პაროლისა და ანგარიშის უსაფრთხოება ბიზნესისთვის
ბიზნესების მიერ ციფრული აქტივების დაკარგვის ყველაზე გავრცელებული მიზეზი რთული შეტევა კი არა, სხვა საიტის გაჟონვაში მოხვედრილი განმეორებით გამოყენებული პაროლია. სერვერის უსაფრთხოებაზე დახარჯული შრომა ერთი და იმავე პაროლის სამ სხვადასხვა სერვისში გამოყენებით ადვილად ფუჭდება.
როგორი უნდა იყოს ძლიერი პაროლი?
სიგრძე სირთულეზე მნიშვნელოვანია. P@ssw0rd!-ის მსგავსი სიმბოლოებით გაჯერებული მოკლე პაროლი სუსტია, რადგან გამოცნობის შაბლონებს ერგება; სამაგიეროდ, შემთხვევითი ოთხი-ხუთი სიტყვისგან შემდგარი გრძელი მიმდევრობა უფრო ძლიერიცაა და უფრო დასამახსოვრებელიც. პრაქტიკული მიზანი: მინიმუმ 16 სიმბოლო, შემთხვევითად გენერირებული და ყოველი ანგარიშისთვის განსხვავებული.
აქ მთავარი განმსაზღვრელი სწორედ განსხვავებულობის მოთხოვნაა. რაც უნდა ძლიერი იყოს პაროლი, თუ სამ სერვისში ერთი და იგივეა, სამივეს უსაფრთხოება ყველაზე სუსტ რგოლამდე ეცემა.
როგორ იტაცებენ პაროლებს რეალურად
გავრცელებული წარმოდგენის საწინააღმდეგოდ, თავდამსხმელი პაროლს ხშირად ცდისა და შეცდომით არ პოულობს. თანმიმდევრობა, როგორც წესი, ასეთია: პატარა საიტის ბაზა ჟონავს, ელფოსტისა და პაროლის წყვილები სიაში ხვდება, მერე ეს წყვილები ავტომატურად ათობით დიდ სერვისში იცდება. ყველა ადგილი, სადაც იგივე პაროლი გაქვთ, ერთდროულად ეცემა.
ამიტომ პატარა სერვისები, რომლებსაც „ჩემს ანგარიშში მნიშვნელოვანი არაფერიაო“ არ აქცევენ ყურადღებას, სწორედ მთავარი რისკის მატარებელი ადგილებია.
ორსაფეხურიანი ვერიფიკაცია აუცილებელია
პაროლი მარტო საკმარისი არ არის. ჩართული ორსაფეხურიანი ვერიფიკაციისას პაროლის მოპარვის შემთხვევაშიც ანგარიშში ვერ შევლენ. მეთოდებს შორის უსაფრთხოების სხვაობაა:
| მეთოდი | შეფასება |
|---|---|
| SMS | სუსტი, მაგრამ არაფერზე უკეთესი; SIM-ის გამოცვლის შეტევის მიმართ დაუცველი |
| აპლიკაცია (TOTP) | ბიზნესების უმეტესობისთვის სწორი ბალანსი |
| აპარატურული გასაღები | ყველაზე ძლიერი; ადმინისტრატორის ანგარიშებისთვის რეკომენდებულია |
მინიმუმ ამ სამში აუცილებლად უნდა იყოს ჩართული: დომენის რეგისტრატორის ანგარიში, ჰოსტინგის ანგარიში და კორპორატიული ელფოსტა.
ანგარიშების მართვა გუნდში
- გაზიარებულ ანგარიშს ნუ გამოიყენებთ. ყველა თავისი ანგარიშით შედიოდეს და უფლება როლის მიხედვით ჰქონდეს. „საერთო ადმინის პაროლის“ წესრიგი ერთი ადამიანის წასვლისას ყველაფრის შეცვლას მოითხოვს და ვინ რა გააკეთა — არასდროს ჩანს.
- გამოიყენეთ პაროლების მენეჯერი. გუნდური გეგმები პაროლის ჩვენების გარეშე გაზიარების საშუალებას იძლევა. Excel ფაილში ან გუნდის ჩატში გაზიარებული პაროლი მუდმივი ხვრელია.
- აწარმოეთ წასული თანამშრომლის საკონტროლო სია. პანელი, სერვერი, ელფოსტა, სოციალური ქსელები, სარეკლამო ანგარიშები, დომენის რეგისტრატორი. თუ ეს სია წინასწარ მზად არ არის, წასვლის დღეს რაღაც აუცილებლად გამოგრჩებათ.
- უფლებები მინიმალური შეინარჩუნეთ. კონტენტის შემყვანს სერვერზე წვდომა არ სჭირდება.
ვებსაიტისა და მართვის პანელის მხარე
ადმინისტრატორის ანგარიშების რაოდენობა მართლა საჭიროთი შემოფარგლეთ; გამოუყენებელი ანგარიშები დახურეთ. ნაგულისხმევი მომხმარებლის სახელები შეცვალეთ, სესიის ხანგრძლივობა გონივრული შეინარჩუნეთ და პანელის შესვლის გვერდი საძიებო სისტემებისთვის ღია ნუ დატოვებთ.
და კიდევ ყველაზე ხშირად გამოტოვებული პუნქტი: პროექტის დასრულების შემდეგ სააგენტოს ან ფრილანსერის წვდომის დახურვა. თვეების წინ წასული გუნდის პანელში ისევ შესვლის შესაძლებლობა ჩვენ მიერ შემოწმებულ საიტებში ყველაზე ხშირად შემხვედრი ხვრელია.
თუ გაჟონვას ეჭვობთ
თანმიმდევრობა მნიშვნელოვანია, რადგან არასწორი რიგით შესრულებული ოპერაცია თავდამსხმელს წვდომის შენარჩუნების საშუალებას აძლევს:
- ჯერ ელფოსტის ანგარიშის პაროლი შეცვალეთ და ორსაფეხურიანი ვერიფიკაცია ჩართეთ. ელფოსტა ყველა სხვა ანგარიშის აღდგენის კარია.
- შემდეგ დომენისა და ჰოსტინგის ანგარიშები დაიცავით.
- ყველა აქტიური სესია დაასრულეთ; მხოლოდ პაროლის შეცვლა ღია სესიას ყოველთვის არ ხურავს.
- ანგარიშებში გადამისამართებისა და აღდგენის პარამეტრები შეამოწმეთ. თავდამსხმელები ყველაზე ხშირად სწორედ იმას აკეთებენ, რომ წვდომის დაკარგვის შემთხვევაშიც დასაბრუნებლად გადამისამართების წესს ტოვებენ.
- ბოლოს სხვა სერვისებში ყველგან შეცვალეთ, სადაც იგივე პაროლს იყენებდით.
ხშირად დასმული კითხვები
რა სიხშირით უნდა შევცვალო პაროლი? რეგულარული სავალდებულო შეცვლა აღარ არის რეკომენდებული; ადამიანებს პროგნოზირებად ვარიაციებზე უბიძგებს. თუ პაროლი გრძელი, შემთხვევითი და უნიკალურია, მხოლოდ გაჟონვის ეჭვისას შეცვალეთ.
ბრაუზერში პაროლის შენახვა უსაფრთხოა? თუ მოწყობილობის პაროლი და დისკის დაშიფვრა ჩართულია — გონივრულია. საერთო სარგებლობის კომპიუტერებზე — კატეგორიულად არა.
პაროლების მენეჯერი ყველაფერს ერთ ადგილას არ აგროვებს? აგროვებს, მაგრამ მისი ალტერნატივა — განმეორებითი გამოყენება — ბევრად დიდი რისკია. მთავარი პაროლი გრძელი შეინარჩუნეთ და ორსაფეხურიანი ვერიფიკაცია ჩართეთ.
რატომ აქვს კორპორატიულ ელფოსტას ცალკე მნიშვნელობა
ელფოსტის ანგარიში ყველა სხვა ანგარიშის მთავარი გასაღებია. ყოველ სერვისში, სადაც პაროლი დაგავიწყდებათ, აღდგენის ბმული იქ მიდის; შესაბამისად, ელფოსტის მოპარვისას სხვა ანგარიშების პაროლი რაც უნდა ძლიერი იყოს, ისინი რიგრიგობით ეცემა.
ამიტომ პრიორიტეტების რიგი მკაფიოა: ყველაზე ძლიერი პაროლი და ყველაზე ძლიერი ორსაფეხურიანი ვერიფიკაცია ჯერ ელფოსტაზე უნდა იყოს. ადმინისტრატორის ელფოსტებზე აპარატურული გასაღების გამოყენება ღონისძიებაა, რომელიც რამდენიმე ასეული ლირა ღირს, მაგრამ რისკს შესამჩნევად ამცირებს.
სარეზერვო კოდების შენახვა ნუ დაგავიწყდებათ
ორსაფეხურიანი ვერიფიკაციის ჩართვისას მოცემული სარეზერვო კოდები ტელეფონის დაკარგვისას ანგარიშში შესვლის ერთადერთი გზაა. უმეტესობა ამ კოდებს „მერე ვნახავ“-ით ხურავს და ტელეფონის დაკარგვისას საკუთარი ანგარიშიდან იბლოკება.
სარეზერვო კოდები პაროლების მენეჯერში ან ფიზიკურად დაკეტილ ადგილას შეინახეთ. ელფოსტის ყუთში შენახვა არ გამოდგება: სწორედ იმ შემთხვევისთვის ემზადებით, როცა ელფოსტაში ვერ შეხვალთ.
ფიშინგი (phishing) ისევ ყველაზე ეფექტიანი მეთოდია
მეთოდი, რომელიც ტექნიკური ღონისძიებების უმეტესობას გვერდს უვლის, მომხმარებლის მოტყუება და პაროლის ნებაყოფლობით გაცემაა. კორპორატიულ გარემოში სამი ყველაზე ხშირი სცენარი:
- ყალბი ინვოისი ან ამანათის შეტყობინება. მიმაგრებული ფაილის გახსნას ან ყალბ შესვლის გვერდზე გადამისამართებას ისახავს მიზნად.
- ხელმძღვანელის იმიტაცია. ბუღალტერიაში „სასწრაფო გადახდის“ ინსტრუქციის გამგზავნი ყალბი წერილი. დომენის ვერიფიკაციის არმქონე ორგანიზაციაში ეს უკიდურესად ადვილია.
- ყალბი სერვისის გაფრთხილება. „თქვენი ანგარიში დაიხურება, ახლავე შედით“ ტიპის სისწრაფის მომთხოვნი შეტყობინებები.
დაცვას ორი საყრდენი აქვს: ტექნიკურ მხარეს — თქვენი დომენის აუთენტიფიკაციის ჩანაწერების სისრულე, ადამიანურ მხარეს — გუნდის ჩვევა „სისწრაფის მომთხოვნი შეტყობინების გადამოწმება“. ყოველი შეტყობინება, რომელსაც გადახდის ინსტრუქცია მოჰყვება, თავად შეტყობინებით კი არა, ცნობილი ტელეფონით დაადასტურეთ.
პრაქტიკული წესრიგი მცირე გუნდებისთვის
ხუთკაციან ბიზნესში ასაშენებელი ყველაზე მარტივი წესრიგი ასეთია და ერთ დღეში სრულდება:
- ყველასთვის ცალკე ანგარიში, უფლება როლის მიხედვით.
- გუნდური გეგმის პაროლების მენეჯერი; საერთო პაროლები იქ გადადის, Excel-სა და ჩატის ისტორიაში არსებული იშლება.
- ელფოსტის, დომენისა და ჰოსტინგის ანგარიშებზე ორსაფეხურიანი ვერიფიკაცია.
- წასული თანამშრომლის საკონტროლო სია ერთ ფაილში დაწერილი.
- წელიწადში ერთხელ წვდომების გადახედვა: ვის რაზე აქვს წვდომა, ისევ საჭიროა თუ არა.
ეს ხუთი პუნქტი კორპორატიული მასშტაბის უსაფრთხოების ინვესტიციის გარეშე რისკის დიდ ნაწილს ხურავს.
სამი ხშირი სუსტი წერტილი ვებსაიტის ანგარიშებში
- გამოუყენებელი ადმინისტრატორის ანგარიშები. ერთ დროს თანამშრომელი დიზაინერი, ძველი სტაჟიორი, ნაცადი და მიტოვებული დანამატის ანგარიში. ყოველი ღია ანგარიში ცალკე შესასვლელი კარია და, რადგან არავინ ადევნებს თვალს, პაროლიც არასდროს იცვლება.
- პანელი საძიებო სისტემებისთვის ღიაა. შესვლის გვერდის ინდექსში მოხვედრა თავისთავად ხვრელი არ არის, მაგრამ ავტომატური ცდების ტრაფიკს შესამჩნევად ზრდის.
- საერთო „ინფო“ ანგარიში. გავრცელებულია წესრიგი, როცა
info@მისამართზე ყველას აქვს წვდომა და კრიტიკული სერვისებიც იქაა დარეგისტრირებული. კრიტიკული სერვისები პირადს კი არა, მაგრამ შეზღუდული წვდომის ანგარიშს დაუკავშირეთ.
ამ სამის დახურვა ერთსაათიანი საქმეა და გარედან ცდების უმეტესობას უაზროდ აქცევს.
ძლიერი და შემთხვევითი პაროლის შესაქმნელად პაროლის გენერატორის ინსტრუმენტი გამოიყენეთ; მის მიერ შექმნილი მნიშვნელობები არსად ინახება.