Como Impor a MFA em Toda a Sua Organização do Google Workspace

A autenticação multifator é o controlo de segurança com o maior retorno que a maioria das organizações pode implementar, e no Google Workspace chama-se Verificação em Duas Etapas (2SV). O problema está na palavra *impor*. Disponibilizar a MFA é fácil e praticamente inútil — as contas com maior probabilidade de serem atacadas são as menos propensas a aderir voluntariamente. A proteção real vem da imposição: exigi-la em toda a organização, com os fatores certos e um processo de implementação que não deixe ninguém bloqueado. Este artigo é esse plano de implementação.

Porque "disponível" não é "imposto"

Se a 2SV for opcional, a adoção segue o caminho de menor resistência: o pessoal técnico e consciente da segurança inscreve-se; executivos ocupados e contas associadas a serviços não o fazem. Os atacantes sabem disto. Os ataques de phishing de credenciais e de reutilização de palavras-passe têm como alvo exatamente as contas que não se inscreveram. Um controlo opcional protege as pessoas que menos precisavam dele.

A imposição inverte essa situação. Quando a 2SV é obrigatória, uma palavra-passe roubada deixa de ser suficiente para tomar controlo de uma conta — o que neutraliza, com uma só medida, a via mais comum de comprometimento de contas.

Escolha os seus fatores de forma deliberada

Nem todos os segundos fatores são iguais. Do mais forte para o mais fraco:

• Passkeys e chaves de segurança físicas (FIDO2). Resistentes a phishing: vinculam-se criptograficamente ao site legítimo, pelo que uma página de phishing não os consegue retransmitir. O padrão de excelência, fortemente recomendado para administradores e outras contas de elevado valor.
• Google prompt / aplicação de autenticação (TOTP). Uma melhoria sólida em relação às palavras-passe, mas um kit de phishing em tempo real e determinado pode retransmitir um código de utilização única. Adequado para a generalidade dos utilizadores.
• Códigos por SMS. Melhor do que nada, mas vulnerável a ataques de SIM-swapping e interceção. Aceitável como alternativa de reserva, não como fator principal.

Uma política sensata: exigir fatores fortes e resistentes a phishing para administradores e grupos sensíveis, permitir códigos baseados em aplicação para os restantes, e minimizar o uso de SMS.

Uma implementação faseada que evita bloqueios

O receio que trava a imposição da MFA é o de bloquear o acesso das pessoas. Faseie a implementação para eliminar esse risco:

1. Comunique primeiro. Informe a organização sobre o que vai mudar, porquê e até quando. Forneça instruções de inscrição. Uma imposição surpresa gera pedidos de suporte técnico e descontentamento.
2. Abra uma janela de inscrição. Ative a 2SV como disponível e defina um prazo. Acompanhe o progresso das inscrições para saber quem ainda não se inscreveu.
3. Incentive os retardatários. À medida que o prazo se aproxima, lembre as contas que ainda não se inscreveram. É nesta fase que a maior parte da cauda longa se inscreve.
4. Imponha com um período de carência para novos utilizadores. Ative a imposição, mas configure um período de carência para contas recém-criadas, para que a integração não fique bloqueada logo no primeiro início de sessão.
5. Distribua opções de recuperação. Certifique-se de que os utilizadores têm códigos de reserva ou um segundo fator registado, para que a perda de um telemóvel seja um inconveniente menor, e não um bloqueio.
6. Trate as exceções de forma restrita. Algumas contas de serviço ou partilhadas podem, de facto, ter dificuldade com a 2SV interativa. Transfira-as para um modelo de autenticação mais adequado (chaves de conta de serviço, tratamento dedicado), em vez de introduzir isenções generalizadas na sua política de utilizadores.

A consola de administração suporta a imposição ao nível da unidade organizacional, pelo que pode fazer um projeto-piloto com o departamento de TI, depois com um departamento, e só depois com toda a organização — reduzindo ainda mais o risco da implementação.

Armadilhas comuns

• Isentar executivos "por conveniência". As contas de maior valor são as piores para isentar. Pelo contrário, devem estar sujeitas aos fatores *mais fortes*.
• Permitir apenas SMS. Cumpre o requisito formal, mas deixa aberta a porta do SIM-swapping. Insista em fatores baseados em aplicação ou em hardware.
• Esquecer contas de serviço e partilhadas. Estas costumam ter acesso significativo e escapam à autenticação interativa. Gira-as de forma deliberada — veja como detetar agentes de IA e contas de serviço de risco.
• Tratá-la como algo pontual. Novas contas, novas exceções e o desvio de políticas significam que a imposição precisa de verificação periódica, e não de um único interruptor.

Verifique a imposição — não a pressuponha

Ativar a política e confirmar que ela está *efetivamente aplicada a todas as contas* são duas coisas diferentes. Contas criadas antes da política, contas numa unidade organizacional isenta, ou contas apanhadas num período de carência podem ficar silenciosamente fora da imposição. Parte de uma postura saudável de segurança do Google Workspace — e um controlo que os auditores de SOC 2 examinam especificamente ao abrigo da CC6.1 — consiste em verificar que a imposição da MFA se mantém em toda a organização, e não apenas que o interruptor está ativado.

Este é exatamente o tipo de configuração sujeita a desvio, e o tipo que os auditores lhe pedem para comprovar. Uma ferramenta de avaliação de postura que verifica as definições em toda a organização assinala onde a 2SV não está a ser imposta (quando a visibilidade administrativa relevante está disponível), de modo a que "impomos a MFA" seja um facto verificado, e não uma suposição.

Lidar com os casos difíceis

A maioria das contas inscreve-se sem incidentes. Algumas categorias exigem um tratamento deliberado, e a forma como as trata determina muitas vezes se a imposição se mantém realmente eficaz:

• Executivos e VIPs. São os principais alvos de phishing e os mais propensos a pedir uma exceção. Devem estar sujeitos aos fatores mais fortes, em vez de serem isentos. Uma conta executiva comprometida está entre os piores resultados possíveis; a conveniência não vale essa troca.
• Caixas de correio partilhadas e contas de função. A 2SV interativa adequa-se a um indivíduo, não a uma caixa de correio usada por cinco pessoas. Remodele-as como acesso delegado a contas protegidas individualmente, de modo a que a proteção acompanhe pessoas reais.
• Contas de serviço e automação. Estas não deveriam fazer inícios de sessão interativos de todo. Autentique-as com credenciais de conta de serviço geridas separadamente, e trate-as como as identidades não humanas que são.
• Pessoal de terreno e trabalhadores da linha da frente. Pessoas sem smartphone ou com conectividade limitada precisam de um fator viável — chaves físicas ou códigos de reserva — planeado antes do dia da imposição, e não improvisado no suporte técnico.

O princípio comum a todos estes casos: não introduza isenções generalizadas na sua política de utilizadores para acomodar alguns casos excecionais. Resolva cada caso com o mecanismo certo, para que a base se mantenha intacta.

Depois da implementação: manter a imposição

A imposição não é uma linha de chegada. Novas contas, unidades organizacionais recém-criadas e exceções pontuais criam todas elas caminhos para que a cobertura se perca. Incorpore uma verificação recorrente na sua rotina: confirme que a 2SV se mantém imposta em todas as unidades organizacionais, que nenhuma isenção se tornou silenciosamente permanente, e que os fatores fortes continuam a ser exigidos onde os exigiu. O controlo mais forte do mundo perde eficácia se ninguém confirmar que ainda está ativo — e "impomos a MFA" deve ser uma afirmação que consegue provar, não uma que espera que ainda seja verdadeira.

A 8200.dev audita a configuração administrativa do seu Google Workspace — incluindo a imposição da Verificação em Duas Etapas, os controlos de partilha e a autenticação de e-mail — e assinala os desvios com ligações diretas para a definição em causa. Veja como funciona.

Quer confirmar que a MFA está realmente imposta em todo o lado? Inicie a sua auditoria de segurança gratuita e obtenha uma avaliação da postura de identidade e configuração do seu Google Workspace.