Verwalten des Kennwortdilemmas

Seien wir ehrlich, Passwörter stinken. Sie sind leicht zu stehlen, leichter zu vergessen und schaffen Arbeit für Ihre Mitarbeiter. Schlimmer ist, dass sie aus den verschiedensten Gründen nicht wirklich sehr gut abgesichert sind. Aber jetzt bleiben wir bei ihnen.

Glücklicherweise gibt es Dinge, die Sie tun können, um Ihr Risiko zu verringern und vor allem die Einhaltung von Anforderungen zu verbessern, die vom Gesetz über die Portabilität und Verantwortlichkeit von Krankenversicherungen (HIPAA) bis zum Sarbanes-Oxley-Gesetz (SOX) reichen. Sie müssen dies jedoch auch so tun, dass die Verwaltungslast nicht mehr als erforderlich und die Kosten nicht zu hoch sind. Und natürlich muss es an allen Orten funktionieren, an denen Ihre Mitarbeiter arbeiten.

Bevor Sie jedoch nach Kennwortalternativen suchen, ist es wahrscheinlich eine gute Idee, Ihre Kennwortrichtlinien zu überdenken und sich daran zu erinnern, dass sie von Personen verwendet werden müssen. Dies bedeutet, dass zu lange oder zu komplexe Passwörter die Effektivität verringern und die Kosten für Sie erhöhen.

Ihre Effektivität wird gemindert, weil die Leute sie aufschreiben, damit sie nicht vergessen, oder sie vergessen, und Ihre IT-Abteilung muss einen Reset durchführen, der Sie Geld kostet. Oder Sie müssen eine Funktion "Passwort vergessen" hinzufügen, die ihre eigenen Risiken und Komplexitäten aufweist.

Sie müssen auch über Ihre Anforderungen für routinemäßige Kennwortänderungen nachdenken. Eine Reihe von Studien hat ergeben, dass sie wahrscheinlich nicht erforderlich sind und die gleichen Nachteile haben wie zu komplexe oder lange Passwörter, mit der Ausnahme, dass sie häufiger vorkommen.

Aber selbst mit einer vernünftigen Kennwortrichtlinie ist dies keine sehr gute Methode, um Ihre Compliance-Ebene aufrechtzuerhalten. Natürlich brauchst du etwas anderes. Hier kommt ein zweiter Authentifizierungsfaktor ins Spiel.

Zweite Authentifizierungsfaktoren

Für große Organisationen, in denen die meisten Mitarbeiter im Büro arbeiten, ist die Verwendung des Ausweises als zweiter Faktor die naheliegendste Lösung. In fast allen Fällen, einschließlich der Regierung und vieler Fortune-500-Unternehmen, bedeutet dies, die Smartcard als zweiten Faktor zu übernehmen. Dies ist kein neuer Ansatz und weit verbreitet. Der Unterschied besteht darin, dass die Einstiegskosten jetzt erheblich niedriger sind, da Windows 10 jetzt Smartcards als Sicherheitstechnologie unterstützt.

Smartcards sind jedoch nicht unbedingt die beste Lösung für jedes Unternehmen, und sie sind überhaupt keine Lösung für eine größtenteils mobile Belegschaft. Sie können zwar Laptops mit einem integrierten Smartcard-Leser kaufen, dies ist jedoch für Ihre Mitarbeiter, die Smartphones oder Tablets als Teil ihrer Arbeit verwenden, nicht so einfach.

Die naheliegende Lösung für mobile Benutzer könnte darin bestehen, eine andere Form der Zwei-Faktor-Authentifizierung (2FA) zu verwenden, z. B. das Versenden eines numerischen Codes per SMS. Jedes derzeit verfügbare Telefon unterstützt Textnachrichten. Während der Zugriff auf eine Textnachricht kurz verzögert wird, funktioniert das Telefon einwandfrei und ist sicher, da moderne Telefone in der Regel zuvor ein biometrisches Login oder einen eigenen Passcode benötigen Sie werden arbeiten.

Um jedoch noch sicherer zu sein, können Sie eine dedizierte Anwendung verwenden, um auf Ihre Datensysteme zuzugreifen. Die Herausforderung besteht darin, eine App für jede Art von Smartphone zu entwickeln, die Ihre Mitarbeiter verwenden. Sie könnten auch eine Web-App verwenden, aber dann kehren Sie wieder zum Kennwortproblem zurück, es sei denn, Sie sind bereit, eine Webentwicklung durchzuführen, die die Authentifizierung über die Smartphones Ihrer Mitarbeiter ermöglicht, was nicht unmöglich, aber auch nicht trivial ist.

Inzwischen wundern Sie sich vielleicht über die Ganzhand-Lesegeräte, die Sie in einigen Rechenzentren sehen, oder über Fingerabdruck- oder Netzhautscan-Lesegeräte. Diese können alle gut funktionieren und sind eine offensichtliche Lösung für eine hochwertige Installation, wie z. B. Ihr Rechenzentrum. Sie erfordern jedoch erhebliche Investitionen in die Infrastruktur und müssen von den Mitarbeitern verwaltet werden. Wir versuchen über Möglichkeiten nachzudenken, um die Compliance zu verbessern, ohne Menschen hinzuzufügen oder zu viel Geld auszugeben.

Andere Möglichkeiten zur Verbesserung der Compliance

Dies bedeutet, dass Sie mehr als einen Ansatz wählen müssen. Für Ihre Büroangestellten können Sie Smartcards als Faktor für die Authentifizierung Ihrer Mitarbeiter implementieren. Dies hat nicht nur Vorteile für die physische Sicherheit, sondern auch für Ihre Compliance. Die Kosten für den Einstieg liegen auch in der Reichweite kleinerer Unternehmen.

Als Referenz sind Smartcard-Lesegeräte, die mit Windows arbeiten, für etwa 10 US-Dollar in einer Stückzahl von einem erhältlich. Tastaturen mit integriertem Chipkartenleser kosten nur 25 US-Dollar in Stückzahlen von einem.

Für Ihre mobilen Benutzer empfiehlt es sich, SMS-Nachrichten für 2FA zu verwenden. Dies ist etwas, das Sie sicherlich bereits gesehen haben, egal ob Sie mit Apple oder Microsoft oder einer Reihe anderer Websites arbeiten. Einige Unternehmen übernehmen den Prozess für Sie. Ein Beispiel ist Twilio, aber es gibt noch andere.

Was zählt, ist, dass Sie etwas gegen Ihr Passwort-Dilemma unternehmen können, ohne übermäßige Auswirkungen auf Ihre Mitarbeiter oder Ihr Budget zu haben. Ihr Weg zur Compliance wird einfacher, da Sie eine höhere Zugriffssicherheit bieten und die Mitarbeiter möglicherweise sogar entlasten, indem Sie funktionierende Richtlinien übernehmen und gleichzeitig eine höhere Sicherheitsstufe hinzufügen. Für Sie und Ihr IT-Team ist dies ein Gewinn für alle Seiten.