Gestire il dilemma della password

Ammettiamolo, le password puzzano. Sono facili da rubare, più facili da dimenticare e creano lavoro per il tuo staff. Quel che è peggio è che non sono davvero un'ottima sicurezza per tutti i tipi di ragioni. Ma per ora, siamo bloccati con loro.

Fortunatamente, ci sono cose che puoi fare per ridurre il tuo rischio e, soprattutto, aumentare il tuo livello di conformità ai requisiti che vanno dalla Health Insurance Portability and Accountability Act (HIPAA) al Sarbanes – Oxley Act (SOX). Ma devi anche farlo in un modo che non aggiunga al tuo onere di gestione più del necessario e che non costi troppo. E, naturalmente, deve funzionare in tutti i luoghi in cui lavorano i tuoi dipendenti.

Prima di lanciarsi nella ricerca di alternative per la password, tuttavia, è probabilmente una buona idea riflettere sulle politiche relative alle password, ricordando che devono essere utilizzate dalle persone. Ciò significa che richiedere password troppo lunghe o troppo complesse diminuirà effettivamente la loro efficacia oltre ad aumentare i costi.

La loro efficacia è ridotta perché le persone li scrivono in modo da non dimenticarli o dimenticano e il reparto IT deve eseguire un ripristino, che costa denaro. Oppure è necessario aggiungere una funzione "password dimenticata", che presenta una serie di rischi e complessità.

Devi anche pensare ai tuoi requisiti per le modifiche di routine della password. Numerosi studi indicano che probabilmente non sono necessari e che hanno gli stessi aspetti negativi di password eccessivamente complesse o lunghe, tranne che si verificano più spesso.

Ma anche con una politica di password razionale, questo non è ancora un ottimo modo per mantenere il tuo livello di conformità. Chiaramente hai bisogno di qualcos'altro. È qui che entra in gioco un secondo fattore di autenticazione.

Secondo fattori di autenticazione

Per le grandi organizzazioni in cui la maggior parte dei dipendenti lavora in ufficio, la soluzione più ovvia è utilizzare il badge ID come secondo fattore. In quasi tutti i casi, incluso il governo e molte aziende Fortune 500, questo significa adottare la smart card come secondo fattore. Questo non è un nuovo approccio ed è ampiamente utilizzato. La differenza è che il costo di ingresso è ora notevolmente inferiore perché Windows 10 ora include il supporto per le smart card come tecnologia di sicurezza.

Ma le smart card non sono necessariamente la migliore soluzione per ogni azienda e non sono affatto una soluzione per una forza lavoro prevalentemente mobile. Mentre puoi acquistare laptop con un lettore di smart card integrato, non lo troverai così facile da realizzare con i tuoi dipendenti che usano smartphone o tablet come parte del loro lavoro.

La soluzione ovvia per gli utenti mobili potrebbe essere quella di adottare una diversa forma di autenticazione a due fattori (2FA), come l'invio di un codice numerico tramite SMS. Ogni telefono attualmente disponibile supporta i messaggi di testo e, sebbene implichi un breve ritardo nell'accesso mentre gli utenti attendono l'arrivo di un messaggio di testo, funziona davvero bene ed è sicuro poiché i telefoni moderni di solito richiedono un accesso biometrico o il proprio passcode prima funzioneranno.

Ma per essere ancora più sicuri, è possibile utilizzare un'applicazione dedicata per accedere ai sistemi di dati. La sfida è che dovrai sviluppare un'app per ogni tipo di smartphone utilizzato dai tuoi dipendenti. Potresti anche usare un'app Web ma poi ritorni di nuovo al problema con la password, a meno che tu non sia pronto a fare qualche sviluppo web che consentirebbe l'autenticazione tramite gli smartphone dei tuoi dipendenti, il che non è impossibile ma anche banale.

Ormai ti starai chiedendo di quei lettori di impronte digitali che vedi in alcuni data center o potresti pensare a lettori di impronte digitali o di scansione della retina. Tutti possono funzionare bene e sono una soluzione ovvia per un'installazione di alto valore, come il tuo data center. Ma richiedono un investimento significativo nelle infrastrutture e richiedono alle persone di gestirle. Stiamo cercando di pensare a come migliorare la conformità senza aggiungere persone o spendere troppi soldi.

Altri modi per migliorare la conformità

Ciò significa che dovrai adottare più di un approccio. Per i tuoi impiegati, potresti implementare le smart card come fattore di autenticazione dei tuoi dipendenti. Ciò presenta vantaggi per la sicurezza fisica oltre ad aiutare la conformità e il costo di accesso è alla portata di organizzazioni ancora più piccole.

Per riferimento, i lettori di smart card che funzionano con Windows sono disponibili in quantità pari a uno per circa $ 10. Le tastiere con lettori di smart card integrati costano fino a $ 25 in quantità pari a uno.

Per i tuoi utenti mobili, potresti pensare di utilizzare i messaggi SMS per 2FA. Questo è qualcosa che sicuramente hai già visto, sia che tu stia lavorando con Apple o Microsoft o un numero di altri siti. Diverse aziende gestiranno il processo per te. Un esempio è Twilio ma ce ne sono altri.

Ciò che conta è che puoi fare qualcosa per il tuo dilemma sulla password senza avere un impatto indebito sul tuo personale o sul tuo budget. Il tuo percorso verso la conformità sarà più semplice perché hai fornito una maggiore sicurezza di accesso e potresti persino facilitare il carico del personale adottando politiche che funzionano, aggiungendo anche un livello di sicurezza. Per te e il tuo team IT, è una vittoria da tutte le parti.