Politika hesiel

Čo to znamená

Politika hesiel je súbor vnútorných pravidiel o tom, aké dlhé a zložité majú byť heslá, kde sa uchovávajú, kedy sa menia a pri ktorých systémoch je povinná dvojfaktorová autentifikácia. Je súčasťou bezpečnostnej politiky firmy a platí pre zamestnancov aj externých spolupracovníkov.

Moderné odporúčania sa od starých výrazne líšia. Namiesto krátkych hesiel so zvláštnymi znakmi menených každý mesiac sa uprednostňujú dlhé prístupové frázy, unikátne heslo pre každý účet a správca hesiel. Povinná zmena sa vyžaduje najmä pri podozrení na únik, nie podľa kalendára.

Heslo je len jedna vrstva ochrany. Najviac účtov sa dnes kompromituje cez phishing alebo opakované použitie hesla, ktoré uniklo z inej služby. Preto politika hesiel dáva zmysel len spolu s dvojfaktorovým overením, školením a riadením prístupov.

Ako to funguje v praxi

Rozumná politika pre malú firmu môže obsahovať: minimálnu dĺžku hesla okolo 12 až 14 znakov, zákaz opakovaného použitia hesiel, povinný správca hesiel, dvojfaktorové overenie pre e-mail, účtovný systém, bankovníctvo a vzdialený prístup, a kontrolu hesiel voči zoznamom známych uniknutých hesiel.

Zdieľané účty, napríklad k sociálnym sieťam alebo dodávateľským portálom, sa ukladajú v zdieľanom trezore správcu hesiel, nie v tabuľke či e-maile. Pri odchode zamestnanca sa heslá k zdieľaným účtom menia a prístupy odoberajú v ten istý deň.

Privilegované účty administrátorov majú prísnejšie pravidlá a riešia sa v režime správy privilegovaného prístupu. Pre firmy pod smernicou NIS2 je zdokumentovaná politika hesiel a autentifikácie jedným z očakávaných opatrení a dozorný orgán ju môže vyžiadať.

Na čo si dať pozor

Príliš prísne a nepraktické pravidlá vedú k horším výsledkom: ľudia si heslá zapisujú na papieriky, pridávajú k nim len číslo mesiaca alebo používajú to isté heslo všade. Pravidlá musia byť zrozumiteľné a podporené nástrojmi, ktoré ich dodržiavanie uľahčia.

Predvolené heslá zariadení, ako sú routery, tlačiarne či kamerové systémy, sa často zabudnú zmeniť. Sú obľúbenou vstupnou bránou útočníkov, preto ich politika hesiel musí výslovne pokrývať a pri inštalácii nového zariadenia ich treba zmeniť ako prvé.