Управління дилемою пароля

Подивимося в очі, паролі смердять. Їх легко вкрасти, їх легше забути, і вони створюють роботу для вашого персоналу. Найгірше те, що вони насправді не дуже захищені з усіляких причин. Але поки ми з ними застрягли.

На щастя, ви можете зробити, щоб зменшити ризик, і що ще важливіше - підвищити рівень дотримання вимог, починаючи від Закону про переносимість та підзвітність медичного страхування (HIPAA) до Закону Сарбанаса-Окслі (SOX). Але вам також потрібно зробити це таким чином, що не додає вашому управлінському тягару більше, ніж потрібно, і це не надто дорого коштує. І, звичайно, для цього потрібно працювати у всіх місцях, де працюють ваші співробітники.

Перш ніж поспішати на пошук альтернативних паролів, можливо, це гарна ідея, щоб трохи подумати про свою політику паролів, пам’ятаючи, що їх потрібно використовувати людям. Це означає, що вимагання занадто довгих або занадто складних паролів фактично знизить їх ефективність, а також збільшить вартість для вас.

Їх ефективність знижується, оскільки люди записують їх, щоб вони не забули, або вони забудуть, і ваш ІТ-відділ повинен виконати скидання, що коштує вам грошей. Або вам потрібно додати функцію «забутий пароль», яка має свій набір ризиків та складностей.

Також потрібно подумати про свої вимоги щодо звичайних змін пароля. Ряд досліджень свідчать про те, що вони, мабуть, не потрібні і що вони мають такі ж недоліки, як надмірно складні або довгі паролі, за винятком того, що вони трапляються частіше.

Але навіть при раціональній політиці щодо паролів це все ще не дуже вдалий спосіб підтримувати рівень відповідності. Очевидно, що вам потрібно щось інше. Тут надходить другий фактор аутентифікації.

Другі фактори аутентифікації

Для великих організацій, де більшість працівників працюють в офісі, найбільш очевидним рішенням є використання значка посвідчення особи як другого чинника. Майже у всіх випадках, включаючи уряд та багато компаній Fortune 500, це означає прийняття смарт-карти як другого фактора. Це не новий підхід, і він широко використовується. Різниця полягає в тому, що вартість входу зараз значно нижча, оскільки Windows 10 тепер включає підтримку смарт-карт як технологію безпеки.

Але смарт-карти не завжди є найкращим рішенням для кожної компанії, і вони зовсім не рішення для переважно мобільної робочої сили. Незважаючи на те, що ви можете придбати ноутбуки з інтегрованим зчитувачем смарт-карт, ви не збираєтеся зробити це таким простим для своїх працівників, які використовують смартфони або планшети як частину своєї роботи.

Очевидним рішенням для мобільних користувачів може бути прийняття іншої форми двофакторної аутентифікації (2FA), наприклад, надсилання числового коду за допомогою SMS. Кожен доступний на даний момент телефон підтримує обмін текстовими повідомленнями, і хоча це тягне за собою невелику затримку доступу, поки користувачі чекають надходження текстового повідомлення, він насправді працює добре і це безпечно, оскільки для сучасних телефонів зазвичай потрібен біометричний вхід або власний пароль вони будуть працювати.

Але щоб бути ще безпечнішим, можна використовувати спеціальний додаток для отримання доступу до ваших систем даних. Проблема в тому, що вам потрібно буде розробити додаток для кожного типу смартфонів, якими користуються ваші співробітники. Ви також можете скористатися веб-додатком, але знову повернетесь до проблеми із паролем, якщо тільки ви не готові зробити якусь веб-розробку, яка б дозволила пройти автентифікацію через ваші смартфони працівника, що не є неможливим, але й не банальним.

На даний момент вам може бути цікаво про ці читачі друку цілої руки, які ви бачите в деяких центрах обробки даних, або ви можете задуматися про зчитувачі відбитків пальців або сканування сітківки. Усі вони можуть працювати добре, і вони очевидне рішення для високоцінних установок, таких як ваш центр обробки даних. Але вони вимагають значних інвестицій в інфраструктуру, і вони вимагають від людей, щоб ними керувати. Ми намагаємось подумати над способами покращення дотримання вимог, не додаючи людей і не витрачаючи занадто багато грошей.

Інші шляхи вдосконалення відповідності

Це означає, що вам потрібно буде скористатися не одним підходом. Для офісних працівників ви можете впроваджувати смарт-карти як фактор автентичності своїх співробітників. Це має переваги для фізичної безпеки, крім того, що допомагає виконувати вимоги, а вартість входу знаходиться в межах досяжності навіть менших організацій.

Для довідки, зчитувачі смарт-карт, які працюють з Windows, доступні у кількості від 1 до 10 доларів. Клавіатури з інтегрованими зчитувачами смарт-карт коштують всього 25 доларів у кількостях.

Для своїх мобільних користувачів, можливо, ви захочете подумати про використання SMS-повідомлень для 2FA. Це щось, що ви вже неодмінно бачили, чи працюєте ви з Apple, Microsoft чи рядом інших сайтів. Ряд компаній впорається з цим процесом. Один із прикладів - Twilio, але є й інші.

Важливо те, що ви можете зробити щось щодо дилеми пароля, не роблячи при цьому надмірного впливу на персонал або бюджет. Ваш шлях до дотримання буде простішим, оскільки ви забезпечили більшу безпеку доступу, і навіть можете полегшити навантаження на персонал, прийнявши політику, яка працює, додаючи також рівень безпеки. Для вас та вашої ІТ-команди це виграш з усіх боків.