Политика паролей

Что это значит

Политика паролей - набор внутренних правил о том, какой длины и сложности должны быть пароли, где они хранятся, когда меняются и для каких систем обязательна двухфакторная аутентификация. Она входит в политику безопасности компании и действует для сотрудников и внешних исполнителей.

Современные рекомендации сильно отличаются от старых. Вместо коротких паролей со спецсимволами, меняемых каждый месяц, предпочитают длинные парольные фразы, уникальный пароль для каждой учётной записи и менеджер паролей. Принудительная смена требуется прежде всего при подозрении на утечку, а не по календарю.

Пароль - лишь один слой защиты. Большинство учётных записей сегодня компрометируют через фишинг или повторное использование пароля, утёкшего из другого сервиса. Поэтому политика паролей имеет смысл только вместе с двухфакторной проверкой, обучением и управлением доступом.

Как это работает на практике

Разумная политика для малой фирмы может включать: минимальную длину пароля около 12-14 символов, запрет повторного использования, обязательный менеджер паролей, двухфакторную проверку для почты, бухгалтерской системы, банкинга и удалённого доступа и проверку паролей по спискам известных утечек.

Общие учётные записи, например к соцсетям или порталам поставщиков, хранят в общем хранилище менеджера паролей, а не в таблице или письме. При увольнении сотрудника пароли к общим учёткам меняют, а доступы отзывают в тот же день.

Для привилегированных учётных записей администраторов правила строже, они ведутся в режиме управления привилегированным доступом. Для компаний, подпадающих под NIS2, задокументированная политика паролей и аутентификации - одна из ожидаемых мер, и надзорный орган может её запросить.

На что обратить внимание

Слишком строгие и непрактичные правила дают худший результат: люди записывают пароли на бумажках, добавляют к ним лишь номер месяца или используют один пароль везде. Правила должны быть понятными и подкреплены инструментами, облегчающими их соблюдение.

Пароли устройств по умолчанию - роутеров, принтеров или камер - часто забывают сменить. Это любимая точка входа злоумышленников, поэтому политика паролей должна прямо их охватывать, а при установке нового устройства их нужно менять в первую очередь.