所有者とIT従業員。セキュリティとパスワード
私はIT従業員を雇用している会社を所有しています。彼はサーバー、ワークステーション、データに対するすべてのパスワードを持っています。彼は、セキュリティ上の理由から、これらのパスワード（王国への鍵）を共有または提供することを拒否しています。彼は、パスワードを共有することの意味について、他の多くの人たちと一緒にあなたのサイトを私に指摘してくれました。従業員とベンダーの間でパスワードを共有することの意味を理解しています。企業内でパスワードを保護するためのベストプラクティスは何ですか？もし彼が明日自動車事故に遭ったらどうしますか？パスワードの変更をどのように管理しますか？どうすればすべてのパーティーを快適に感じることができますか？何よりも、私、所有者。
回答
秘密の店を通してこれを解決する方法。IT担当者は、パスワードをそのまま共有してはならないという点で正しいです。
しかし、誰かがバスやその他の壊滅的なイベント（たとえば、記憶喪失）に遭遇したときに、緊急復元アクセスフォームを持っているという主張があります。
これを解決する方法のいくつかは次のとおりです
- セカンダリリカバリオプションを使用して、パスワードマネージャサービスを使用します。
- 印刷された回復キーを備えた金庫を使用してください。これは、システムへの（破壊的な）アクセスのみを提供し、緊急使用のみを目的としています。（したがって、それが金庫にある理由）
- 分散シークレットセットがあります。たとえば、システムに保存されているマスターキーを復号化するために少なくとも3つ必要な4つのハードウェア（スマートカード）トークンがあります。
- hashicorps vaultのようなものを使用してすべてのシークレットを保存し、共有トークンシークレットを使用してアクセスを復元します。
- サードパーティを使用してアクセスを管理します。
回復プロセスを（技術的に）実装するだけでなく、回復ポリシーも実装するようにしてください。ea緊急使用をトリガーする可能性のある時期と理由を書き留めます。伝達方法（私はノイズの多いリカバリを好みます。これにより、すべての既知の管理者にリカバリが試行されて実行されたことを自動的に通知します。）
あなたが決してしてはいけないことは
- 個人アカウントのアクセストークンを要求します。
- パスワードをわかりやすい形式で書き留め、回復するのに手間がかかるように常に作成してください。
- 手順をテストしないでください。（回復手順を定期的にテストするように作成してください。通常は2年ごと程度をお勧めします。）
- アカウントの「所有者」/「ユーザー」に通知せずにアカウントにアクセスします。（これは透明性と呼ばれ、安全で安心な組織の礎石です。
これがあなたのアイデアを得るのに役立つことを願っています。
常にこれらのアクセス権を持つ複数の人がいる必要があります。
これは、アカウントとパスワードを共有することを意味するのではなく、フルアクセス権を持つ複数のアカウントとパスワードを意味します。誰かが解雇、子供の昼寝などの場合にこの人を締め出すことができなければなりません。
これはビジネスです。必要な手順、アカウント、およびパスワードがすべて含まれているディザスタリカバリファイルがどこかにロックされているのは、まったく正常なことです。通常、これは企業の貸金庫または小規模な場合は銀行の貸金庫になります。
ほとんどの企業では、ハイテク分割キー、マルチレベル暗号化は保証されていません。ノートブックと金庫のサムドライブはおそらく問題ありませんが、それを判断する必要があります。
あなたの従業員は彼ら自身に重大な責任を負わせていますが、私たちはそれに戻ります。まず、アクセス共有の質問に対処しましょう。
所有者のアクセスは間違いなく必要です
あなたはすでにこれを知っているようですが、それは強調する価値があります。所有者は定期的にログインする必要はありませんが、物事を管理している現在の従業員が退職したり、解雇されたり、休暇中に出かけたりした場合に、所有者が介入できる必要があります。あなたの従業員は24時間年中無休で対応する予定ですか？そうでない場合は、必要なときにアクセスできる他の誰かのための準備が明らかに必要です。
IDプロバイダーの時間です
従業員がワークステーションとサーバーのローカル管理者パスワードを手動で管理しているようです。これは、ほんの一握りの場合は正常に機能しますが、拡張性はありません。このアクセスを管理するには、IDプロバイダーが必要です。これは、LDAPやADのようなものを意味する場合があります。または、よりWeb中心の企業の場合、Auth0やOktaのようなものを意味する場合があります。これらのソリューションはすべて複数の管理者を持つように設計されているため、その時点で問題は解決されます。あなたとIT部門の責任者はどちらも、IDプロバイダーに独自の管理者アカウントを持っているため、パスワードを共有せずに必要に応じてアクセスできます。
とにかくガラス破りのアクセスを提供する必要があります
あなたの従業員は本当にこれを間違った方法で考えています。これらは間違いなく例外なく会社のアカウントであり、そのため会社はアクセス権を持っている必要があります。会社がアクセスを許可しているため、従業員はアクセスできます。その逆ではありません。あなたの従業員はそれについて明確にする必要があります。IDプロバイダーはこのプロセスをはるかに簡単にしますが、それまでの間、ITチームがワークステーションまたはサーバーを構成し、そのマシンでローカル管理者パスワードを作成する場合は、指定された会社の担当者がアクセスできるように、そのパスワードをどこかに保存する必要があります。必要に応じて機械。
@LvBには、アクセスを安全に共有するためのいくつかの良い提案があります。個人的には、会社の金庫（または他の安全な場所）に保存されているマスターパスワードを使用してオンラインパスワードマネージャーを使用することをお勧めします。IT担当者は、仕事用のコンピューターのパスワードマネージャーにログインしたままで、新しいパスワードを「作成」するたびに、すぐにパスワードマネージャーに保存できます。アクセスが必要になった場合、所有者は金庫からマスターパスワードを取得し、パスワードマネージャーにログインして、必要に応じてアクセスを取得できます。パスワードマネージャーが別の場所に保存されているYubiキーなどをサポートしているとさらに便利です。
この従業員はすぐに重大な責任になりつつあります
あなたにとっては、この従業員は意味をなさず、すぐにあなたの最大の責任になりつつあることを強調したいと思います。故意であろうとなかろうと、彼らは解雇できない立場に身を置いていますが、その逆は真実ではありません。これの側面がないため、辞めることはできません。彼らが去ったらあなたの会社にとってどれほど悪いことでしょうか？これが1年間続き、その後彼らが去ったら、どれほど悪いことになると思いますか？
すでに痛みを伴うと思いますが、時間の経過とともに痛みが増すだけなので、今すぐ対処する必要があります。従業員は、これらが会社のアカウントであり、従業員が退職した場合に会社がアクセスする必要があることを理解する必要があります。中小企業では、「会社」はもちろん所有者を意味し、所有者として、あなたがあなたのアクセスで愚かなことをした場合、それはあなたにあります。他の人にアクセスを許可することを拒否する従業員は、会社を保護するための解決策ではありません。いくつかの基本的なトレーニングと理解は、これが日常のアクセスを目的としたものではないことを理解するのに役立ちますが、すでに理解しているようです。
それでも従業員がアクセスを拒否する場合は、悪化する前に手放す時が来ました。この従業員は、セキュリティを誤解することにより、全社的な深刻なサービス拒否リスクを生み出しています。これが長すぎると、ビジネスを停止します。
IT担当者が1人だけの（またはIT担当者が0人で外部ITコンサルタントがいる）小規模な組織の場合、アクセス資格情報を所有者に渡すことを拒否することは通常は問題ありません。
コンプライアンス（PCIコンプライアンスなど）を必要とする業界の組織では、通常、文書化されたセキュリティポリシーが必要です。このポリシーに「所有者にフルアクセス資格情報を提供する」を含めます。ITスタッフに、毎年（実際の署名を使用して）サインオフするように要求します。コンプライアンスのために、セキュリティポリシーの毎年のレビュー/サインオフが必要になることがよくあります。
大規模な組織では（複数のIT従業員とのすなわち、組織）、それは一般的ではないITの人々は（も所有者に）自分の上司にパスワードを提供するためにOK。代わりに、組織のセキュリティ設定には、さまざまなレベルのアクセス権を持つ複数の信頼できるITスタッフがいます。所有者によるセキュリティ上重要な要求は、このスタッフを経由する必要があります。ある意味で、所有者はそのようなアクセスに対して十分に信頼されていません。これは、意図的な妨害行為を恐れるというよりも、技術的な不信の問題です。
さらに、多くのコンプライアンスポリシーでは、アクセスを必要としない人はアクセスできないことが要求されているため、所有者に直接アクセスを許可すると（ニーズが直接満たされるのではなく）、セキュリティコンプライアンスに違反する可能性があります。所有者は必ずしもアクセスする必要はありません。
もちろん、上記のすべては、所有者がパスワードを取得する/すべてにアクセスするという文書化された内部ポリシーを持つことで対処できます。ただし、このようなポリシーは通常、大企業には推奨されません。有能なITスタッフはそれに抵抗するかもしれません。
最後の注意：資格情報を共有することは、セキュリティ慣行としては不適切です（PCIコンプライアンスによって禁止されています）。所有者にアクセス権が付与されている場合は、パスワード共有ではなく、別の管理者資格情報のセットを使用して行う必要があります。