Què és un factor d’autenticació
L’autenticació multifactor, MFA, exigeix comprovar més d’una classe de factor: alguna cosa que se sap, alguna cosa que es posseeix o una característica inherent a la persona. Dues contrasenyes no formen dos factors distints. La verificació pot estar integrada en un mateix autenticador o combinar varis, segons el disseny i el nivell de garantia requerit pel sistema.
Per què importa en prevenció
Un compte compromès pot exposar dades de salut, alterar una avaluació o facilitar la descàrrega de documentació de contractistes. La MFA redueix la dependència de la contrasenya, però ha d’acompanyar-se de permisos proporcionats i de la protecció d’informació sanitària. No evita que una persona correctament autenticada abusi d’autoritzacions massa àmplies.
No tots els mètodes són equivalents
Els codis que s’introdueixen manualment poden ser capturats mitjançant engany. Els autenticadors resistents al phishing vinculen l’operació al servei legítim mitjançant mecanismes criptogràfics. L’elecció requereix valorar riscos, dispositius disponibles i accessibilitat. Una petició inesperada d’aprovació no ha d’acceptar-se perquè desaparegui: pot indicar un intent d’accés aliè.
Alta i recuperació també necessiten protecció
Registrar un autenticador nou o recuperar un compte són operacions sensibles. Si basta un procediment feble per a substituir el segon factor, es redueix l’eficàcia del conjunt. L’organització defineix com verifica la identitat, retira dispositius perduts i comunica canvis. Els codis de recuperació es protegeixen i no es comparteixen per missatgeria ni amb persones que diuen actuar com a suport.
Exemple d’implantació
En un exemple hipotètic, un servei preventiu activa MFA per a comptes administratius i sanitaris. Abans d’estendre-la, comprova accés habitual, canvi de telèfon, pèrdua del dispositiu i ús des d’equips autoritzats. La prova inclou al personal amb necessitats d’accessibilitat. El resultat ha de mantenir la protecció sense crear una dependència operativa que impedeixi atendre situacions urgents.
Què ha de verificar-se
Convé confirmar quins comptes estan cobertes, quins mètodes es permeten i com es revisen les excepcions. La mera existència d’una opció MFA en el producte no demostra que estigui aplicada. El seguiment ha de considerar sessions, alertes, comptes de servei i mecanismes de recuperació, amb responsabilitats clares entre organització i proveïdor.
