Корпоративная безопасность паролей не ограничивается их сложностью. Важно провести инвентаризацию всех учетных записей, включая VPN, облачные сервисы и аккаунты подрядчиков, разделив их на пользовательские, привилегированные, сервисные и внешние.
Для привилегированных аккаунтов необходимы уникальные сложные пароли, многофакторная аутентификация (MFA) и журналирование действий. Администраторам рекомендуется использовать отдельные учетные записи для выполнения административных задач.
Частая принудительная смена паролей неэффективна, так как сотрудники склонны к созданию предсказуемых вариаций. Вместо этого следует делать упор на длину, уникальность и использование менеджеров паролей, а также проверять учетные данные по базам скомпрометированных паролей.
При выборе менеджера паролей важно исключить возможность доступа администратора системы к пользовательским секретам. Архитектура продукта должна поддерживать шифрование на стороне клиента и разделение административных полномочий.
MFA следует внедрять в первую очередь для критических систем: VPN, корпоративной почты и панелей управления. Процесс управления доступом должен быть связан с HR-процессами для своевременной блокировки аккаунтов уволенных сотрудников и подрядчиков.
Для оценки эффективности защиты рекомендуется отслеживать такие показатели, как доля сотрудников, использующих корпоративный менеджер паролей, количество секретов в открытом виде и время отзыва доступа после увольнения.
