Пароль сотрудника

Учётная запись и пароль

Учётная запись (аккаунт)  — это ключ к информационной системе. Она нужна, чтобы система узнала пользователя и дала ему доступ к данным. Для входа обычно нужны: «имя пользователя» и «пароль». 

Учётные записи контролируются информационной системой и дают пользователю разные возможности (это называется «правами») работы с данными.

Например, в CRM-системе пользователь в роли «руководитель отдела продаж» будет видеть все сделки. А пользователь в роли «менеджер по продажам» только свои.

При создании учётной записи нужно создать пару: уникальное имя пользователя и пароль. В качестве имени может использоваться слово, номер телефона или адрес электронной почты.

Для пароля  — комбинация из цифр и букв сложный пароль.

Пароль должен быть надежным и безопасным — минимум 14 символов, наличие цифр, букв разного регистра и специальных символов.

Как создать пароль для сотрудника

Кто создаёт пароли для сотрудников?

Учётные записи и пароли на предприятии создают ответственные сотрудники:

• сотрудники IT-отдела, например, системные администраторы или специалисты по информационной безопасности;
• управляющие цифровым имуществом  — специалисты, которые контролируют реестр облачных информационных систем и доступы к ним;
• рууководители направлений, например: руководитель отдела выдаёт доступы в информационную систему своим сотрудникам. 

Ответственные за учётные записи и пароли отвечают за регулярную смену паролей, их хранение, инструктаж сотрудников.

Требования к корпоративному паролю

Требования к паролю от учетной записи сотрудника:

• нельзя использовать личные пароли;
• пароль должен быть длинным, не менее 14 символов;
• нельзя использовать очевидные последовательности вроде «123456», «password» или «qwerty»;
• пароль не должен повторяться: нельзя копировать один и тот же пароль.

Где создавать пароли для сотрудников?

Требования к безопасности паролей постоянно растут, поэтому используют:

• Бесплатные генераторы надёжных паролей;
• Встроенные генераторы паролей в самих информационных системах;
• Встроенный генератор паролей уникальных паролей в менеджере паролей.

Где хранить все пароли предприятия?

Объём учётных записей (и логинов и паролей) в любой компании превышает полсотни. Обычно на предприятии все пароли хранят в одном месте. Используют корпоративный менеджер паролей  — специальную программу, в которой хранятся все учётные записи ко всем информационным системам предприятия.

Менеджер паролей помогает организовать хранение сложных паролей в компании и управлять ими. В менеджере паролей все пароли шифруются, а для повышения уровня защиты используют двухфакторную аутентификацию.

Рассказываем о плохих методах хороших и о том, как правильно хранить пароли в статье Где хранить пароли? 

Как выдавать пароли сотрудникам? 

Создание и выдача паролей для сотрудников нужно проводить по процедуре, которую предприятие формирует самостоятельно. Мы обозначим несколько базовых правил, которые можно использовать для своей парольной политики:

• при приеме нового сотрудника ответственный выдаёт учётные записи (логин/пароль) к информационным системам. Если сотрудник получил временный пароль, то он его меняет по правилам, которые описаны в требованиях к паролям;
• при увольнении сотрудника его учётные записи к информационным системам блокируются;
• если сотрудник забыл пароль, то ответственный выдаёт ему новый пароль.

Выдача и передача паролей должна происходить через защищённый канал передачи данных или через менеджер паролей. Ответственному и сотрудникам запрещается обмен такими данными через личные устройства или слабо защищённые каналы.

Пароли сотрудников и утечки данных у организаций

Слабые пароли и их повтороное использование — одна из причин утечек в организациях. 

Какие действия сотрудника повышают риск компрометации пароля?

Одна из проблем — передача учетной записи третьим лицам или использование одной учетной записи к корпоративной системе несколькими сотрудниками. 

Использование личных устройств так же является проблемой. Нередко люди забывают или теряют свои устройства в общественных местах. Если устройство взломано, то другие люди могут получить доступ к корпоративным системам.

Хранение паролей на листках бумаги, стикерах на мониторе, в текстовых файлах на рабочем столе.

Использование незашифрованных таблиц в облаках — в гугл-документах, яндекс-документах.