Proces resetowania haseł - dział techniczny a samoobsługa

Hasła to podstawowe zabezpieczenie użytkownika pracującego w ramach systemów informatycznych. Współczesne zasady ochrony przy użyciu haseł pomagają zabezpieczać hasła przed próbami ich złamania lub pozyskania w inny sposób.

Każdy łańcuch jest jednak tak mocny, jak jego najsłabsze ogniwo. W przypadku  ochrony haseł, jej najsłabszym ogniwem jest proces ich resetowania.  Od pracowników niejednego działu technicznego słyszeliśmy, że często podają nowe hasła użytkownikom przez telefon, bez jakiegokolwiek uwierzytelnienia!

Jest to niedopuszczalne nie tylko z punktu widzenia zarządzania, ale i użytkownika.   Jedynym właściwym rozwiązaniem jest stosowanie procesu ścisłej weryfikacji. Dotyczy to zarówno samoobsługi, jak i obsługi przez dział techniczny. Od naszych klientów oraz osób z branży wiemy, że w przypadku użytkowników, którzy zapomnieli hasła, stosowane są następujące sposoby uwierzytelniania: 

  1. Oddzwanianie na numer telefonu użytkownika dostępny w jego aktach lub systemie informatycznym.  (zamiast użytkownika jego telefon może odebrać niepowołana osoba).
  2. Wysyłanie kodu PIN za pomocą SMS na telefon komórkowy użytkownika (każdy użytkownik musi mieć telefon komórkowy).
  3. Zaufany kolega lub koleżanka dzwoni do działu technicznego z prośbą o podanie nowego hasła dla kolegi (w proces zaangażowana jest osoba trzecia).
  4. Oddzwonienie na numer telefonu przełożonego użytkownika (wymaga dyspozycyjności przełożonego i tym samym zaangażowania osoby trzeciej).
  5. Użytkownik odpowiada na pytania osobiste.  (informacje firmowe, takie jak numer pracownika, znane są innym pracownikom, konieczność wcześniejszego podania i zapisania informacji prywatnych, np. odpowiedzi na pytanie o ulubiony film).
  6. Osobiste stawiennictwo (czasochłonne!).

Wszystkie z wyżej opisanych sposobów uwierzytelniania mają wady.  Dodatkowym wyzwaniem jest sprawdzanie, czy dział techniczny rzeczywiście stosuje się do obowiązujących wymogów uwierzytelniania użytkowników. W przypadku ograniczenia prawa dostępu do działu technicznego, przez co resetowanie haseł może odbywać się wyłącznie za pośrednictwem FastPass (a nie przez uprzywilejowane konta Windows), każde resetowanie hasła może być monitorowane.

 

Proces resetowania haseł

Nasi klienci