Gerenciando o dilema da senha

Vamos ser sinceros, as senhas cheiram mal. Eles são fáceis de roubar, mais fáceis de esquecer e criam trabalho para sua equipe. O pior é que eles não são realmente uma segurança muito boa por todos os tipos de razões. Mas, por enquanto, estamos presos a eles.

Felizmente, existem coisas que você pode fazer para reduzir seu risco e, mais importante, aumentar seu nível de conformidade com os requisitos, que vão desde a Lei de Portabilidade e Responsabilidade do Seguro de Saúde (HIPAA) até a Lei Sarbanes-Oxley (SOX). Mas você também precisa fazer isso de uma maneira que não aumente sua carga de gerenciamento além do necessário e que não custe muito. E, é claro, ele precisa trabalhar em todos os locais onde seus funcionários trabalham.

Antes de se apressar na busca por alternativas de senha, no entanto, é provavelmente uma boa ideia pensar em suas políticas de senha, lembrando que elas precisam ser usadas por pessoas. Isso significa que exigir senhas muito longas ou muito complexas diminuirá sua eficácia, além de aumentar o custo para você.

Sua eficácia é reduzida porque as pessoas as anotam para não esquecerem, ou esquecem, e seu departamento de TI precisa redefinir, o que custa dinheiro. Ou você precisa adicionar um recurso "esqueci sua senha", que possui seu próprio conjunto de riscos e complexidades.

Você também precisa pensar sobre seus requisitos para alterações rotineiras de senha. Vários estudos indicam que eles provavelmente não são necessários e que têm as mesmas desvantagens das senhas excessivamente complexas ou longas, exceto que elas acontecem com mais frequência.

Mas mesmo com uma política de senha racional, essa ainda não é uma maneira muito boa de manter seu nível de conformidade. Claramente você precisa de outra coisa. É aqui que entra um segundo fator de autenticação.

Segundos fatores de autenticação

Para grandes organizações em que a maioria dos funcionários trabalha no escritório, a solução mais óbvia é usar o crachá de identificação como segundo fator. Em quase todos os casos, incluindo o governo e muitas empresas da Fortune 500, isso significa adotar o cartão inteligente como o segundo fator. Esta não é uma abordagem nova e é amplamente usada. A diferença é que o custo de entrada agora é muito menor, porque o Windows 10 agora inclui suporte para cartões inteligentes como tecnologia de segurança.

Mas os cartões inteligentes não são necessariamente a melhor solução para todas as empresas e não são uma solução para uma força de trabalho principalmente móvel. Embora você possa comprar laptops com um leitor de cartão inteligente integrado, você não achará isso tão fácil de realizar com seus funcionários que usam smartphones ou tablets como parte de seu trabalho.

A solução óbvia para usuários móveis pode ser a adoção de uma forma diferente de autenticação de dois fatores (2FA), como o envio de um código numérico usando o SMS. Todo telefone atualmente disponível suporta mensagens de texto e, embora implique um pequeno atraso no acesso enquanto os usuários esperam a chegada de uma mensagem de texto, ele realmente funciona bem e é seguro, pois os telefones modernos geralmente exigem um login biométrico ou sua própria senha antes eles vão trabalhar.

Mas, para ser ainda mais seguro, é possível usar um aplicativo dedicado para obter acesso aos seus sistemas de dados. O desafio é que você precisará desenvolver um aplicativo para cada tipo de smartphone usado por seus funcionários. Você também pode usar um aplicativo da Web, mas volta ao problema da senha novamente, a menos que esteja preparado para fazer algum desenvolvimento na Web que permita a autenticação através dos smartphones dos funcionários, o que não é impossível, mas também não é trivial.

A essa altura, você já deve estar se perguntando sobre os leitores de impressão de mão inteira que vê em alguns data centers ou pode estar pensando em leitores de impressões digitais ou de retina. Tudo isso pode funcionar bem e é uma solução óbvia para uma instalação de alto valor, como seu data center. Mas eles exigem um investimento significativo em infraestrutura e exigem que as pessoas os gerenciem. Estamos tentando pensar em maneiras de melhorar a conformidade sem adicionar pessoas ou gastar muito dinheiro.

Outras maneiras de melhorar a conformidade

O que isso significa é que você precisará adotar mais de uma abordagem. Para os funcionários do escritório, você pode implementar cartões inteligentes como um fator para autenticar seus funcionários. Isso tem vantagens para a segurança física, além de ajudar a sua conformidade, e o custo da entrada está ao alcance de organizações ainda menores.

Para referência, os leitores de cartão inteligente que funcionam com o Windows estão disponíveis em quantidades de um por cerca de US $ 10. Os teclados com leitores de cartão inteligente integrados custam apenas US $ 25 em quantidades de um.

Para seus usuários móveis, você pode pensar em usar mensagens SMS para o 2FA. Isso é algo que você certamente já viu, esteja trabalhando com a Apple ou a Microsoft ou com vários outros sites. Várias empresas cuidarão do processo para você. Um exemplo é o Twilio, mas existem outros.

O que importa é que você pode fazer algo sobre o dilema da senha sem causar um impacto indevido na sua equipe ou no seu orçamento. Seu caminho para a conformidade será mais fácil porque você forneceu maior segurança de acesso e pode até facilitar a carga de sua equipe adotando políticas que funcionem, além de adicionar um nível de segurança. Para você e sua equipe de TI, é uma vitória de todos os lados.