Inhaber gegen IT-Mitarbeiter. Sicherheit und Passwörter
Ich besitze eine Firma, die einen IT-Mitarbeiter eingestellt hat. Er hat alle Passwörter zu Servern, Arbeitsstationen und Daten. Er weigert sich aus Sicherheitsgründen, diese Passwörter (Keys to the Kingdom) weiterzugeben oder bereitzustellen. Er hat mich zusammen mit vielen anderen auf Ihre Website hingewiesen, über die Auswirkungen des Austauschs von Passwörtern. Ich verstehe die Auswirkungen des Austauschs von Passwörtern zwischen Mitarbeitern und Anbietern. Was ist die beste Vorgehensweise zum Sichern von Passwörtern in einem Unternehmen? Was ist, wenn er morgen in ein Autowrack gerät? Wie verwalten wir das Ändern von Passwörtern? Wie fühlen sich alle Parteien wohl? Vor allem ich, der Besitzer.
Antworten
Der Weg, dies durch einen geheimen Laden zu lösen. Ihre IT-Person hat insofern Recht, als Sie Kennwörter nicht unverändert weitergeben sollten.
Sie haben jedoch den Anspruch auf ein Notfall-Wiederherstellungsformular, wenn jemand unter einen Bus oder ein anderes katastrophales Ereignis gerät (z. B. Speicherverlust).
Einige der Möglichkeiten, dies zu lösen, sind
- Verwenden Sie einen Passwort-Manager-Dienst mit einer sekundären Wiederherstellungsoption.
- Verwenden Sie einen Safe mit einem ausgedruckten Wiederherstellungsschlüssel. Dies würde Ihnen nur (zerstörerischen) Zugriff zurück in das System ermöglichen und ist nur für den Notfall vorgesehen. (Deshalb ist es in einem Safe)
- Haben Sie einen verteilten geheimen Satz, zum Beispiel 4 Hardware-Token (Smartcard), bei denen Sie mindestens 3 zusammen benötigen, um den auf dem System gespeicherten Hauptschlüssel zu entschlüsseln.
- Verwenden Sie so etwas wie Hashicorps Vault, um alle Geheimnisse zu speichern, und verwenden Sie ein gemeinsames Token-Geheimnis, um den Zugriff wiederherzustellen.
- Verwenden Sie einen Drittanbieter, um Ihren Zugriff zu verwalten.
Stellen Sie einfach sicher, dass Sie nicht nur einen Wiederherstellungsprozess (technisch) implementieren, sondern auch eine Wiederherstellungsrichtlinie implementieren. Notieren Sie sich, wann und warum, wer den Notfall auslösen kann. Wie es kommuniziert wird (Ich bevorzuge verrauschte Wiederherstellungen, die automatisch alle bekannten Administratoren darüber informieren, dass eine Wiederherstellung versucht und durchgeführt wird.)
Was Sie NIE tun dürfen, ist
- Fragen Sie nach den Zugriffstoken für ein Einzelkonto.
- Schreiben Sie ein Passwort in klar lesbarer Form auf. Machen Sie es immer so, dass es mühsam wiederhergestellt werden muss.
- Testen Sie niemals das Verfahren. (Stellen Sie sicher, dass Sie das Wiederherstellungsverfahren regelmäßig testen. Ich empfehle normalerweise alle 2 Jahre oder so.)
- Zugriff auf ein Konto, ohne den "Eigentümer" / "Benutzer" dieses Kontos zu benachrichtigen. (Dies wird als Transparenz bezeichnet und ist ein Eckpfeiler einer sicheren Organisation.
Ich hoffe, das hilft Ihnen, eine Idee zu bekommen.
Es sollten immer mehrere Personen mit diesen Zugriffen vorhanden sein .
Dies bedeutet nicht, dass Konten und Kennwörter freigegeben werden, sondern mehrere Konten und Kennwörter mit vollem Zugriff. Jemand muss in der Lage sein, diese Person im Falle einer Kündigung, eines Nickerchens oder was auch immer auszusperren.
Das ist ein Geschäft. Es ist völlig normal, dass eine Disaster Recovery-Datei mit allen erforderlichen Verfahren, Konten und Kennwörtern irgendwo gesperrt ist. In der Regel ist dies ein Unternehmenssafe oder ein Bankschließfach, wenn das Unternehmen klein ist.
Für die meisten Unternehmen ist eine mehrstufige High-Tech-Verschlüsselung mit geteiltem Schlüssel nicht gerechtfertigt. Ein Notebook und ein USB-Stick in einem Safe sind wahrscheinlich in Ordnung, aber das müssten Sie feststellen.
Ihr Mitarbeiter macht sich eine schwere Haftung, aber wir werden darauf zurückkommen. Lassen Sie uns zunächst Ihre Frage der Zugriffsfreigabe beantworten.
Der Zugang des Besitzers ist auf jeden Fall erforderlich
Sie scheinen dies bereits zu wissen, aber es lohnt sich, es hervorzuheben. Ein Eigentümer muss sich nicht regelmäßig anmelden, aber ein Eigentümer muss die Möglichkeit haben, einzugreifen, wenn der aktuelle Mitarbeiter, der die Dinge verwaltet, das Unternehmen verlässt, entlassen wird oder gerade im Urlaub ist. Plant Ihr Mitarbeiter, rund um die Uhr verfügbar zu sein? Wenn nicht, muss eindeutig vorgesehen sein, dass jemand anderes bei Bedarf Zugriff hat.
Es ist Zeit für einen Identitätsanbieter
Es hört sich so an, als würde Ihr Mitarbeiter die lokalen Administratorkennwörter für Ihren Arbeitsplatz und Ihre Server manuell verwalten. Dies funktioniert gut, wenn es nur eine Handvoll gibt, skaliert aber nicht. Sie benötigen einen Identitätsanbieter, um diesen Zugriff zu verwalten. Dies kann Dinge wie LDAP oder AD bedeuten, oder für weborientiertere Unternehmen Dinge wie Auth0 oder Okta. Diese Lösungen sind alle so konzipiert, dass mehrere Administratoren vorhanden sind. Zu diesem Zeitpunkt ist das Problem gelöst. Sie und der Leiter Ihrer IT-Abteilung verfügen beide über ein eigenes Administratorkonto bei Ihrem Identitätsanbieter, sodass Sie beide bei Bedarf Zugriff haben, ohne Kennwörter zu teilen.
Der Zugang zum Glasbruch muss unabhängig davon erfolgen
Ihr Mitarbeiter denkt wirklich falsch darüber nach. Dies sind ohne Frage und ausnahmslos Unternehmenskonten , und als solche muss das Unternehmen Zugriff haben. Ihr Mitarbeiter hat Zugriff, weil das Unternehmen diesen Zugriff gewährt hat - nicht umgekehrt. Ihr Mitarbeiter muss sich darüber im Klaren sein. Ein Identitätsanbieter erleichtert diesen Vorgang erheblich. Wenn Ihr IT-Team jedoch in der Zwischenzeit eine Workstation oder einen Server konfiguriert und ein lokales Administratorkennwort auf diesem Computer erstellt, muss dieses Kennwort irgendwo gespeichert werden, damit der angegebene Unternehmensvertreter auf das Kennwort zugreifen kann Maschine bei Bedarf.
@LvB hat einige gute Vorschläge für die sichere Freigabe des Zugriffs. Persönlich würde ich vorschlagen, einen Online-Passwort-Manager zu verwenden, dessen Hauptpasswort in einem Unternehmenssafe (oder einem anderen sicheren Ort) gespeichert ist. Ihre IT-Person kann auf ihrem Arbeitscomputer beim Kennwortmanager angemeldet bleiben und jedes Mal, wenn sie ein neues Kennwort "erstellt", sofort im Kennwortmanager speichern. Wenn jemals ein Zugriff erforderlich ist, kann der Eigentümer das Hauptkennwort aus dem Safe holen, sich beim Kennwortmanager anmelden und bei Bedarf Zugriff erhalten. Noch besser, wenn der Passwort-Manager einen Yubi-Schlüssel oder ähnliches unterstützt, der an einem separaten Ort gespeichert ist.
Dieser Mitarbeiter wird schnell zu einer kritischen Haftung
Für Sie möchte ich jedoch wirklich betonen, dass dieser Mitarbeiter keinen Sinn ergibt und schnell zu Ihrer größten Verantwortung wird. Absichtlich oder absichtlich versetzen sie sich in eine Position, in der sie nicht gefeuert werden können, aber das Gegenteil ist nicht der Fall - kein Aspekt davon macht es so, dass sie nicht aufhören können. Wie schlimm wäre es für Ihr Unternehmen, wenn sie gehen würden? Wie schlimm wird es wohl sein, wenn das ein Jahr so bleibt und sie dann gehen?
Ich vermute, es wäre bereits schmerzhaft, wird aber mit der Zeit immer schmerzhafter, weshalb dies jetzt angegangen werden muss. Ihr Mitarbeiter muss verstehen, dass es sich um Unternehmenskonten handelt, und das Unternehmen muss Zugriff haben, falls der Mitarbeiter das Unternehmen verlässt. In einem kleinen Unternehmen bedeutet "die Firma" natürlich den Eigentümer, und als Eigentümer liegt es an Ihnen, wenn Sie mit Ihrem Zugang etwas Dummes tun. Ihr Mitarbeiter, der anderen den Zugang verweigert, ist keine Lösung zum Schutz des Unternehmens. Einige grundlegende Schulungen und Kenntnisse von Ihrer Seite helfen Ihnen zu verstehen, dass dies nicht für den täglichen Zugriff gedacht ist, aber es scheint, als ob Sie das bereits verstehen.
Wenn Ihr Mitarbeiter immer noch den Zugang verweigert, ist es Zeit, dass er entlassen wird, bevor es schlimmer wird. Durch das Missverständnis der Sicherheit verursacht dieser Mitarbeiter ein schwerwiegendes unternehmensweites Denial-of-Service-Risiko, das Sie aus dem Geschäft bringt, wenn es zu lange andauert.
Für eine kleinere Organisation mit nur einer IT-Person (oder mit 0 IT-Mitarbeitern und einem externen IT-Berater) ist es im Allgemeinen nicht in Ordnung, die Übergabe von Zugangsdaten an den Eigentümer zu verweigern.
Für Unternehmen in Branchen, in denen Compliance erforderlich ist (z. B. PCI-Compliance), ist normalerweise eine dokumentierte Sicherheitsrichtlinie erforderlich. Fügen Sie in diese Richtlinie "Vollzugriffsanmeldeinformationen für den Eigentümer bereitstellen" ein. Fordern Sie alle IT-Mitarbeiter auf, sich jedes Jahr (mit einer tatsächlichen Unterschrift) abzumelden. Für die Einhaltung ist häufig eine jährliche Überprüfung / Abmeldung der Sicherheitsrichtlinien erforderlich.
In großen Organisationen (dh Organisationen mit mehreren IT-Mitarbeitern) ist es für die IT-Mitarbeiter normalerweise nicht in Ordnung, ihrem Chef (oder dem Eigentümer) Kennwörter zur Verfügung zu stellen. Stattdessen verfügt das Sicherheits-Setup des Unternehmens über mehrere vertrauenswürdige IT-Mitarbeiter mit unterschiedlichem Zugriff. Alle sicherheitsrelevanten Anfragen des Eigentümers müssen über dieses Personal erfolgen. In gewissem Sinne ist der Eigentümer für einen solchen Zugriff nicht vertrauenswürdig genug. Dies ist eher eine Frage des technischen Misstrauens als der Angst vor vorsätzlicher Sabotage.
Ferner die Eigentümer einen direkten Zugang zu geben (anstatt ihre Bedürfnisse mit weniger direkt erfüllt werden) kann eine Verletzung der Sicherheits - Compliance, da viele Compliance - Richtlinien , dass die Menschen benötigen , die nicht brauchen Zugang keinen Zugang haben. Der Eigentümer benötigt nicht unbedingt Zugang.
All dem kann natürlich entgegengewirkt werden, indem eine dokumentierte interne Richtlinie vorliegt, nach der der Eigentümer Passwörter / Zugriff auf alles erhält. Eine solche Richtlinie wird jedoch in der Regel nicht für größere Unternehmen empfohlen. Ein kompetentes IT-Personal kann sich dagegen wehren.
Letzter Hinweis: Es ist eine schlechte Sicherheitspraxis (und aufgrund der PCI-Konformität verboten), gemeinsame Anmeldeinformationen zu haben. Wenn dem Eigentümer Zugriff gewährt wird, sollte dies über einen separaten Satz von Administratoranmeldeinformationen erfolgen, nicht über die Kennwortfreigabe.