Політика паролів

Що це означає

Політика паролів - набір внутрішніх правил про те, якої довжини та складності мають бути паролі, де вони зберігаються, коли змінюються і для яких систем обов'язкова двофакторна автентифікація. Вона входить до політики безпеки компанії й діє для працівників і зовнішніх виконавців.

Сучасні рекомендації суттєво відрізняються від старих. Замість коротких паролів зі спецсимволами, що змінюються щомісяця, віддають перевагу довгим парольним фразам, унікальному паролю для кожного облікового запису та менеджеру паролів. Примусова зміна потрібна передусім за підозри на витік, а не за календарем.

Пароль - лише один шар захисту. Більшість облікових записів сьогодні компрометують через фішинг або повторне використання пароля, що витік з іншого сервісу. Тому політика паролів має сенс лише разом із двофакторною перевіркою, навчанням і управлінням доступом.

Як це працює на практиці

Розумна політика для малої фірми може містити: мінімальну довжину пароля близько 12-14 символів, заборону повторного використання, обов'язковий менеджер паролів, двофакторну перевірку для пошти, бухгалтерської системи, банкінгу та віддаленого доступу й перевірку паролів за списками відомих витоків.

Спільні облікові записи, наприклад до соцмереж чи порталів постачальників, зберігають у спільному сховищі менеджера паролів, а не в таблиці чи листі. Під час звільнення працівника паролі до спільних облікових записів змінюють, а доступи відкликають того самого дня.

Для привілейованих облікових записів адміністраторів правила суворіші, їх ведуть у режимі управління привілейованим доступом. Для компаній, що підпадають під NIS2, задокументована політика паролів і автентифікації - один з очікуваних заходів, і наглядовий орган може її запросити.

На що звернути увагу

Надто суворі й непрактичні правила дають гірший результат: люди записують паролі на папірцях, додають до них лише номер місяця або використовують один пароль усюди. Правила мають бути зрозумілими й підкріпленими інструментами, що полегшують їх дотримання.

Паролі пристроїв за замовчуванням - роутерів, принтерів чи камер - часто забувають змінити. Це улюблена точка входу зловмисників, тому політика паролів має прямо їх охоплювати, а під час встановлення нового пристрою їх треба змінювати насамперед.