Propriétaire vs employé informatique. Sécurité et mots de passe
Je suis propriétaire d'une entreprise qui a embauché un employé informatique. Il a tous les mots de passe pour les serveurs, les postes de travail et les données. Il refuse de partager ou de fournir ces mots de passe (Clés du Royaume) pour des raisons de sécurité. Il m'a indiqué votre site avec beaucoup d'autres, sur les implications du partage de mots de passe. Je comprends les implications du partage de mots de passe entre les employés et les fournisseurs. Quelle est la meilleure pratique pour sécuriser les mots de passe au sein d'une entreprise? Et s'il entre dans un accident de voiture demain? Comment gérons-nous les changements de mots de passe? Comment mettre toutes les parties à l'aise? Surtout, moi, le propriétaire.
Réponses
Le moyen de résoudre ce problème grâce à un magasin secret. Votre informaticien a raison de ne pas partager les mots de passe tels quels.
Mais vous avez une réclamation pour avoir un formulaire d'accès de restauration d'urgence lorsque quelqu'un passe sous un bus ou un autre événement catastrophique (perte de mémoire par exemple).
Certains des moyens de résoudre ce problème sont
- utilisez un service de gestionnaire de mots de passe, avec une option de récupération secondaire.
- utilisez un coffre-fort avec une clé de récupération imprimée, cela ne vous donnerait qu'un accès (destructif) au système et est uniquement destiné à une utilisation d'urgence. (D'où pourquoi il est dans un coffre-fort)
- avoir un ensemble secret distribué, par exemple 4 jetons matériels (carte à puce) dont vous avez besoin d'au moins 3 ensemble afin de déchiffrer la clé principale stockée sur le système.
- utilisez quelque chose comme hashicorps vault pour stocker tous les secrets et utilisez un secret de jeton partagé pour restaurer l'accès.
- utilisez un tiers pour gérer votre accès.
Assurez-vous simplement de mettre en œuvre non seulement un processus de récupération (techniquement), mais également d'implémenter une politique de récupération, ea Notez quand et pourquoi, qui peut déclencher l'utilisation d'urgence. Comment cela est communiqué (je préfère les récupérations bruyantes, qui avertiront automatiquement tous les administrateurs connus qu'une récupération est tentée et effectuée.)
Ce que vous ne devez JAMAIS faire, c'est
- demandez les jetons d'accès pour un compte individuel.
- écrivez un mot de passe sous une forme claire et lisible, faites-en toujours un effort pour le récupérer.
- ne testez jamais la procédure. (Faites en sorte que vous testiez périodiquement la procédure de récupération, je recommande généralement tous les 2 ans environ.)
- accéder à un compte sans en informer le «propriétaire» / «utilisateur» de ce compte. (C'est ce qu'on appelle la transparence et c'est la pierre angulaire d'une organisation sûre et sécurisée.
J'espère que cela vous aidera à vous faire une idée.
Il doit y avoir plusieurs personnes avec ces accès à tout moment .
Cela ne signifie pas partager des comptes et des mots de passe, cela signifie plusieurs comptes et mots de passe avec un accès complet. Quelqu'un doit pouvoir verrouiller cette personne en cas de licenciement, de sieste d'enfant ou autre.
C'est une entreprise. Il est parfaitement normal d'avoir un fichier de récupération après sinistre verrouillé quelque part avec toutes les procédures, comptes et mots de passe nécessaires. En règle générale, il s'agit d'un coffre-fort d'entreprise ou d'un coffret bancaire si l'entreprise est petite.
Pour la plupart des entreprises, la clé partagée de haute technologie, le cryptage à plusieurs niveaux est injustifié. Un ordinateur portable et une clé USB dans un coffre-fort sont probablement très bien, mais vous devrez le déterminer.
Votre employé se fait une lourde responsabilité, mais nous y reviendrons. Abordons d'abord votre question du partage d'accès.
L'accès du propriétaire est absolument nécessaire
Vous semblez déjà le savoir, mais cela vaut la peine de le souligner. Un propriétaire n'a pas besoin de se connecter régulièrement, mais un propriétaire doit avoir la possibilité d'intervenir si l'employé actuel qui gère les choses part, est congédié ou est simplement en vacances. Votre employé envisage-t-il d'être disponible 24/7/365? Sinon, il faut clairement qu'il y ait une disposition pour que quelqu'un d'autre puisse y accéder en cas de besoin.
Il est temps pour un fournisseur d'identité
Il semble que votre employé gère manuellement les mots de passe d'administrateur local pour votre poste de travail et vos serveurs. Cela fonctionne bien lorsqu'il n'y en a qu'une poignée, mais ne s'adapte pas. Vous avez besoin d'un fournisseur d'identité pour gérer cet accès. Cela peut signifier des choses comme LDAP ou AD, ou pour des entreprises plus centrées sur le Web, des choses comme Auth0 ou Okta. Ces solutions sont toutes conçues pour avoir plusieurs administrateurs, donc à ce stade, le problème est résolu - vous et le responsable de votre service informatique avez tous les deux votre propre compte administrateur dans votre fournisseur d'identité, vous avez donc tous les deux accès au besoin sans partager de mots de passe.
L'accès aux vitres brisées doit être fourni
Votre employé y pense vraiment de la mauvaise façon. Ce sont, sans aucun doute et sans exception, des comptes d' entreprise , et à ce titre l'entreprise doit y avoir accès. Votre employé a accès parce que l'entreprise a accordé cet accès - et non l'inverse. Votre employé doit être clair à ce sujet. Un fournisseur d'identité rendra ce processus beaucoup plus facile, mais en attendant, si votre équipe informatique configure un poste de travail ou un serveur et crée un mot de passe administrateur local sur cette machine, ce mot de passe doit être stocké quelque part afin que le représentant désigné de l'entreprise puisse accéder au machine en cas de besoin.
@LvB a quelques bonnes suggestions pour partager l'accès en toute sécurité. Personnellement, je suggérerais d'utiliser un gestionnaire de mots de passe en ligne avec le mot de passe principal stocké dans un coffre-fort d'entreprise (ou dans un autre endroit sécurisé). Votre informaticien peut rester connecté au gestionnaire de mots de passe sur son ordinateur de travail, et chaque fois qu'il «crée» un nouveau mot de passe, il le stocke immédiatement dans le gestionnaire de mots de passe. Si un accès est nécessaire, le propriétaire peut récupérer le mot de passe principal du coffre-fort, se connecter au gestionnaire de mots de passe et y accéder si nécessaire. Encore mieux si le gestionnaire de mots de passe prend en charge une clé Yubi ou similaire qui est stockée dans un emplacement séparé.
Cet employé devient rapidement un passif critique
Pour vous, je tiens vraiment à souligner que cet employé n'a pas de sens et devient rapidement votre plus grande responsabilité. Intentionnellement ou non, ils se mettent dans une position où ils ne peuvent pas être renvoyés, mais le contraire n'est pas vrai - aucun aspect de cela ne les empêche de quitter. À quel point ce serait mauvais pour votre entreprise s'ils partaient? À quel point pensez-vous que ce sera si cela continue pendant un an et ensuite ils partent?
Je suppose que ce serait déjà douloureux, mais cela ne fera que devenir plus douloureux avec le temps, c'est pourquoi cela doit être résolu maintenant. Votre employé doit comprendre qu'il s'agit de comptes d'entreprise et que l'entreprise a besoin d'un accès en cas de départ de l'employé. Dans une petite entreprise, «l'entreprise» signifie bien sûr le propriétaire, et en tant que propriétaire, si vous faites quelque chose de stupide avec votre accès, c'est sur vous. Le refus de votre employé de donner accès à d'autres personnes n'est pas une solution pour protéger l'entreprise. Une formation et une compréhension de base de votre part vous aideront à comprendre que cela n'est pas destiné à un accès quotidien, mais il semble que vous comprenez déjà cela.
Si votre employé refuse toujours de donner accès, il est temps pour lui de le laisser partir avant que la situation ne s'aggrave. En se méprenant sur la sécurité, cet employé crée un grave risque de déni de service à l'échelle de l'entreprise, ce qui vous mettra en faillite si cela dure trop longtemps.
Pour une organisation plus petite avec un seul informaticien (ou avec 0 informaticien et un consultant informatique externe), refuser de remettre les identifiants d'accès au propriétaire n'est généralement pas acceptable.
Pour les organisations des secteurs nécessitant une conformité (par exemple, la conformité PCI), une politique de sécurité documentée est généralement requise. Incluez «fournir des informations d'identification d'accès complet au propriétaire» dans cette politique. Exigez de tout personnel informatique qu'il le signe (avec une véritable signature) chaque année. Une révision / approbation annuelle des politiques de sécurité est souvent requise pour la conformité.
Dans les grandes organisations (c'est-à-dire les organisations comptant plusieurs employés informatiques), il n'est généralement pas acceptable pour les informaticiens de fournir des mots de passe à leur patron (ni au propriétaire). Ce qui se passe à la place, c'est que la configuration de la sécurité de l'organisation comprend plusieurs membres du personnel informatique de confiance qui ont différents niveaux d'accès. Toutes les demandes sensibles à la sécurité du propriétaire doivent passer par ce personnel. Dans un certain sens, le propriétaire n'est pas suffisamment fiable pour un tel accès. C'est plus une question de méfiance technique, plutôt que la peur que la peur d'un sabotage intentionnel.
En outre, donner au propriétaire un accès direct (plutôt que de répondre moins directement à ses besoins) peut constituer une violation de la conformité en matière de sécurité, car de nombreuses politiques de conformité exigent que les personnes qui n'en ont pas besoin n'y aient pas accès. Le propriétaire n'a pas nécessairement besoin d'un accès.
Bien sûr, tout ce qui précède peut être contré en ayant une politique interne documentée selon laquelle le propriétaire obtient des mots de passe / accès à tout. Cependant, une telle politique n'est généralement pas recommandée pour les grandes entreprises; un personnel informatique compétent peut y résister.
Note finale: il est de mauvaise pratique de sécurité (et interdit par la conformité PCI) d'avoir des informations d'identification partagées. Si le propriétaire a accès, cela doit être fait via un ensemble distinct d'informations d'identification d'administrateur, et non via le partage de mot de passe.