Implementing FIDO2 for Admins is a Tactical Move. Implementing FIDO2 for Everyone is Strategic
(suomeksi alla)
The one thing we have learned from implementing FIDO2 security in our customer cases, is that everyone begins their phishing-resistant authentication implementation with administrators, privileged accounts, VPN users and IT staff. This makes sense because these accounts are high value, they carry the greatest risk, and they provide the easiest environment to technically implement FIDO2. This is a tactical move that brings a good level of hygiene to any IT operation.
Yet, there is a growing realization that limiting FIDO2 deployment to privileged users only, does not address the phishing problem. The reality is that most modern attacks do not begin with the administrator account. They begin with ordinary users. Finance teams receive invoice fraud attempts. HR staff receive malicious attachments and credential harvesting emails. Procurement and customer support teams are targeted through supplier impersonation and SaaS account compromise campaigns. Remote employees routinely interact with cloud services outside traditional network boundaries. In real life, the workforce itself has become the primary attack surface.
This is why implementing FIDO2 authentication for IT admins is a tactical move, and why going full-in with FIDO2 across the whole organization is the strategic move that must be done to change the situation. A tactical deployment protects the most sensitive accounts. A strategic deployment changes the organization’s overall exposure to phishing and credential theft.
From our experience on the field, which is also supported by studies, we can name five major benefits of going full-in with FIDO2 to all users:
1. Elimination of phishing-related risk
Traditional MFAs such as SMS OTP, mobile push approvals and one-time passcodes rely on shared secrets or approval workflows that attackers can easily bypass. FIDO2 is based on cryptographic authentication tied to a physical security key which is bound to a legitimate service origin. As a result, credential phishing, MFA relay attacks and account takeover attempts are no longer possible.
2. Organizational resilience
When phishing-resistant authentication is deployed across the workforce rather than only for IT administrators, the organization reduces the number of weak entry points available to attackers. This is important because typical compromise chains rely on lateral movement after an initial user account breach. Even if the first compromised user is not privileged, attackers use that foothold to escalate access, abuse delegated permissions, or compromise SaaS environments. Enterprise-wide FIDO2 deployment interrupts that process all together.
3. Improved compliance and audit readiness
European regulations NIS2, DORA and CRA are increasing requirements around strong authentication, privileged access protection, and operational resilience. Cyber insurance providers are also becoming more demanding about MFA quality. Organizations that implement phishing-resistant authentication across their workforce are in a stronger position during audits, supplier assessments, and insurance reviews because the control is not limited to a narrow subset of accounts.
4. Improved customer and partner trust
Organizations that can demonstrate phishing-resistant authentication, modern identity controls and strong credential management practices are viewed as lower-risk suppliers and service providers. Security also influences procurement decisions in regulated industries and supply chains. In sectors concerned by NIS2 requirements, phishing-resistance is already an expected baseline.
5. Strategic alignment with Zero Trust initiatives
Passwords continue to generate operational cost, user friction, and support overhead. Legacy MFA introduces complexity due to mobile dependency, recovery workflows, and MFA fatigue. FIDO2 provides a foundation for reducing that complexity over time. Organizations that deploy it across the organization can simplify on-boarding, reduce password reset volume and build a more scalable identity architecture for cloud-first environments.
Operational deployment of FIDO2 authentication across the organization user-base is therefore a strategic move. In our experience every organization already understands the security value of phishing-resistance, but the larger challenge has clearly been the rolling out of FIDO2 authentication at enterprise scale. FIDO2 token enrollment workflows, logistics, credential lifecycle management and replacement handling are slowing down token adoption beyond IT admins and privileged users. The SpearID® authentication platform provides a suite of solutions that combine pre-registration, managed token enrollment and fulfillment services, and automated credential lifecycle management, that radically changes this equation.
What we see, is that organizations that currently reap the greatest benefits from FIDO2 authentication, are not the ones with the strictest admin policies, instead they are the ones that treat phishing-resistant authentication as their baseline workforce identity solution.
Protecting IT administrators is obviously critically important, but protecting the overall workforce truly changes the organization’s security posture for good.
The SpearID® authentication platform provides the following solutions for successful FIDO2 implementation:
SpearID® FIDO2 tokens, smartcards and authentication devices
SpearID® Now for the automation of Microsoft Entra ID FIDO2 token pre-registration and mass rollout
SpearID® One Business for cloud passwordless SSO
SpearID® One Enterprise for FIDO2/passkey lifecycle management, workstation, RDP/VDI and offline authentication
The time is right to take a strategic move towards IT resilience. Don’t hesitate to contact Spear sales to learn how we can help you to take this move.
FIDO2:n käyttöönotto järjestelmänvalvojille on taktinen siirto. FIDO2:n käyttöönotto kaikille on strateginen siirto.
Yksi asia, jonka olemme oppineet FIDO2-tuotteiden käyttöönotosta asiakastapauksissamme, on se, että kaikki aloittavat tietojenkalastelunkestävän todennuksen käyttöönoton järjestelmänvalvojista, etuoikeutetuista tileistä, VPN-käyttäjistä ja IT-henkilöstöstä. Tämä on järkevää, koska nämä tilit ovat erityisen tärkeitä, niihin liittyy suurin riski ja ne tarjoavat helpoimman ympäristön FIDO2:n tekniseen käyttöönottoon. Tämä on taktinen toimenpide, joka tuo hyvän turvallisuustason mihin tahansa IT-toimintaan.
Silti yhä useammat ovat tulleet siihen tulokseen, että FIDO2:n käyttöönoton rajoittaminen pelkästään etuoikeutettuihin käyttäjiin ei ratkaise kalastelun tuomia ongelmia. Todellisuudessa useimmat nykyaikaiset hyökkäykset eivät ala järjestelmänvalvojan tililtä, vaan tavallisilta käyttäjiltä. Talousosastot saavat laskupetoksyrityksiä. Henkilöstöhallinnon työntekijät saavat haitallisia liitteitä ja tunnistetietojen kalastelua koskevia sähköposteja. Hankinta- ja asiakastukitiimejä kohdennetaan kampanjoilla, joissa esiintytään toimittajina ja joiden tarkoituksena on kaapata SaaS-tilejä. Etätyöntekijät ovat säännöllisesti tekemisissä pilvipalveluiden kanssa perinteisten verkkorajojen ulkopuolella. Todellisuudessa työntekijät itse ovat tulleet ensisijaiseksi hyökkäyskohteeksi.
Siksi FIDO2-todennuksen käyttöönotto IT-järjestelmänvalvojille on taktinen siirto, ja siksi FIDO2:n täysimääräinen käyttöönotto koko organisaatiossa on strateginen siirto, joka on välttämätön tilanteen muuttamiseksi. Taktinen käyttöönotto suojaa kaikkein arkaluontoisimpia tilejä. Strateginen käyttöönotto muuttaa organisaation yleistä alttiutta tietojenkalastelulle ja tunnistetietojen varkauksille.
Käytännön kokemuksemme perusteella, jota myös tutkimukset tukevat, voimme mainita viisi merkittävää etua, joita FIDO2:n täysimääräinen käyttöönotto kaikille käyttäjille tuo mukanaan:
1. Kalasteluriskien poistaminen
Perinteiset monivaiheiset todennusmenetelmät (MFA), kuten tekstiviestillä lähetetyt kertakäyttöiset salasanat (OTP), push-ilmoituksena tulevat hyväksyntäpyynnöt ja kertakäyttöiset tunnuskoodit, perustuvat jaettuihin salasanoihin tai hyväksyntäprosesseihin, jotka hyökkääjät voivat helposti kiertää. FIDO2 perustuu salausteknologiaan pohjautuvaan todennukseen, joka on sidottu fyysiseen turva-avaimeen, joka puolestaan on liitetty lailliseen palvelun lähteeseen. Tämän ansiosta tunnistetietojen kalastelu, MFA-välityshyökkäykset ja tilien kaappausyritykset eivät enää ole mahdollisia.
2. Organisaation sietokyky
Kun kalastelunkestävä todennus otetaan käyttöön koko henkilöstön keskuudessa eikä vain IT-järjestelmänvalvojille, organisaatio vähentää hyökkääjien käytettävissä olevien heikkojen pääsypisteiden määrää. Tämä on tärkeää, koska tyypilliset hyökkäysketjut perustuvat sivuttaiseen liikkumiseen alkuperäisen käyttäjätilin murtautumisen jälkeen. Vaikka ensimmäinen murrettu käyttäjä ei olisikaan etuoikeutettu, hyökkääjät käyttävät tätä jalansijaa laajentaakseen pääsyään, väärinkäyttääkseen delegoituja käyttöoikeuksia tai vaarantaakseen SaaS-ympäristöjä. Koko yrityksen laajuinen FIDO2-käyttöönotto keskeyttää tämän prosessin kokonaan.
3. Sääntöjen parempi noudattaminen ja auditointivalmius
Eurooppalaiset NIS2-, DORA- ja CRA-asetukset kiristävät vaatimuksia vahvan todennuksen, etuoikeutettujen käyttöoikeuksien suojauksen ja toiminnallisen kestävyyden osalta. Myös kybervakuutusyhtiöt asettavat yhä tiukempia vaatimuksia monivaiheisen todennuksen (MFA) laadulle. Organisaatiot, jotka ottavat käyttöön kalasteluhyökkäyksiltä suojatun todennuksen koko henkilöstönsä keskuudessa, ovat vahvemmassa asemassa auditointien, toimittajien arviointien ja vakuutustarkastusten yhteydessä, koska valvonta ei rajoitu vain pieneen osaan tileistä.
4. Asiakkaiden ja yhteistyökumppaneiden luottamuksen vahvistuminen
Organisaatiot, jotka pystyvät osoittamaan käyttävänsä kalastelunkestävää todennusta, nykyaikaisia identiteetin hallintamenetelmiä ja vahvoja tunnistetietojen hallintakäytäntöjä, nähdään matalamman riskin toimittajina ja palveluntarjoajina. Turvallisuus vaikuttaa myös hankintapäätöksiin säännellyillä toimialoilla ja toimitusketjuissa. NIS2-vaatimusten piiriin kuuluvilla aloilla kalastelunkestävyys on jo odotettu vähimmäisvaatimus.
5. Strateginen yhdenmukaistaminen Zero Trust -aloitteiden kanssa
Salasanat aiheuttavat edelleen toimintakustannuksia, käyttäjille hankaluuksia ja tukikustannuksia. Perinteinen monivaiheinen todennus (MFA) lisää monimutkaisuutta, koska se on riippuvainen mobiililaitteista, palautusprosesseista ja käyttäjien kyllästymisestä monivaiheiseen todennukseen. FIDO2 tarjoaa perustan, jonka avulla tätä monimutkaisuutta voidaan vähentää ajan myötä. Organisaatiot, jotka ottavat sen käyttöön koko organisaatiossaan, voivat yksinkertaistaa uusien käyttäjien käyttöönottoa, vähentää salasanojen nollausmääriä ja rakentaa skaalautuvamman identiteettiarkkitehtuurin pilvipohjaisiin ympäristöihin.
FIDO2-todennuksen käyttöönotto koko organisaation käyttäjäkunnassa on siten strateginen askel. Kokemuksemme mukaan jokainen organisaatio ymmärtää jo kalasteluhyökkäyksiltä suojautumisen turvallisuusarvon, mutta suurempi haaste on selvästi ollut FIDO2-todennuksen käyttöönotto yritystasolla. FIDO2-tunnisteiden rekisteröintiprosessit, logistiikka, tunnistetietojen elinkaaren hallinta ja korvaavien tunnisteiden käsittely hidastavat tunnisteiden käyttöönottoa muualla kuin IT-järjestelmänvalvojien ja etuoikeutettujen käyttäjien keskuudessa. SpearID®-todennusalusta tarjoaa ratkaisukokonaisuuden, joka yhdistää ennakkorekisteröinnin, hallinnoidut tunnisteiden rekisteröinti- ja toimituspalvelut sekä automatisoidun tunnistetietojen elinkaaren hallinnan, mikä muuttaa tilannetta radikaalisti.
Havaitsemme, että organisaatiot, jotka tällä hetkellä hyötyvät eniten FIDO2-todennuksesta, eivät ole niitä, joilla on tiukimmat järjestelmänvalvojakäytännöt, vaan ne, jotka pitävät tietojenkalastelulta suojaavaa todennusta henkilöstönsä identiteetinhallinnan perusratkaisuna.
IT-järjestelmänvalvojien suojeleminen on tietenkin äärimmäisen tärkeää, mutta koko henkilöstön suojeleminen todella muuttaa organisaation tietoturvatilannetta pysyvästi parempaan suuntaan.
SpearID®-todennusalusta tarjoaa seuraavat ratkaisut FIDO2-standardin onnistuneeseen käyttöönottoon:
SpearID® FIDO2 -tunnisteet, älykortit ja todennuslaitteet
SpearID® Now Microsoft Entra ID:n FIDO2-tunnisteiden esirekisteröinnin ja laajamittaisen käyttöönoton automatisointiin
SpearID® One Business pilvipohjaiseen salasanattomaan SSO:hon
SpearID® One Enterprise FIDO2- ja salasanattomien avainten elinkaaren hallintaan, työasemiin, RDP/VDI-ympäristöihin sekä offline-todentamiseen
Nyt on oikea hetki ryhtyä strategisiin toimiin IT-järjestelmien kestävyyden parantamiseksi. Ota rohkeasti yhteyttä Spearin myyntitiimiin ja selvitä, miten voimme auttaa sinua tässä muutoksessa.