การยืนยันตัวตนแบบหลายปัจจัย (MFA) คืออะไร

วิธีปกป้องกันข้อมูลพื้นฐานที่มักถูกมองข้ามแต่มีประสิทธิภาพสูงที่สุดวิธีหนึ่ง คือการตรวจสอบสิทธิ์หลายปัจจัย (Multi Factor Authentication: MFA) ระดับความปลอดภัยแบบนี้ทำให้แฮกเกอร์เข้าถึงข้อมูลได้ยากขึ้น แม้ว่าจะมีรหัสผ่านอยู่แล้วก็ตาม

การตรวจสอบสิทธิ์แบบหลายปัจจัยคืออะไร

การพิสูจน์ตัวตนแบบหลายปัจจัย (Multi Factor Authentication: MFA) เป็นกระบวนการรักษาความปลอดภัยที่ผู้ใช้ต้องระบุปัจจัยที่แตกต่างกันสองปัจจัยขึ้นไป เมื่อเข้าสู่ระบบบัญชีแอคเคาท์ วิธีการเข้าถึงข้อมูลแบบหลายชั้นนี้ ทำให้เข้าถึงข้อมูลที่ไม่ได้รับอนุญาตได้ยากขึ้น แทนที่จะเข้าถึงแค่ปัจจัยเดียว เช่น รหัสผ่าน MFA ต้องใช้หลักฐานหลายประเภทเพื่อพิสูจน์ตัวตน ซึ่งทำให้เป็นตัวเลือกที่ปลอดภัยได้ดีกว่า เพื่อให้เข้าใจกระบวนการของ MFA ได้แบ่งเป็น 3 ส่วนดังนี้:

สิ่งที่คุณรู้

MFA คือรูปแบบการพิสูจน์ตัวตนแบบดั้งเดิมและนิยมใช้กันมากที่สุด (knowledge-based authentication) โดยปกติจะเกี่ยวข้องกับสิ่งที่ผู้ใช้เท่านั้นที่ทราบ เช่น รหัสผ่าน Password หรือ PIN ที่เป็นแนวป้องกันด่านแรกและมักถูกมองว่าเป็นจุดอ่อนที่สุดของระบบรักษาความปลอดภัย แม้ว่ารหัสผ่านจะแข็งแรงและยาก แต่ก็เสี่ยงต่อการโจมตี เช่น การขู่หลอกลวงทางโซเชียล, การฟิชชิ่งผ่านระบบออนไลน์

ตัวอย่าง: รหัสผ่านบัญชีหรือหมายเลข PIN
แม้ว่าจะสะดวกสบาย แต่ปัจจัยนี้เพียงอย่างเดียวไม่เพียงพอที่จะรับประกันความปลอดภัยได้ เนื่องจากรหัสผ่านอาจถูกขโมย เดา หรือแฮ็กได้ง่าย ถ้าหากเราตั้งค่าง่ายเกินไป

สิ่งที่คุณมีอยู่

MFA คือการครอบครองซึ่งเกี่ยวข้องกับสิ่งของทางกายภาพที่ผู้ใช้ต้องเข้าถึงเพื่อพิสูจน์ตัวตน ถึงแม้ว่าใครบางคนจะรู้รหัสผ่านของคุณ พวกเขาจะไม่สามารถเข้าถึงชั้นที่สองนี้ได้ ปัจจัยนี้โดยทั่วไปจะเป็นสิ่งที่ติดตัวหรือเปลี่ยนแปลงไปตามกาลเวลา

• โทรศัพท์มือถือที่สามารถรับรหัสยืนยันทาง SMS (เรียกอีกอย่างว่ารหัสผ่านแบบครั้งเดียว one-time passcodes)
• โทเค็นความปลอดภัย (security token) หรือสมาร์ทการ์ดที่สร้างรหัสเฉพาะทุก 2-3 วินาที
• แอปการตรวจสอบสิทธิ์ เช่น Google Authenticator หรือ Microsoft Authenticator ที่สร้างรหัสตามเวลาที่เปลี่ยนแปลงทุก 30 วินาที

วิธีการเหล่านี้จะทำให้ผู้โจมตีเข้าถึงได้ยากยิ่งขึ้น เว้นแต่พวกเขาจะขโมยอุปกรณ์หรือเจาะระบบของคุณได้โดยตรง

สิ่งที่คุณเป็นอยู่

สิ่งที่คุณเป็น คือการพิสูจน์ตัวตนโดยใช้ข้อมูลชีวภาพซึ่งอาศัยลักษณะทางกายภาพหรือพฤติกรรม ปัจจัยทางชีวภาพมีความเป็นเอกลักษณ์เฉพาะตัวบุคคล ทำให้ยากต่อการเลียนแบบหรือปลอมแปลง

• การจดจำลายนิ้วมือ (มักพบในสมาร์ทโฟนและแล็ปท็อป)
• การจดจำใบหน้า (ใช้ในโปรแกรม เช่น Face ID ของ Apple)
• การจดจำเสียง (มักใช้ในระบบโทรศัพท์หรือผู้ช่วย เช่น Siri หรือ Alexa)
• การสแกนเรตินาหรือม่านตา (ใช้ในระบบความปลอดภัยสูง)

ปัจจัยนี้ช่วยให้แน่ใจว่าบุคคลที่พยายามเข้าถึงระบบเป็นบุคคลที่อ้างตัวว่าเป็นบุคคลนั้นจริงๆ แม้ว่าผู้โจมตีจะมีรหัสผ่านและสามารถเข้าถึงอุปกรณ์ของคุณได้แต่ยังติดเรื่องการปลอมแปลงลักษณะทางชีวเฉพาะตัวอยู่อีกชั้นหนึ่ง

ประเมินโครงสร้างพื้นฐานความปลอดภัย

ก่อนที่จะเริ่มนำ MFA มาใช้ สิ่งสำคัญคือ ต้องเข้าใจถึงมาตรการรักษาความปลอดภัยให้เป็นปัจจุบัน ดำเนินการตรวจสอบระบบรักษาความปลอดภัยที่มีอยู่ของคุณอย่างละเอียด และระบุว่าบัญชี แอปพลิเคชัน และระบบใดที่จำเป็นต้องใช้ MFA มากที่สุด จัดลำดับความสำคัญให้กับพื้นที่ที่มีความอ่อนไหวที่สุดในธุรกิจ รวมถึง:

• บัญชีอีเมล (ที่มักส่งการสื่อสารและรหัสผ่านที่ละเอียดอ่อน)
• บริการระบบคลาวด์ (เช่น Google Workspace, Microsoft 365 เป็นต้น)
• บัญชีธนาคารและการเงิน (เสี่ยงต่อการฉ้อโกงและการโจรกรรม)
• ฐานข้อมูลลูกค้า (เพื่อปกป้องข้อมูลลูกค้า)
• ระบบรีโมทข้อมูลจากระยะไกล (สำหรับพนักงานที่ทำงานนอกสถานที่ เพื่อให้มั่นใจว่าสามารถเข้าถึงข้อมูลได้อย่างปลอดภัย)

การเริ่มต้นด้วยระบบที่สำคัญที่สุด จะช่วยให้คุณมั่นใจได้ว่า คุณได้จัดการกับความเสี่ยงที่สูงที่สุดก่อนแล้ว และสร้างรากฐานที่แข็งแรงสำหรับความปลอดภัยในอนาคต

เลือกโซลูชัน MFA ที่เหมาะสม

มีโซลูชัน MFA มากมายให้เลือก โดยแต่ละโซลูชันมีคุณลักษณะ ข้อดี และราคาที่แตกต่างกัน การเลือกโซลูชันที่เหมาะสมกับธุรกิจ ขึ้นอยู่กับขนาด ความต้องการ และงบประมาณของธุรกิจ เช่น: ตัวตรวจสอบสิทธิ์ของ Google แอปฟรีที่ใช้งานง่าย

ขั้นตอนที่ 1: ตั้งค่า MFA สำหรับแอปพลิเคชันหลัก
ให้ความสำคัญกับแอปพลิเคชันที่จัดเก็บหรือเข้าถึงข้อมูลที่ละเอียดอ่อน เช่น แพลตฟอร์มอีเมล พื้นที่จัดเก็บไฟล์ (Google Drive, OneDrive) และระบบการจัดการความสัมพันธ์ลูกค้า (CRM)

ขั้นตอนที่ 2: เปิดใช้งาน MFA สำหรับทีม
กำหนดให้ MFA เป็นข้อบังคับสำหรับพนักงานทุกคน เพื่อให้แน่ใจว่ามีการใช้กับทุกบัญชี สำหรับพนักงานที่ทำงานนอกสถานที่และจำเป็นต้องเข้าถึงข้อมูลแบบปลอดภัย เช่น VPN ที่มี MFA เพื่อการปกป้องเพิ่มเติมอีกชั้น

ขั้นตอนที่ 3: ให้การฝึกอบรมและการสนับสนุน
พนักงานบางคนอาจไม่คุ้นเคยกับ MFA องค์กรต้องให้คำแนะนำและการฝึกอบรมที่ชัดเจนเกี่ยวกับวิธีการตั้งค่าและใช้งาน จัดเตรียมแหล่งข้อมูลสำหรับซัพพอร์ตที่เข้าถึงได้ง่าย มีคู่มือรองรับปัญหาหรือคำถามใดๆ ที่อาจเกิดขึ้น โดยเฉพาะผู้ที่ไม่เชี่ยวชาญด้านเทคโนโลยี

อ้างอิง: The Technology Press