कार्यकारी अधिकारी, महीने में एक बार उपयोगकर्ता पासवर्ड रीसेट करना बंद कर दें

पासवर्ड परिवर्तन दिवस, Ensk में कार्यालय, पुनर्निर्माण, रंग

यदि इस लेख ने अंतरिक्ष-समय के सातत्य में अंतर नहीं किया, तो यार्ड 2018 में है, और अधिकांश बड़े संगठनों में, पासवर्ड अभी भी हर 30-90 दिनों में बदल जाते हैं। इस तथ्य का विषय कि निरंतर पासवर्ड परिवर्तन को मजबूर करने से केवल सुरक्षा कम हो जाती है, लेकिन इसे बिल्कुल नहीं बढ़ाता है, कई बार ( 1 , 2 , 3 ) हेब्रे पर उठाया गया है, लेकिन उनमें, विशेष मामलों पर आमतौर पर चर्चा की गई थी, और टिप्पणियों में उपयोगकर्ताओं ने सक्रिय रूप से अपने अनुभवों को सक्रिय किया, कैसे वे अपने स्वयं के खातों की रक्षा करते हैं।

यह तथ्य कि दो-कारक प्रमाणीकरण के साथ सशर्त KeePass + टोकन का एक गुच्छा सशर्त पासवर्ड परिवर्तन की तुलना में बहुत अधिक विश्वसनीय है, हर 30-90 दिनों में स्पष्टीकरण के बिना समझा जा सकता है। लेकिन पिछले प्रकाशनों में टिप्पणीकारों में से एक के रूप में उल्लेख किया, अक्सर इस तरह के "प्रभावी" उपायों के लिए पहल संगठन के बहुत ऊपर से आता है, और योग्य तर्क के बिना सीईओ के साथ बहस करना अधिक महंगा है। इसलिए, मैंने एक सुलभ तरीके से विस्तार करने की कोशिश करने का फैसला किया, जहां इस तरह के व्यापक और एक ही समय में अप्रभावी अभ्यास के पैर बढ़ते हैं, उनके लिए क्या विकल्प मौजूद हैं और वे किससे जुड़े हैं। शायद कुछ अधिकारियों द्वारा इस लेख को पढ़ने के बाद, व्यक्तिगत कंपनियों में काम करना थोड़ा बेहतर हो जाएगा।

नियमित रूप से पासवर्ड बदलना खतरनाक क्यों है?

पासवर्ड स्वयं एक सुरक्षा उपाय है जो क्रैकिंग के लिए बहुत प्रतिरोधी नहीं है। यही कारण है कि अब बाजार में दो या यहां तक ​​कि तीन-कारक प्रमाणीकरण, विभिन्न टोकन, फ्लैश ड्राइव और अन्य चाल के कई साधन हैं जो परिधि को मजबूत करते हैं और गोपनीय डेटा या खाते तक हैकिंग और पहुंच प्राप्त करने की संभावना को कम करते हैं। "मजबूती" के लिए प्रचार विधियों में से एक यह बहुत ही परिधि है कि उपयोगकर्ता के पासवर्ड को नियमित रूप से बदल दिया जाए, जो कि सिद्धांत रूप में, एक डेटाबेस नाली और इतने पर होने के कारण एक हमले से रक्षा करना चाहिए। ये सभी सिफारिशें याद आती हैं, सबसे पहले, मानकीकरण का प्रभाव, जिसका मैंने विस्तार से कई साल पहले वर्णन किया था।

संक्षेप में: पासवर्डों के निरंतर मजबूर परिवर्तन से टेम्पलेट के किसी व्यक्ति द्वारा न केवल वर्तमान पासवर्ड को याद रखने के लिए विकास होता है, बल्कि इसे उत्पन्न करने के लिए भी होता है, जिसे 2010 में अमेरिकी शोधकर्ताओं द्वारा एक वैज्ञानिक पेपर में वर्णित किया गया था।

अंत में "एक चर रजिस्टर और विशेष पात्रों के साथ मजबूत पासवर्ड" को याद करने के बजाय, उपयोगकर्ता उन्हें एक ट्राइट या डाउन पैटर्न में लिखना शुरू करते हैं। और प्रत्येक कर्मचारी को एक गार्ड सौंपना असंभव है जो प्रत्येक नए पासवर्ड की विशिष्टता की जांच करता है।

पासवर्ड बदलाव के बारे में अधिकारी कैसे सीखते हैं

यदि आप खोज इंजन को थोड़ा सा पीड़ा देते हैं, तो आप सूचना सुरक्षा के विषय पर बहुत सारे प्रकाशन और यहां तक ​​कि आधिकारिक दस्तावेज भी पा सकते हैं। उनमें से कुछ में मोथबॉल जैसी गंध आती है, कुछ और अधिक जागते हैं और हैकिंग के दौरान "अंदर के हमलों" और सोशल इंजीनियरिंग के खतरों के बारे में बात करते हैं। वे सभी आइटम "आवधिक पासवर्ड परिवर्तन" से एकजुट होते हैं, जो अक्सर "ऐसे सरल और प्रभावी तरीके के बारे में मत भूलना" जैसे शब्दों से शुरू होता है।

निराधार नहीं होने के लिए, मैं घरेलू साहित्य (शैक्षिक सहित!) में कई उदाहरण दूंगा और पासवर्ड के आवधिक परिवर्तन का उपयोग करने की सिफारिश की गई है:



यह सूचना सुरक्षा 2008 संस्करण पर CMD से एक स्क्रीनशॉट है। इसमें, लेखक पासवर्ड की कमजोरी को सुरक्षा के साधन के रूप में स्वीकार करते हैं और नियमित रूप से मजबूर परिवर्तन और सुरक्षित डेटा ट्रांसमिशन चैनलों जैसे कम बेकार उपायों के माध्यम से सूचना सुरक्षा के लिए कॉल करते हैं।

नेटवर्क उद्यम की सूचना सुरक्षा सुनिश्चित करने के लिए "प्रबंधकों और पर्यवेक्षकों" के लिए भुगतान किए गए सेमिनारों और प्रशिक्षणों का एक समूह प्रदान करता है। यदि हम आईटी खंड से विघटन करते हैं और कल्पना करते हैं कि उत्पादन करने वाले किसी उद्यम के निदेशक या मालिक, उदाहरण के लिए, गैस सिलिकेट ब्लॉक या अन्य औद्योगिक उत्पादों ने सूचना प्रौद्योगिकी का ध्यान रखा है, तो सबसे अधिक संभावना है कि वह खुले स्रोतों से जानकारी इकट्ठा करेगा या "उन्नत प्रशिक्षण" सेमिनारों में से एक में भाग लेगा।

मैं कली में ऐसी घटनाओं की आलोचना नहीं करता, नहीं। बेशक, यह नेटवर्क व्यवहार, एक्सेस अधिकारों के प्रतिबंध, सिस्टम और प्रशासन के समय पर अद्यतन के बारे में उपयोगी जानकारी भी प्रदान करता है। शायद उन्हें नियमों को निर्धारित करने और सुविधा में "शासन" के निर्माण के आधार पर सूचना सुरक्षा के सबसे सरल परिधि का निर्माण करना सिखाया जाता है। हालांकि, यह 100% निश्चितता के साथ कहा जा सकता है कि हमारे अनलिखित मंत्र "हर 30 दिनों में कर्मचारियों को अपना पासवर्ड बदलते हैं" ऐसी घटनाओं पर नियमित रूप से लगता है।

यदि आप इसके बारे में सोचते हैं, तो आप एक सरल निष्कर्ष निकाल सकते हैं: आखिरकार, विंडोज प्रशासन उपकरण ऐसी नीति की अनुमति देते हैं। वास्तव में, कॉरपोरेट नेटवर्क में पासवर्डों का नियमित रूप से परिवर्तन कई वर्षों पहले से बनाए गए एक मानक है, जो कि अच्छे इरादों वाले लोगों द्वारा किया जाता है, जो कि जड़ता द्वारा जारी है। यदि आप थोड़ा गहरा खोदते हैं, तो आप देख सकते हैं कि पासवर्ड का नियमित रूप से व्यापक रूप से उपयोग केवल Microsoft उत्पादों के लिए ही नहीं किया जाता है जो इस यांत्रिकी को बॉक्स से बाहर पहुंचाते हैं। पासवर्ड बदलने का अभ्यास सफलतापूर्वक अन्य उत्पादों के लिए किया गया है, उदाहरण के लिए, "चिड़ियाघर" सॉफ़्टवेयर 1 सी। वास्तव में, "सुरक्षा" नियमावली के निर्देशों का पालन करते हुए, पूरे सीआईएस के प्रशासक कम से कम एक दशक से अपने और एकाउंटेंट / बिक्री वाले लोगों के दिमाग का बलात्कार कर रहे हैं।

उसी समय, जो विशेषज्ञ पासवर्ड के नियमित परिवर्तन को छोड़ने का आग्रह करते हैं और संयोजन के प्रचार को याद रखना असंभव है, किस वर्ष सफलतापूर्वक अनदेखा किया जाता है। उदाहरण के लिए, लगभग दो साल पहले , ब्रिटेन के नए राष्ट्रीय साइबर सेंटर के प्रमुख, मार्टिन चीयरन ने जटिल पासवर्ड के निरंतर परिवर्तन के खिलाफ बात की थी । उन्होंने लगातार बदलते पासवर्ड के अभ्यास और विभिन्न सेवाओं के लिए जटिल पासवर्ड का उपयोग करने की युक्तियों की आलोचना की, इसकी तुलना 600 अंकों की मासिक याद के साथ की। चियारन के अनुसार, पासवर्ड मैनेजर या सिंगल पासवर्ड का उपयोग करना ज्यादा सुरक्षित होता है, जिसे क्रैक करना मुश्किल होता है, लेकिन याद रखना संभव है।

क्या नेतृत्व को समझाना संभव है?

एक नेता को समझाने के तरीके जो आईटी की आधुनिक दुनिया से बहुत दूर है, नियमित रूप से बदलते पासवर्ड जंगली खेल इतना नहीं है।

यह समझा जाना चाहिए कि इस अभ्यास को दो कारणों से इतनी व्यापक लोकप्रियता मिली है:

1. इससे सुरक्षा की झूठी भावना पैदा होती है और यह प्रबंधक के लिए कर्मचारी के कामकाज के "सुरक्षा" के प्रश्न को बंद कर देता है।
2. यह अपेक्षाकृत तेज़ और मुफ्त है।

यदि सभी पक्षों से, प्रेस में, सेमिनार और इतने पर, वे दशकों से कह रहे हैं कि पासवर्ड बदलना एक अच्छा विचार है, तो इसे सिर की स्मृति में जमा किया जाएगा। दूसरे बिंदु के साथ, जब बदलते पासवर्ड के रूप में "परिधि" को तैनात करने की सभी लागतें इस तथ्य से सीमित होती हैं कि आपको केवल इस सिस्टम प्रशासक की पहेली बनाने की जरूरत है, जो एक दिन में सब कुछ करेगा, सब कुछ दोगुना सुखद और आसान हो जाता है।

जब कोई मजबूर पासवर्ड परिवर्तन के रूप में एक मुफ्त विकल्प होता है, तो कोई भी मध्यम आयु वर्ग का प्रबंधक टोकन या अन्य भौतिक साधनों की खरीद के लिए सहमत नहीं होगा। इस मामले में स्पष्ट परिदृश्य एक है: इस तरह के अभ्यास की विफलता की व्याख्या करना और एक विकल्प का प्रस्ताव करना।

नियमित पासवर्ड परिवर्तन का खतरा क्या है:

• पासवर्ड कागज के टुकड़ों पर / डायरी में / मॉनीटर पर स्टिकर चिपकाकर लिखे जाने लगते हैं;
• पासवर्ड टेम्प्लेट किए गए हैं (पासवर्ड के आरंभ या अंत में कई अक्षर बदले जाते हैं);
• पासवर्ड को बहुत सरल किया जाता है, यहां तक ​​कि न्यूनतम चरित्र सीमा के साथ भी।

आप महसूस कर सकते हैं कि पासवर्ड के नियमित परिवर्तन से उत्पन्न सभी मुख्य खतरे सूचना सुरक्षा और परिधि के आंतरिक उल्लंघन से संबंधित हैं, यानी वे सोशल इंजीनियरिंग के विमान में झूठ बोलते हैं। नाइजीरिया का एक रिमोट हैकर कभी भी एक पासवर्ड की जासूसी नहीं करेगा जो कि एक कागज पर लिखा हो और एक कीबोर्ड के नीचे छिपा हो। लेकिन एक प्रतियोगी का एक कर्मचारी जो गलती से या एक टीम से एक wrecker में आया था - आसानी से।

आंतरिक परिधि की सुरक्षा सुनिश्चित करने का एकमात्र वास्तविक विकल्प "एक स्टेशन - एक व्यक्ति" के सिद्धांत का उपयोग है, समय-समय पर कार्य केंद्र को अवरुद्ध करने, नेटवर्क के भीतर पहुंच नीतियों का निर्माण करने और खाता पासवर्ड के प्रकटीकरण / हस्तांतरण के लिए जिम्मेदारी का परिचय देने के मामले में ऑन-लाइन परामर्श और कर्मचारियों का समर्थन है। उत्तरार्द्ध हाल के वर्षों में किसी भी कारण से एनडीए कर्मचारियों और ठेकेदारों के साथ हस्ताक्षर करने के लिए बहुत अच्छी तरह से फिट बैठता है, इसलिए इसे एक बार भी उचित ठहराया जाए।

पालन ​​करने के लिए एक उदाहरण के रूप में बैंकिंग क्षेत्र

कार्यालय के अंदर सूचना सुरक्षा के मामलों में अधिकांश प्रबंधक कर्मचारियों को कंपनी की संपत्ति के रूप में मानते हैं, अर्थात उन्हें समर्थन की आवश्यकता नहीं है। हालांकि, अगर हम बैंकिंग संरचनाओं में "सेवा-ग्राहक" के रूप में डेटा सुरक्षा के उदाहरण का उपयोग करके आंतरिक परिधि की संरचना पर विचार करते हैं, तो सब कुछ बहुत अधिक स्पष्ट हो जाता है।

इसके बारे में सोचो: एक बैंक कार्ड से पिन कोड केवल 4 वर्ण है, लेकिन कोई भी चिल्लाता नहीं है कि यह "बहुत छोटा" है और दरार करना आसान है। ट्राइट करें क्योंकि प्लास्टिक कार्ड में प्रवेश करने की कोशिशों की संख्या की सीमा होती है, साथ ही अगर वह डेटा लीक होने (स्क्रिमर) पर संदेह करता है या कार्ड खो देता है, तो क्लाइंट उसके कार्ड को जल्दी से ब्लॉक कर सकता है। और उपयोगकर्ता सक्रिय रूप से इन अवसरों का उपयोग करते हैं क्योंकि वे सुरक्षा उपायों को देखने में रुचि रखते हैं और जानते हैं कि वे इन कार्यों को जल्दी से करने में सक्षम होंगे।

यही है, यदि आपका प्रबंधन आंतरिक नियमों को बनाने और कंपनी के लिए वास्तविक सूचना सुरक्षा सुनिश्चित करने के बारे में चिंतित है, तो यह इस तथ्य को बताने लायक है कि उस समय सभी कर्मचारी संगठन की आईटी सेवा के "ग्राहक" बन जाते हैं, जो उनका समर्थन करेगा। सबसे अधिक बार, यह भूमिका सिस्टम प्रशासकों के साथ रहती है, जो पहले से ही संगठन के आईटी सिस्टम के सुचारू संचालन को सुनिश्चित करते हैं। और सुरक्षा के उपाय जितना गंभीर होगा, स्टाफ और बुनियादी ढांचे की लागत उतनी ही अधिक होगी। लेकिन किसी कारण से इस सरल सत्य के बारे में चुप रहने की प्रथा है।

तो मुझे क्या करना चाहिए?

हमें नेतृत्व के लिए एक सरल विचार व्यक्त करने की आवश्यकता है: कोई मुफ्त सूचना सुरक्षा नहीं है, मुफ्त में आप केवल इस दिशा में गतिविधि की उपस्थिति बना सकते हैं। अन्य सभी मामलों में, सिस्टम प्रशासकों के कर्मचारियों के लिए खर्च में वृद्धि होगी (यदि राज्य में कोई अंतर है, तो डाउनटाइम बढ़ेगा), जो उपयोगकर्ता की समस्याओं का तुरंत जवाब देगा और अधिकारों और अभिगमों के एक सक्षम प्रणाली का निर्माण करने में सक्षम होगा, या अस्थायी पासवर्ड जारी करने वाले टोकन की खरीद की आवश्यकता होगी / जिसके द्वारा सिस्टम तक पहुँच होती है।

उपर्युक्त का एक अपेक्षाकृत मुफ्त विकल्प केवल एक मास्टर पासवर्ड है, जिसे उपयोगकर्ता याद रख सकता है और कंपनी के लिए रणनीतिक सॉफ्टवेयर और डेटाबेस तक पहुंचने के लिए पासवर्ड प्रबंधक का उपयोग करने का कोई अधिकार नहीं है।

क्या, वास्तव में, अब हम लगभग एक दशक से बात कर रहे हैं।

---

पीएस नीचे कार्यालय कार्यकर्ताओं के लिए चुनाव हैं। फ्रीलांसरों और दूरदराज के श्रमिकों, कृपया स्पष्ट कारणों से बचना चाहिए।