19 ноября 2015 г.
Ежедневно на корпоративные адреса электронной почты большинства банков и других крупных организаций приходят десятки сообщений от интернет-мошенников, тем или иным способом пытающихся завладеть конфиденциальной информацией компаний. Это могут быть как ссылки на сайты, содержащие просьбу сообщить свои учётные данные (пароль и прочее), так и файлы, при запуске которых на компьютер устанавливаются вредоносные программы, самостоятельно крадущие всю необходимую информацию. И многое другое.
Как следствие мы имеем ситуацию, когда сотрудники компаний либо по незнанию основ сетевой безопасности, либо по неосторожности или невнимательности регулярно становятся причиной внешних хакерских атак, которые, в конечном счёте, приводят компании к финансовым потерям и наносят им репутационный ущерб. Крадутся пароли, затем исчезают деньги с корпоративных банковских счетов, теряется контроль над конфиденциальной информацией, затем третьи лица используют её во вред компании и т.д.
Выходом из подобной ситуации может быть, внедрение в компании решений, позволяющих избежать использование паролей при работе с корпоративными онлайн-сервисами. Однако, к сожалению, о подобных решениях директорам по безопасности банков и других крупных компаний либо неизвестно, либо известно очень мало, либо сила привычки заставляет их действовать как раньше, не желая что-либо менять.
Однако выгоды от таких решений для компаний очевидны. Руководителям они обеспечивают сохранность конфиденциальных данных. ИТ-специалистам они позволяют сократить потери времени на смену паролей. Сотрудникам же подобные решения позволяют не держать в голове десятки сложных паролей от корпоративных сервисов, что в свою очередь добавляет удобства к их работе.
Устройство и принцип работы подобных решений состоят в следующем. Для работы с системой, сотруднику понадобится телефон и мобильное приложение, которое легко найти в любом популярном магазине приложений. После его установки телефон становится ключом для доступа. При попытке сотрудника аутентифицироваться, на экран компьютера и телефона отправляются одинаковые картинки, которые нужно сравнить и, при их совпадении, нажать кнопку «Да» на телефоне. После этого вход в учётную запись выполнен. Никаких паролей, токенов, одноразовых кодов и SMS-подтверждений не требуется.
Это безопасно, потому что используются два устройства, которые злоумышленнику пришлось бы скомпрометировать одновременно, это легко в использовании, потому что пользователь только нажимает кнопки, и это надежно, потому что нет паролей, которые можно было бы забыть.
В подобных решениях реализуется технология «единого входа» (SSO — Single Sign-On), которая уже интегрирована с ведущими облачными провайдерами (Google Apps, Salesforce, Zendesk, Zoho, Dropbox, и др.), поэтому никакого программирования не требуется. В основе подобных продуктов лежит применение
Такие решения поддерживают SAML, который является стандартным протоколом интеграции, поддерживаемым большинством SaaS провайдеров, поэтому ИТ-специалисту компании нужно лишь единожды отредактировать несколько настроек в админ панели сервис провайдера на компьютере сотрудника. Дальше он сможет не беспокоиться ни о паролях, ни о безопасности корпоративных данных.
В дополнение к облачным сервисам, которые обычно поддерживают протокол интеграции SAML, сотрудники компании могут также безопасно аутентифицироваться на всех других сайтах при помощи корпоративного менеджера паролей, установленного в браузере в виде расширения.
Менеджер паролей максимально безопасным образом сохраняет и автоматически заполняет логины и пароли от всех сайтов, которыми пользуются сотрудники компании для работы, что позволяет им думать не о паролях, а о работе.
После того, как сотрудник установит расширение для браузера на компьютере и приложение на телефоне, он(а) может входить на любой сайт без пароля, подтверждая вход на сайт нажатием одной кнопки на телефоне.
Подобные решения делают уровень безопасности данных вашей компании выше, чем если сотрудники вводят пароли вручную, потому что у них больше нет соблазна использовать слабые пароли или один и тот же пароль для многих сайтов, и пароли не вводятся вручную, поэтому они недоступны килоггерам — вредоносным программам, регистрирующим нажатия клавиш на клавиатуре компьютера.
Уровень безопасности становится выше, чем если сотрудники сохраняют пароли в браузере, потому что, во-первых, пароли компании никогда не хранятся в открытом (незашифрованном) виде, во-вторых, второе устройство — телефон сотрудника — требуется для расшифровки и использования паролей.
Помимо того, что за счет внедрения решений, позволяющих отказаться от использования паролей на корпоративном уровне значительно увеличивается уровень информационной безопасности компании, данные решения также позволяют значительно облегчить работу и в случае совместной работы с паролями.
Часто нескольким сотрудникам необходимо иметь доступ к одному и тому же паролю. Например, если у компании общий почтовый ящик для всех продавцов, или если несколько сотрудников отдела маркетинга ведут корпоративный твиттер, или нескольким сотрудникам службы поддержки необходим доступ к сайту поставщика, обеспечивающего приём платежей от клиентов, и т.п.
Передавать все такие пароли коллегам по email или на листке бумаги было бы очень неудобно и небезопасно, а делать это пришлось бы каждый раз, когда вы принимаете нового или увольняете старого сотрудника или меняете пароль, или подписываетесь на новый сервис.
Вышеописанные решения позволяют легко и безопасно делиться паролями с коллегами, и только с теми коллегами, которым они действительно нужны. В частности, когда менеджер сохраняет пароль, у него есть выбор, сохранить его под собственным именем или под отделом, в котором он работает. Или же сотрудник может присвоить пароль другому отделу всего двумя кликами. Также при найме нового сотрудника и добавлении его в отдел, он сразу получает доступ ко всем паролям, сохранённым под этим отделом. Если же пароль был изменён, новый пароль сразу доступен всем сотрудникам, которым разрешён доступ к нему. При этом компания несёт почти нулевые расходы на администрирование: пароли присваиваются ролям (позициям, отделам), не отдельным сотрудникам.
Таким образом подобные решения позволяют не только сделать использование ваших корпоративных онлайн сервисов более безопасным, но и гораздо более удобным, чем привычные, но давно морально устаревшие системы паролей.
Источник: Игорь Царёв, PR-менеджер Teddy ID