Политика паролей

С приходом в нашу жизнь технологий и большого количества online-сервисов, требующих аутентификации, нам приходится запоминать множество паролей. Понятное дело, что пароли ко всем своим системам удержать в голове довольно сложно, и пользователи начинают прибегать к "хитростям". Используют простые для запоминания пароли, используют один и тот же пароль на несколько систем, записывают пароли на бумажках и кладут их под клавиатуру. Не редко, используют пароли чисто формальные. Так, наша компания довольно часто сталкивается с ситуацией, что паролем к 1С является "1". Его мы в первую очередь и пробуем, и только если он не подошёл - спрашиваем реальный пароль.

Разумеется, всё это никоем образом не способствует повышению уровня обеспечение информационной безопасности.

Большинство online-сервисов требуют соблюдать политику сложности паролей, и не принимают варианты вида "123" или "qwerty123". Но и тут пользователи допускают очередную ошибку - сохраняют пароль в браузере или в самом приложении. Само по себе сохранение паролей в браузерах не несёт больших рисков простому пользователю, при одном "если" - если на сам компьютер установлен сложный пароль.

Что же делать простому пользователю?

 Для снижения рисков утечки паролей необходимо следовать простым правилам. Все из знают, но одно дело знать, другое дело - применять:

• Использовать сложный пароль для доступа к компьютеру

• Использовать сложные пароли (от 8 символов, с учетом регистра, цифры и спецсимволы)
• Использовать разные пароли к разным системам

• Регулярно менять пароли (чаще 1 раза в год)

 Что делать системному администратору?

В ИТ-инфраструктуре, в обязательном порядке, должны быть настроены политики сложности и регулярной смены паролей на все системы (компьютеры, серверы, оборудование). У пользователя не должно быть возможности работать на компьютере без пароля. Как этого добиться - каждый решает сам. Я рекомендую внедрить Active Directory для удобного управления политиками безопасности и конфигурационными единицами.

Для доступа к особо важным системам необходимо использовать двух-факторную аутентификацию. Например, пароль + SMS, или пароль + RSA Token (небольшое устройство, которое каждую минуту генерирует последовательность чисел необходимую для аутентификации. Т.е. пользователь сначала вводит логин, затем пароль, затем числа из токена).

Нелишним будет отключить или переименовать стандартные администраторские учетные записи.

Это тот минимум, который должен быть настроен в инфраструктуре любого размера, даже состоящего из 3 компьютеров.

Как хранить пароли?

В идеале - запомнить. Если это не возможно - создайте файл с паролями  и сохраните его на шифрованном носителе. Используйте стойкие алгоритмы шифрования. В качестве бесплатной программы шифрования, рекомендую TrueCrypt.  Ни в коем случае не храните пароли в простом текстовом файле в открытом виде.

Помните - уровень безопасности измеряется по самому слабому звену!

Смотрите также:

Компания Фактор ЛТД предлагает обслуживание компьютеров организации и серверов в Минске и других городах Беларуси.

---