Trả lời nhanh: MFA (xác thực đa yếu tố) bổ sung một lớp chứng minh danh tính ngoài mật khẩu. Với Microsoft 365, doanh nghiệp nên ưu tiên bảo vệ tài khoản quản trị, triển khai có nhóm thử nghiệm, chuẩn bị phương án khôi phục và hướng tới phương thức chống lừa đảo như passkey/FIDO2 khi phù hợp. Bật MFA mà không có kế hoạch hỗ trợ người dùng dễ dẫn đến tình trạng khóa tài khoản hoặc gây gián đoạn công việc.
Vì sao chỉ có mật khẩu mạnh vẫn chưa đủ?
Mật khẩu có thể bị lộ qua website giả mạo, tái sử dụng trên nhiều dịch vụ hoặc máy tính nhiễm mã độc. Nếu email doanh nghiệp bị chiếm quyền, kẻ tấn công có thể đọc thư, giả mạo yêu cầu thanh toán, tạo quy tắc chuyển tiếp email và thử truy cập các dịch vụ khác. Tác hại thường vượt xa việc mất một hộp thư.
MFA làm giảm rủi ro khi chỉ mật khẩu bị lộ, nhưng không phải lá chắn tuyệt đối. Người dùng vẫn có thể bị dụ phê duyệt thông báo đăng nhập hoặc truy cập website trung gian đánh cắp phiên đăng nhập. Vì vậy cần kết hợp đào tạo, phát hiện đăng nhập bất thường và bảo vệ thiết bị.
Phân biệt các cách xác thực thường gặp
| Phương thức | Lợi ích | Lưu ý |
|---|---|---|
| Mã OTP qua ứng dụng | Dễ tiếp cận với nhiều nhân viên | Vẫn có thể bị lừa cung cấp mã |
| Thông báo phê duyệt ứng dụng | Thuận tiện, có thể bổ sung xác nhận số | Phải kiểm tra yêu cầu lạ, tránh bấm chấp thuận máy móc |
| Passkey/FIDO2 | Gắn xác thực với tên miền hợp lệ, chống phishing tốt hơn | Cần kiểm tra tương thích thiết bị, cách đăng ký và khôi phục |
| SMS/điện thoại | Có thể là phương án chuyển tiếp trong một số bối cảnh | Mức bảo vệ hạn chế hơn; cần theo cập nhật chính sách Microsoft |
Microsoft khuyến nghị các vai trò quản trị nhạy cảm sử dụng phương thức MFA chống phishing. Khả năng áp dụng chính sách cụ thể phụ thuộc edition/license, loại tài khoản và cấu hình Microsoft Entra của doanh nghiệp.
Thứ tự bật MFA giúp giảm gián đoạn
- Kiểm kê: Xác định người dùng, tài khoản quản trị, hộp thư dùng chung, tài khoản dịch vụ và ứng dụng cũ.
- Chuẩn bị: Thông báo cho nhân viên, xác định kênh hỗ trợ, cách đổi điện thoại và kế hoạch recovery.
- Nhóm thí điểm: Chọn một nhóm đại diện có Windows, macOS và điện thoại khác nhau.
- Bảo vệ admin: Đăng ký phương thức mạnh phù hợp, thử đăng nhập dự phòng và kiểm tra tài khoản khẩn cấp.
- Mở rộng: Áp dụng theo phòng ban, theo dõi sign-in logs và ticket lỗi xác thực.
- Duy trì: Định kỳ rà soát phương thức cũ, thiết bị mất và tài khoản không còn sử dụng.
Đừng bật chính sách chặn rộng rãi ngay khi chưa xác nhận người quản trị đã đăng ký phương thức đáp ứng yêu cầu. Với các tenant có Conditional Access, có thể dùng chế độ báo cáo trước khi bật thực thi, tùy loại policy.
Khi nhân viên mất điện thoại phải làm sao?
Bộ phận IT cần xác minh danh tính qua quy trình độc lập trước khi thay đổi phương thức đăng nhập; không chỉ căn cứ vào cuộc gọi hay tin nhắn lạ. Sau khi xác minh, quản trị viên thu hồi phương thức không còn an toàn, hỗ trợ đăng ký thiết bị mới và xem lại lịch sử đăng nhập nếu có nghi ngờ lộ tài khoản.
Không nên dùng chung một thiết bị xác thực cho cả phòng ban. Hộp thư dùng chung nên được triển khai theo mô hình chia sẻ/phân quyền chính thức, tránh nhiều người sử dụng cùng mật khẩu của một account cá nhân.
Những chỉ số cần kiểm tra hàng tháng
- Tỷ lệ tài khoản đã đăng ký MFA và tỷ lệ thực sự bị áp dụng chính sách.
- Số tài khoản có đặc quyền cao chưa đăng ký phương thức chống phishing.
- Số tài khoản không sử dụng và quyền truy cập của bên thứ ba.
- Số yêu cầu reset MFA, sự cố khóa tài khoản và lý do phát sinh.
- Sự kiện đăng nhập đáng ngờ, ứng dụng cũ sử dụng phương thức xác thực không phù hợp.
Tài liệu kỹ thuật nên tham chiếu hướng dẫn Microsoft về phishing-resistant MFA. Nếu doanh nghiệp cần triển khai đồng bộ tài khoản, license và chính sách, xem giải pháp Microsoft 365 tại SMNET.
Câu hỏi thường gặp
MFA và passkey có phải là một?
Không hoàn toàn. MFA là yêu cầu nhiều yếu tố xác thực; passkey là một phương thức đăng nhập dựa trên khóa mật mã, được thiết kế chống phishing và có thể đáp ứng yêu cầu xác thực mạnh tùy nền tảng.
Đã bật MFA thì không còn bị hack email?
Không. Vẫn phải bảo vệ thiết bị, kiểm soát ứng dụng, rà soát đăng nhập và ngăn người dùng cấp quyền cho website lừa đảo.
Có nên bắt toàn bộ nhân viên dùng passkey ngay?
Nên kiểm thử trước với thiết bị và quy trình hỗ trợ thực tế; ưu tiên nhóm có rủi ro cao rồi mở rộng theo lộ trình.
