A jelszó nem apró IT-részlet, hanem üzleti kockázat
Sok kis- és középvállalkozásban a jelszókezelés évekig „valahogy működik”. A közös Facebook-oldal belépése egy régi emailfiókhoz kötődik, a webshop adminfelületének jelszava egy Excelben szerepel, a könyvelőprogramhoz többen ugyanazzal a hozzáféréssel lépnek be, a Wi-Fi-kódot mindenki ismeri, a távozó munkatárs belépéseit pedig csak akkor keresik elő, amikor már baj van. Amíg nem történik incidens, ez kényelmesnek tűnik. Valójában viszont a cég egyik legfontosabb védelmi pontja rendezetlen.
A jelszavak ma már nem csak levelezést védenek. Hozzáférést adhatnak számlázóhoz, CRM-rendszerhez, banki előkészítő felülethez, közösségi médiafiókokhoz, hirdetési fiókhoz, felhőalapú dokumentumtárhoz, ügyféladatokhoz, HR-anyagokhoz és szerződésekhez. Egy gyenge vagy rosszul kezelt jelszó nem technikai kellemetlenség, hanem adatvédelmi, pénzügyi és reputációs kockázat.
Miért veszélyes a közös Excel?
A jelszavakat tartalmazó Excel-tábla sok cégnél a „rendezettség” látszatát kelti. Egy helyen van minden, könnyű keresni, bárki hozzáfér, akinek kell. A gond éppen ez: gyakran túl sok ember fér hozzá, nincs naplózás, nincs erős védelem, nem derül ki, ki másolta le, ki küldte tovább, és mikor lett elavult. Ha az Excel egy megosztott mappában, emailben vagy magángépen kering, már nem kontrollálható.
Különösen veszélyes, ha az Excelben szerepel:
- céges emailfiókok belépése;
- webshop, CRM vagy számlázó hozzáférés;
- közösségi média és hirdetési fiók jelszava;
- banki vagy pénzügyi rendszerhez kapcsolódó adat;
- tárhely, domain, weboldal-adminisztráció;
- ügyfélrendszerekhez tartozó belépés.
Az Excel nem arra készült, hogy biztonságos jelszótároló legyen. Lehet jelszóval védeni, lehet rejtett helyre tenni, de ettől még nem lesz olyan megoldás, amely megfelelően kezeli a jogosultságokat, megosztást, naplózást és biztonságos használatot.
A közös jelszó a felelősséget is elmossa
Sok rendszerben még mindig egyetlen közös belépést használnak többen. Ez kényelmes, de komoly probléma. Ha valaki töröl egy adatot, módosít egy beállítást, letölt egy ügyféllistát vagy hibásan állít be kampányt, utólag nehéz kideríteni, ki volt az. Még nagyobb gond, ha egy dolgozó távozik, de a közös jelszó változatlan marad. Ilyenkor papíron már nincs a cégnél, gyakorlatban viszont továbbra is lehet hozzáférése.
Ahol mindenki ugyanazzal a belépéssel dolgozik, ott nincs valódi elszámoltathatóság. A céges rendszerekben ezért törekedni kell a névre szóló hozzáférésekre. Nem kell mindenkinek adminjog, és nem kell mindenkinek mindenhez hozzáférnie. A munkakör alapján kell dönteni: ki mit használ, milyen szinten, milyen időtartamra.
Ez különösen fontos közösségi médiafiókoknál és hirdetési rendszereknél. Nem ideális, ha az oldal tulajdonjoga egy volt munkatárs magánprofiljához kötődik, vagy az ügynökség távozása után a cég nem tudja visszavenni a hozzáférést. A jogosultsági káosz nemcsak biztonsági, hanem üzletmenet-folytonossági probléma is.
Mit tud egy jó jelszókezelő?
A jelszókezelő lényege, hogy a céges belépési adatokat titkosított formában tárolja, erős, egyedi jelszavakat hoz létre, és szabályozottan osztja meg azokat a munkatársakkal. A felhasználónak nem kell fejben tartania húsz bonyolult jelszót, a cég pedig nem kényszerül arra, hogy mindenki ugyanazt a könnyen megjegyezhető, de gyenge jelszót használja.
Egy céges jelszókezelő hasznos funkciói:
- egyedi, erős jelszavak generálása minden rendszerhez;
- szerepkör alapú megosztás, hogy csak az férjen hozzá, akinek kell;
- hozzáférés visszavonása távozó munkatársnál;
- biztonságos csapatmegosztás, emailben küldözgetés helyett;
- figyelmeztetés gyenge vagy újrahasznált jelszavakra;
- naplózás és adminfelügyelet, céges használatnál;
- többfaktoros azonosítás támogatása.
A jelszókezelő nem varázspajzs, de nagyot javít a jelszóhigiénián. A legfontosabb előnye, hogy lehetővé teszi az egyedi és erős jelszavak használatát anélkül, hogy a munkatársak kezelhetetlen terhet kapnának.
Kétlépcsős azonosítás: a második zár
A jelszó önmagában már sok esetben kevés. Ha egy adathalász oldalon megszerzik, vagy egy régi adatlopásból kiszivárog, a támadó megpróbálhat belépni a céges rendszerekbe. A kétlépcsős azonosítás ezt nehezíti meg: a jelszó mellett szükség van egy második tényezőre, például hitelesítő alkalmazásra, biztonsági kulcsra vagy jóváhagyásra.
Különösen fontos bekapcsolni:
- céges emailfiókoknál;
- felhőalapú dokumentumtáraknál;
- közösségi média és hirdetési fiókoknál;
- pénzügyi, számlázási és CRM-rendszereknél;
- tárhely- és domainkezelő felületeknél;
- adminisztrátori jogosultságoknál.
SMS-alapú kód is jobb lehet, mint a semmi, de céges környezetben a hitelesítő alkalmazás vagy biztonsági kulcs erősebb megoldás lehet. A legfontosabb, hogy a kritikus rendszerek ne maradjanak pusztán jelszóval védve.
A távozó munkatárs a leggyakoribb vakfolt
Kilépéskor sok cég gyorsan elintézi a papírokat, de a digitális hozzáféréseket nem veszi végig elég alaposan. Pedig a távozó kollégának lehet belépése emailhez, közös mappákhoz, projektmenedzsment-rendszerhez, közösségi oldalhoz, hirdetési fiókhoz, tárhelyhez, webshophoz, ügyfélportálhoz vagy külső szoftverekhez. Ha ezek nem kerülnek visszavonásra, a cég kontrollja sérül.
Érdemes kilépési hozzáféréslistát vezetni:
- milyen rendszerekhez volt hozzáférése;
- volt-e adminjoga vagy csak felhasználói szerepe;
- milyen megosztott mappákat látott;
- kezelt-e közösségi média- vagy hirdetési fiókot;
- használt-e külső ügyfélrendszert;
- volt-e céges eszközén mentett jelszó.
A kilépés napján nemcsak a laptopot kell visszakérni, hanem a digitális kulcsokat is vissza kell venni.
Hogyan lehet átállni káosz nélkül?
A jelszókezelés rendbetétele nem egyik napról a másikra történik. Első lépésként fel kell mérni, milyen rendszerek vannak, ki fér hozzájuk, hol vannak a jelszavak, mely belépések közösek, és melyek kritikusak. Ezután érdemes sorrendet állítani: először email, pénzügyi rendszerek, felhő, domain, tárhely, közösségi média és hirdetési fiókok.
Gyakorlati átállási lépések:
- rendszerlista készítése minden céges hozzáférésről;
- közös jelszavak azonosítása;
- gyenge és újrahasznált jelszavak cseréje;
- jelszókezelő kiválasztása céges igények szerint;
- kétlépcsős azonosítás bekapcsolása kritikus rendszereknél;
- munkatársak rövid oktatása a használatról;
- kilépési és belépési folyamat frissítése.
Fontos, hogy az átállás ne csak IT-feladat legyen. A vezetésnek is támogatnia kell, különben a dolgozók gyorsan visszatérnek a régi megoldásokhoz: emailben küldött jelszavakhoz, böngészőben mentett belépésekhez, közös táblázatokhoz.
A jelszórend üzleti alapfeltétel
A céges jelszavak kezelése nem látványos beruházás, mégis alapvető. Egy elvesztett közösségi médiafiók, feltört email, jogosulatlanul elért ügyféladatbázis vagy zárolt tárhely napokra, akár hetekre is megakaszthatja a működést. Sok incidens nem bonyolult támadással kezdődik, hanem újrahasznált jelszóval, elfelejtett hozzáféréssel vagy rendezetlen jogosultságokkal.
A jelszókezelő bevezetése nem a bizalmatlanság jele, hanem annak felismerése, hogy a céges hozzáférések értéket képviselnek. Az Excel-tábla ideiglenes kapaszkodónak tűnhet, de hosszú távon túl sok kockázatot hagy nyitva. Aki rendszerezi a jelszavait, bekapcsolja a kétlépcsős azonosítást, és névre szóló hozzáféréseket használ, nem bonyolítja a munkát, hanem védi a cég működését.
Fotó: Magnific