Le password esistono da quando esistono i sistemi informatici. Tuttavia, con l’aumentare del numero di account, siti web e app che dobbiamo proteggere, è diventato più difficile gestire tali credenziali.
Oggi, più della metà (57%) degli americani continua a scrivere le proprie password di lavoro su foglietti adesivi. È sorpreso? Beh, forse non dovremmo, considerando ciò che sappiamo della natura umana.
Spesso, tali difficoltà sono aggravate da politiche eccessivamente rigorose che impongono credenziali complesse e difficili da ricordare, nonché la modifica periodica delle password. È fondamentale trovare il giusto equilibrio tra sicurezza e praticità.
Pertanto, per aiutarvi in occasione della Giornata mondiale delle password, esaminiamo alcune idee errate diffuse riguardo alla sicurezza delle password. E spieghi quali sono le caratteristiche di una buona politica.
Vi invitiamo a seguire questa puntata di “To the Point” con due esperti di Tanium': Chris Hallenbeck, responsabile della sicurezza informatica per le Americhe, e Oliver Cronk, capo architetto IT per l’area EMEA.
https://youtu.be/0ri1bQsobig
Sfatare i quattro principali miti sulle password
Mito n. 1 — Le password devono essere complesse per essere più sicure.
Non è detto che sia così. Le ricerche hanno dimostrato che una frase o un’espressione lunga e relativamente facile da ricordare può risultare più difficile da decifrare o indovinare per gli hacker rispetto a una parola più breve e complessa.
Mito n. 2 — Le password devono essere cambiate frequentemente.
La politica aziendale in materia di password deve essere adeguata in modo dinamico in base al rischio. Se si tratta di un account amministratore o di un account con un elevato livello di privilegi, è necessario cambiare le password con una certa frequenza. Tuttavia, se si tratta di un account di un utente finale, gli aggiornamenti obbligatori frequenti porteranno solo a pratiche scorrette, come nell’esempio dei post-it riportato sopra. Si tratta di un delicato equilibrio che richiede un'attenta valutazione da parte del reparto IT.
Mito n. 3 — Se utilizzo l’autenticazione a più fattori (MFA) di e una password complessa, sono al sicuro.
Purtroppo, nel campo della sicurezza informatica non esiste una protezione al 100%. Anche se avete bloccato una via d’accesso grazie a un’autenticazione efficace degli utenti, potrebbero essercene altre che gli aggressori potrebbero sfruttare — come ad esempio il furto dei cookie del browser contenenti le credenziali. Ma l'obiettivo è quello di rendere le cose il più difficili possibile per il proprio avversario. E con l’autenticazione a più fattori (MFA) e l’obbligo di utilizzare password complesse in tutta l’organizzazione, siete già partiti con il piede giusto — soprattutto se tali misure vengono implementate nell’ambito di un approccio “Zero Trust” basato sull’autenticazione a più fattori ( ).
Mito n. 4 — Se il mio account viene violato, significa che qualcuno mi sta dando la caccia.
Niente affatto. Nella maggior parte dei casi, le intrusioni sono piuttosto casuali e opportunistiche. Gli attacchi di tipo “credential stuffing”, ad esempio, possono verificarsi se avete riutilizzato la vostra password su un altro sito che è stato successivamente violato. Tali credenziali vengono poi acquisite dagli autori delle minacce sui mercati del dark web e provate contemporaneamente su numerosi siti, nella speranza di riuscire ad accedere ad altri vostri account.
Migliori pratiche relative alle password
Fortunatamente, le organizzazioni e i singoli individui possono fare molto per migliorare la sicurezza delle proprie password. E ciò non richiede necessariamente un grande dispendio di tempo e di energie. Si consideri quanto segue:
- I fornitori di servizi di gestione delle identità, quali Google e Microsoft , offrono controlli di sicurezza che possono rappresentare un ottimo modo per verificare se nei propri account si utilizzano password deboli, ripetute e/o già compromesse in passato. Se i risultati Le sembrano troppo complessi, si concentri semplicemente sugli account che considera di “primo livello”, come l’online banking e la posta elettronica. È proprio a quest’ultimo indirizzo che i fornitori invieranno eventuali reimpostazioni delle password; pertanto, è fondamentale che lo protegga utilizzando password complesse e uniche, oltre all’autenticazione a più fattori (MFA).
- Sostituite le password degli account amministrativi e di quelli aziendali con privilegi elevati con maggiore frequenza rispetto a quelle degli account utente standard.
- La funzione MFA dovrebbe essere attivata per tutti gli utenti, in particolare per gli amministratori.
- Quando scegliete le password, puntate sulla lunghezza: una frase completa è più sicura di una password composta da 10 a 12 caratteri.
- Si assicuri di verificare che le politiche vengano rispettate, controllando se le credenziali vengono memorizzate su siti come GitHub, il che potrebbe esporre l’organizzazione a rischi aggiuntivi non necessari.
- Potete inoltre verificare se il vostro indirizzo e-mail è stato coinvolto in una violazione dei dati sul sito — . "Have I been pwned?"
- Le aziende possono sfruttare ricorrenze come la Giornata mondiale della password per sensibilizzare l’opinione pubblica, ma non dovrebbero limitarsi alle sole password. È inoltre un buon momento per esaminare i loro protocolli di accesso. La violazione di una password debole consente l'accesso. Le organizzazioni dovrebbero concentrare i propri sforzi proprio su ciò che un criminale informatico può fare con tale accesso.
In che modo “ Tanium ” può esservi d’aiuto
Tanium può contribuire a sostenere tali iniziative in due modi:
Vi garantiamo la visibilità e il controllo di cui avete bisogno, con rapidità e su larga scala, per assicurarvi che le politiche globali vengano applicate ai dispositivi endpoint . Ad esempio, consentendoLe di verificare se all’interno dell’organizzazione siano in uso file contenenti password in chiaro.
Adottiamo un approccio “Zero Trust” basato sulle migliori pratiche, autenticando il dispositivo prima che gli utenti aziendali possano effettuare l’accesso. La gestione delle identità rappresenta una fase fondamentale. Tuttavia, se i Suoi endpoint sono stati compromessi, ciò potrebbe comunque consentire agli aggressori di eludere le difese aziendali.
Per ulteriori informazioni su e sull’implementazione della sicurezza tramite password nella Sua organizzazione, visiti il nostro sito web o ci contatti per una demo.