylko sprzęt, a za wszystkie zabezpieczenia i tworzenie kopii zapasowych odpowiada organizacja użytkownika
• platforma jako usługa (PaaS) – udostępnia programistom platformę do tworzenia i wdrażania oprogramowania przez Internet, zapewniając dostęp do aktualnych narzędzi. Osoba lub firma może korzystać z PaaS, jeśli potrzebuje wspólnego środowiska do rozwoju i wdrażania aplikacji bez budowania i utrzymywania infrastruktury bazowej. Przykładami PaaS są Azure Web Apps i Amazon Web Services Lambda
• oprogramowanie jako usługa (SaaS) – dostawcy hostują aplikacje i udostępniają je użytkownikom przez Internet. Organizacje nie muszą pobierać oprogramowania na własną infrastrukturę IT. SaaS jest wykorzystywany do codziennych zadań, takich jak tworzenie i udostępnianie plików, podpisywanie i wysyłanie umów oraz zarządzanie projektami. Narzędzia są wysoce skalowalne i łatwe w dostępie zdalnym, co jest szczególnie pomocne dla rozproszonych zespołów. Przykładami są Microsoft 365, Jira, Dropbox, Gmail.

Chmura publiczna, prywatna i hybrydowa

• Chmura publiczna to szeroko stosowany model, w którym wszystkie zasoby potrzebne do uruchomienia infrastruktury (serwery, pamięć masowa, komponenty sieciowe, oprogramowanie wspierające) są własnością zewnętrznego dostawcy i są przez niego zarządzane. Użytkownicy w organizacji uzyskują do nich dostęp przez Internet, zazwyczaj za pośrednictwem przeglądarki. Organizacje współdzielą infrastrukturę, ale dane i obciążenia są zwykle odizolowane w bezpiecznej przestrzeni wirtualnej. Zamiast posiadać i obsługiwać sprzęt, płacisz tylko za usługi, z których faktycznie korzystasz.
• Chmura prywatna to infrastruktura przeznaczona do użytku przez pojedynczą organizację. Może być umieszczona w prywatnym centrum przetwarzania danych lub u zewnętrznego dostawcy, ale zasoby informatyczne są uruchamiane i utrzymywane w prywatnej sieci tylko dla jednej organizacji. Zabezpieczenia są w pełni pod kontrolą tej organizacji.
• Chmura hybrydowa to środowisko wykorzystujące zarówno chmurę publiczną, jak i prywatną. Na potrzeby tego poradnika mówimy przede wszystkim o usługach chmury publicznej.

Korzyści z usług w chmurze

Gdy firma wykupi usługi u dostawcy usług w chmurze (Cloud Solution Provider – CSP), w pierwszej kolejności musi przenieść swoje dane biznesowe na komputery w chmurze znajdujące się w centrach przetwarzania danych. Właściciel danych nie musi już osobiście zarządzać serwerami, w tym ich regularną aktualizacją – odpowiada za to centrum przetwarzania danych.

Korzystanie z usług CSP daje dostęp do najnowszych technologii oraz elastyczność w testowaniu oferowanych aplikacji. W centrum przetwarzania danych najnowsze aplikacje są już zakupione i zainstalowane, dzięki czemu twoja firma może je przetestować bez konieczności inwestowania z góry. Dzięki modelowi pay as you go możesz po prostu zrezygnować z aplikacji w chmurze, jeśli nie spełni oczekiwań.

Kolejną zaletą modelu „as a service” jest wysoki poziom wsparcia i utrzymania technologii przez profesjonalną firmę. Dzięki temu większą część budżetu i czasu możesz poświęcić na strategię biznesową, a mniejszą na IT i bezpieczeństwo. Usługi w chmurze często obejmują automatyczne aktualizacje, które są wliczone w cenę.

Jeśli wybierzesz renomowanego CSP, istnieje duże prawdopodobieństwo, że poziom wiedzy i inwestycji w cyberbezpieczeństwo po stronie dostawcy będzie znacznie wyższy niż w rozwiązaniach, na które mogłaby pozwolić sobie mała firma. W efekcie dane w centrach przetwarzania danych w chmurze są zazwyczaj bezpieczniejsze niż na komputerach małych przedsiębiorstw.

Przechowywanie danych w chmurze może pomóc w zachowaniu ciągłości działania, ponieważ kopie zapasowe systemów i infrastruktury ograniczają ryzyko utraty danych wskutek klęsk żywiołowych, awarii zasilania i innych kryzysów.

Twoja firma może skalować w górę lub w dół swoje operacje i systemy IT, dopasowując je do aktualnych potrzeb. Możesz zacząć od niewielkiej liczby usług w chmurze i zwiększać ich zakres wraz z rozwojem firmy, bez konieczności inwestowania we własną infrastrukturę IT.

Zagrożenia bezpieczeństwa w chmurze i ich minimalizacja

Wspólna odpowiedzialność za bezpieczeństwo

Środowisko chmurowe narażone jest na te same zagrożenia, co tradycyjne środowiska IT. Cyberprzestępcy stale szukają luk w oprogramowaniu, niezależnie od tego, gdzie jest ono uruchamiane. W chmurze odpowiedzialność za ograniczanie zagrożeń jest dzielona między dostawcę usług w chmurze a klienta.

Większość dostawców usług w chmurze dąży do stworzenia bezpiecznego środowiska i inwestuje znaczne środki w bezpieczeństwo, ale nie ma wpływu na to, w jaki sposób klienci korzystają z usługi, jakie dane wprowadzają i komu przyznają dostęp. Nie wszyscy dostawcy w równym stopniu rozumieją i cenią bezpieczeństwo. Dlatego organizacja użytkownika musi zbadać środki bezpieczeństwa stosowane przez dostawcę, zanim powierzy mu dane.

Dostawcy często odwołują się do „modelu wspólnej odpowiedzialności”. Oznacza on, że część środków bezpieczeństwa wdraża dostawca, a część – organizacja użytkownika. Zakres odpowiedzialności zależy od rodzaju usługi: IaaS, PaaS lub SaaS.

Praca z dostawcą usług w chmurze może być dla niektórych organizacji nowa. Pomocne jest od początku jednoznaczne określenie granicy między odpowiedzialnością za bezpieczeństwo po stronie dostawcy chmury a odpowiedzialnością organizacji użytkownika. Każdy dostawca i każda usługa mają własne modele bezpieczeństwa, narzędzia, parametry konfiguracyjne, pulpity nawigacyjne i punkty kontaktowe. Zebranie tych informacji i stworzenie spójnej strategii bezpieczeństwa w wielu chmurach to istotny proces.

Warto pamiętać o bezpieczeństwie już na etapie poszukiwania produktu chmurowego oraz zanotować wskazany punkt kontaktowy do wsparcia w razie problemów.

Typowe zagrożenia dotyczące usług w chmurze

Większość naruszeń bezpieczeństwa danych w chmurze następuje wtedy, gdy przestępcy uzyskują dostęp poprzez źle skonfigurowane konta i interfejsy, a następnie lokalizują cenne dane. Przyczyną jest zazwyczaj słaba kontrola dostępu użytkowników i błędna konfiguracja, za które odpowiada klient usługi chmurowej.

Według badań Microsoftu każdego dnia odnotowuje się ponad 300 milionów nieuczciwych prób logowania do usług w chmurze. Większość naruszeń danych jest związana ze słabymi, domyślnymi lub skradzionymi hasłami, co podkreśla konieczność stosowania kompleksowej polityki haseł i silnego uwierzytelniania.

Gdy MFA jest włączone, sama znajomość lub złamanie hasła nie wystarcza cyberprzestępcom, aby uzyskać dostęp do konta.. Szacuje się, że 99,9% ataków można zablokować dzięki wykorzystaniu uwierzytelnienia wieloskładnikowego (MFA).

Innym ważnym zagrożeniem są niezamierzone błędy lub złośliwe działania pracowników, określane jako zagrożenia wewnętrzne. Niezadowolony pracownik może wykorzystać swoją wiedzę i dostęp do informacji firmowych do kradzieży danych lub popełnienia oszustwa.

Dostęp do wrażliwych zasobów musi być ograniczony do osób, które potrzebują tych informacji do wykonywania pracy. Konta administratorów dają zwykle najszerszy dostęp do systemu i muszą być chronione za pomocą MFA. Konta uprzywilejowane powinny być tworzone, ograniczane i kontrolowane zgodnie z kompleksową polityką.

Odpowiedzialność w modelach IaaS, PaaS i SaaS

W przypadku Infrastructure as a Service (IaaS) organizacja użytkownika jest odpowiedzialna za utrzymanie systemu operacyjnego, wykorzystanie danych i aplikacji, a więc ma kontrolę nad wdrożeniem wszystkich pięciu zabezpieczeń Firmy Bezpiecznej Cyfrowo.

W Platform as a Service (PaaS) dostawca usług w chmurze zarządza bezpieczeństwem infrastruktury bazowej i systemu operacyjnego, natomiast użytkownik odpowiada za bezpieczeństwo danych i aplikacji. Oznacza to konieczność kontrolowania bezpiecznej konfiguracji, kontroli dostępu użytkowników i zarządzania aktualizacjami zabezpieczeń.

W Software as a Service (SaaS) organizacja użytkownika jest zazwyczaj odpowiedzialna tylko za bezpieczną konfigurację i kontrolę dostępu. Dostawca zajmuje się ochroną przed złośliwym oprogramowaniem, firewallami i zarządzaniem aktualizacjami zabezpieczeń.

Jeśli zabezpieczenia wdraża dostawca chmury, organizacja użytkownika musi upewnić się, że robi to w wymaganym standardzie. Szczegóły wdrożenia są zwykle opisane w warunkach świadczenia usługi, klauzulach umownych, oświadczeniach o bezpieczeństwie i ochronie prywatności, a także w dokumentach publikowanych w tzw. trust centers dostawcy.

W przypadku większych dostawców, takich jak Microsoft Azure i AWS, wspólne obowiązki oraz podział odpowiedzialności za bezpieczeństwo i zarządzanie są szczegółowo udokumentowane. W przypadku mniejszych dostawców lub produktów SaaS szczegóły mogą być mniej wyraźne, ale nadal wymagają uwzględnienia.

Ważne! Zrozumienie swojej odpowiedzialności za bezpieczeństwo jest kluczowe dla ochrony danych w chmurze.

Minimalizacja ryzyka w chmurze

W celu ograniczenia ryzyka zaleca się:

• stosowanie uwierzytelniania dwu- lub wieloskładnikowego (MFA), ponieważ jeśli możesz uzyskać zdalny dostęp do danych, mogą to zrobić także cyberprzestępcy; MFA dodaje istotną dodatkową warstwę zabezpieczenia podczas logowania, na przykład wymagając hasła oraz kodu z SMS lub skanu odcisku palca
• ograniczanie i monitorowanie dostępu użytkowników – zawężenie uprawnień zmniejsza skutki kradzieży danych konta (nazwy użytkownika i hasła) lub działania niezadowolonego pracownika
• stosowanie szyfrowania danych – szyfrowanie to proces kodowania informacji w taki sposób, aby tylko osoby mające dostęp do tajnego klucza mogły je odczytać
• zapewnienie szkoleń z zakresu cyberbezpieczeństwa i przeciwdziałania phishingowi – pracownicy powinni znać najlepsze praktyki bezpiecznego korzystania z IT i taktyki stosowane w e-mailach phishingowych, ponieważ phishing jest powszechnym sposobem uzyskiwania dostępu do nawet najlepiej zabezpieczonych baz danych w chmurze
• dokładne zrozumienie kupowanych usług oraz korzystanie z narzędzi bezpieczeństwa oferowanych przez CSP; jeśli nie czujesz się pewnie, warto poprosić konsultanta IT o pomoc w analizie polityki bezpieczeństwa dostawcy
• sprawdzenie, czy CSP zapewnia procesy tworzenia kopii zapasowych i odzyskiwania danych, które spełniają potrzeby twojej organizacji – mimo że większość dostawców daje gwarancje, zdarzały się przypadki przypadkowej utraty danych przez głównych dostawców usług w chmurze.

Konieczne jest także ustanowienie odrębnych polityk dla każdej usługi w chmurze i zapewnienie, że cały dostęp jest kontrolowany. Personel należy dokładnie poinformować o funkcjach i obowiązkach związanych z chmurą, w tym poprzez szkolenia i kursy informacyjne.

Właściciel firmy lub kierownik działu IT powinien przeanalizować umowy o poziomie świadczenia usług (SLA) i w razie potrzeby wyjaśnić wszelkie niejasności z dostawcą, tak aby zapewnić skuteczną strategię bezpieczeństwa. Google, AWS i Microsoft oferują liczne certyfikaty i programy szkoleniowe z zakresu cloud computingu dla swoich platform, aby ułatwić organizacjom korzystanie z nowoczesnych technik i praktyk.

Pięć podstawowych zabezpieczeń usług w chmurze

Bezpieczna konfiguracja

Bezpieczna konfiguracja jest odpowiedzialnością organizacji użytkownika w odniesieniu do wszystkich usług w chmurze.

Konfiguracja standardowa może zawierać konto administracyjne ze znanym, domyślnym hasłem, jedno lub więcej włączonych kont użytkowników (czasami ze specjalnymi uprawnieniami dostępu), a także wstępnie zainstalowane, ale niepotrzebne aplikacje lub usługi. Wszystkie te elementy stanowią zagrożenie dla bezpieczeństwa.

Jeśli masz taką możliwość, usuń lub wyłącz całe oprogramowanie, którego nie używasz w usługach w chmurze.

Sprawdź swoje usługi w chmurze i wyłącz wszystkie usługi, które nie są wymagane do codziennego użytku. Upewnij się, że usługi w chmurze zawierają tylko niezbędne konta użytkowników, faktycznie wykorzystywane w trakcie prowadzenia działalności. Usuń lub wyłącz konta użytkowników, które nie są potrzebne w codziennym korzystaniu z usług chmurowych.

Kontrola dostępu użytkowników

Kontrola dostępu użytkowników jest odpowiedzialnością organizacji użytkownika we wszystkich usługach w chmurze.

Konta ze specjalnymi uprawnieniami (na przykład konta administracyjne) mają zwykle największy poziom dostępu do informacji, aplikacji i systemów. Jeśli cyberprzestępcy przejmą takie konto, mogą wyrządzić największe szkody, ponieważ są w stanie instalować złośliwe oprogramowanie i wprowadzać zmiany w systemie. Dostęp specjalny obejmuje przywileje wykraczające poza to, co jest dostępne dla zwykłego użytkownika.

Identyfikuj wszystkie formy dostępu kont uprzywilejowanych do danych i aplikacji oraz wprowadź kontrolę, aby zmniejszyć ryzyko ich kompromitacji. Niedopuszczalne jest codzienne korzystanie z trybu uprzywilejowanego „administratora”.

Włącz uwierzytelnianie wieloskładnikowe (MFA) dla wszystkich kont użytkowników i wszystkich kont administratorów we wszystkich usługach chmurowych.

Zarządzanie aktualizacjami zabezpieczeń

Zarządzanie aktualizacjami zabezpieczeń jest odpowiedzialnością organizacji użytkownika w odniesieniu do usług chmurowych IaaS i PaaS.

Aby chronić organizację, upewnij się, że całe oprogramowanie jest zawsze aktualne i posiada najnowsze aktualizacje zabezpieczeń.

Ochrona przed złośliwym oprogramowaniem

Ochrona przed złośliwym oprogramowaniem jest odpowiedzialnością organizacji użytkownika w odniesieniu do usług chmurowych IaaS i PaaS.

Złośliwe oprogramowanie (na przykład wirusy komputerowe) jest zazwyczaj wykorzystywane do kradzieży lub uszkodzenia informacji. Często łączy się je z innymi typami ataków, takimi jak phishing (pozyskiwanie informacji za pomocą podstępu) i działania w mediach społecznościowych, które dostarczają danych przydatnych cyberprzestępcy.

Rozwiązania antywirusowe, dostępne u dostawców komercyjnych (również w wersjach bezpłatnych), zwykle obejmują kompletne pakiety oprogramowania i pomoc techniczną. Ponieważ złośliwe oprogramowanie stale się rozwija, ważne jest, aby program zapewniał zarówno aktualne sygnatury złośliwego oprogramowania, jak i heurystyczne narzędzia wykrywania, aktualizowane tak często, jak to możliwe. Produkty antywirusowe mogą również sprawdzać, czy odwiedzane witryny internetowe są złośliwe.

Zapobiegaj przedostawaniu się złośliwego oprogramowania do usług w chmurze za pomocą technik takich jak skanowanie plików, whitelisting aplikacji, wykrywanie złośliwego oprogramowania oparte na uczeniu maszynowym oraz analiza ruchu sieciowego.

Firewalle

Stosowanie firewalli jest odpowiedzialnością organizacji użytkownika w odniesieniu do usług IaaS .

Stosowanie MFA w celu uzyskania dostępu do usług w chmurze

Dlaczego MFA jest niezbędne w chmurze

Organizacje uzyskują dostęp do danych i usług hostowanych w chmurze przez połączenie internetowe. Jeśli kontrola dostępu nie jest bezpieczna, informacje są narażone na ataki cyberprzestępców z całego świata.

Liczba ataków na usługi chmurowe, w których wykorzystywane są techniki kradzieży haseł, stale rośnie. Dane wskazują, że każdego dnia odnotowuje się ponad 300 milionów nieuczciwych prób logowania do usług chmurowych. Większość naruszeń danych dotyczy słabych, domyślnych lub skradzionych haseł.

Przeciętna osoba musi zapamiętać od 70 do 130 haseł, a badania Google z 2019 roku pokazują, że 65% osób ponownie wykorzystuje to samo hasło do wielu lub nawet wszystkich swoich kont. W efekcie, jeśli jedno konto zostanie naruszone, a nazwa użytkownika i hasło trafią w ręce cyberprzestępców, wszystkie inne konta z tym samym hasłem stają się podatne na atak.

Organizacje coraz częściej korzystają z usług w chmurze jako sposobu na zdalne udostępnianie plików firmowych, często zawierających dane osobowe klientów. Choć zabezpieczenia wielu usług chmurowych przewyższają to, na co mogłaby sobie pozwolić mała organizacja, umożliwienie dostępu tylko za pomocą hasła tworzy poważną podatność dla poufności, integralności i dostępności danych.

Dlatego przyjmuje się, że do wszystkich usług w chmurze niezbędne jest dodatkowe uwierzytelnianie w postaci MFA (multifactor authentication). MFA oznacza, że oprócz hasła posiadacz konta musi potwierdzić swoją tożsamość za pomocą jednego lub kilku dodatkowych sposobów – na przykład kodu wysłanego na inne urządzenie (SMS), kodu jednorazowego generowanego przez aplikację uwierzytelniającą lub fizycznego tokenu.

Wszystkie usługi w chmurze są objęte zakresem certyfikacji Firmy Bezpiecznej Cyfrowo i dostęp do nich wymaga zastosowania uwierzytelniania wieloskładnikowego.

Rodzaje dodatkowych składników MFA

Uwierzytelnianie wieloskładnikowe wymaga co najmniej dwóch rodzajów poświadczeń przed uzyskaniem dostępu do konta. W przypadku przedsiębiorstw można brać pod uwagę cztery typy dodatkowych składników:

• zaufane urządzenie – techniki MFA wykorzystujące wiedzę, że użytkownik posiada określone urządzenie (na przykład komputer firmowy). Organizacja może skonfigurować usługi chmurowe tak, aby akceptowały próby uwierzytelnienia tylko z zaufanych sieci korporacyjnych. Użytkownicy mogą się uwierzytelniać, gdy są bezpośrednio podłączeni do tej sieci lub mają do niej zdalny dostęp przez wirtualną sieć prywatną (VPN). Dodatkowo, lub zamiast VPN, pracownicy zdalni mogą uzyskiwać dostęp do usług online tylko z zaufanych urządzeń zarządzanych przez organizację
• aplikacja uwierzytelniająca – generuje hasło jednorazowe, które zmienia się co kilkadziesiąt sekund, lub odbiera powiadomienia push, które wymagają od użytkownika potwierdzenia albo odrzucenia próby logowania do określonej usługi
• fizyczny/sprzętowy token – techniki oparte na posiadaniu fizycznego tokenu bezpieczeństwa, który potwierdza tożsamość użytkownika. Niektóre typy tokenów wymagają odblokowania przed użyciem, inne wymagają tylko dowodu posiadania. Przykładami są uniwersalne klucze sprzętowe odblokowywane kodem PIN, tokeny RSA oraz czytniki kart chip-and-PIN, które generują jednorazowy kod przy każdym logowaniu
• znane zaufane konto – technika polegająca na wysłaniu kodu na zarejestrowany adres e-mail lub numer telefonu. Usługa może wysłać wiadomość SMS z kodem jednorazowym lub wykonać połączenie głosowe z odczytaniem kodu na zarejestrowany numer. SMS nie jest najbezpieczniejszym typem dodatkowego składnika, ale nadal zapewnia ogromną przewagę nad brakiem MFA. Alternatywnie serwis może wysłać kod na adres e-mail użytkownika. Preferowane jest użycie kodu do wpisania przez użytkownika zamiast linku uwierzytelniającego w e-mailu, ponieważ link może utrudniać odróżnienie zaufanej wiadomości od e-maila phishingowego.

Kiedy wymagać drugiego składnika

MFA nie musi być uruchamiane przy każdym połączeniu z usługą w chmurze, ale należy określić kluczowe sytuacje, w których sprawdzenie dodatkowego składnika będzie wymagane, aby w pełni uwierzytelnić użytkownika. Mogą to być na przykład:

• logowanie do usługi przy użyciu urządzenia, z którego użytkownik wcześniej nie korzystał; dodanie urządzenia do zaufanych może wymagać wybrania opcji „zapamiętaj moje urządzenie”
• logowanie do usług najistotniejszych z punktu widzenia bezpieczeństwa, takich jak konto e-mail lub bankowość internetowa
• wykonywanie czynności wysokiego ryzyka, na przykład zmiana hasła lub wykonanie przelewu pieniędzy
• sytuacje, w których uwierzytelnienie zostało zidentyfikowane przez system jako potencjalnie ryzykowne, na przykład połączenie pochodzi z innej części świata niż zwykle.