《华尔街日报》呼吁中小企业采用多因素认证

James Rundle

2022-07-05

作者：詹姆斯·兰德尔2022年7月5日11:40更新 ET|WSJ专业版多因素认证是一种相对简单的防范黑客手段。图片来源：凯蒂·戴顿政府官员和网络安全主管表示，太多中小企业仅依赖用户名和密码保护系统安全，这使得它们容易遭受本可预防的网络攻击。

多因素认证（MFA）通过短信验证码、电话或专用应用等多重保护层验证登录尝试，是一种相对简单的黑客防御措施。

然而，美国非营利组织"网络准备研究所"周二发布的全球约1400家中小企业调查显示，55%的企业尚未启用多因素认证。在已部署的企业中，仅28%要求员工使用该功能。

“我们知道近所有账户入侵攻击都能通过MFA彻底阻断。这是经过验证的有效防范手段，“CRI常务董事卡伦·埃文斯表示。该机构成立于2017年，旨在为中小企业提供网络安全资源，由曾参与联邦网络安全特别工作组的公共和私营部门专家组建。

美国最高网络安全机构——网络安全与基础设施安全局局长珍·伊斯特利指出，推广困境部分源于行业和政府向私营部门传达安全概念的方式。她表示，MFA等技术术语常造成理解混乱，模糊了核心信息。

国土安全部下属机构CISA（网络安全与基础设施安全局）推广多因素认证（MFA）作为防范常见网络攻击的简易解决方案，近期通过其"不止是密码"宣传活动大力倡导。

“网络安全不是技术问题，也不是代码问题，而是人的问题，“伊斯特利女士表示，“从人类行为学角度看关乎人，同时也关乎人们意识到自己的操作方式蕴含着重大风险——而通过一些简单措施就能降低这种风险。”

黑客通常通过在暗网论坛购买泄露的密码，或尝试数百万字母数字组合的暴力破解来入侵系统。发送至手机或邮箱的登录授权请求能增加额外安全层，即使攻击者获得密码，这种机制也能阻止大多数初级入侵尝试。

政府已将MFA确立为最佳实践。2021年5月的行政令中，拜登总统要求所有联邦机构和政府承包商在180天内将MFA纳入基本网络安全措施。

CRI调查还显示，近60%受访者表示未与员工讨论过MFA。曾担任美国国土安全部首席信息官的埃文斯女士指出，向公众传达MFA的价值是网络安全行业需要加强的工作领域。

网络安全与基础设施安全局（CISA）局长珍·伊斯特利。图片来源：列宁·诺利/Zuma Press保险和投资管理公司Principal Financial Group的首席信息安全官梅格·安德森表示，多因素认证（MFA）面临的一个障碍是员工或客户的抵触，他们不愿意被迫通过多个步骤登录系统。对于金融服务等高度监管行业的企业来说，MFA已不再是可选项。