दो-कारक प्रमाणीकरण के नायकों, या कैसे "दूसरों के जूते में चलना"

संभवत: मैं यह कहता हूं कि प्रतिबंध, लेकिन लोग बहुत अजीब हैं (और आईटी कर्मचारी दोगुने हैं)। वे विपणन नवाचारों में गहरी रुचि रखते हैं और उन्हें पेश करने के लिए उत्सुक हैं, लेकिन एक ही समय में उदासीन रूप से प्रौद्योगिकियों द्वारा पारित होते हैं जो वास्तव में उनकी कंपनियों को वास्तविक नुकसान से बचा सकते हैं।

उदाहरण के लिए, टू-फैक्टर ऑथेंटिकेशन टेक्नोलॉजी (2FA) लें। एक हमलावर आसानी से साधारण पासवर्ड और / या चोरी कर सकता है ( जो बहुत बार होता है ), और फिर एक कानूनी उपयोगकर्ता के रूप में लॉग इन करें। इसके अलावा, उपयोगकर्ता खुद सबसे अधिक संभावना अप्रिय (और कभी-कभी बहुत गंभीर) परिणामों की शुरुआत से पहले पासवर्ड की चोरी के तथ्य के बारे में अनुमान नहीं लगाएगा।

और यह इस तथ्य के बावजूद कि व्यावहारिक रूप से बिना किसी के लिए एक रहस्योद्घाटन है कि दो-कारक प्रमाणीकरण विधियों का उपयोग किसी भी गंभीर परिणामों की संभावना को बहुत कम कर देगा, या यहां तक ​​कि उनसे पूरी तरह से रक्षा करेगा।

कटौती के तहत, हम आपको बताएंगे कि कैसे हमने संगठन में 2FA के कार्यान्वयन पर निर्णय निर्माताओं के स्थान पर खुद को प्रस्तुत करने की कोशिश की, और समझा कि उन्हें कैसे ब्याज देना है।

उन लोगों के लिए जो थोड़ा सिद्धांत चाहते हैं:



तो, एक दो-कारक प्रमाणीकरण तकनीक है जो कम से कम लागत (पैसा और समय) पर प्रभावी ढंग से पासवर्ड चोरी से उपयोगकर्ताओं की रक्षा कर सकती है, और, परिणामस्वरूप, उनके नियोक्ता जानकारी और अन्य सुरक्षा समस्याओं को खोने से।

लेकिन किसी कारण से, इस तकनीक को सूचना सुरक्षा के क्षेत्र में केवल सबसे संरक्षित और उन्नत कंपनियों की अपेक्षाकृत कम संख्या में पेश किया गया है। बाकी क्या इंतज़ार कर रहे हैं? अपने आईटी बुनियादी ढांचे की सुरक्षा के बारे में चिंता न करें या खतरे को गंभीर न मानें? और क्या आप यह सुनिश्चित कर सकते हैं कि अतिरिक्त सुरक्षा उपायों की शुरूआत से उपयोगकर्ताओं की कार्य स्थितियों में गिरावट और / या उनकी दक्षता कम हो जाएगी?

इसे समझने के लिए, हमने पुरानी सिद्ध पद्धति की ओर मुड़ने का फैसला किया - ऐसे पात्रों के साथ आने के लिए जो 2FA को लागू करने के लिए ज़िम्मेदार होना चाहिए, और उनके व्यवहारिक प्रोफाइल का वर्णन करने की प्रक्रिया में उनके जूते में उतरने की कोशिश करें (या, जैसा कि अमेरिकी कहते हैं, उनके जूते में चलना )। यदि इस तरह की विधि नए उत्पादों को डिजाइन करने के लिए काम करती है, तो समय-परीक्षण प्रौद्योगिकी का उपयोग करने के लिए (नहीं) कारणों का विश्लेषण करने में उतना प्रभावी क्यों नहीं है?

हमने चार वर्ण बनाए: दो निदेशक और दो कंपनियों के दो प्रमुख विभाग - बड़े और मध्यम। और उनमें से प्रत्येक के लिए उन्होंने अपनी कहानी लिखी। यहाँ पहले वाला है।

Fedor

कंपनी

तेल रिफाइनरी फ्लाईटेक, बड़े तेल होल्डिंग फ्लाईओल का हिस्सा है। कुल मिलाकर, 3 हजार से अधिक लोग रिफाइनरी में काम करते हैं, लेकिन लगभग एक हजार कंप्यूटर प्रौद्योगिकी से जुड़े हैं। Microsoft Windows टर्मिनलों के माध्यम से स्वचालित इकाई नियंत्रण प्रणाली (स्वचालित प्रक्रिया नियंत्रण प्रणाली - पेट्रोलियम उत्पादों का उत्पादन) के साथ काम करने वाले ये दोनों सहायक इकाइयाँ (प्रबंधक, बहीखाता, रसद, बिक्री सेवा, विपणन) और उत्पादन कार्यकर्ता हैं।

नौकरी का शीर्षक

आईटी विभाग के प्रमुख। वह 10 लोगों की एक टीम का नेतृत्व करता है।

इसके लिए कौन जिम्मेदार है

एंटरप्राइज आईटी इन्फ्रास्ट्रक्चर के प्रदर्शन के लिए। मोटे तौर पर बोलना, ताकि किसी को किसी बात की शिकायत न हो।

1. फेडोर जानता है कि कर्मचारियों के कम आईटी कौशल से उनके पीसी पर क्रैश हो सकता है। उन्होंने एक तकनीकी सहायता सेवा का आयोजन किया जो समान मामूली मुद्दों के साथ काम करती है।
2. फेडोर जानता है कि उपकरण उम्र बढ़ने और विफल हो सकता है, जिससे कर्मचारी, विभाग या पूरे संयंत्र का काम असंभव हो जाता है। इसलिए, उन्होंने प्रतिस्थापन और निर्धारित आपातकालीन प्रतिस्थापन नीतियों - प्रक्रिया और जिम्मेदार लोगों के मामले में एक आरक्षित निधि का आयोजन किया।
3. फेडर को पता है कि हैकर के हमलों, हार्डवेयर विफलताओं, आग, बाढ़ आदि के कारण डेटा को नुकसान हो सकता है। उन्होंने डेटा बैकअप के निर्माण का आयोजन किया और विफलता की स्थिति में डेटा रिकवरी के लिए एक नीति निर्धारित की।
4. फेडर जानता है कि सर्वर सॉफ्टवेयर क्रैश होता है जो कार्यालय के काम या उत्पादन को खतरे में डाल सकता है। इसलिए, वह सर्वर सॉफ़्टवेयर अपटाइम को पुनर्स्थापित करने के लिए ऑन-लाइन समस्या निवारण और निर्धारित नीतियों के तरीकों का उपयोग करता है।
5. फेडर वायरस से डरता है। वह जानता है कि वे कर्मचारियों के कंप्यूटर या आईसीएस सिस्टम को संक्रमित कर सकते हैं। इसलिए, उन्होंने एंटीवायरस सॉफ़्टवेयर खरीदा और स्थापित किया और इसे नियमित रूप से अपडेट करने के लिए कॉन्फ़िगर किया।
6. फेडर नेटवर्क हैकर्स से डरता है, इसलिए वह घुसपैठ का पता लगाने और रोकथाम उपकरण और अन्य नेटवर्क सुरक्षा उपकरणों का उपयोग करता है।

इन छह बिंदुओं में क्या समानता है? फेडर समझता है कि यदि उपरोक्त के ढांचे के भीतर कुछ होता है, तो वे उससे पूछेंगे। कभी-कभी कारण के लिए (वायरस, यदि वे नेटवर्क पर अनियंत्रित रूप से फैलते हैं), कभी-कभी परिणामों के लिए (वसूली के दौरान बैकअप की कमी)।

क्या इसके लिए जिम्मेदार नहीं है

1. इस तथ्य के लिए कि यद्यपि इसके पास आईटी का स्रोत है, यह अन्य प्रबंधकों की जिम्मेदारी के क्षेत्र में आता है। उदाहरण के लिए, यदि स्वचालित नियंत्रण प्रणाली ऑपरेटर का टर्मिनल टूट जाता है, तो इसके लिए फेडर जिम्मेदार है। यदि स्वचालित प्रक्रिया नियंत्रण प्रणाली का ऑपरेटर गलत कमांड में प्रवेश करता है, तो ये निर्माताओं की समस्याएं होंगी। उनके आदेश से, फेडर स्वचालित प्रक्रिया नियंत्रण प्रणाली के सॉफ्टवेयर को संशोधित करने के लिए एक कमांड दे सकता है ताकि वह गलत आदेशों को पहचान सके और उन्हें निष्पादित करने की अनुमति न दे। लेकिन टीके को उत्पादन श्रमिकों द्वारा लिखा जाएगा, फेडर केवल मध्यस्थ और कार्यान्वयन और परेशानी से मुक्त संचालन के लिए जिम्मेदार होगा। चर्चा के तहत विषय का एक करीबी उदाहरण यह है कि अगर कोई कर्मचारी कानूनी रूप से किसी उद्यम के आईटी बुनियादी ढांचे में काम करने के अधिकार रखता है, तो उन्हें विनाशकारी कार्यों के लिए उपयोग करने की कोशिश करता है या व्यक्तिगत उद्देश्यों के लिए कॉर्पोरेट जानकारी का उपयोग करना चाहता है, तो फेडर केवल तभी जवाब देगा जब इससे अधिक अधिकार दिए गए हों कर्मचारी के लिए यह आवश्यक है कि वह अपनी नौकरी के कर्तव्यों का पालन करे। अन्यथा, यह सुरक्षा सेवा और कर्मचारी के तत्काल पर्यवेक्षक की समस्या होगी।
2. प्रबंधन द्वारा स्वीकृत जोखिमों के कार्यान्वयन के लिए। सब कुछ या बहुत महंगा के खिलाफ बचाव करना असंभव है। यदि प्रबंधन तय करता है, उदाहरण के लिए, कि आग या बाढ़ के कारण सर्वर का पूर्ण नुकसान सर्वर रूम के स्थान या संरक्षण के कारण असंभव है, तो बैकअप सर्वर को कोई पैसा आवंटित नहीं किया जाएगा। और समस्याओं के मामले में, जिम्मेदारी पहले से ही प्रबंधन द्वारा वहन की जाएगी।

हालांकि! यह सच है अगर फेडर ने इन जोखिमों के बारे में अग्रिम में प्रबंधन को सूचित किया। तथ्य यह है कि शीर्ष प्रबंधक शायद ही कभी आईटी विशेषज्ञ हैं, इसलिए वे यह अनुमान भी नहीं लगा सकते हैं कि कितनी बुरी चीजें हो सकती हैं। इसलिए, अगर ऐसा कुछ होता है कि शीर्ष के बारे में पता नहीं था, तो फेडर को दोषी घोषित किया जाएगा। इसलिए, वह संभावित समस्याओं के बारे में चेतावनी देने की कोशिश करता है, लेकिन उसके बाद निर्णय लेने की जिम्मेदारी सबसे ऊपर होती है।

पेशेवर विश्वदृष्टि

फेडोर के पास अपने कर्तव्यों के प्रदर्शन में और खतरों के खिलाफ बचाव में पर्याप्त समस्याएं और चिंताएं हैं जिन्हें वह संभावित मानता है या जो उसने खुद का सामना किया है। वह यह भी समझता है कि सुरक्षा प्रणालियों के निर्माता अपने उत्पादों की बिक्री पर केंद्रित हैं, इसलिए वे जितना संभव हो उतना डराने में रुचि रखते हैं - नए खतरों के साथ आ रहे हैं और मौजूदा लोगों की संभावना और महत्व को बढ़ाते हैं। इसलिए, फेडर आमतौर पर नए खतरों के बारे में कहानियों के बारे में बहुत उलझन में है और उन्हें कैसे हल किया जाए।

फेडर के लिए प्रौद्योगिकी विकास के एक नए दौर के कारण नए खतरों पर विश्वास करना आसान है या हैकर्स ने लंबे समय तक चलने वाले खतरों की तुलना में हैकिंग के लिए नए छेद खोल रहे हैं जो वह सैद्धांतिक रूप से मुठभेड़ कर सकते थे लेकिन मुठभेड़ नहीं करते थे।

जब फेडरर एक नए खतरे के बारे में जानता है, जिसमें वह विश्वास करता है, तो वह इस खतरे के खिलाफ सुरक्षा की एक सरल योजना लिखता है, यह दर्शाता है कि इसके लिए कौन से संसाधन (लोग, सॉफ्टवेयर, हार्डवेयर) की आवश्यकता है। इस योजना को सबसे ऊपर प्रस्तुत किया गया है। यदि टॉपर्स उपयुक्त संसाधनों को आवंटित करने के लिए सहमत होते हैं, तो रिफाइनरी में एक विशिष्ट खतरे के खिलाफ सुरक्षा पेश की जाती है, लेकिन चूंकि टॉप आईटी पेशेवर नहीं हैं, इसलिए योजना के कार्यान्वयन के लिए सहमति अक्सर फेडर के सही जमा करने पर निर्भर करती है। यह इस बात पर निर्भर करता है कि क्या वह वास्तव में इस खतरे के खिलाफ सुरक्षा को लागू करना चाहता है या यदि वह संभावित जिम्मेदारी को शीर्ष पर स्थानांतरित करना चाहता है यदि खतरा वास्तव में वास्तविक हो जाता है और इसे रोकने की योजना स्वीकार नहीं की जाती है।

2FA के लिए वर्तमान रवैया

हर समय, फेडर ने पासवर्ड चोरी के गंभीर परिणामों का सामना नहीं किया। वह यह स्वीकार करने के लिए तैयार है कि कुछ कर्मचारी दूसरों के पासवर्ड को जान सकते हैं, और यहां तक ​​कि गुप्त रूप से कई बार सुना है कि कर्मचारियों ने अपने पासवर्ड पर कैसे चर्चा की। फेडोर को यहां तक ​​पता है कि कर्मचारी अपने पासवर्ड को स्थानांतरित करते हैं, सत्र को ब्लॉक नहीं करते हैं, किसी और के खाते से काम करते हैं। लेकिन, उनकी राय में, यह किसी भी गंभीर लीक का कारण नहीं बनेगा, अकेले हैक या नुकसान नहीं होने देगा। वह स्वीकार करने के लिए तैयार है कि एक कारण संबंध मौजूद है, लेकिन चाहता है कि कोई उसे स्पष्ट रूप से दिखाए। वह 2FA पर तब तक विचार नहीं करेगा जब तक कि एक स्पष्ट मिसाल न हो, या जब तक वह मजबूर न हो

फेडर के अनुसार, सुरक्षा सेवा लीक के खिलाफ लड़ाई के लिए जिम्मेदार है (आईटी विभाग केवल आवश्यक तकनीकी साधन प्रदान कर सकता है)। अंत में, आईटी आईटी को बल नहीं देता है कि वह कार्यालय से कागजी दस्तावेजों और लोहे की चाबियों के भंडारण की निगरानी करे - भले ही आईटी सुरक्षा परिषद के आदेश द्वारा स्थापित वीडियो निगरानी कैमरों का कार्य करता हो।

फेडोर का मानना ​​है कि कंपनी के पास ऐसी नीतियां हैं, जिनमें कर्मचारियों को स्वयं कर्मचारियों द्वारा हस्ताक्षरित पासवर्ड को सुरक्षित रूप से संग्रहीत करने की आवश्यकता होती है। और अगर कुछ होता है, तो एक विशिष्ट व्यक्ति को उसकी लापरवाही के लिए दंडित किया जाएगा। और नीतियों के निष्पादन की देखरेख सुरक्षा परिषद करती है। यहाँ, हालांकि, कोई यह नोटिस करने में विफल नहीं हो सकता है कि सिद्धांत अक्सर अभ्यास से भिन्न होता है। एक विशेष रूप से महत्वपूर्ण या सम्मानित कर्मचारी को तब भी छुआ नहीं जाएगा जब वह अपने माथे पर एक पासवर्ड लिखता है, और एक कम-स्तर वाले कर्मचारी को परवाह नहीं है, क्योंकि उसके पास खोने के लिए कुछ भी नहीं है। केवल तकनीकी साधनों का उपयोग सभी को समान कर सकता है।

एकमात्र क्षेत्र जहां फेडर वास्तव में चिंतित है, सिस्टम प्रशासकों के लिए पासवर्ड की सुरक्षा है। क्योंकि अगर कोई व्यक्ति सिडसमिन की ओर से और उसके व्यापक अधिकारों के साथ आईटी बुनियादी ढांचे को नुकसान पहुंचाता है, तो एक गंभीर जांच अनिवार्य रूप से आयोजित की जाएगी, जहां न केवल लापरवाह sysadmin को अपराधियों को सौंपा जा सकता है, बल्कि (क्षति की गंभीरता के आधार पर) फेडरर खुद भी।

खैर, निष्कर्ष कहां हैं? वे अभी तक नहीं हैं, क्योंकि इस लेख के दायरे से परे तीन और पात्रों के बारे में एक कहानी है - फेडर के प्रत्यक्ष प्रमुख, रिफाइनरी के सामान्य निदेशक, साथ ही आईटी विभाग के प्रमुख और रसद व्यवसाय के मालिक। बहुत जल्द हम आपको बताएंगे कि वे दो-कारक प्रमाणीकरण के बारे में क्या सोचते हैं।

इस बीच, मैं वास्तव में यह जानना चाहूंगा कि आप 2FA के बारे में क्या सोचते हैं - दोनों स्वतंत्र टिप्पणियों के रूप में और सर्वेक्षण की प्रतिक्रियाओं के रूप में। क्या आप इस विषय को प्रासंगिक पाते हैं? क्या आपकी बात से खतरा वास्तविक है? क्या व्यवसायों को 2FA लागू करने पर पैसा खर्च करना चाहिए?

और वैसे भी - क्या आपने फेडर में खुद को पहचाना, या हो सकता है कि आपका बॉस / सहकर्मी उसके जैसा दिखता हो? और शायद हमसे गलती हुई और इसी तरह के चरित्रों में पूरी तरह से अलग रुचियाँ हैं?