Właściciel vs pracownik IT. Bezpieczeństwo i hasła
Jestem właścicielem firmy, która zatrudniła pracownika IT. Ma wszystkie hasła do serwerów, stacji roboczych i danych. Odmawia udostępnienia lub dostarczenia tych haseł (kluczy do królestwa) ze względów bezpieczeństwa. Wskazał mi Twoją witrynę wraz z wieloma innymi, na temat konsekwencji udostępniania haseł. Rozumiem konsekwencje udostępniania haseł pracownikom i dostawcom. Jaka jest najlepsza praktyka w zakresie zabezpieczania haseł w firmie? A jeśli jutro wpadnie w wypadek samochodowy? Jak zarządzamy zmianą haseł? Jak sprawić, by wszystkie przyjęcia były wygodne? Przede wszystkim ja, właściciel.
Odpowiedzi
Sposób na rozwiązanie tego problemu przez tajny sklep. Twój informatyk ma rację, mówiąc, że nie powinieneś udostępniać haseł w obecnej postaci.
Masz jednak prawo do formularza awaryjnego przywracania danych, gdy ktoś dostanie się pod autobus lub inne katastrofalne wydarzenie (na przykład utrata pamięci).
Oto niektóre sposoby rozwiązania tego problemu
- użyj usługi Menedżer haseł z dodatkową opcją odzyskiwania.
- użyj sejfu z wydrukowanym kluczem odzyskiwania, który zapewni Ci (destrukcyjny) dostęp z powrotem do systemu i jest przeznaczony wyłącznie do użytku awaryjnego. (Stąd dlaczego jest w sejfie)
- mieć rozproszony zestaw tajny, na przykład 4 tokeny sprzętowe (karty inteligentne), w których potrzebujesz co najmniej 3 razem, aby odszyfrować klucz główny przechowywany w systemie.
- użyj czegoś takiego jak skarbiec hashicorps do przechowywania wszystkich sekretów i użyj wspólnego klucza tajnego tokenu, aby przywrócić dostęp.
- Użyj strony trzeciej, aby zarządzać swoim dostępem.
Po prostu upewnij się, że nie tylko wdrażasz proces odzyskiwania (technicznie), ale także wdrażasz politykę odzyskiwania, np. Zapisz, kiedy i dlaczego, kto może uruchomić awaryjne użycie. Sposób komunikacji (wolę głośne odzyskiwanie, które automatycznie powiadamia wszystkich znanych administratorów o próbie i zakończeniu odzyskiwania).
To, czego NIGDY nie wolno robić, to
- poproś o tokeny dostępu do konta indywidualnego.
- zapisz hasło w czytelnej formie, zawsze staraj się je odzyskać.
- nigdy nie testuj procedury. (Zrób to tak, aby okresowo testować procedurę odzyskiwania, zwykle zalecam co 2 lata.)
- uzyskać dostęp do konta bez powiadamiania „właściciela” / „użytkownika” tego konta. (Nazywa się to przejrzystością i jest kamieniem węgielnym bezpiecznej organizacji.
Mam nadzieję, że to pomoże Ci zrozumieć.
Przez cały czas powinno być wiele osób z takim dostępem .
Nie oznacza to współdzielenia kont i haseł, oznacza to wiele kont i haseł z pełnym dostępem. Ktoś musi być w stanie zablokować tę osobę w przypadku rozwiązania umowy, dziecięcej drzemki lub czegokolwiek innego.
To jest biznes. To całkowicie normalne, że plik odzyskiwania po awarii jest gdzieś zamknięty ze wszystkimi niezbędnymi procedurami, kontami i hasłami. Zwykle będzie to firmowy sejf lub bankomat, jeśli firma jest mała.
W przypadku większości firm zaawansowany technologicznie klucz dzielony, szyfrowanie wielopoziomowe jest nieuzasadnione. Notebook i pendrive w sejfie prawdopodobnie są w porządku, ale musisz to ustalić.
Twój pracownik naraża się na poważne obciążenia, ale wrócimy do tego. Najpierw zajmijmy się kwestią udostępniania dostępu.
Dostęp właściciela jest zdecydowanie wymagany
Wydaje się, że już to wiesz, ale warto to podkreślić. Właściciel nie musi się regularnie logować, ale musi mieć możliwość wkroczenia, jeśli obecny pracownik zarządzający sprawami odejdzie, zostanie zwolniony lub wyjechał na wakacje. Czy Twój pracownik planuje być dostępny 24/7/365? Jeśli nie, to musi istnieć możliwość, aby ktoś inny miał dostęp w razie potrzeby.
Czas na dostawcę tożsamości
Wygląda na to, że Twój pracownik ręcznie zarządza hasłami administratora lokalnego dla Twojej stacji roboczej i serwerów. Działa to dobrze, gdy jest ich tylko garstka, ale nie skaluje się. Aby zarządzać tym dostępem, potrzebujesz dostawcy tożsamości. Może to oznaczać takie rzeczy, jak LDAP lub AD, lub dla firm zorientowanych na Internet może to oznaczać rzeczy takie jak Auth0 lub Okta. Wszystkie te rozwiązania są zaprojektowane tak, aby mieć wielu administratorów, więc na tym etapie problem został rozwiązany - zarówno Ty, jak i szef działu IT macie własne konto administratora u dostawcy tożsamości, więc oboje macie dostęp w razie potrzeby bez udostępniania haseł.
Niezależnie od tego należy zapewnić dostęp do zbicia szyby
Twój pracownik naprawdę myśli o tym w niewłaściwy sposób. Są to bez wątpienia i bez wyjątku konta firmowe , dlatego firma musi mieć do nich dostęp. Twój pracownik ma dostęp, ponieważ firma przyznała mu dostęp, a nie na odwrót. Twój pracownik musi mieć jasność co do tego. Dostawca tożsamości znacznie ułatwi ten proces, ale w międzyczasie, jeśli Twój zespół IT skonfiguruje stację roboczą lub serwer i utworzy hasło administratora lokalnego na tym komputerze, to hasło to musi być gdzieś przechowywane, aby wyznaczony przedstawiciel firmy miał dostęp do maszyna w razie potrzeby.
@LvB ma kilka dobrych sugestii dotyczących bezpiecznego udostępniania dostępu. Osobiście sugerowałbym użycie internetowego menedżera haseł z hasłem głównym przechowywanym w firmowym sejfie (lub innym bezpiecznym miejscu). Twój informatyk może pozostać zalogowany do menedżera haseł na swoim komputerze służbowym i za każdym razem, gdy „utworzy” nowe hasło, natychmiast zapisze je w menedżerze haseł. Jeśli kiedykolwiek będzie potrzebny dostęp, właściciel może wyjąć hasło główne z sejfu, zalogować się do menedżera haseł i uzyskać dostęp w razie potrzeby. Jeszcze lepiej, jeśli menedżer haseł obsługuje klucz Yubi lub podobny, który jest przechowywany w oddzielnej lokalizacji.
Ten pracownik szybko staje się poważną odpowiedzialnością
Dla Ciebie jednak naprawdę chcę podkreślić, że ten pracownik nie ma sensu i szybko staje się Twoją największą odpowiedzialnością. Celowo lub nie, stawiają się w sytuacji, w której nie można ich zwolnić, ale nie jest odwrotnie - żaden aspekt tego nie sprawia, że nie mogą zrezygnować. Jak źle by to było dla Twojej firmy, gdyby odeszli? Jak myślisz, jak źle będzie, jeśli to potrwa rok, a potem odejdą?
Domyślam się, że to już byłoby bolesne, ale z czasem będzie tylko bardziej bolesne, dlatego należy się tym zająć teraz. Twój pracownik musi zrozumieć, że są to konta firmowe, a firma potrzebuje dostępu na wypadek, gdyby pracownik odszedł. W małej firmie „firma” oznacza oczywiście właściciela, a jako właściciel, jeśli zrobisz coś głupiego ze swoim dostępem, to zależy to od Ciebie. Twój pracownik odmawiający udostępnienia innym osobom nie jest sposobem na ochronę firmy. Niektóre podstawowe szkolenia i zrozumienie z Twojej strony pomogą Ci zrozumieć, że to nie jest przeznaczone do codziennego dostępu, ale wygląda na to, że już to rozumiesz.
Jeśli Twój pracownik nadal odmawia udzielenia dostępu, nadszedł czas, aby go zwolnić, zanim sytuacja się pogorszy. Przez niezrozumienie bezpieczeństwa ten pracownik stwarza poważne ryzyko odmowy usługi w całej firmie, co spowoduje, że wypadniesz z interesu, jeśli będzie trwał zbyt długo.
W przypadku mniejszej organizacji, w której jest tylko jedna osoba informatyczna (lub 0 osób z działu IT i zewnętrznego konsultanta IT), odmowa przekazania danych uwierzytelniających właścicielowi generalnie nie jest w porządku.
W przypadku organizacji z branż wymagających zgodności (np. Zgodności ze standardem PCI), zazwyczaj wymagana jest udokumentowana polityka bezpieczeństwa. Uwzględnij w tej zasadzie „podaj dane logowania pełnego dostępu właścicielowi”. Wymagaj od pracowników IT podpisywania się na nim (prawdziwym podpisem) co roku. Coroczne przeglądanie / podpisywanie zasad bezpieczeństwa jest często wymagane w celu zapewnienia zgodności.
W dużych organizacjach (tj. Organizacjach zatrudniających wielu pracowników IT) zazwyczaj nie jest w porządku, aby informatycy podawali hasła swojemu szefowi (ani właścicielowi). Zamiast tego dzieje się tak, że konfiguracja zabezpieczeń organizacji ma wielu zaufanych pracowników IT, którzy mają różne poziomy dostępu. Wszelkie prośby właściciela dotyczące bezpieczeństwa muszą być kierowane przez ten personel. W pewnym sensie właściciel nie ma wystarczającego zaufania do takiego dostępu. Jest to bardziej kwestia technicznej nieufności niż strachu przed celowym sabotażem.
Ponadto przyznanie właścicielowi bezpośredniego dostępu (zamiast zaspokajania jego potrzeb w mniej bezpośredni sposób) może stanowić naruszenie zgodności z zasadami bezpieczeństwa, ponieważ wiele zasad zgodności wymaga, aby osoby, które nie potrzebują dostępu, nie miały dostępu. Właściciel niekoniecznie potrzebuje dostępu.
Oczywiście wszystkim powyższym można przeciwdziałać posiadając udokumentowaną, wewnętrzną politykę, zgodnie z którą właściciel otrzymuje hasła / dostęp do wszystkiego. Jednak taka polityka zwykle nie jest zalecana dla większych firm; kompetentny personel IT może się temu oprzeć.
Uwaga końcowa: udostępnianie poświadczeń jest zła praktyką w zakresie bezpieczeństwa (i jest zabroniona przez zgodność ze standardem PCI). Jeśli właściciel ma dostęp, należy to zrobić za pomocą oddzielnego zestawu poświadczeń administratora, a nie poprzez udostępnianie hasła.