Управление паролями

Что входит в эту категорию

Хранение учётных данных, чтобы люди перестали держать их в таблице: личные хранилища, общие командные хранилища, секреты для приложений и схемы восстановления вокруг всего этого.

На этой полке покупают две аудитории. Частным лицам нужны удобство и безопасность. Организациям нужны общий доступ, подключение, отзыв доступа и подтверждения, то есть другой продукт с тем же ядром.

Более широкий контроль доступа и наблюдение живут в безопасности. Доказательства соответствия относятся к комплаенсу и GRC.

Почему таблицу придётся убрать

У общих учётных данных в документе четыре проблемы, которые никакая аккуратность не устраняет.

Все, кто когда-либо имел доступ, имеют его по-прежнему, в том числе ушедшие. Никто не знает, какие пароли повторяются в других местах. Смена одного означает необходимость сообщить всем. И нет записи о том, кто что открывал, а это первый вопрос после инцидента.

Менеджер паролей решает все четыре, делая общий доступ контролируемым действием, а не копированием. Это и есть настоящая покупка, а не удобство автозаполнения.

Как должно работать шифрование

Утверждение, которое стоит проверить: вендор не может прочитать ваше хранилище.

В хорошо спроектированном продукте шифрование и расшифровка происходят на вашем устройстве, а вендор хранит материал, который не может открыть. Из этого следствие, которое люди обнаруживают поздно: потеря главного ключа может означать безвозвратную потерю хранилища, поэтому схема восстановления важна не меньше шифрования.

Посмотрите, какое восстановление существует. Бизнес-тарифы обычно предлагают восстановление с помощью администратора или контакт на экстренный случай. Спросите, как это работает: маршрут восстановления, позволяющий администратору читать все хранилища, это другая модель безопасности, чем тот, что этого не позволяет.

Независимые аудиты и опубликованная архитектура ценнее страницы успокаивающих прилагательных. Спросите, когда был последний аудит и можно ли прочитать отчёт.

Что команде действительно нужно

• Общие хранилища по командам или проектам с доступом, выдаваемым группам.
• Автоматическое подключение, чтобы приход и уход происходили сами, а не по памяти.
• Отзыв доступа, который срабатывает сразу, а не при следующем входе.
• Журналы аудита, показывающие, кто и когда обращался к какой записи.
• Секреты для приложений, вынесенные из кода и обновляемые без простоя.

Увольнение это требование, которое недооценивают чаще всего. Доступы, оставшиеся после ухода человека, типичная находка первой проверки безопасности, и именно их призвана предотвращать эта категория.

Трудность в принятии

Хранилище, которым никто не пользуется, это таблица с лишними шагами.

Решающие факторы обычные: надёжно ли работает автозаполнение на сайтах и в приложениях, которыми пользуются сотрудники, терпим ли мобильный опыт и сохраняется ли новая запись одним действием. Если что-то из этого не получается, люди возвращаются к повторному использованию пароля, который можно запомнить.

Расширения для браузера основная точка контакта, и качество у них разное. Проверьте свое на неудобных случаях: приложение с необычной формой входа, сайт, который постоянно разлогинивает, и общий аккаунт, которым одновременно пользуются четверо.

За пределами паролей

Два направления меняют назначение этих программ.

Ключи доступа убирают пароль для сервисов, которые их поддерживают, и лучшие менеджеры теперь хранят и синхронизируют их между устройствами. Список таких сервисов растёт, и поддержку стоит проверить, а не предполагать.

Секреты приложений другое направление. Ключи, токены и сертификаты, которыми пользуются системы, а не люди, требуют ротации, ограниченного доступа и журнала аудита, и ряд продуктов этой категории теперь покрывает оба мира. Цена считается за пользователя в месяц, а уровень задают бизнес-функции, наряду с обычными привычками, описанными в материале что скрывают страницы с ценами.

Внедрение хранилища в команде

Миграция проста, а смена привычек нет, поэтому планируйте именно второе.

Начните с общих учётных данных, которые вас уже беспокоят: административные аккаунты, порталы поставщиков, всё, что сейчас лежит в документе. Если перенести их первыми, результат будет заметен и самое опасное место исчезнет.

Затем подключайте людей по одному, коротким занятием, а не письмом. Большинство сопротивления вызвано тем, что автозаполнение ведёт себя иначе, а не принципиальным несогласием.

Дайте сотрудникам бесплатный семейный или личный тариф, если вендор его предлагает. Повторное использование учётных данных между работой и домом настоящий риск, а самый дешёвый способ его снизить сделать безопасный вариант доступным везде.

Закончите отключением старых путей. Общий документ, оставленный на месте, всё равно будет использовать кто-нибудь через полгода.