Еще раз о паролях: какие ошибки совершают пользователи и какие есть альтернативы

Взлом учетных записей пользователей до сих пор остается популярной целью среди хакеров, а главным фактором риска является ненадежный пароль. При этом взлом учетной записи одного человека может привести к катастрофическим последствиям для целой компании.

Существует две основные проблемы c осознанностью пользователей в плане кибербезопасности, которые руководители и ИБ-специалисты должны принимать во внимание. Во-первых, большинство сервисов с регистрацией не требует частых изменений пароля, поскольку этот процесс зачастую является сложным и вызывает отторжение у пользователей, в особенности если действующие пароли были принудительно автоматически сброшены.

Некоторые сайты перешли на новые технологии, которые предполагают, к примеру, использование смартфона для того чтобы залогиниться, однако это кардинально меняет тот способ, к которому большинство пользователей привыкли.

Во-вторых, что более критично, пользователи продолжают повторно использовать пароли, причем как в своих личных аккаунтах почты, соцсетей, игровых сайтов, так и в сервисах, используемых для решения рабочих задач.

Никогда не меняющийся пароль, как и повторное его использование для различных сервисов, несут реальную угрозу безопасности компании. Как только злоумышленник получил доступ к аккаунту пользователя, узнать на какую компанию этот пользователь работает, не представляется сложной задачей. Нередко это можно понять из почтовой переписки, и, кроме того, многие указывают место работы в социальных сетях.  

Получив доступ к личному электронному ящику пользователя, при аналогичном пароле, злоумышленники могут легко получить доступ и к рабочей почте. Таким образом компания, на которую работает жертва взлома, попадает под угрозу вредоносных атак, фишинга и утечки данных.

Помимо этого, благодаря информации, найденной в почтовом ящике пользователя, злоумышленники могут создавать персонализированные имейлы, направленные на то, чтобы обманом вынудить коллег жертвы поделиться конфиденциальной корпоративной информацией. А с ростом повсеместного использования облачных приложений получение доступа к рабочей почте и многократно используемый пароль дают хакерам практически всё для того, чтобы вторгнуться в защищенный периметр предприятия.

Чтобы избежать такого рода сценария, компаниям следует принимать определенные меры:

Многофакторная аутентификация и сложные, не повторяющиеся пароли

То, что пароли должны быть разными для всех мессенджеров, используемых как дома, так и на работе, социальных сетей, почты и других сервисов, – должно быть четко известно вашим сотрудникам. Кроме того, необходимо донести до персонала важность использования двухфакторной аутентификации везде, где это возможно.

Задумайтесь об использовании дополнительных инструментов

USB-ключ

Персонализированные USB-ключи могут использоваться в качестве альтернативы паролям. USB-флэшка может стать ключом для ограничения доступа к компьютерам: достаточно вставить её в ПК – и рабочая станция будет доступна для сотрудника. В другое же время компьютер будет оставаться заблокированным для посторонних пользователей. Некоторые браузеры поддерживают работу с ключами, что означает, что все учетные данные для доступа к тем или иным сайтам могут храниться на ключе – и больше не нужно вручную вводить пароли для авторизации на сервисах. У этого способа есть и недостатки: USB-ключ может быть потерян или похищен.

NFC

Near Field Communication, NFC («коммуникация ближнего поля», «ближняя бесконтактная связь») также может быть использована в качестве альтернативы паролям. Благодаря новейшим технологиям в смартфонах, корпоративные сотрудники теперь могут использовать свои девайсы в качестве ключей доступа к сети компании.

Биометрические данные

Технологии доступа через анализ биометрических данных развиваются высокими темпами: если раньше можно было удивить идентификацией по отпечатку пальца или радужной оболочке глаза, то теперь «умные» технологии способны анализировать даже форму ваших ушей, походку или «узнать» ваше лицо.

Технически закройте доступ к вредоносным сайтам

Если разъяснительные работы не дают результата, можно запретить доступ к определенным сайтам техническими способами. Чтобы сократить риск компрометации корпоративных данных, многие организации закрывают доступ к потенциально вредоносным сайтам. Также можно использовать фильтрацию электронной почты, которая позволяет удалять опасный контент до того, как он попадет в почтовые ящики сотрудников.

Установите DLP-систему

Современные DLP-решения позволяют обеспечить полную прозрачность бизнеса, контролировать пересылаемую в корпоративной сети конфиденциальную информацию и даже выявлять случаи, когда с вашими сотрудниками пытаются связаться конкуренты. Кроме того, DLP-системы часто незаменимы для выявления вредоносной активности в сети компании. Так, бывали случаи, когда удавалось обнаружить спам-боты на компьютерах сотрудников. Выяснялось это после сработки статистического правила по отправке зашкаливающего количества электронных писем с компьютера работника. Ни он, ни антивирус на его компьютере об этом не подозревали. Помимо этого, при помощи DLP можно отслеживать ситуацию с посещаемыми сотрудниками сайтами и информацией, загружаемой в облачные сервисы, которые представляют особую опасность.

Проводите регулярное обучение сотрудников

Не важно, сколько технических слоев защиты существует на предприятии, безопасность компании в значительной степени зависит от ИБ-грамотности персонала. Поэтому, в первую очередь, компании должны обучать сотрудников и рассказывать о рисках, связанных с использованием одного и того же пароля для всех сервисов, открытием писем от подозрительных источников, и проводить обучение касательно того, как выявлять подозрительные ссылки и вложения.