Пароли, менеджеры, SSO: что реально снижает риск
Почему управление доступом без удобства не работает - и как найти баланс между безопасностью и тем, что люди реально будут использовать.
Когда в компании говорят о безопасности паролей, разговор обычно заканчивается одним из двух результатов. Первый - вводят строгую политику: длинные пароли, обязательная смена каждые 90 дней, никаких повторений. Второй - ничего не меняют, потому что "люди всё равно не соблюдают".
Оба результата одинаково бесполезны. Первый создаёт иллюзию безопасности и реальное неудобство. Второй оставляет настоящий риск нетронутым.
Проблема в том, что безопасность, которой неудобно пользоваться, не работает. Люди её обходят. Не потому что они безответственны - а потому что у них есть работа, и она не должна останавливаться из-за того, что они не могут войти в систему.
Откуда берётся настоящий риск
В большинстве случаев инциденты с паролями происходят не из-за слабых паролей как таковых. Они происходят из-за:
- повторного использования одного пароля в нескольких сервисах. Утечка из одного - компрометирует все остальные;
- хранения паролей в неподходящих местах: таблицы Excel, блокноты, стикеры на мониторе;
- фишинга - когда пароль вводится на поддельной странице;
- отсутствия процедуры при увольнении сотрудника - его доступы остаются активными.
Принудительная смена пароля раз в 90 дней ни одну из этих проблем не решает. Она только добавляет неудобство.
Что реально работает: менеджер паролей
Менеджер паролей решает главную проблему: человеку больше не нужно помнить пароли, поэтому он перестаёт их повторять и упрощать. Каждый сервис получает уникальный, сложный пароль, который пользователь никогда не знал и никогда не набирал вручную.
Для компании это означает:
- при утечке из одного сервиса остальные не пострадают;
- новый сотрудник получает доступ к нужным ресурсам через хранилище, без пересылки паролей по почте;
- при увольнении сотрудника можно отозвать доступ к хранилищу, не меняя все пароли вручную.
Главное условие - менеджер должен быть корпоративным, с централизованным управлением. Личные менеджеры у каждого сотрудника - это не решение для компании.
Что реально работает: SSO
Single Sign-On - вход через одну корпоративную учётную запись - решает другую проблему: количество точек риска.
Когда у сотрудника 15 разных сервисов с 15 разными паролями, управлять этим невозможно ни ему, ни компании. При SSO вся логика аутентификации концентрируется в одном месте. Это значит:
- один надёжный пароль вместо пятнадцати слабых;
- при увольнении - одно отключение, а не пятнадцать;
- возможность применить дополнительные политики (двухфакторная аутентификация) один раз, а не пятнадцать.
SSO требует инвестиций в настройку и предполагает, что сервисы поддерживают стандарты интеграции. Это не решение на один день. Но для компании с десятками сотрудников и десятками сервисов - это системный ответ.
Что не работает, хотя кажется правильным
- Принудительная смена паролей по расписанию. Исследования показывают: когда людей заставляют менять пароль раз в квартал, они начинают делать предсказуемые замены - "Пароль1", "Пароль2". Это хуже, чем стабильный сложный пароль.
- Требования к сложности без контекста. Если политика требует "минимум 12 символов, цифра, спецсимвол" - но не предлагает инструмент для хранения - человек запишет пароль на бумажке.
- Блокировка после трёх попыток без процедуры восстановления. Это просто остановка работы.
Вопросы для проверки своей ситуации
Прежде чем вводить новые требования к паролям, я предлагаю ответить на несколько вопросов:
- Есть ли у нас список всех сервисов, к которым имеет доступ каждый сотрудник?
- Есть ли у нас процедура отзыва всех доступов при увольнении, и сколько она занимает времени?
- Есть ли у нас способ узнать, если пароль одного из наших сервисов попал в публичную утечку?
- Есть ли у нас корпоративный инструмент для хранения паролей, которым пользуются реально, а не формально?
Если на какой-то вопрос ответа нет - именно там начинается настоящий риск. Не в длине пароля.