Chuyên đề ATTT•
Xây dựng chính sách mật khẩu mạnh kết hợp xác thực đa yếu tố (MFA) giúp giảm thiểu đến hơn 90% nguy cơ tài khoản công vụ bị chiếm quyền điều khiển.
Tầm quan trọng của lớp bảo vệ danh tính
Trong kỷ nguyên số, thông tin danh tính và tài khoản đăng nhập là mục tiêu hàng đầu của các cuộc tấn công mạng. Việc sử dụng mật khẩu yếu hoặc dùng chung một mật khẩu cho nhiều dịch vụ khác nhau tạo điều kiện thuận lợi cho tin tặc thực hiện các cuộc tấn công vét cạn (brute-force) hoặc tấn công nhồi thông tin xác thực (credential stuffing).
1. Tiêu chí của một mật khẩu đạt chuẩn - **Độ dài tối thiểu**: Nên có từ 12 ký tự trở lên. Độ dài đóng vai trò then chốt hơn việc chỉ chèn thêm một vài ký tự đặc biệt ngắn. - **Sử dụng cụm mật khẩu (Passphrase)**: Kết hợp nhiều từ ngẫu nhiên có nghĩa nhưng khó đoán giúp vừa dễ nhớ với người dùng, vừa khó bị máy móc dò quét. - **Không tái sử dụng mật khẩu**: Mật khẩu email nội bộ, tài khoản quản trị hệ thống và các tài khoản cá nhân phải hoàn toàn riêng biệt.
2. Bắt buộc kích hoạt xác thực đa yếu tố (MFA) Xác thực đa yếu tố bổ sung một lớp kiểm tra bảo mật độc lập bên cạnh mật khẩu truyền thống, chẳng hạn như ứng dụng sinh mã OTP (Authenticator app) hoặc khóa bảo mật phần cứng: - Ngay cả khi mật khẩu bị lộ qua các vụ rò rỉ dữ liệu, kẻ tấn công vẫn không thể đăng nhập nếu thiếu yếu tố xác thực thứ hai. - Cần hạn chế sử dụng SMS OTP cho các tài khoản quản trị trọng yếu vì tiềm ẩn nguy cơ bị chiếm quyền qua kỹ thuật tráo SIM (SIM swap).
Doanh nghiệp nên trang bị giải pháp quản lý mật khẩu tập trung (Enterprise Password Manager) để giúp nhân viên lưu trữ và tạo mật khẩu an toàn một cách tự động.
