소유자 대 IT 직원. 보안 및 암호
저는 IT 직원을 고용 한 회사를 소유하고 있습니다. 그는 서버, 워크 스테이션 및 데이터에 대한 모든 암호를 가지고 있습니다. 그는 보안상의 이유로 이러한 암호 (키즈 투 더 킹덤)를 공유하거나 제공하는 것을 거부하고 있습니다. 그는 암호 공유의 의미에 대해 다른 많은 사람들과 함께 귀하의 사이트를 지적했습니다. 직원과 공급 업체간에 암호를 공유하는 것이 의미하는 바를 이해합니다. 회사 내에서 암호를 보호하기위한 모범 사례는 무엇입니까? 내일 차 사고가 나면 어떡하죠? 비밀번호 변경을 어떻게 관리합니까? 모든 파티를 편안하게 만드는 방법은 무엇입니까? 무엇보다도, 나, 주인.
답변
비밀 상점을 통해 이것을 해결하는 방법. 암호를있는 그대로 공유해서는 안된다는 점에서 IT 담당자가 정확합니다.
그러나 누군가가 버스 또는 기타 재앙적인 사건 (예 : 메모리 손실) 아래에있을 때 긴급 복원 액세스 양식을 가지고 있다는 주장이 있습니다.
이를 해결하는 몇 가지 방법은 다음과 같습니다.
- 보조 복구 옵션과 함께 암호 관리자 서비스를 사용합니다.
- 인쇄 된 복구 키가있는 금고를 사용하면 시스템에 다시 (파괴적인) 액세스 권한을 부여 할 뿐이며 비상용으로 만 사용할 수 있습니다. (그래서 금고에있는 이유)
- 시스템에 저장된 마스터 키를 해독하기 위해 최소 3 개가 함께 필요한 4 개의 하드웨어 (스마트 카드) 토큰과 같은 분산 된 비밀 세트가 있습니다.
- hashicorps 볼트와 같은 것을 사용하여 모든 비밀을 저장하고 공유 토큰 비밀을 사용하여 액세스를 복원하십시오.
- 타사를 사용하여 액세스를 관리하십시오.
복구 프로세스 (기술적으로)를 구현할뿐만 아니라 복구 정책도 구현해야합니다. ea 긴급 사용을 유발할 수있는시기와 이유를 기록해 둡니다. 전달 방법 (시끄러운 복구를 선호합니다. 복구가 시도되고 완료되었음을 알고있는 모든 관리자에게 자동으로 알립니다.)
절대하지 말아야 할 것은
- 개인 계정에 대한 액세스 토큰을 요청하십시오.
- 명확하게 읽을 수있는 형태로 암호를 적어두고 항상 복구 할 수 있도록 만드십시오.
- 절차를 테스트하지 마십시오. (회복 절차를 주기적으로 테스트 할 수 있도록 만드십시오. 보통 2 년 정도마다 권장합니다.)
- 해당 계정의 "소유자"/ "사용자"에게 알리지 않고 계정에 액세스합니다. (이를 투명성이라고하며 안전하고 안전한 조직의 초석입니다.
이것이 당신이 아이디어를 얻는 데 도움이되기를 바랍니다.
항상 이러한 액세스 권한을 가진 여러 사람이 있어야합니다 .
이것은 계정과 암호를 공유하는 것이 아니라 전체 액세스 권한이있는 여러 계정과 암호를 의미합니다. 해고, 어린이 낮잠 등의 경우 누군가가이 사람을 가둘 수 있어야합니다.
이것은 사업입니다. 필요한 모든 절차, 계정 및 암호를 사용하여 재해 복구 파일을 어딘가에 잠그는 것은 지극히 정상적인 일입니다. 일반적으로 기업이 소규모 인 경우 회사 금고 또는 은행 금고가됩니다.
대부분의 비즈니스에서 하이테크 분할 키, 다단계 암호화는 보장되지 않습니다. 금고에있는 노트북과 썸 드라이브는 아마도 괜찮을 것입니다.하지만 당신은 그것을 결정해야합니다.
귀하의 직원이 스스로 심각한 책임을지고 있지만 이에 대해 다시 말씀 드리겠습니다. 먼저 액세스 공유에 대한 질문을 해결하겠습니다.
소유자 액세스가 반드시 필요합니다.
이미 알고있는 것 같지만 강조 할 가치가 있습니다. 소유자는 정기적으로 로그인 할 필요가 없지만 현재 관리하는 직원이 퇴사, 해고 또는 휴가 중일 경우 개입 할 수있는 능력이 있어야합니다. 직원이 연중 무휴 24 시간 근무할 계획입니까? 그렇지 않다면 필요할 때 액세스 할 수있는 다른 사람을위한 조항이 분명히 있어야합니다.
ID 공급자를위한 시간입니다
직원이 워크 스테이션 및 서버의 로컬 관리자 암호를 수동으로 관리하는 것 같습니다. 이것은 소수만있을 때 잘 작동하지만 확장되지는 않습니다. 이 액세스를 관리하려면 ID 공급자가 필요합니다. 이는 LDAP 또는 AD와 같은 것을 의미 할 수 있으며, 더 많은 웹 중심 회사의 경우 Auth0 또는 Okta와 같은 것을 의미 할 수 있습니다. 이러한 솔루션은 모두 여러 관리자를 포함하도록 설계되었으므로 그 시점에서 문제가 해결되었습니다. 사용자와 IT 부서의 책임자 모두 ID 공급자에 고유 한 관리자 계정이 있으므로 두 사람 모두 암호를 공유하지 않고도 필요에 따라 액세스 할 수 있습니다.
Break Glass 접근은 반드시 제공되어야합니다.
당신의 직원은 정말로 이것에 대해 잘못된 생각을하고 있습니다. 이는 의심의 여지없이 예외없이 회사 계정이므로 회사는 액세스 권한이 있어야합니다. 회사에서 액세스 권한을 부여했기 때문에 직원이 액세스 할 수 있습니다. 직원 은 그것에 대해 명확 해야 합니다. ID 공급자는이 프로세스를 훨씬 쉽게 만들지 만 그 동안 IT 팀이 워크 스테이션 또는 서버를 구성하고 해당 컴퓨터에 로컬 관리자 암호를 생성하는 경우 해당 암호를 어딘가에 저장하여 지정된 회사 담당자가 액세스 할 수 있도록해야합니다. 필요할 때 기계.
@LvB는 안전하게 액세스를 공유하기위한 몇 가지 좋은 제안을 제공합니다. 개인적으로 회사 금고 (또는 다른 안전한 위치)에 마스터 비밀번호가 저장된 온라인 비밀번호 관리자를 사용하는 것이 좋습니다. IT 담당자는 업무용 컴퓨터에서 암호 관리자에 로그인 한 상태를 유지할 수 있으며 새 암호를 "만들면"즉시 암호 관리자에 저장합니다. 액세스가 필요한 경우 소유자는 금고에서 마스터 비밀번호를 가져오고 비밀번호 관리자에 로그인하여 필요에 따라 액세스 권한을 얻을 수 있습니다. 비밀번호 관리자가 별도의 위치에 저장된 Yubi 키 등을 지원하는 경우 더욱 좋습니다.
이 직원은 빠르게 중요한 책임이되고 있습니다.
당신에게는이 직원이 말이되지 않고 빠르게 당신의 가장 큰 책임이되고 있음을 강조하고 싶습니다. 의도적 으로든 아니든, 그들은 자신을 해고 할 수없는 위치에두고 있지만, 그 반대는 사실이 아닙니다. 어떤 측면도 그만 둘 수 없게 만듭니다. 회사를 떠난다면 얼마나 안 좋을까요? 어떻게 나쁜 당신이 년 동안 계속 경우가있을 것입니다 생각하고 그 다음 그들은 떠나?
이미 고통 스러울 것 같지만 시간이 지날수록 더 고통 스러울 것이므로 지금 해결해야합니다. 직원은 이러한 계정이 회사 계정이고 직원이 퇴사 할 경우 회사에 액세스 권한이 필요함을 이해해야합니다. 소규모 비즈니스에서 "회사"는 당연히 소유자를 의미하며, 소유자로서 귀하의 액세스 권한으로 어리석은 일을한다면 그것은 귀하에게 있습니다. 직원이 다른 사람의 액세스 권한을 거부하는 것은 회사를 보호하기위한 해결책이 아닙니다. 일부 기본 교육과 이해는 이것이 일상적인 액세스를위한 것이 아니라는 것을 이해하는 데 도움이되지만 이미 이해하고있는 것처럼 들립니다.
직원이 여전히 액세스 권한을 거부하면 상황이 악화되기 전에 놓아 둘 때입니다. 보안에 대한 오해로 인해이 직원은 회사 전체에 심각한 서비스 거부 위험을 초래하여 너무 오래 지속되면 업무를 중단하게됩니다.
IT 직원이 한 명뿐이거나 IT 직원이 0 명이고 외부 IT 컨설턴트가 있는 소규모 조직의 경우 일반적으로 소유자에게 액세스 자격 증명을 넘기는 것을 거부하는 것은 좋지 않습니다.
규정 준수 (예 : PCI 규정 준수)가 필요한 산업의 조직의 경우 일반적으로 문서화 된 보안 정책이 필요합니다. 이 정책에 "소유자에게 전체 액세스 자격 증명 제공"을 포함합니다. 모든 IT 직원이 매년 서명 (실제 서명 사용)하도록 요구합니다. 규정 준수를 위해 보안 정책에 대한 매년 검토 / 사인 오프가 필요한 경우가 많습니다.
대규모 조직 (예 : IT 직원이 여러 명인 조직)에서는 일반적으로 IT 직원 이 상사 (또는 소유자)에게 암호를 제공하는 것은 좋지 않습니다 . 대신 발생하는 일은 조직의 보안 설정에 다양한 수준의 액세스 권한을 가진 신뢰할 수있는 IT 직원이 여러 명 있다는 것입니다. 소유자의 보안에 민감한 모든 요청은이 직원을 거쳐야합니다. 어떤 의미에서 소유자는 그러한 액세스에 대해 충분히 신뢰할 수 없습니다. 이것은 의도적 인 방해 행위에 대한 두려움보다는 기술적 불신의 문제입니다.
또한 많은 규정 준수 정책에 따라 액세스가 필요 하지 않은 사람은 액세스 권한이 없어야하므로 소유자에게 직접 액세스 권한을 부여하는 것은 보안 규정 준수를 위반하는 것일 수 있습니다 . 소유자는 반드시 액세스 권한이 필요하지 않습니다.
물론, 소유자가 모든 것에 대한 암호 / 액세스 권한을 얻는 문서화 된 내부 정책을 통해 위의 모든 문제에 대응할 수 있습니다. 그러나 이러한 정책은 일반적으로 대기업에는 권장되지 않습니다. 유능한 IT 직원이 이에 저항 할 수 있습니다.
마지막 참고 : 자격 증명을 공유하는 것은 나쁜 보안 관행 (PCI 준수에 의해 금지됨)입니다. 소유자에게 액세스 권한이 부여 된 경우 암호 공유가 아닌 별도의 관리자 자격 증명을 통해 수행해야합니다.