A legtöbb biztonsági incidens, amivel egy kkv szembekerül, nem egy kifinomult, célzott támadás eredménye — hanem egy egyszerű, ismételten újrafelhasznált jelszó, amit valahol máshol egyszer kiszivárogtattak, és amit egy automatizált szkript egyszerűen kipróbál a te rendszereiden is. A jelszókezelés az a terület, ahol a legkisebb, legolcsóbb befektetés a legnagyobb, legkönnyebben elkerülhető kockázatot szünteti meg.

Miért nem elég az „erős jelszó" szabálya

A legtöbb cég biztonsági szabályzata megáll annál, hogy „legyen erős jelszavad" — nagybetű, szám, speciális karakter. Ez a szabály önmagában kevés, mert a valódi kockázat ritkán abból fakad, hogy valaki egy jelszót kitalál — sokkal inkább abból, hogy ugyanazt a jelszót több helyen is használják. Ha egy alkalmazott ugyanazt a jelszót használja egy külső, kevésbé biztonságos szolgáltatásnál, mint a céges rendszerekben, és az a külső szolgáltatás adatszivárgást szenved el, a kiszivárgott jelszó azonnal kipróbálható a céges rendszereken is — ez a fajta támadás, amit hitelesítő adatok újrafelhasználásának neveznek, az egyik leggyakoribb belépési pont, amivel a cégek szembekerülnek.

Ez a felismerés vezet el ahhoz, hogy a jelszókezelés nem egyéni fegyelem kérdése kellene legyen, hanem rendszerszintű megoldásé. Egy vállalati jelszókezelő eszköz, amely minden alkalmazottnak egyedi, erős, automatikusan generált jelszót ad minden szolgáltatáshoz, és ezeket biztonságosan tárolja, gyakorlatilag megszünteti az újrafelhasználásból eredő kockázatot — anélkül, hogy bárkinek emlékeznie kellene tucatnyi bonyolult jelszóra.

A kétlépcsős azonosítás — az egyetlen védelem, ami akkor is működik, ha a jelszó kiszivárgott

A kétlépcsős vagy többfaktoros azonosítás (MFA) azt jelenti, hogy a jelszó mellett egy második, külön elemre is szükség van a bejelentkezéshez — jellemzően egy telefonra érkező kódra vagy egy hitelesítő alkalmazásra. Ennek az az ereje, hogy még ha egy jelszó ki is szivárog vagy kitalálható, a támadó akkor sem tud bejelentkezni, mert nincs hozzáférése a második tényezőhöz. Ez az egyetlen, viszonylag egyszerűen bevezethető intézkedés, amely a gyakorlatban a támadások túlnyomó részét megállítja, még akkor is, ha minden más védelmi vonal átjárható lenne.

A leggyakoribb ellenérv, amit a bevezetésnél hallani, az, hogy „ez lassítja a munkát" — a valóságban a modern MFA-megoldások (egy értesítés jóváhagyása a telefonon) néhány másodpercet vesznek igénybe, ami elhanyagolható ahhoz a kockázathoz képest, amit kiküszöböl. Az adminisztratív hozzáféréseknél — ahol a legnagyobb kárt lehet okozni egyetlen sikeres bejelentkezéssel — az MFA bevezetése nem opció, hanem alapkövetelmény kellene legyen.

Amit a legtöbb kkv kihagy: a leltár és a leépítés

A jelszókezelés harmadik, legkevésbé látványos, mégis kritikus eleme a rendszeres leltár: pontosan tudod-e, ki milyen rendszerhez fér hozzá, és van-e olyan hozzáférés, amit már rég vissza kellett volna vonni? Ez különösen fontos, amikor egy alkalmazott távozik — ha a hozzáférés-visszavonás nem automatikus, hanem valakinek emlékeznie kell rá, hetekig vagy hónapokig is nyitva maradhat egy olyan fiók, amelyhez már senki nem tartozik hivatalosan, de amit bárki, aki ismeri a jelszavát, továbbra is használhat.

A legtöbb biztonsági incidens nem egy kifinomult támadás eredménye — hanem egy elfelejtett, újrafelhasznált jelszó, vagy egy hozzáférés, amit soha senki nem vont vissza.

A gyakorlati kezdés egyszerű: vezess be egy vállalati jelszókezelőt, kapcsold be a kétlépcsős azonosítást minden olyan rendszeren, ahol ez elérhető — kezdve az adminisztratív, legnagyobb kockázatú hozzáférésekkel —, és állíts be egy rendszeres, akár csak féléves felülvizsgálatot arról, ki milyen hozzáféréssel rendelkezik. Ez a három lépés, amelyek egyike sem igényel komoly technikai szaktudást, a legtöbb kkv-nál a biztonsági kockázatok jelentős részét megszünteti.

Ha szeretnéd rendbe szedni a céged jelszó- és hozzáférés-kezelését, nézzük át együtt, hol a legnagyobb, legkönnyebben megszüntethető kockázat.