المصادقة متعددة العوامل (MFA) هي الضابط الذي يوقف معظم عمليات اختراق الحسابات. وقد ذكرت Microsoft أن المصادقة متعددة العوامل تمنع أكثر من 99.9% من هجمات اختراق الحسابات، لأن كلمة المرور المسروقة وحدها لم تعد كافية لتسجيل الدخول.
وللشركات السعودية هي متطلب إلزامي وليست مجرد ممارسة جيدة. فمعيار أرامكو SACS-210 يشترطها على كل طرف ثالث (الضابط TPC-1.12)، والضوابط الأساسية للأمن السيبراني (NCA ECC) تشترطها للوصول عن بُعد وللحسابات ذات الصلاحيات العالية. في هذا الدليل نوضح أين يجب تفعيلها، وكيف تفعّلها في Microsoft 365 وGoogle Workspace.
ما هي المصادقة متعددة العوامل؟
تطلب المصادقة متعددة العوامل من المستخدم نوعين مختلفين من الإثبات قبل الدخول:
- شيء تعرفه: كلمة المرور.
- شيء تملكه: جوال عليه تطبيق مصادقة، أو مفتاح أمان.
- شيء من صفاتك: البصمة أو التعرف على الوجه على ذلك الجهاز.
فإذا سرق المهاجم كلمة المرور أو خمّنها، يبقى العامل الثاني حاجزاً أمام الدخول.
أين يشترط SACS-210 المصادقة متعددة العوامل؟
يحدد الضابط TPC-1.12 خمسة مواضع يجب فيها فرض المصادقة متعددة العوامل:
- الوصول عن بُعد، بما في ذلك أي وصول من الإنترنت.
- الوصول إلى الخدمات السحابية.
- بريد الشركة عبر الويب والجوال.
- التطبيقات المتاحة على الإنترنت.
- المستخدمون أصحاب الحسابات ذات الصلاحيات العالية.
وعملياً، في شركة تستخدم Microsoft 365 أو Google Workspace يعني ذلك جميع المستخدمين، لأن البريد والتطبيقات السحابية متاحة عبر الإنترنت. ويضيف الضابط TPC-1.13 أن الدخول الموحّد (SSO) مسموح به بشرط طلب المصادقة متعددة العوامل عند الدخول الأول.
الخيار الأول: الإعدادات الأمنية الافتراضية في Microsoft 365 (للشركات الصغيرة)
ميزة Security Defaults مجانية، وهي أسرع طريقة لفرض المصادقة متعددة العوامل على الجميع:
- ادخل إلى مركز إدارة Microsoft Entra (entra.microsoft.com) بحساب مسؤول عام (Global Administrator).
- اذهب إلى Identity ← Overview ← Properties ← Manage security defaults.
- اجعل الإعداد Enabled واحفظ.
سيُطلب من المستخدمين تسجيل تطبيق Microsoft Authenticator عند الدخول التالي، ولديهم 14 يوماً لذلك. كما تحظر هذه الميزة بروتوكولات المصادقة القديمة التي يستخدمها المهاجمون لتجاوز المصادقة متعددة العوامل.
الخيار الثاني: الوصول المشروط (Business Premium وما فوق)
إذا كان ترخيصك يتضمن Microsoft Entra ID P1، مثل Microsoft 365 Business Premium، فإن الوصول المشروط (Conditional Access) يمنحك تحكماً أدق:
- في مركز إدارة Entra اذهب إلى Protection ← Conditional Access ← Create new policy.
- Users: جميع المستخدمين، مع استثناء حساب أو حسابين للطوارئ فقط، موثّقين ومحميين جيداً.
- Target resources: جميع التطبيقات السحابية.
- Grant: اشتراط المصادقة متعددة العوامل.
- ابدأ بوضع Report-only لبضعة أيام، وراجع سجلات الدخول، ثم فعّل السياسة (On).
أضف سياسة ثانية تحظر المصادقة القديمة، وفكّر في حظر الدخول من الدول التي ليس لديك فيها موظفون. ولاحظ أنه يجب إيقاف Security Defaults قبل استخدام سياسات الوصول المشروط.
Google Workspace: التحقق بخطوتين
- في وحدة تحكم المشرف (Google Admin) اذهب إلى Security ← Authentication ← 2-step verification.
- فعّل خيار Allow users to turn on 2-Step Verification.
- اجعل Enforcement مفعّلاً من تاريخ يمنح المستخدمين وقتاً للتسجيل، أسبوعاً مثلاً.
- فضّل تطبيق Google Authenticator أو مفاتيح الأمان على رموز الرسائل النصية.
أخطاء شائعة يكتشفها المدقق
- تفعيل المصادقة لكل مستخدم على حدة بدل فرضها على الجميع، فيبقى موظف جديد بلا حماية.
- استثناء حساب المسؤول الرئيسي «مؤقتاً» ثم نسيانه.
- حسابات مشتركة مثل info@ بكلمة مرور واحدة ومن غير مصادقة متعددة العوامل. الأفضل تحويلها إلى صناديق بريد مشتركة يدخلها كل موظف بحسابه.
- السماح بالبروتوكولات القديمة، فتتجاوز برامج البريد القديمة المصادقة متعددة العوامل بالكامل.
- الاعتماد على الرسائل النصية فقط. تعمل، لكن تطبيق المصادقة أقوى، وهو ما يتوقع المدقق رؤيته غالباً.
كيف تطبّقها دون إرباك الموظفين
- أبلغ الموظفين قبل التطبيق بأيام، وأرسل لهم شرحاً قصيراً لتطبيق Authenticator.
- ابدأ بفريق تقنية المعلومات والمديرين، ثم بقية الموظفين.
- جهّز إجراءً لحالة فقدان الجوال: يتحقق المسؤول من هوية الموظف ثم يعيد ضبط طريقة المصادقة.
- وثّق الإعداد بلقطات شاشة، فتقرير أدلة SACS-210 يجب أن يُظهر فرض المصادقة على مستوى المؤسسة.
موقعها من ضوابط SACS-210
المصادقة متعددة العوامل واحدة من 33 متطلباً عاماً، وتأتي مع الحساب المستقل لكل مستخدم (TPC-1.10)، وسياسة كلمات المرور (TPC-1.11)، والمراجعة السنوية للصلاحيات (TPC-1.14). للقائمة الكاملة اقرأ شرح ضوابط SACS-210 الـ33، وللإعدادات المرتبطة بها راجع قائمة تحصين أمن Microsoft 365.
كيف تساعدك سراج؟
نفرض المصادقة متعددة العوامل على Microsoft 365 وGoogle Workspace وZoho، ونحظر المصادقة القديمة، ونجهّز حسابات الطوارئ، ونوثّق كل ذلك للمدقق، ضمن خدمة شهادة SACS-210 وخدمة إدارة Microsoft 365.
اطلب المساعدة في تفعيل المصادقة متعددة العوامل ونراجع إعداداتك الحالية.
