Como este tema funciona na sua empresa
Autenticação é apenas senha — sem MFA, sem política de força de senha. Risco: credencial roubada via phishing, força bruta, vazamento anterior. Defesa: aplicar MFA em contas críticas (admin, email), educar em senhas fortes.
MFA é obrigatório para acesso remoto (VPN) e administrativo. Senhas têm requisitos (12+ caracteres, maiúscula, número). Auditoria de acesso revisa quem usou MFA. Educação em phishing reduz roubo de credencial.
MFA é mandatório para todos. Autenticação é federada (SSO, SAML/OAuth), credenciais gerenciadas por IAM central. Hardware security keys para contas sensíveis. Biometria para acesso privilegiado. Detecção de anomalia em login (IP, hora, dispositivo).
Autenticação forte é verificação de identidade usando múltiplos fatores, reduzindo risco de acesso não autorizado. Fatores: (1) Algo que sabe (senha, PIN), (2) Algo que tem (celular, security key), (3) Algo que é (biometria). Autenticação "forte" é mínimo 2 fatores (MFA/2FA). Diferente de autenticação "fraca" (apenas senha) que é vulnerável a phishing, força bruta, roubo de credencial[1]. Implementação aumenta segurança significativamente — reduce chance de acesso não autorizado de 99% (apenas senha) para 0,1% (MFA).
Fatores de autenticação
- Fator conhecimento: Senha, PIN. Fraco porque é fácil roubar, esquecer, compartilhar.
- Fator posse: Celular (SMS, app), security key, smart card. Mais forte porque requer posse física.
- Fator biométrico: Fingerprint, face, iris. Mais forte porque é inato ao usuário.
Tipos de MFA
- SMS (2FA por SMS): Senha + código enviado por SMS. Fácil, widespread, mas SMS pode ser interceptado (SIM swap).
- App (TOTP): Senha + código gerado por app (Google Authenticator, Microsoft Authenticator). Mais seguro que SMS, mas usuário pode perder telefone.
- Hardware key: Senha + security key (YubiKey, Google Titan). Mais seguro, mas caro e usuário pode perder.
- Biometria: Fingerprint, face recognition. Muito seguro, mas privacidade é questionável.
- Push notification: Senha + aprovação em app. Bom UX, seguro se app é confiável.
MFA por tipo de conta
MFA obrigatório: admin, email, acesso remoto (VPN). Fator: SMS ou app. Custo: baixo, principalmente educação.
MFA obrigatório: todos. Fator: app preferível (SMS é fallback). Senhas fortes com requisitos. Auditoria de MFA bypass (se alguém desativou).
MFA obrigatório, federado. Hardware keys para contas sensíveis. Biometria para acesso privilegiado. Detecção de anomalia (IP, hora, dispositivo). Zero-trust approach.
Sinais de que você precisa implementar MFA
- Não há MFA implementado — apenas senha para acesso
- Incidente onde credencial foi roubada via phishing
- Acesso administrativo não requer MFA
- Acesso remoto (VPN) não requer MFA
- Não há política de força de senha
Caminhos para implementar autenticação forte
- Passo 1: Ativar MFA em nuvem (Office 365, Google Workspace, AWS)
- Passo 2: Política de força de senha (12+ caracteres, complexidade)
- Passo 3: Educar usuários em MFA
- Passo 4: Auditar MFA compliance anualmente
- Ferramentas: Okta, Azure AD/Entra ID com MFA, SailPoint
- Custo: SSO enterprise $5-20k/ano, MFA incluído
- Vantagem: centralizado, federado, enforcement automático
Precisa implementar autenticação forte?
Se MFA não é mandatório, o oHub conecta você gratuitamente a consultores especializados. Em menos de 3 minutos, descreva sua situação e receba propostas personalizadas, sem compromisso.
Encontrar fornecedores de TI no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
O que é autenticação forte?
Verificação de identidade usando 2+ fatores: algo que sabe (senha), algo que tem (celular), algo que é (biometria). MFA (multi-fator) reduz risco de acesso não autorizado.
Qual é a melhor forma de MFA?
Hardware keys (YubiKey) são mais seguras, mas caras. Apps (TOTP) são bom balanço de segurança e custo. SMS é fácil, mas menos seguro. Escolher baseado em risco e orçamento.
MFA reduz roubo de credencial?
Muito. Mesmo que senha seja roubada, sem segundo fator não conseguem acessar. Reduz risco de 99% para 0,1% com MFA.
Qual é o custo de implementar MFA?
Depende de ferramenta e escala. SSO com MFA integrado: $5-20k/ano. Hardware keys: $20-50/per person. ROI é alto — previne breach.
Como implementar MFA sem grandes mudanças?
Começar com nuvem (Office 365, Google já suportam). Adicionar hardware keys gradualmente. Educação paralela. Rollout em fases (admin, VPN, depois todos).
O que fazer se usuário perde security key?
Ter backup keys ou fallback factor (SMS, app). Processo de recuperação documentado. Sem fallback, usuário pode ficar locked out.
Referências
- NIST SP 800-63B — Authentication and Lifecycle Management. Disponível em: https://csrc.nist.gov/pubs/sp/800/63/3/b
- OWASP: Authentication Cheat Sheet. Disponível em: https://owasp.org
- CISA: MFA Best Practices. Disponível em: https://www.cisa.gov