Helden der Zwei-Faktor-Authentifizierung oder wie man "in den Schuhen anderer läuft"

Wahrscheinlich sage ich Banalität, aber die Leute sind sehr seltsam (und die IT-Mitarbeiter sind doppelt). Sie sind sehr an Marketinginnovationen interessiert und möchten diese gerne einführen, gehen aber gleichzeitig gleichgültig an Technologien vorbei, die ihre Unternehmen tatsächlich vor echten Schäden schützen können.

Nehmen wir zum Beispiel die Zwei-Faktor-Authentifizierungstechnologie (2FA). Ein Angreifer kann leicht normale Passwörter ausspionieren und / oder stehlen ( was sehr häufig vorkommt ) und sich dann als legaler Benutzer anmelden. Darüber hinaus wird der Benutzer selbst höchstwahrscheinlich nicht über den Diebstahl des Passworts raten, bevor unangenehme (und manchmal sehr schwerwiegende) Folgen auftreten.

Und dies trotz der Tatsache, dass praktisch für niemanden eine Offenbarung ist, dass die Verwendung von Zwei-Faktor-Authentifizierungsmethoden die Wahrscheinlichkeit schwerwiegender Konsequenzen erheblich verringert oder sich sogar vollständig vor ihnen schützt.

Im Rahmen des Schnitts werden wir Ihnen erzählen, wie wir versucht haben, uns anstelle der Entscheidungsträger bei der Implementierung von 2FA in der Organisation zu präsentieren und zu verstehen, wie wir sie interessieren können.

Für diejenigen, die eine kleine Theorie wollen:



Es gibt also eine Zwei-Faktor-Authentifizierungstechnologie, die Benutzer bei minimalen Kosten (Geld und Zeit) effektiv vor Passwortdiebstahl und damit ihren Arbeitgebern vor dem Verlust von Informationen und anderen Sicherheitsproblemen schützen kann.

Aus irgendeinem Grund wurde diese Technologie jedoch nur in einer relativ kleinen Anzahl der am besten geschützten und fortschrittlichsten Unternehmen auf dem Gebiet der Informationssicherheit eingeführt. Worauf warten die anderen noch? Sorgen Sie sich nicht um die Sicherheit ihrer IT-Infrastruktur oder betrachten Sie die Bedrohung nicht als ernst? Und können Sie sicher sein, dass die Einführung zusätzlicher Sicherheitsmaßnahmen zu einer Verschlechterung der Arbeitsbedingungen der Benutzer und / oder zu einer Verringerung ihrer Effizienz führt?

Um dies zu verstehen, haben wir uns entschlossen, uns der alten bewährten Methode zuzuwenden - um Charaktere zu finden, die für die Implementierung von 2FA verantwortlich sein sollten, und bei der Beschreibung ihrer Verhaltensprofile zu versuchen, in ihre Schuhe zu schlüpfen (oder, wie die Amerikaner sagen, in ihren Schuhen zu laufen ). Wenn eine solche Methode zum Entwerfen neuer Produkte funktioniert, warum dann nicht genauso effektiv die Gründe für die (nicht) Verwendung bewährter Technologie analysieren?

Wir haben vier Charaktere geschaffen: zwei Direktoren und zwei Leiter der IT-Abteilungen für zwei Unternehmen - große und mittlere. Und für jeden von ihnen haben sie ihre eigene Geschichte geschrieben. Hier ist der erste.

Fedor

Firma

Ölraffinerie FlyTech, Teil der großen Ölfabrik FlyOil. Insgesamt arbeiten mehr als 3.000 Menschen in der Raffinerie, aber ungefähr tausend sind mit Computertechnologie verbunden. Dies sind sowohl Hilfseinheiten (Manager, Buchhaltung, Logistik, Verkaufsservice, Marketing) als auch Hersteller, die über Microsoft Windows-Terminals mit industriellen Steuerungssystemen (automatisierte Prozesssteuerungssysteme - Herstellung von Erdölprodukten) arbeiten.

Berufsbezeichnung

Leiter der IT-Abteilung. Er leitet ein Team von 10 Personen.

Wofür ist verantwortlich?

Für die Leistung der Unternehmens-IT-Infrastruktur. Grob gesagt, damit sich niemand über irgendetwas beschwert.

1. Fedor weiß, dass geringe IT-Kenntnisse der Mitarbeiter zu Abstürzen auf ihrem PC führen können. Er organisierte einen technischen Support, der mit ähnlichen kleinen Problemen arbeitet.
2. Fedor weiß, dass die Geräte altern und möglicherweise ausfallen, was die Arbeit eines Mitarbeiters, einer Abteilung oder der gesamten Anlage unmöglich macht. Daher organisierte er einen Reservefonds für den Fall des Ersatzes und verordnete Notfallersatzrichtlinien - das Verfahren und die Verantwortlichen.
3. Fedor weiß, dass aufgrund von Hackerangriffen, Hardwarefehlern, Bränden, Überschwemmungen usw. Daten beschädigt werden können. Er organisierte die Erstellung von Datensicherungen und schrieb eine Richtlinie für die Datenwiederherstellung im Fehlerfall vor.
4. Fedor weiß, dass Serversoftware abstürzt, was die Büroarbeit oder die Produktion gefährden kann. Daher verwendet er Methoden zur Online-Fehlerbehebung und vorgeschriebene Richtlinien zum Wiederherstellen der Verfügbarkeit von Serversoftware.
5. Fedor hat Angst vor Viren. Er weiß, dass sie die Computer oder ICS-Systeme der Mitarbeiter infizieren können. Daher kaufte und installierte er Antivirensoftware und konfigurierte sie so, dass sie regelmäßig aktualisiert wurde.
6. Fedor hat Angst vor Netzwerk-Hackern und verwendet daher Tools zur Erkennung und Verhinderung von Eindringlingen und andere Tools zur Netzwerksicherheit.

Was haben diese sechs Punkte gemeinsam? Fedor versteht, dass wenn ihn etwas im Rahmen des oben Gesagten passiert, sie ihn fragen werden. Manchmal für die Ursache (Viren, wenn sie sich unkontrolliert über das Netzwerk verbreiten), manchmal für die Folgen (fehlende Backups während der Wiederherstellung).

Wofür ist nicht verantwortlich

1. Obwohl es eine IT-Quelle hat, fällt es in den Verantwortungsbereich anderer Manager. Wenn beispielsweise das Terminal des Betreibers des automatischen Steuerungssystems ausfällt, ist Fedor dafür verantwortlich. Wenn der Bediener des automatisierten Prozessleitsystems den falschen Befehl eingibt, sind dies die Probleme der Hersteller. Fedor kann auf Befehl einen Befehl erteilen, die Software des automatisierten Prozessleitsystems so zu ändern, dass er falsche Befehle erkennt und deren Ausführung nicht zulässt. Aber TK wird von Produktionsmitarbeitern geschrieben, Fedor wird nur der Vermittler sein und für die Implementierung und den störungsfreien Betrieb verantwortlich sein. Ein näheres Beispiel für dieses Thema ist, wenn ein Mitarbeiter, der rechtmäßig über die Rechte verfügt, in der IT-Infrastruktur eines Unternehmens zu arbeiten, versucht, diese für destruktive Aktionen zu verwenden, oder Unternehmensinformationen für persönliche Zwecke verwenden möchte, Fedor nur dann reagiert, wenn mehr Rechte erteilt wurden als Der Arbeitnehmer muss im Moment seine Arbeit verrichten. Andernfalls ist dies das Problem des Sicherheitsdienstes und des unmittelbaren Vorgesetzten des Mitarbeiters.
2. Zur Umsetzung der vom Management akzeptierten Risiken. Es ist unmöglich, sich gegen alles zu verteidigen oder zu teuer. Wenn das Management beispielsweise entscheidet, dass der vollständige Verlust von Servern aufgrund eines Brandes oder einer Überschwemmung aufgrund des Standorts oder des Schutzes des Serverraums nicht möglich ist, wird den Sicherungsservern kein Geld zugewiesen. Und bei Problemen trägt das Management bereits die Verantwortung.

Jedoch! Dies gilt, wenn Fedor das Management im Voraus über diese Risiken informiert hat. Tatsache ist, dass Top-Manager selten IT-Spezialisten sind, sodass sie möglicherweise nicht einmal erraten, wie viel Schlimmes passieren kann. Wenn also etwas passiert, von dem die Tops nichts wussten, wird Fedor für schuldig erklärt. Deshalb versucht er, vor möglichen Problemen zu warnen, aber danach geht die Verantwortung für eine Entscheidung an die Spitze.

Professionelle Weltanschauung

Fedor hat genug Probleme und Sorgen bei der Erfüllung seiner Pflichten und bei der Verteidigung gegen Bedrohungen, die er für wahrscheinlich hält oder denen er selbst begegnet ist. Er versteht auch, dass Hersteller von Sicherheitssystemen sich auf den Verkauf ihrer Produkte konzentrieren und daher daran interessiert sind, so viel wie möglich zu erschrecken - neue Bedrohungen zu entwickeln und die Wahrscheinlichkeit und Bedeutung bestehender Bedrohungen zu übertreiben. Daher ist Fedor normalerweise sehr skeptisch gegenüber Geschichten über neue Bedrohungen und wie man sie löst.

Für Fedor ist es einfacher, an neue Bedrohungen zu glauben, die durch eine neue Runde der Technologieentwicklung verursacht werden, oder an Hacker, die neue Lücken für das Hacken öffnen, als an langjährige Bedrohungen, denen er theoretisch begegnen konnte, denen er jedoch nicht begegnete.

Wenn Fedor von einer neuen Bedrohung erfährt, an die er glaubt, schreibt er einen einfachen Schutzplan gegen diese Bedrohung, in dem angegeben ist, welche Ressourcen (Personen, Software, Hardware) dafür erforderlich sind. Dieser Plan wird den Spitzen präsentiert. Wenn die Top-Unternehmen sich bereit erklären, die entsprechenden Ressourcen zuzuweisen, wird in der Raffinerie ein Schutz gegen eine bestimmte Bedrohung eingeführt. Da es sich bei den Top-Unternehmen jedoch nicht um IT-Experten handelt, hängt die Zustimmung zur Umsetzung des Plans häufig von der korrekten Einreichung durch Fedor ab. Es hängt davon ab, ob er wirklich Schutz gegen diese Bedrohung implementieren möchte oder ob er die potenzielle Verantwortung nach oben verlagern möchte, wenn sich die Bedrohung tatsächlich als real herausstellt und der Plan, sie zu verhindern, nicht akzeptiert wird.

Aktuelle Einstellung zu 2FA

Fedor war die ganze Zeit nie mit den schwerwiegenden Folgen des Passwortdiebstahls konfrontiert. Er ist bereit zuzugeben, dass einige Mitarbeiter die Passwörter anderer kennen könnten, und hörte sogar ein paar Mal heimlich, wie Mitarbeiter ihre Passwörter diskutierten. Fedor ist sich sogar bewusst, dass Mitarbeiter ihre Passwörter übertragen, Sitzungen nicht blockieren und von einem anderen Konto aus arbeiten. Aber seiner Meinung nach hat und wird dies nicht zu ernsthaften Lecks führen, geschweige denn zu Hacks oder Schäden. Er ist bereit zuzugeben, dass ein Kausalzusammenhang besteht, möchte aber, dass jemand ihn ihm klar zeigt. Er wird 2FA erst in Betracht ziehen, wenn es einen klaren Präzedenzfall gibt oder wenn er gezwungen wird

Laut Fedor ist der Sicherheitsdienst für die Bekämpfung von Lecks verantwortlich (die IT-Abteilung kann nur die erforderlichen technischen Mittel bereitstellen). Letztendlich zwingt die IT die IT nicht dazu, die Aufbewahrung von Papierdokumenten und Eisenschlüsseln vom Büro aus zu überwachen - selbst wenn die IT Videoüberwachungskameras bedient, die auf Anordnung des Sicherheitsrates installiert wurden.

Fedor ist der Ansicht, dass das Unternehmen Richtlinien hat, nach denen Mitarbeiter ihre von den Mitarbeitern selbst signierten Passwörter sicher speichern müssen. Und wenn etwas passiert, wird eine bestimmte Person für ihre Nachlässigkeit bestraft. Und überwacht die Umsetzung der Politik lassen den Sicherheitsrat. Hier kann man jedoch nicht übersehen, dass die Theorie oft von der Praxis abweicht. Ein besonders wichtiger oder geehrter Mitarbeiter wird nicht berührt, selbst wenn er ein Passwort auf die Stirn schreibt, und ein entmächtigter Mitarbeiter auf niedriger Ebene kümmert sich nicht darum, da er nichts zu verlieren hat. Nur der Einsatz technischer Mittel kann jeden ausgleichen.

Der einzige Bereich, in dem Fedor wirklich besorgt ist, ist die Sicherheit von Passwörtern für Systemadministratoren. Denn wenn jemand im Auftrag des Systemadministrators und mit seinen umfangreichen Rechten die IT-Infrastruktur schädigt, wird unweigerlich eine ernsthafte Untersuchung durchgeführt, bei der nicht nur der nachlässige Systemadministrator den Tätern zugewiesen werden kann, sondern auch (abhängig von der Schwere des Schadens) Fedor selbst.

Wo sind die Schlussfolgerungen? Sie sind es noch nicht, denn über den Rahmen dieses Artikels hinaus gibt es eine Geschichte über drei weitere Charaktere - den direkten Leiter von Fedor, den Generaldirektor der Raffinerie sowie den Leiter der IT-Abteilung und den Eigentümer des Logistikgeschäfts. Sehr bald werden wir Ihnen sagen, was sie über die Zwei-Faktor-Authentifizierung denken.

In der Zwischenzeit würde ich gerne wissen, was Sie über 2FA denken - sowohl in Form von kostenlosen Kommentaren als auch in Form von Antworten auf die Umfrage. Finden Sie dieses Thema relevant? Ist die Bedrohung aus Ihrer Sicht real? Sollten Unternehmen Geld für die Implementierung von 2FA ausgeben?

Übrigens - haben Sie sich in Fedor wiedererkannt oder sieht Ihr Chef / Kollege vielleicht wie er aus? Und vielleicht haben wir uns geirrt und ähnliche Charaktere haben ganz andere Interessen?