ນະໂຍບາຍລະຫັດຜ່ານ ແລະ MFA: ເຊົາບັງຄັບປ່ຽນລະຫັດທຸກ 90 ວັນ

ທ່ານເຄີຍເຫັນລະຫັດຜ່ານແບບນີ້ບໍ: Vientiane@2026, ແລ້ວສາມເດືອນຕໍ່ມາກາຍເປັນ Vientiane@2026!? ນັ້ນແມ່ນຜົນໂດຍກົງຂອງນະໂຍບາຍ "ຕ້ອງມີໂຕໃຫຍ່, ຕົວເລກ, ສັນຍາລັກ ແລະ ປ່ຽນທຸກ 90 ວັນ". ຜູ້ໃຊ້ບໍ່ໄດ້ຂີ້ຄ້ານ; ເຂົາເຮັດຕາມກົດໃນທາງທີ່ງ່າຍທີ່ສຸດ, ແລະ ຜູ້ໂຈມຕີຮູ້ຮູບແບບນີ້ດີ.

ສິ່ງທີ່ NIST ປ່ຽນແລ້ວ

NIST SP 800-63B (ສະບັບ Revision 4 ທີ່ອອກໃນປີ 2025) ແມ່ນແນວທາງທີ່ຫຼາຍອົງກອນທົ່ວໂລກໃຊ້ອ້າງອີງ. ສາລະສຳຄັນ:

ສຳລັບພະນັກງານທົ່ວໄປ ໃຫ້ແນະນຳ Passphrase: ສີ່ຫາຫ້າຄຳທີ່ບໍ່ກ່ຽວຂ້ອງກັນ ໃນພາສາໃດກໍໄດ້ທີ່ຂຽນເປັນຕົວອັກສອນລາຕິນ. ຈື່ງ່າຍ ແລະ ຍາວພໍ.

ບັນຊີ Admin ແລະ Service Account ໃຊ້ລະຫັດສຸ່ມ 20 ຕົວຂຶ້ນໄປ ທີ່ສ້າງໂດຍ Password Manager ຫຼື PAM. ບໍ່ມີໃຜຕ້ອງຈື່.

ນະໂຍບາຍທີ່ນຳໄປໃຊ້ໄດ້ພາຍໃນເດືອນນີ້

• ບັນຊີທີ່ມີພຽງລະຫັດຜ່ານ: ຢ່າງໜ້ອຍ 15 ໂຕອັກສອນ. ບັນຊີທີ່ມີ MFA: ຢ່າງໜ້ອຍ 8 ໂຕ, ແຕ່ໃນທາງປະຕິບັດ ເຮົາຕັ້ງຂັ້ນຕ່ຳໄວ້ 12.
• ຮອງຮັບຢ່າງໜ້ອຍ 64 ໂຕອັກສອນ ລວມທັງຍະຫວ່າງ, ແລະ ອະນຸຍາດໃຫ້ວາງ (Paste) ໄດ້ ເພື່ອໃຫ້ Password Manager ໃຊ້ງານໄດ້.
• ບໍ່ມີກົດປະສົມໂຕອັກສອນ, ບໍ່ມີການໝົດອາຍຸຕາມຮອບ. ບັງຄັບປ່ຽນສະເພາະເມື່ອມີສັນຍານວ່າລະຫັດຮົ່ວ.
• ບລັອກລະຫັດທີ່ຢູ່ໃນລາຍການລະຫັດຮົ່ວ ແລະ ຄຳທີ່ຄົນທ້ອງຖິ່ນມັກໃຊ້ ເຊັ່ນ ຊື່ບໍລິສັດ, "Vientiane", "Laos", "Champa", ຕົວເລກປີ ແລະ ແປ້ນລຽງກັນຄື "qwerty".
• ຈຳກັດຈຳນວນເທື່ອທີ່ເຂົ້າໃຊ້ຜິດຕໍ່ບັນຊີ (NIST ກຳນົດເພດານໄວ້ທີ່ 100 ເທື່ອຕິດຕໍ່ກັນ, ລະບົບສ່ວນຫຼາຍຕັ້ງໜ້ອຍກວ່ານັ້ນຫຼາຍ) ແລະ ແຈ້ງເຕືອນເມື່ອເຂົ້າໃຊ້ຜິດຖີ່ຜິດປົກກະຕິ.
• MFA ສຳລັບທຸກບັນຊີທີ່ເຂົ້າເຖິງອີເມວ, ໄຟລ໌, VPN ຫຼື ເງິນໄດ້.

ທັງໝົດນີ້ຢູ່ໃນເຈ້ຍໜ້າດຽວ. ພະນັກງານອ່ານໜ້າດຽວ, ແຕ່ບໍ່ອ່ານສິບສອງໜ້າ.

MFA ແຕ່ລະແບບປ້ອງກັນໄດ້ບໍ່ເທົ່າກັນ

ສິ່ງທີ່ຄົນມັກເຂົ້າໃຈຜິດ: TOTP ແລະ Push ບໍ່ໄດ້ຕ້ານ Phishing. ໜ້າ Login ປອມແບບ Adversary-in-the-Middle ສາມາດສົ່ງຕໍ່ລະຫັດ 6 ຫຼັກ ຫຼື ການອະນຸມັດ Push ໄປຫາເວັບແທ້ໃນເວລາດຽວກັນ ແລະ ລັກ Session Cookie ໄປ. ສະນັ້ນບັນຊີທີ່ມີສິດສູງ ຄວນໃຊ້ Passkey ຫຼື Security Key.

MFA Fatigue: ຜູ້ໂຈມຕີທີ່ມີລະຫັດແລ້ວ ສົ່ງ Push ຊ້ຳໆ ຕອນເດິກ ຈົນຜູ້ໃຊ້ກົດອະນຸມັດເພື່ອໃຫ້ມັນເຊົາ. Number Matching ແກ້ໄດ້ ເພາະຜູ້ໃຊ້ຕ້ອງພິມຕົວເລກທີ່ສະແດງຢູ່ໜ້າ Login. ສອນພະນັກງານວ່າ Push ທີ່ບໍ່ໄດ້ຂໍ ໝາຍເຖິງລະຫັດຜ່ານຮົ່ວແລ້ວ ແລະ ຕ້ອງລາຍງານ.

ລຳດັບການເປີດໃຊ້

1. Admin ທັງໝົດ (Domain, Firewall, Microsoft 365/Google Workspace, Backup). ໃຊ້ Security Key ຖ້າເປັນໄປໄດ້.
2. Email ແລະ Cloud ສຳລັບທຸກຄົນ.
3. VPN ແລະ Remote Access.
4. ລະບົບການເງິນ, ທະນາຄານອອນລາຍ ແລະ ERP.
5. ປິດ Legacy Authentication: Protocol ເກົ່າ (POP, IMAP, SMTP AUTH ແບບ Basic Auth) ທີ່ຂ້າມ MFA ໄດ້. ໃນ Exchange Online, Basic Auth ຂອງ POP, IMAP ແລະ Protocol ອື່ນເກືອບທັງໝົດ ຖືກປິດໄປແລ້ວ. ຂໍ້ຍົກເວັ້ນແມ່ນ SMTP AUTH ສຳລັບສົ່ງເມວ, ເຊິ່ງ Microsoft ວາງແຜນປິດເປັນຄ່າເລີ່ມຕົ້ນສຳລັບ Tenant ເກົ່າ ໃນທ້າຍເດືອນທັນວາ 2026. ໃຫ້ຊອກຫາເຄື່ອງ Scan, ເຄື່ອງຖ່າຍເອກະສານ ແລະ ແອັບເກົ່າທີ່ຍັງສົ່ງເມວແບບນີ້ ແລ້ວຍ້າຍໄປໃຊ້ OAuth ຫຼື Relay ຕັ້ງແຕ່ດຽວນີ້.
6. ຂຽນຂັ້ນຕອນກູ້ຄືນບັນຊີ. ພະນັກງານເສຍໂທລະສັບ ຢືນຢັນຕົວຕົນແນວໃດ? Helpdesk ທີ່ Reset MFA ໃຫ້ທຸກຄົນທີ່ໂທມາ ແມ່ນຊ່ອງທາງທີ່ຜູ້ໂຈມຕີໃຊ້ແທ້.

ສະພາບຂອງລາວທີ່ຕ້ອງຄິດເຖິງ

ພະນັກງານທີ່ບໍ່ແຮ່, ເຂື່ອນ ແລະ ສະຖານທີ່ກໍ່ສ້າງ ມັກຢູ່ບ່ອນທີ່ສັນຍານມືຖືບໍ່ສະໝ່ຳສະເໝີ ແລະ ໃຊ້ໂທລະສັບສ່ວນຕົວ. SMS OTP ທີ່ມາຊ້າຫ້ານາທີ ເຮັດໃຫ້ຄົນຂໍໃຫ້ IT "ປິດ MFA ໃຫ້ແດ່". Authenticator App ແບບ TOTP ເຮັດວຽກແບບ Offline ຈຶ່ງເປັນຄ່າເລີ່ມຕົ້ນທີ່ດີກວ່າສຳລັບກຸ່ມນີ້.

ສຳລັບ IT Admin ແລະ ພະນັກງານການເງິນທີ່ອະນຸມັດການໂອນເງິນ, ໃຫ້ Security Key ຄົນລະສອງອັນ (ໃຊ້ປະຈຳ ແລະ ສຳຮອງທີ່ເກັບໄວ້ບ່ອນປອດໄພ). ສັ່ງຊື້ຈາກໄທພ້ອມອຸປະກອນອື່ນ ແລະ ລົງທະບຽນທັງສອງອັນໃນມື້ດຽວກັນ.

ຂຽນຄູ່ມືຕັ້ງຄ່າເປັນພາສາລາວ ແລະ ໄທ ພ້ອມຮູບໜ້າຈໍ, ແລ້ວຈັດຕັ້ງຄ່າໃຫ້ພ້ອມກັນເປັນກຸ່ມ. ການສົ່ງ Email ບອກໃຫ້ "ໄປຕັ້ງຄ່າເອງ" ມັກໄດ້ຜົນໜ້ອຍທີ່ສຸດ.

Password Manager

ພະນັກງານຄົນໜຶ່ງມີຫຼາຍສິບບັນຊີ. ຖ້າບໍ່ມີເຄື່ອງມື ເຂົາຈະໃຊ້ລະຫັດດຽວກັນທຸກບ່ອນ. Password Manager ສຳລັບທຸລະກິດ:

• ສ້າງລະຫັດສຸ່ມ ແລະ ຕື່ມອັດຕະໂນມັດສະເພາະເວັບໄຊທີ່ Domain ຖືກຕ້ອງ. ຖ້າມັນບໍ່ຍອມຕື່ມ ນັ້ນແມ່ນສັນຍານເຕືອນ Phishing.
• ແບ່ງປັນລະຫັດລະຫວ່າງທີມ ໂດຍບໍ່ຕ້ອງວາງໃນ Chat.
• ຍົກເລີກການເຂົ້າເຖິງໄດ້ທັນທີເມື່ອພະນັກງານລາອອກ.

ບັນຊີສິດສູງ

ແຍກບັນຊີ Admin ອອກຈາກບັນຊີປະຈຳວັນທີ່ໃຊ້ອ່ານ Email. ເກັບ ບັນຊີສຸກເສີນ (Break-glass) ໜຶ່ງຫາສອງບັນຊີ ທີ່ບໍ່ຢູ່ພາຍໃຕ້ Conditional Access ປົກກະຕິ, ປ້ອງກັນດ້ວຍ Security Key ຫຼື ລະຫັດຍາວທີ່ປະທັບຕາເກັບໃນຕູ້ເຊບ ແລະ ຕັ້ງ Alert ທຸກຄັ້ງທີ່ມີການ Login. ໃນ Microsoft 365 ຫຼື Google Workspace ໃຊ້ Conditional Access (ຫຼື Context-Aware Access) ເພື່ອບລັອກການ Login ຈາກປະເທດ ຫຼື ອຸປະກອນທີ່ບໍ່ຄາດຄິດ.

Passkey ພ້ອມໃຊ້ແລ້ວມື້ນີ້

ທັງ Microsoft Entra ID ແລະ Google Workspace ໃຫ້ຜູ້ໃຊ້ເຂົ້າໃຊ້ດ້ວຍ Passkey ໄດ້ແລ້ວ, ຈະເກັບໄວ້ໃນ Security Key ຫຼື ເກັບໃນມືຖື ແລ້ວປົດລັອກດ້ວຍລາຍນິ້ວມື ຫຼື ໃບໜ້າກໍ່ໄດ້. ສຳລັບພະນັກງານ Passkey ງ່າຍກວ່າລະຫັດຜ່ານບວກລະຫັດ OTP ເສຍອີກ: ແຕະເທື່ອດຽວ ບໍ່ຕ້ອງພິມຫຍັງ. ດຽວນີ້ເຮົາເລີ່ມໃຫ້ແອດມິນ ແລະ ພະແນກການເງິນໃຊ້ Passkey ຫຼື Security Key ກ່ອນ, ແລ້ວຈຶ່ງຍ້າຍພະນັກງານຄົນອື່ນຕາມທີ່ມືຖື ແລະ ແອັບຮອງຮັບ. ສ່ວນແອັບ Authenticator ເກັບໄວ້ເປັນທາງສຳຮອງສຳລັບມືຖືລຸ້ນເກົ່າ.

ຕົວຢ່າງຕົວຈິງ: ບໍລິສັດ 60 ຄົນ ໃນສີ່ອາທິດ

ສົມມຸດມີແອດມິນ IT ແລະ ການເງິນ 5 ຄົນ, ພະນັກງານຫ້ອງການ 40 ຄົນ, ແລະ ຄົນຢູ່ໜ້າງານຫ່າງໄກທີ່ສັນຍານບໍ່ແນ່ນອນອີກ 15 ຄົນ.

ກຽມໃຈໄວ້ວ່າອາທິດທີສອງ ຈະມີສາຍເຂົ້າ Helpdesk ຫຼາຍແດ່. ຫຼັງອາທິດທີສີ່ ສາຍຈະເຫຼືອພຽງເລື່ອງມືຖືເສຍ ແລະ ພະນັກງານໃໝ່, ແລະ ບ່ອນນັ້ນແຫຼະ ທີ່ຂັ້ນຕອນກູ້ຄືນບັນຊີທີ່ຂຽນໄວ້ຈະຄຸ້ມຄ່າ.

ຂໍ້ຜິດພາດທີ່ຍັງເຫັນ

• ຍົກເວັ້ນ MFA ໃຫ້ຜູ້ບໍລິຫານ "ເພາະບໍ່ສະດວກ". ຜູ້ບໍລິຫານແມ່ນເປົ້າໝາຍອັນດັບໜຶ່ງຂອງ BEC.
• ບັນຊີ admin@ ຫຼື info@ ທີ່ຫຼາຍຄົນໃຊ້ຮ່ວມກັນ ແລະ ບໍ່ມີ MFA.
• ບັງຄັບປ່ຽນລະຫັດທຸກເດືອນ ຈົນມີລະຫັດຕິດຢູ່ຈໍ.
• Reset MFA ຜ່ານ WhatsApp ໂດຍບໍ່ໂທກັບໄປຫາເບີທີ່ບັນທຶກໄວ້.

ລອງເບິ່ງວ່າບັນຊີໃດຍັງບໍ່ມີ MFA

ໃນ Microsoft 365 ແລະ Google Workspace ມີ Report ທີ່ສະແດງວ່າຜູ້ໃຊ້ໃດລົງທະບຽນ MFA ແລ້ວ ແລະ ໃຊ້ວິທີໃດ. ຖ້າທ່ານໃຫ້ພວກເຮົາເຂົ້າເບິ່ງແບບອ່ານຢ່າງດຽວ, ພວກເຮົາຈະສົ່ງລາຍຊື່ບັນຊີທີ່ຍັງບໍ່ມີ MFA, ບັນຊີ Admin ທີ່ຍັງໃຊ້ SMS ແລະ Legacy Authentication ທີ່ຍັງເປີດຢູ່.