تفعيل المصادقة متعددة العوامل للشركات الصغيرة والمتوسطة في الإمارات: دليل عملي.

لماذا تأتي المصادقة متعددة العوامل أولاً

تبدأ معظم عمليات اختراق الحسابات بكلمة مرور مسروقة أو مخمَّنة، كثيراً ما يُحصل عليها عبر رسالة تصيّد أو تُعاد من اختراق آخر. تضيف المصادقة متعددة العوامل (MFA) إثباتاً ثانياً بأن من يسجل الدخول هو الشخص الحقيقي، فلا تعود كلمة المرور وحدها كافية. وبالنسبة إلى شركة صغيرة أو متوسطة في الإمارات على Microsoft 365، هي عادةً أكثر تغيير أمني قيمةً يمكنك إجراؤه، وهي أيضاً من أسهل ما يمكن أن يُنفَّذ خطأً إذا استُعجل. يضع هذا الدليل ترتيباً عملياً للعمل. وهو يكمّل الأساس الأمني لـ Microsoft 365 لدينا، الذي يغطي المجموعة الأوسع من الإعدادات.

أي الحسابات تُحمى أولاً

لا تبدأ بالجميع. ابدأ حيث سيكون الضرر أكبر، ثم وسّع النطاق:

1. حسابات المسؤولين. المسؤولون العامون (Global admins) وسائر الأدوار المميزة. المسؤول المخترَق يستطيع تغيير أي شيء.
2. حسابات المالية والتنفيذيين. الأهداف المفضلة للاحتيال في المدفوعات وانتحال الصفة.
3. مستخدمو الوصول عن بُعد وVPN، وكل من يعمل من خارج المكتب.
4. بقية الموظفين. ثم حسابات الضيوف والمتعاقدين الذين يصلون إلى بياناتك.
5. حسابات الخدمة وصناديق البريد المشتركة. هذه تحتاج قراراً خاصاً بها، نتناوله تحت الاستثناءات أدناه.

نظّف أولاً: احذف حسابات من غادروا، وقلّص أدوار المسؤولين غير الضرورية. وتساعد قائمة التحقق لانضمام الموظفين ومغادرتهم لدينا على إبقاء ذلك مرتباً.

اختيار الوسائل، مرتبةً نوعياً

ليست كل العوامل الثانية بالقوة نفسها. بصورة عامة، من الأقوى إلى الأضعف:

• الوسائل المقاومة للتصيّد، مثل مفاتيح الأمان المادية أو مفاتيح المرور (passkeys). الأقوى، والأنسب للمسؤولين والأدوار عالية الخطر.
• تطبيق المصادقة مع مطابقة الأرقام أو ما يشابهها. خيار افتراضي قوي وعملي لمعظم الموظفين.
• الموافقة بنقرة واحدة أو الرموز في تطبيق المصادقة. جيدة، لكنها أكثر عرضة لأن يوافق المستخدمون على طلبات لم يبدأوها.
• الرسالة النصية أو المكالمة الصوتية. أفضل من كلمة المرور وحدها، لكنها أضعف، والأفضل إبقاؤها خياراً احتياطياً لا معياراً.

اختر وسيلة افتراضية للموظفين، وخياراً أقوى للمستخدمين المميزين، وبديلاً احتياطياً موثقاً. وراجع إرشادات Microsoft الحالية عن الوسائل المدعومة عند الإعداد، فالخيارات والإعدادات الافتراضية تتغير.

أساسيات الوصول المشروط

يتيح لك الوصول المشروط (conditional access) أن تقرر متى تطلب المصادقة متعددة العوامل ومتى تحظر، بحسب شروط مثل هوية المستخدم والتطبيق الذي يستخدمه والجهاز والموقع. ويحدد الترخيص الميزات المتاحة لك، فتأكد من خطتك أولاً. ومجموعة بداية معقولة من السياسات تبدو هكذا:

• اشتراط المصادقة متعددة العوامل لجميع المسؤولين.
• اشتراطها لجميع المستخدمين، مع اعتبار تسجيلات الدخول من الأجهزة المُدارة أقل خطراً حيثما تدعم خطتك ذلك.
• حظر بروتوكولات المصادقة القديمة، فهي لا تستطيع تنفيذ المصادقة متعددة العوامل وهي طريقة شائعة للالتفاف عليها.
• اشتراط ضوابط أقوى لتسجيلات الدخول الخطرة، إن كان ترخيصك يتضمن اكتشاف المخاطر.
• اشتراط المصادقة متعددة العوامل، أو الحظر، لتسجيلات الدخول من مواقع لا تتوقعها أبداً، بحسب الأماكن التي يعمل فيها موظفوك فعلاً.

ابنِ كل سياسة في وضع «التقرير فقط» أولاً، وراجع ما كانت ستفعله، ثم فعّلها. كما توفر Microsoft حمايات أساسية للمستأجرين الذين لا يستطيعون استخدام الوصول المشروط الكامل؛ تحقق من الخيارات الحالية في مركز الإدارة.

حسابات الطوارئ (break-glass)

قد يحبس خطأ في سياسة الوصول المشروط كل المسؤولين خارج المستأجر. احمِ نفسك من ذلك بحسابَي وصول طارئ، يسمّيان غالباً حسابَي break-glass:

• حسابات سحابية فقط بكلمات مرور طويلة وفريدة تُحفظ بأمان، ويُفضَّل توزيعها بين شخصين موثوقين.
• تُستثنى من سياسات الوصول المشروط التي قد تحبسها خارج النظام، لكنها تُحمى بوسيلة قوية مثل مفتاح مادي حيثما أمكن.
• لا تُستخدم في العمل اليومي، مع تنبيهات لتسجيل الدخول بحيث يُلاحَظ أي استخدام فوراً.
• تُختبر وفق جدول، ويُسجَّل الاختبار.

التواصل مع المستخدمين

تفشل المصادقة متعددة العوامل اجتماعياً أكثر مما تفشل تقنياً. أخبر الناس مسبقاً لماذا يحدث ذلك، وما المطلوب منهم، وكم يستغرق، وأين يجدون المساعدة. قدّم دليلاً قصيراً خطوة بخطوة مع لقطات شاشة، ونظّم جلسات حضور حر أو قناة مساعدة في الأيام الأولى. واشرح أنه لا ينبغي لهم أبداً الموافقة على طلب لم يبدأوه، ومن يُبلغون إن وصل طلب كهذا.

التعامل مع الاستثناءات

بعض الحسابات والأنظمة لا تستطيع فعلاً استخدام المصادقة التفاعلية متعددة العوامل: صناديق بريد الماسحات الضوئية المشتركة، وبرمجيات الأعمال القديمة، وحسابات الخدمة، وبعض التكاملات مع جهات خارجية. تعامل مع هذه بقصد:

• سجّل كل استثناء مع مالك مسمّى وسبب وتاريخ انتهاء.
• فضّل استبدال الطريقة القديمة على إعفائها، مثلاً بالانتقال إلى اتصال تطبيقي حديث.
• قيّد الحسابات المستثناة قدر استطاعتك، مثلاً بحسب الموقع أو بتحديد ما يمكنها الوصول إليه.
• راجع قائمة الاستثناءات بانتظام حتى تتقلص بدل أن تتضخم.

نقاط الإخفاق الشائعة

• الفرض على الجميع في اليوم الأول. نفّذ على مراحل: تقنية المعلومات، ثم مجموعة تجريبية، ثم كل إدارة.
• غياب خطة للهاتف المفقود أو المستبدل. قرر كيف يُتحقق من الهوية وكيف تُعاد تهيئة الوسائل قبل أن يحتاج إليها الناس.
• ترك المصادقة القديمة مفتوحة، وهو ما يتيح للمهاجمين تجاوز المصادقة متعددة العوامل كلياً.
• إرهاق الطلبات. استخدم مطابقة الأرقام أو وسائل أقوى حتى لا يُوافَق على طلب مفاجئ ببساطة.
• الحسابات المنسية. الضيوف والمتعاقدون والحسابات المشتركة القديمة التي تقع خارج السياسة.
• غياب المراقبة. راجع سجلات تسجيل الدخول والتنبيهات بحثاً عن الإخفاقات المتكررة والمواقع غير المعتادة.

بعد التفعيل

المصادقة متعددة العوامل ليست نهاية أمن الهوية، لكنها الأساس. تحقق من التغطية بانتظام، وراجع أدوار المسؤولين، وتأكد من وصول التنبيهات إلى من سيتصرف بشأنها. وإن أردت مراقبة ذلك باستمرار، فتتضمن خدمتنا الأمن السيبراني المُدار وMDR أمن Microsoft 365 والهوية. ولمعرفة وضع مستأجرك اليوم، يعد فحص صحة تقنية المعلومات المجاني نقطة انطلاق جيدة. ميسان جلوبال شريك Microsoft Solutions Partner for AI Business Solutions، وتدعم المؤسسات في الإمارات منذ عام 2004.