Çalıştığım bir yerde çok basit bir yöntem vardı.

Son kullanıcıları periyodik olarak şifre kırma ve kimlik avı e-postaları yoluyla rastgele test ediyorlardı.

Başarısız olan herkes tekrar çevrimiçi güvenlik kursuna katılmak zorunda kaldı ....

Bu, gerçek bir disiplin cezasına gerek kalmayacak kadar acıydı. Kursa tekrar girmek zorunda kalmaları onları dikkatli olmaları için yeterliydi.

Böyle bir politika uygulayabilirseniz, özellikle yaşlı insanlarda işe yarayacaktır. Biliyorum, ben de öyleyim.

İyi çalışmasının nedeni, insanların canını sıkması, ancak protesto için yeterli olmaması. Eğer sinirlenirlerse, cevap basittir. "Bir güvenlik ihlali oldu, disiplin değil yeniden eğitiliyorsunuz".

Amaç cezalandırmak değil davranışı düzeltmektir.

Bu normalde, konu hakkında herhangi bir diyaloğa ihtiyaç duyulmaksızın kullanıcılar üzerinde şifre karmaşıklığı zorlanarak halledilir.

Bunu yapmak istemezsiniz, bu da sizin açınızdan bir güvenlik gevşekliği olduğunu gösterir. BT, hafifletme araçları varken kolay yolu seçtikleri için kullanıcıları suçlamamalıdır.

Güvenliği gerçekten ciddiye alırsanız, bu senaryoda onu elde etmek için normal yöntemi kullanmanızı öneririm.

Bir gösteri, en etkili teknik olabilir. Şifrelerini, çalınan şifrelerden oluşan bu veri tabanına karşı test etmelerini önermeyi deneyin: https://haveibeenpwned.com/Passwords

Çalınmış olup olmadıklarını görmek için e-posta adreslerini de kontrol edebilirler çok: https://haveibeenpwned.com/

Bu veritabanında bir şifre olması, kırmanın kolay olacağı anlamına gelir. Hem bir e-posta adresinin hem de şifrenin çalınması, herhangi bir hesabın bunları kullanmasının tehlikeye girme olasılığının çok yüksek olduğu anlamına gelir.

Bu, yukarıdan gelmesi gereken bir direktiftir.

Bir politikanın uygulanacağı çok zor bir konumdasınız. Son kullanıcıların tonlarca geri dönüşü oldu.

Tam da bununla karşılaştım ve en başarılı bulduğum şey, üst yönetimin satın almasını sağlayan ve politikanın yalnızca aşağı çekmekle kalmayıp, çalışanlar çözümün bir parçası ( Smokey The Bear "Orman yangınlarını yalnızca siz önleyebilirsiniz" dediği gibi)

Tartışmayı şimdiden kısa ve öz bir "adım" a koydunuz yönetim:

• şirketler risk ve itibar
• mevcut gelen tehditler
• şirketin yasal maruziyeti ve sorumluluğu

Siz Rahat olduğunuz bir güvenlik politikasına dahil olmak için bunu yönetime satmanız yeterlidir

Kullanıcılarla ilgili sorunları ele alırken aşağıdaki noktaları göz önünde bulundurun:

• "Cevaplar" ("politika" olarak da bilinir) doğrudan yöneticilerinden / denetçilerinden gelmelidir. Güvenlik kararlarını almanıza / gerekçelendirmenize gerek yoktur.

• Bu politika, çalışan el kitabı / el kitabı ve kuruluşunuz için Kabul Edilebilir Kullanım Politikası içinde kodlanmalıdır

• Güvenlik sorusuyla ilgili sorularını / endişelerini ele alan, onlara kolayca başvurabileceğiniz bir SSS oluşturulmalıdır; belirli soruları / yanıtları ve neden "eski yöntem" in artık kullanılmadığını vurgulamak için fazladan çaba gösterin.

• Gelişmiş güvenlik önlemleri (mevcut kullanıcı adı / şifre kimlik doğrulamasına ek olarak) ancak bunlarla sınırlı değildir:

  • biyometrik kimlik doğrulama
  • kimlik bilgisi otomasyonu
  • iki faktörlü kimlik doğrulama

BT kariyerimin çoğunda, güvenliğin bir ürün değil, bir metodoloji olduğunu söyledim. İnsanlar (özellikle yukarıdan) satın almazsa, başarılı olamazsınız. Bu nedenle ....

Patronunuz sizi bununla görevlendirdiyse, vizyonu / politikayı / metodolojiyi yükseltmek ve satmak için patronunuzla konuşmanız gerekir. Bu olmadan başarılı olamazsınız.

[...] şu anda yeni bir BT altyapısı kuruyoruz [...]

Mükemmel. Bunun, kimlik doğrulama döngünüze çok faktörlü kimlik doğrulama katmanı eklemek için mükemmel an olduğunu söyleyebilirim.

Bu şekilde şifre politikalarını koruyabilirsiniz makul bir insan sınırı dahilinde (eğer onları çok sık değiştirirseniz veya parolaları çok uzun ya da çok karmaşık hale getirirseniz, bu durum post-it kullanımını ve desteklenmesi gereken çağrıların sayısını artıracak) ve yine de hesabın açığa çıkma riskini minimumda tutar.

Kurumsal bir şifre yöneticisi kullanın. Bu, kullanıcıların hayatını kolaylaştıran ve politikaya uyan şifrelerin kullanılmasını teşvik eden bir özellik sağlar ve yöneticilerin / BT'nin uyumluluk hakkında rapor vermesine olanak tanır.

Çoğu şifre yöneticisinin, yeniden kullanılan veya zayıf şifreleri kontrol eden bir "puan kartı" vardır. Bu, güçlü şifreler kullanmayan uygunluk ve koç personelini göstermek için kullanılabilir.

Bu, kullanıcılar için bir kolaylık veya iyileştirme olarak sunulabilir ve sunulmalıdır. Çok sayıda güçlü parolayı hatırlama yükünden kurtulmuşlardır, güçlü bir parolayı hatırlamaları ve iki faktörlü koda veya cihaza sahip olmaları gerekir.

Aşağıdakiler gibi üçüncül faydalar da vardır:

• Kilitlemek için eski veya kullanılmayan hesapları bulabilme
• bir kullanıcı erişiminden şirketten ayrılırsa şifre yöneticisi erişimini devre dışı bırakıp ardından eski hesaplarını kilitlemek / kaldırmak için şifre yöneticisini kullanarak hızlı bir şekilde kısıtlanabilir.
• Varsayılan olarak kurumsal karmaşıklık politikasına uyacak şekilde şifre oluşturma stratejilerinin önceden tanımlanması
• bu, hem modern SSO hem de MFA seçeneklerinin yanı sıra eski eski seçeneklerle şimdi çalışan bir araçtır. Modernizasyon çabalarını tamamlar.

Ne yazık ki, aynı basit şifreleri kullanmaya devam edecek birçok kişi var ve onları değiştirmenin önemini anlamalarını sağlamak için yalnızca ciddi bir ihlal yeterli olacaktır. Bağlamdan bakıldığında, katı yeni şifre kurallarının uygulanması, çalışanlarınızın değişmesine neden olacak gibi görünüyor. Motivasyon tek başına işe yarayacakmış gibi gelmiyor. Daha güvenli şifreler oluşturmalarını kolaylaştırmak için deneyebileceğiniz birkaç şey var:

• Bazı şirketlerde, çalışanların her X ayda bir kendilerine yeni şifreler verme zorunluluğu vardır. Yeni parolalar oluştururken, sisteminiz, yenisinin yeterince iyi olup olmadığını görmek için bir parolanın karmaşıklığını değerlendirmek için bir araç kullanabilir. Şifrelerinin sadece 'şifre'den' Şifre1'e değişme riski vardır, ancak bu bir başlangıç ​​olabilir.
• Çok faktörlü kimlik doğrulama önerin. Örneğin, bir kullanıcının şifresiyle oturum açması ve ardından işlemi tamamlamak için telefonuna bir kod göndermesi gerekir. Aşırı olabilir, ancak çalışanların metin tabanlı şifrelerle yollarını değiştirmemelerine kararlıysanız, bunlar ortamınızı daha güvenli hale getirmek için kalan alternatifler arasındadır.
• Önemi vurgulayan çalışan seminerleri yapın güvenlik, yalnızca parolalarda değil, verileri güvende tutmanın diğer yollarında. Bunlar aynı zamanda, yalnızca şirket politikasının değil, veri koruma kanunlarının da çalışanların verileri güvence altına almaya daha fazla özen göstermeleri konusunda ısrar ettiğini açıklamak için bir fırsat olarak hizmet ediyor. Bu aynı zamanda, kullanıcıların şifrelerinin yazılmasını engelleyebilir!

"Yıllardır aynı şifreyi kullanıyorum ..." diyen kullanıcılara nasıl yanıt vereceğinize gelince, buna yaklaşmanın birkaç yolu vardır. Daha önce çalıştığım bir şirket büyük bir genişleme sürecinden geçtiğinde (bir rakibi kendine çekerek), diğer şirketin işinin doğası gereği yeni güvenlik prosedürleri uyguladık. Bazı insanlar, karşılaşabileceğiniz benzer bahaneleri kullandı. Cevabım "Dürüst olalım, ya şanslıydık ya da dışarıdaki kötü insanlar tarafından arzu edilen bir hedef olarak görülmedik." Yeterince, genişleme haberi geldiğinde halka açıldığında, teşebbüs edilen 'izinsiz girişlerin' sayısında dikkate değer bir artış oldu. Kullanıcılarınıza, uygulamak istediğiniz yeni kuralların bir şirket genişledikçe kaçınılmaz olduğunu vurgulayın. Onlara, gereksinimleri karşılamayan şifrelerin önümüzdeki aylarda güncellenmesi gereken bir ek süre sunun.

Elbette günlük benzetmeleriniz de var. Sağlığım iyiydi, ancak yine de belirli yerlere seyahat etmeden önce aşı yaptıracağım! Evim hiçbir zaman kırılmadı veya yakılmadı, ancak hala ev sigortamız var.

Patronunuza iletmek acil bir strateji olmamalı. Kullanıcıları bu değişiklikleri yapmaya zorlamak istemediğinizi söylediğinizi biliyorum, ancak bir kullanıcının şifresini güncelleyene kadar oturum açmasını engellemenin yolları vardır. Hiçbir şey başarısız olursa, umursamayan çalışanlara kendiniz yeni bir şifre atama yetkisine sahip olacaksınız.

Kısacası, yukarıdaki önerilerle kullanıcılarınızı teşvik etmeyi deneyebilirsiniz, ancak her şey başarısız olursa, daha fazlası sadece sizin / onların hattaki işinden. Gerekirse otoritenizi kullanın.

Ekip üyelerini nasıl motive edebilirim

Onları başka yollarla nasıl motive edebilirim ve sonra onları "şifre ruhunu" sürdürmeleri için zorlarım ve sadece benim Sorunun farkında mısınız?

Çalışanları bu konuda, herhangi bir politika veya prosedür konusunda onları motive ettiğiniz gibi motive ediyorsunuz.

1. Tanımlayın. Bir parola uyumluluk politikasını açık bir şekilde tanımlayın ve belgeleyin ve diğer kurumsal politikalarınız ve prosedürlerinizle birlikte dağıtılmasını ve sosyalleştirilmesini sağlayın. Doğal olarak, bunu gerçekleştirmek için üst düzey katılımlara ihtiyacınız olacak.

2. Ölçün . Parola uyumluluğunun periyodik olarak denetlendiği ve ekibe (bireylere değil) genel bir puanın verildiği bir sistem kurun. Bu tür bir denetim ilgisiz bir tarafça, muhtemelen yakın kuruluşunuzun dışında yapılırsa, siyasi açıdan yardımcı olabilir.

3. Kontrol. Performans incelemelerini ve / veya tazminatı yönlendiren bir ölçüm olarak ekip şifresi uyumluluğunu dahil etmek için yönetimi alın. Örneğin, kullanıcıların% 20'sinden daha azının şifreleri zayıfsa, takım bonus alır.

Bu şekilde kimseyi suçlamaktan kaçınır, suçu üstlenmezsiniz. Gereksinimlerin ne olduğunu ve bu konuda ciddi olduğunuzu netleştirin.

"Bu şifreyi yıllardır kullandım ve hiç sorun yaşamadım!" gibi ifadelere en iyi nasıl yanıt verebilirim? ?

Bir şifrenin yeterince iyi olup olmadığı sorusu, herhangi bir bireyin kararı değil, bir politika meselesidir. Öyleyse yukarıya bakın.

Reddedenleri patronuma (şifre kuralları ve güvenlikten beni sorumlu tutan) patronuma iletmeli miyim?

Kesinlikle, ancak yapılandırılmış bir yol. Yukarıya bakın.

Bunu patronumuza iletebileceğim konusunda inkarcıları tehdit etmeli miyim?

Hayır, asla tehdit etmeyin. Tehditler kişisel olarak alınır. Yukarıya bakın.

Teknoloji, eski sistemlerde bile yardımcı olabilir

Zayıf eski güvenlik, kuruluşunuza özgü bir sorun değildir. Sorunun çözülmesine yardımcı olabilecek en az iki yaklaşım var.

1. Kullanıcılara kurumsal bir SSO sistemi vererek yardımcı olun

   Kurumsal bir TOA sistemi tüm eski sistemleriniz için rastgele parolalar oluşturabilir ve bunları bireysel çalışanlarınız için hatırlayabilir. Oturum açmaları gerektiğinde, SSO şifresini sağlarlar (veya muhtemelen Active Directory kimlik bilgilerini kullanarak ağınızda oturum açar); SSO sistemi daha sonra parola veritabanına erişir ve eski uygulamadaki parola alanını doldurur. Bu tür bir çözüm, neredeyse tüm eski web tabanlı kimlik doğrulama sistemleriyle çalışacak şekilde yapılabilir.

   İşin güzel yanı, ekibiniz için ek bir iş değil; aslında daha az zahmetlidir.

   SSO şifresinin kendisi elbette istediğiniz şifre kurallarına tabi olabilir, çünkü bu modern bir sistemdir.

2. Eski sistemleri modern bir ağ geçidinin arkasına koyun

   Eski sistemleriniz muhtemelen zaten bir güvenlik duvarı, yönlendirici, proxy veya başka bir ağ cihazının arkasındadır. Bunların çoğu kendilerine ait bir şifre gerektirecek şekilde programlanabilir ve burada modern şifre kurallarını kullanabilirsiniz. Kimlik doğrulaması yapana kadar, eski sistemin giriş sayfasını bile açamazlar. Kimlik doğruladıklarında, eski sisteme gereksiz şifrelerini kullanarak erişebilirler. Şifrenin kötü olması o noktada pek önemli değil çünkü bu ikinci faktör tarafından korunuyor.

Kullanıcıların şirketinizdeki her şey için 1 güvenli şifre oluşturması / hatırlaması için TOA'yı kullanın.

Kullanıcılardan birden fazla şifre oluşturmalarını ve bunları sık sık değiştirmelerini istediğinizde, kıskanılacak bir şekilde tembelleşecek ve zayıf şifreler seçeceklerdir.

Tek Oturum Açma, saldırıya uğramasını istemediğiniz tüm sistemlerde kullanılmalıdır. Tek Oturum Açma kimlik doğrulama sisteminizde parola karmaşıklığını uygulayabilirsiniz. Tek Oturum Açma pahalı olabilir ve uygulaması zaman alıcı olabilir, ancak şirketiniz güvenlik konusunda ciddiyse, bu, kullanıcılarınızı utandırmamak için en büyük önceliğiniz olmalıdır.

Ayrıca, şifrelerin son kullanma tarihlerinin çok uzun olduğundan emin olun ( en az 1 yıl) veya süresi hiç dolmasın (bkz. https://www.ftc.gov/news-events/blogs/techftc/2016/03/time-rethink-mandatory-password-changes)

Bireyleri motive etmeye çalışmadan önce, organizasyonun ve liderliğin bu sorunun çözülmesi için motive olup olmadığını sormalısınız. Bunu patronunun sana verdiğini söylüyorsun. Bunun onun için önemli olduğunu biliyor musun? Peki ya BT dışındaki yönetim?

Küçük şirketlerde veya departmanlarda insanlar çoğu sistemin güvenliğini önemli bulmuyor çünkü bilgi onu kullanan az sayıdaki kişi dışında hiç kimse için çok değerli değil. Bu durumda liderlik de dahil olmak üzere insanlar işlerini yapmayı zorlaştıran güvenlik prosedürlerinde çok az motivasyon hissediyorlar.

Güvenlik insanları şimdiye kadar bana kızdı, tüm nedenlere işaret etmek bir sorun. Haklılar ama bu noktayı kaçırıyor. Bu bir teknoloji sorunu değil, motivasyon sorunu.

Liderliğiniz bunun bir sorun olduğunu düşünmüyorsa, başka birini denemeden önce onları ikna etmelisiniz.

Liderliği ikna etmek için ve daha sonra herkesin kafasında resmedebilecekleri daha güçlü şifreler için bir nedene ihtiyacınız var. Şirketin müşteri veritabanına giren bilgisayar korsanları, onlara çok uzak olabilir. Sizi denetleyebilecek düzenleyiciler var mı? Müşterinin tesislerinizi incelemesine izin veren müşteri sözleşmelerine ne dersiniz? Bir rakibe gitmek için ayrılan çalışanlarınız var mı? İnsanların olmasını hayal edebileceği bir örnek bulun.

İkinci adım, insanların doğru şeyi yapmasını kolaylaştırmaktır. Parola doğrulamasını yerleştirmek için tedarikçilerinizle daha sıkı çalışın. İş istasyonlarına bir parola araçları yükleyin, böylece insanlar parolaları hatırlamak zorunda kalmazlar. İnsanların çok fazla parolaya ihtiyaç duymaması için tek oturum açma sistemlerini araştırın. Bunu insanlar için kolaylaştırmak için başka ne yapabilirsiniz?

Motivasyon, insanların bir şeyi yaptırmaya çalışmak yerine bir şeyi yapmak istediklerini işaretlemektir.

"Bu şifreyi uzun yıllardır kullandım ve hiç sorun yaşamadım!" gibi ifadelere en iyi nasıl yanıt verebilirim?

Neden kapılarını kilitlerken Açmak için bir anahtarın gerekli olması için evi terk ediyorlar mı? Kapatıp kilitlemedikleri takdirde, büyük olasılıkla uzun bir süre boyunca kimse kilidinin açık olup olmadığını kontrol etmek için kapılarına gitmeyecektir. O zaman birisi yapacak. "Kapımı uzun yıllardır kilitlemedim ve hiç sorun yaşamadım!" o güne kadar? Kapılarının kilidinin açık olup olmadığını kimsenin kontrol etmemesinin onlar için bir önemi olur mu?

Bana göre, " 50'li yaşların sonundalar ve son derece güvensiz şifreler kullanmaları" konusunda da yardımcı olur. "zihniyet (veya belli belirsiz bir şekilde ima etmek yerine bağlantıyı açıkça belirtin). Bu tür bir zihniyet gerçekçi değildir (benim deneyimlerime göre, bu alanda gördüğüm en korkunç derecede kolay giden, arzulu düşünen, zihinsel olarak zayıf, umursamaz insan kategorisi gençler ve 20'li yaşlarındaki insanlardır ve bahse girerim sizin deneyiminize de göre) ve akıl yürütmedir. boş kalıp yargılar, güvenilirliğinizi olumsuz etkileyecek ve endişelerinizi ciddiye alma olasılığını azaltacaktır (yaşları hakkında açıkça bir şey söylemeseniz bile böyle düşündüğünüzü anlayacaklardır).

Tüm bunlar, yapabileceğiniz tek şeyin meslektaşlarınızı ikna etmek olduğu varsayımı altında. Bunun yerine yönetim sizin yanınızda ise, o zaman şifre konusunda gerçekten özen gösterilmesini sağlayacak prosedürleri uygulamak en iyisi olacaktır, ancak şirketiniz anlattığınız sorunu yaşadığından yöneticilerin umursamadığını hayal ediyorum (ve muhtemelen eşit derecede kötü şifreler kullanıyorlar) ). Ancak, bu parola sorununun odadaki fil olması muhtemeldir ve yöneticileri fil orada yokmuş gibi davranmaya "zorlayan" kişi siz olacaksınız, bu da size çok fazla puan kazandırmayabilir. Ayrıca, bir ihlal meydana gelirse, yöneticiler bu beklenmedik bir şeymiş gibi davranmak isteyeceklerdir, bu nedenle her zaman beklenilmesi gerektiğini söyleyen kişi olmayın.

Biz geliştiriciyiz ve yüksek güvenlikli fiziksel erişim kontrol çözümleri sağlayıcısı ve iş arkadaşlarımı bu kadar yüksek güvenlikli bir şirketin çalışanı gibi davranmaya motive edemiyorum (ki bu çok saçma). Aynı amaç için (işaret etmekten kaçınmak) yöneticilerin göremiyormuş gibi yapmak istedikleri bir filin dışına çıkın) bunlardan hiçbirinden bahsetmeyin ve hiç kimsenin sizin nasıl hissettiğinizi anlamasına bile izin vermeyin.