احراز هویت دو عاملی: راهنمای صنعت حسابداری

چرا احراز هویت دو عاملی در حسابداری تخصصی ضروری است

دفاتر حسابداری روزانه با داده‌های مالی بسیار محرمانه سروکار دارند: اظهارنامه‌های مالیاتی، ترازنامه‌ها، فیش‌های حقوقی، اطلاعات بانکی صدها شرکت مشتری. حملات فیشینگ به‌طور مرتب متوجه مشاغل تحت نظارت قانونی می‌شوند. در برابر این تهدید، احراز هویت دو مرحله‌ای (2FA) — که احراز هویت چندعاملی (MFA) نیز نامیده می‌شود — نخستین خط دفاعی فنی توصیه‌شده به شمار می‌رود.

احراز هویت دو مرحله‌ای بر یک اصل ساده استوار است: برای دسترسی به یک سیستم، کاربر باید هویت خود را از طریق دو عامل متمایز اثبات کند. عامل اول معمولاً «چیزی است که می‌داند» (یک رمز عبور)، عامل دوم «چیزی است که در اختیار دارد» (یک گوشی هوشمند، یک کلید فیزیکی) یا «چیزی است که هست» (داده‌های بیومتریک). این سازوکار حملات مبتنی بر سرقت تنها رمز عبور را تقریباً غیرممکن می‌سازد، حملاتی که از جمله رایج‌ترین علل نشت داده‌ها به شمار می‌روند.

برای متخصصان حسابداری، تطبیق با مقررات eIDAS و نیازمندی‌های شناسایی قوی دیگر گزینه نیست: این یک ضرورت نظارتی و اخلاقی است. این مقاله نحوه پیکربندی 2FA در دفتر خود، انتخاب ابزارهای مناسب و همراهی همکاران خود در این انتقال را مرحله به مرحله توضیح می‌دهد.

---

روش‌های احراز هویت دو عاملی متناسب با صنعت حسابداری

برنامه‌های احراز هویت (TOTP)

روش پرکاربرد‌ترین در دفاتر حسابداری استفاده از برنامه‌ای است که کدهای زمان‌محور را تولید می‌کند (TOTP — Time-based One-Time Password). راه‌حل‌هایی مانند Google Authenticator، Microsoft Authenticator یا Authy یک کد ۶ رقمی را تولید می‌کنند که هر ۳۰ ثانیه تجدید می‌شود. این کد با یک راز مشترک مرتبط است که در مرحله ثبت‌نام در برنامه ذخیره می‌شود (اسکن کد QR).

مزایای دفاتر: استقرار بدون هزینه اضافی، بدون اتصال کار می‌کند، متناسب با تقریباً تمام نرم‌افزارهای حسابداری (Sage، Cegid، ACD، MyUnisoft). نقصان: اگر همکار گوشی خود را گم کند، روند بازیابی باید پیش‌بینی شود (کدهای پشتیبان برای نگهداری در مکان ایمن).

کلیدهای امنیتی فیزیکی (FIDO2/WebAuthn)

برای دفاتری که حجم زیادی از داده‌های حساس را پردازش می‌کنند یا مشمول تدقیق‌های مکرر هستند، کلیدهای امنیتی سخت‌افزاری (مانند YubiKey یا Feitian) بالاترین سطح حفاظت را فراهم می‌کنند. بر اساس استانداردهای FIDO2 و WebAuthn، آن‌ها در برابر فیشینگ مقاوم هستند: کلید بطور رمزنگاری حوزه سایت را قبل از احراز هویت تأیید می‌کند، که حملات «man-in-the-middle» را خنثی می‌کند.

فزاینده‌ای درگاه‌های مالیاتی و پلتفرم‌های تسلیم اجباری (DGFiP، infogreffe) این استانداردها را پذیرفته‌اند. دفتری که صد تفویض را مدیریت می‌کند می‌تواند خرید کلیدها (حدود ۵۰-۸۰ یورو در واحد) را در چند هفته از طریق کاهش زمان مدیریت حوادث امنیتی بازگشت سرمایه کند.

OTP پیامکی: برای داده‌های حساس باید پرهیز کرد

اگرچه کدهای ارسال‌شده توسط پیامک در بسیاری از سیستم‌ها یک گزینه باقی می‌مانند، NIST آمریکایی (National Institute of Standards and Technology) آن‌ها را در سال ۲۰۱۶ از دسته روش‌های احراز هویت قوی مجدداً طبقه‌بندی کرده است. حملات SIM swapping (انتقال تقلبی شماره تلفن به کارت SIM کنترل‌شده توسط مهاجم) چند دفتر حسابداری فرانسوی را در سال‌های اخیر هدف قرار داده است. برای دسترسی به داده‌های مالیاتی یا ابزارهای امضای الکترونیکی برای دفاتر حقوقی و حسابداری، OTP پیامکی فقط باید به‌عنوان راه‌حل آخرین چاره در نظر گرفته شود.

---

چگونه احراز هویت دو عاملی را پیکربندی کنید: راهنمای گام به گام

مرحله ۱ — موجودی برنامه‌ها و تعریف محدوده

قبل از هرگونه استقرار فنی، فهرست جامعی از تمام برنامه‌های مورد استفاده در دفتر خود تهیه کنید:

• نرم‌افزارهای حسابداری: Cegid Loop، Sage 100 Cloud، ACD Inforce، Quadratus، MyUnisoft
• پیام‌رسان‌ها و ابزارهای همکاری: Microsoft 365، Google Workspace، Slack
• ابزارهای مدیریت اسناد و امضا: پلتفرم‌های تسلیم، ابزارهای گردش کار
• دسترسی‌های راه دور: VPN، RDP، دسکتاپ‌های مجازی
• درگاه‌های کلاینت: فضاهای تبادل اسناد با کلاینت‌ها

برای هر برنامه، بررسی کنید آیا 2FA موجود است (بخش «امنیت» تنظیمات) و چه روشی پشتیبانی می‌شود (TOTP، FIDO2، SMS). برنامه‌ها را بر اساس حساسیت داده‌های قابل دسترسی به اولویت طبقه‌بندی کنید.

مرحله ۲ — استقرار فنی و ثبت‌نام همکاران

برای Microsoft 365، پیکربندی از طریق درگاه Azure Active Directory (Entra ID) انجام می‌شود. «Security Defaults» را فعال کنید یا برای دفاتر بیش از ۱۰ همکار، سیاست‌های Accès conditionnel را پیکربندی کنید (از لایسنس Business Premium موجود). این سیاست‌ها 2FA را فقط در شرایط خاص الزامی می‌کنند: دسترسی از خارج دفتر، ورود از دستگاه ناشناخته، ساعت غیرمعمول.

برای نرم‌افزارهای حسابداری، روند بسته به ویرایشگر متفاوت است:

• Cegid Loop: تنظیمات امنیتی > فعال کردن احراز هویت دوگانه > تولید کدهای QR برای هر کاربر
• MyUnisoft: مدیریت > امنیت > احراز هویت قوی > اجبار 2FA برای تمام پروفیل‌ها
• Sage 100 Cloud: برای فعال‌کردن ماژول MFA با مدیریت Sage یا فروشنده‌تان تماس بگیرید

یک جلسه ثبت‌نام با هر همکار برنامه‌ریزی کنید (۱۵ تا ۲۰ دقیقه در ازای هر شخص). کدهای بازیابی خود را با هر کاربر یک برگه خلاصه توزیع کنید، تا در جای امن و فیزیکی نگهداری شود (صندوق دفتر، مثلاً).

مرحله ۳ — سیاست مدیریت و روندهای بحران

پیاده‌سازی فنی تنها نیمی از کار است. سیاست امنیتی مستند باید شامل موارد زیر باشد:

• چه کسی می‌تواند 2FA را موقتاً غیرفعال کند (فقط مدیریت سیستم، هرگز خود کاربر)
• روند از دست دادن دستگاه: بلوکه کردن فوری حساب، تولید مجدد کدهای پشتیبان، بازثبت‌نام نظارت‌شده
• فرکانس بررسی: حسابرسی شش‌ماهه دسترسی‌ها و روش‌های احراز هویت
• مدیریت ترک شغل: لغو فوری دسترسی‌ها و اسرار 2FA هنگام هرگونه ترک‌ دفتر

این سیاست به‌طور طبیعی در طرح تداوم فعالیت (PCA) و ثبت پردازش داده‌های خود بر اساس RGPD یکپارچه می‌شود. مراجعه به مرکز کمک Certyneo می‌تواند نمونه سیاست‌های متناسب با ساختارهای کوچک و متوسط فراهم کند.

---

ادغام 2FA با ابزارهای امضای الکترونیکی

امضای الکترونیکی پیشرفته یا معتبر، همان‌طور که توسط مقررات eIDAS تعریف می‌شود، شناسایی قوی امضاکننده را الزام می‌کند. عملاً، زمانی که دفتر شما نامه‌ای از ماموریت یا قرارداد خدمات را برای امضا به کلاینت ارسال می‌کند، پلتفرم امضا باید هویت امضاکننده را به‌طور سخت‌افزاری تأیید کند. این دقیقاً جایی است که 2FA دخیل می‌شود.

در پلتفرم‌های امضای منطبق بر eIDAS (سطح پیشرفته یا معتبر)، امضاکننده پیوندی را از طریق ایمیل دریافت می‌کند، سپس باید هویت خود را از طریق کانال دوم (SMS، برنامه احراز هویت یا گواهی معتبر) تأیید کند. این فرآیند یک مسیر حسابرسی ساعت‌دار و تأیید‌شده رمزنگاری ایجاد می‌کند، که اثبات غیرقابل رد در مورد اختلاف تشکیل می‌دهد — یک مسئله حیاتی برای متخصصان حسابداری که مسئولیت شخصی خود را در هر ماموریت به بازی می‌اندازند.

برای فهم سطوح مختلف امضا و انتخاب آن‌چه متناسب با جریانات اسناد شما است، خواندن راهنمای جامع امضای الکترونیکی توصیه‌شده است. کابینه‌هایی که از Certyneo استفاده می‌کنند از یکپارچگی بومی 2FA در مسیر امضا بهره‌مند می‌شوند، که اصطکاک برای امضاکننده را کاهش می‌دهد در حالی که سطح انطباق لازم را حفظ می‌کند.

توجه ویژه‌ای باید به نامه‌های ماموریت (اجباری بر اساس استاندارد حرفه‌ای ۲۴۰۰ OEC) و گزارش‌های بازرسی قانونی داشت: این اسناد مسئولیت شخصی متخصص را درگیر می‌کنند و نیازمند ردپایی احراز هویت بی‌نقص هستند. علاوه بر این، می‌توانید از یک تولیدکننده قرارداد توسط AI استفاده کنید تا ایجاد این اسناد را خودکار کنید و در حالی‌که نیازمندی‌های احراز هویت قوی را از طراحی یکپارچه کنید.

---

تدریس و آگاه‌سازی همکاران: عامل انسانی

سخت‌ترین استقرار فنی اگر همکاران مسائل را درک نکنند یا دستگاه‌های امنیتی را دور بزنند بی‌اثر می‌شود. در حسابداری تخصصی، تیم‌ها اغلب از پروفیل‌های بسیار متنوع تشکیل شده‌اند: سهامداران ارشد، همکاران جوان، کارآموز‌ها، دستیاران مدیریت. آموزش باید برای هر نقش تطبیق‌یافته باشد.

برنامه آگاه‌سازی توصیه‌شده برای دفتری با ۵ تا ۳۰ نفر:

1. جلسه راه‌اندازی (۱ ساعت): ارائه خطرات عملی (نمونه‌های واقعی بی‌نام در صنعت)، نمایش زنده پیکربندی، سؤالات و پاسخ‌ها
2. آموزش‌های ویدیویی کوتاه (۳-۵ دقیقه): یک آموزش برای هر برنامه حیاتی، موجود در اینترنت دفتر
3. تمرین فیشینگ شبیه‌سازی‌شده: ارسال ایمیل فیشینگ جعلی در ۳ ماه بعد از استقرار برای اندازه‌گیری هشیاری واقعی و شناسایی همکاران نیازمند کمک‌های اضافی
4. یکپارچگی در onboarding: هر همکار جدید در اولین روز خود 2FA را پیکربندی می‌کند، با یک مشاور اختصاص‌یافته

Ordre des Experts-Comptables (OEC) همچنین منابع آموزش مستمر در سایبر امنیتی را در چارچوب تعهدات آموزشی سالانه (۴۰ ساعت برای متخصصان حسابداری ثبت‌شده در جدول) فراهم می‌کند. این آموزش‌ها می‌تواند در روند کیفیت شما ارزیابی شوند اگر دفتر شما ISO 9001 معتبر باشد یا به‌دنبال معتبرهای سایبر امنیتی باشد (برچسب ExpertCyber از ANSSI).

چارچوب حقوقی قابل اعمال بر احراز هویت قوی در حسابداری تخصصی

پیاده‌سازی احراز هویت دو عاملی در دفتر حسابداری تخصصی در یک چارچوب تنظیمی متراکم، حول چندین متن بنیادی، گنجانده می‌شود.

Règlement eIDAS n°910/2014 و بازنگری eIDAS 2.0 (Règlement UE 2024/1183) مبنای مرجع برای هرچیز مربوط به شناسایی الکترونیکی در اروپا را تشکیل می‌دهند. مادهٔ ۸ سه سطح اطمینان برای وسایل شناسایی الکترونیکی تعریف می‌کند: ضعیف، موثر و عالی. برای اعمالی که مسئولیت حرفه‌ای متخصص حسابداری را درگیر می‌کند (امضای گزارش‌ها، تأیید فهرست‌های مالیاتی به‌صورت آنلاین)، سطح اطمینان «موثر» یا «عالی» مورد نیاز است، که الزاماً احراز هویت چند عاملی را به همراه دارد.

RGPD (Règlement UE 2016/679) در مادهٔ ۳۲ خود، مسئولان پردازش را مجبور می‌کند تا «اقدامات فنی و سازمانی مناسب» را برای تضمین امنیت داده‌های شخصی اعمال کنند. دفتر حسابداری تخصصی داده‌های شخصی حساس (داده‌های مالی، داده‌های سلامت از طریق فیش‌های حقوق با عطالت بیماری و غیره) را پردازش می‌کند. فقدان 2FA بر روی دسترسی‌های نرم‌افزار حسابداری احتمالاً نقض این مادهٔ است، که دفتر را در برابر جریمه‌هایی حداکثر ۴ درصد درآمد سالانه جهانی (مادهٔ ۸۳ RGPD) قرار می‌دهد.

Code civil، مواد ۱۳۶۶ و ۱۳۶۷، ارزش حقوقی امضای الکترونیکی را تنظیم می‌کند. مادهٔ ۱۳۶۷ مشخص می‌کند که «قابلیت اطمینان یک روش امضای الکترونیکی، تا ثابت شود غیر از این است، زمانی فرض می‌شود که این روش امضای الکترونیکی معتبر را اعمال کند». احراز هویت قوی جزء ضروری این فرض قابلیت اطمینان است.

Directive NIS2 (Directive UE 2022/2555) الزامات سایبر امنیتی را به طیف گسترده‌ای از نهادها گسترش می‌دهد. اگرچه دفاتر حسابداری تخصصی مستقیماً به‌عنوان نهادهای ضروری فهرست‌شده نیستند، کسانی که خدمات دیجیتال را برای نهادهای ضروری یا مهم (مؤسسات بهداشتی، دولت‌های محلی، شرکت‌های زیرساخت حیاتی) فراهم می‌کنند ممکن است از طریق قرارداد خدمات فراهم‌کننده تحت تعهدات باشند.

استاندارد حرفه‌ای ۲۴۰۰ Ordre des Experts-Comptables بر علاوه تعهد بهبود تقویت‌شده در امنیت سیستم‌های اطلاعات برای دفاتری که ماموریت‌های قانونی را پردازش می‌کنند تأکید می‌کند. ANSSI کاملاً MFA را به‌عنوان حداقل اقدام در راهنمای «امنیت سیستم‌های اطلاعات برای TPE/PME» (نسخهٔ ۲۰۲۴) توصیه می‌کند.

مسئولیت حرفه‌ای مدنی: در صورت نقض داده‌های کلاینت ناشی از عدم وجود 2FA، بیمه‌گر RCP دفتر می‌تواند خطای واضح را برای کاهش یا امتناع تضمین خود استدلال کند. توصیه شدت داشت تا مستندات فنی استقرار 2FA را به‌عنوان اثبات سعی صادقانه نگه‌دارید.

سناریوهای کاربردی تصویری: احراز هویت دومرحله‌ای (2FA) در دفاتر حسابداری

سناریو ۱ — یک دفتر کارشناسی حسابداری با اندازه متوسط

این سناریوها جنبه تصویری دارند: آن‌ها موقعیت‌های نمونه را توصیف می‌کنند و هیچ نتیجه اندازه‌گیری‌شده نزد مشتری واقعی گزارش نمی‌کنند. دفتری با حدود پانزده همکار و مدیریت تقریباً ۴۰۰ پرونده فعال، پس از حادثه فیشینگی که نزدیک بود دسترسی به نرم‌افزار حقوق و دستمزد را به خطر بیندازد، تصمیم گرفت 2FA را در تمام ابزارهای خود مستقر کند. مدیریت دفتر، Microsoft Authenticator را برای Microsoft 365 (ایمیل، SharePoint، Teams) و اپلیکیشن‌های بومی TOTP نرم‌افزار حسابداری ابری خود را انتخاب کرد.

استقرار در سه مرحله انجام می‌شود: مرحله موجودی‌گیری و پیکربندی، مرحله ثبت‌نام همکاران در گروه‌های پنج‌نفره، و مرحله پایش و رفع مشکلات. احراز هویت دومرحله‌ای ریسک به خطر افتادن حساب‌ها را کاهش می‌دهد، و زمان مدیریت حوادث امنیتی می‌تواند کاهش یابد. دفتر همچنین می‌تواند در برابر چند مشتری بزرگ (از جمله یک شرکت صنعتی کوچک و متوسط که منشور امنیتی تأمین‌کنندگان را الزامی کرده) ثابت کند که سامانه‌هایش الزامات MFA را رعایت می‌کنند. میزان واقعی سود باید در محدوده واقعی، پیش و پس از یک آزمایش پایلوت، سنجیده شود.

سناریو ۲ — یک دفتر تخصصی در حسابرسی قانونی شرکت‌های کوچک و متوسط

یک دفتر حسابرسی قانونی که حدود شصت پرونده حسابرسی را مدیریت می‌کند، با یک نیاز خاص روبه‌رو شد: مشتریان آن به‌طور فزاینده‌ای در زمان تمدید مأموریت‌ها، مدرکی برای تطابق با GDPR درخواست می‌کنند. این دفتر تصمیم گرفت کلیدهای امنیتی FIDO2 را برای شرکا (دسترسی به حساس‌ترین پرونده‌ها) و اپلیکیشن‌های TOTP را برای همکاران ارشد مستقر کند، در حالی که پیامک OTP تنها برای دسترسی‌های کم‌حساسیت باقی ماند.

به‌طور موازی، دفتر امضای الکترونیکی پیشرفته را در جریان گزارش‌های حسابرسی خود با احراز هویت قوی اجباری امضاکننده ادغام می‌کند. به‌لطف ردپای حسابرسی تولیدشده، اختلافی با مشتری که تاریخ واقعی تحویل یک گزارش را مورد مناقشه قرار می‌دهد، می‌تواند با ارائه گزارش‌های ثبت‌شده و زمان‌مهر احراز هویت حل شود. کوتاه‌تر شدن زمان امضای گزارش‌ها، صدور صورتحساب را روان‌تر می‌کند و می‌تواند جریان نقدی دفتر را بهبود بخشد. میزان واقعی سود باید در محدوده واقعی، پیش و پس از یک آزمایش پایلوت، سنجیده شود.

سناریو ۳ — یک دفتر در مرحله رشد از طریق ادغام

یک شبکه منطقه‌ای از دفاتر حسابداری که در دو سال سه ساختار مستقل را جذب کرده بود، با ناهمگونی قابل‌توجهی در سامانه‌ها مواجه شد: برخی از دفاتر جذب‌شده هیچ سیاستی برای 2FA نداشتند، در حالی که برخی دیگر از پیامک OTP استفاده می‌کردند. این گروه از فرصت این ادغام برای یکپارچه‌سازی روی یک راهکار واحد مدیریت هویت و دسترسی (IAM — Identity and Access Management) با 2FA اجباری استفاده کرد.

سرمایه‌گذاری اولیه (مجوزهای IAM، آموزش، همراهی) باید برای کل گروه (حدود ۴۵ همکار) محاسبه شود. در مقابل، هزینه‌های مرتبط با حوادث امنیتی (دخالت پیمانکار فناوری اطلاعات، مدیریت بحران) می‌توانند محدود شوند. این گروه همچنین می‌تواند مستندات استقرار احراز هویت دومرحله‌ای را به بیمه‌گر خود ارائه دهد تا درباره حق بیمه سایبری خود گفت‌وگو کند. میزان واقعی سود باید در محدوده واقعی، پیش و پس از یک آزمایش پایلوت، سنجیده شود.