Οι περισσότερες παραβιάσεις σε μικρές επιχειρήσεις δεν έχουν έξυπνο κώδικα. Έχουν έναν επαναχρησιμοποιημένο κωδικό, που βρέθηκε σε παλιά διαρροή και δοκιμάστηκε στο email σας. Ένας password manager μαζί με two-factor authentication κλείνει αυτή την πόρτα με λίγα ευρώ ανά άτομο τον μήνα. Είναι, λοιπόν, η δαπάνη ασφάλειας με τη μεγαλύτερη αξία για μια μικρή ομάδα.
Το πρόβλημα είναι η επανάληψη, όχι η αδυναμία
Ένας περίπλοκος κωδικός που τον χρησιμοποιείτε παντού είναι χειρότερος από έναν απλό που τον χρησιμοποιείτε μία φορά. Επειδή, όταν διαρρεύσει οποιαδήποτε υπηρεσία, οι επιτιθέμενοι δοκιμάζουν αυτόματα τα ίδια στοιχεία σε email, hosting και τράπεζα. Ελέγξτε την έκθεσή σας στο Have I Been Pwned — οι περισσότεροι βρίσκουν κάτι. Παράλληλα, η δεύτερη συνηθισμένη αποτυχία είναι το μοίρασμα: ο κωδικός σε group chat, το admin login που στάλθηκε με email το 2021, ο λογαριασμός που μένει ενεργός για κάποιον που έφυγε.
Τι λύνει πραγματικά ένας password manager
- Μοναδικά στοιχεία παντού, μεγάλα σε μήκος και χωρίς να τα πληκτρολογείτε ξανά.
- Κοινά vaults ομάδας, ώστε η πρόσβαση να δίνεται με ρόλο και όχι με προώθηση μηνύματος.
- Άμεση ανάκληση. Όταν κάποιος φεύγει, τον αφαιρείτε από το vault και αλλάζετε τα λίγα κοινά στοιχεία.
- Εικόνα ελέγχου με τους αδύναμους, επαναλαμβανόμενους και διαρρεύσαντες κωδικούς, που μετατρέπει μια αόριστη ανησυχία σε λίστα ενεργειών.
- Αντίσταση στο phishing. Η αυτόματη συμπλήρωση αρνείται να δουλέψει σε παρόμοιο domain, γλιτώνοντας τον κόσμο από τις επιθέσεις που περιγράφουμε στο phishing με AI.
Έπειτα προσθέστε τον δεύτερο παράγοντα
Ακόμη και ένας κλεμμένος κωδικός αποτυγχάνει μπροστά σε δεύτερο παράγοντα. Ωστόσο, δεν είναι όλοι ίσοι. Μια εφαρμογή authenticator είναι καλή, ένα φυσικό κλειδί καλύτερο, και το SMS το ασθενέστερο γιατί οι αριθμοί κλέβονται. Ενεργοποιήστε λοιπόν με αυτή τη σειρά: πρώτα email, μετά registrar και hosting, έπειτα WordPress, τράπεζα και social. Επιπλέον, φυλάξτε τους κωδικούς ανάκτησης εκτός του ίδιου laptop. Τα passkeys πάνε ένα βήμα παραπέρα — δείτε τα passkeys.
Οι τρεις κανόνες διαδικασίας που μετράνε
Πρώτα, κανένας κοινός προσωπικός λογαριασμός — κάθε άτομο παίρνει δικό του login με τα δικαιώματα που χρειάζεται. Δεύτερον, κρατήστε έναν λογαριασμό διαχειριστή για επείγοντα, με τα στοιχεία του αποθηκευμένα εκτός σύνδεσης. Τρίτον, φτιάξτε λίστα αποχώρησης: αφαίρεση από vault, ακύρωση συνεδριών, μεταφορά αρχείων και domain. Κατά συνέπεια, η αποχώρηση γίνεται δουλειά πέντε λεπτών αντί για ρίσκο έξι μηνών. Αυτές οι αποδείξεις απαντούν και στα ερωτηματολόγια που περιγράψαμε στο NIS2 στην πράξη.
Τίποτα από αυτά δεν απαιτεί τμήμα ασφάλειας. Ένας password manager για την ομάδα, 2FA στους λογαριασμούς που μετράνε και μια γραπτή ρουτίνα αποχώρησης στήνονται σε ένα απόγευμα. Το checklist ασφάλειας WordPress καλύπτει το site μόλις ασφαλιστούν τα logins. Και αν θέλετε κάποιον να το εφαρμόσει σωστά σε όλη την ομάδα, η ομάδα μας το κάνει χωρίς να χαλάσει τη μέρα κανενός.
