Prim Hírek

Nincs olyan iparág, amelyet ne fenyegetnének az adatszivárgási incidensek, naponta érkeznek a hírek a különféle területeken bekövetkezett esetekről. A szervezeteknek muszáj erősíteniük a biztonságukon, és ennek során nagy hangsúlyt kell fektetniük a felhasználóik azonosítására, mivel sok esetben itt bukik el a védelem.

A jelszó a gyökere mindennek

A legutóbbi Verizon Data Breach Investigation Report elemzés szerint ugyanis – a korábbi évekhez hasonlóan – az adatlopási esetekben jelentős szerepet játszanak a felhasználók hozzáférései. Az incidensek 81 százalékánál okozott kárt valamilyen jelszóhoz kapcsolódó hiba, visszaélés, gyenge kódok vagy éppen ugyanazon jelszavak használata többféle felületen. Az esetek 29 százalékában pedig lopott hozzáférési információkkal léptek be a céges rendszerbe a tolvajok.

Bizonyos mértékben segítheti a kockázatok csökkentését, ha a szervezetek felelősebb jelszóhasználatot követelnek meg a felhasználóiktól: kötelezik őket az erősebb jelszavak használatára, és megtiltják azok „újrahasznosítását”. Szintén elősegíti a biztonságosabb kódok használatát, ha az alkalmazottak maguk is helyreállíthatják elfelejtett jelszavaikat egy professzionális eszköz használatával. Az ellopott hozzáférési adatokkal járó veszélyeket azonban ez sem küszöböli ki. 

Szigorítás = nehezítés?

Egyre több vállalat érzékeli úgy, hogy a jelszavas azonosítás önmagában már kevés, és kétlépcsős hitelesítéssel erősíti meg a védelmét. Tehát a jelszó mellett pluszban olyan „igazolást” kér a felhasználóktól, amellyel a potenciális támadók nem rendelkezhetnek még akkor sem, ha ellopták a belépési információkat. Ez lehet valamilyen biometrikus adat, például ujjlenyomat, hiszen napjainkban már egyre több eszközben, notebookban és okostelefonban megtalálható az ehhez szükséges leolvasó. De igénybe vehetnek valamilyen tokent, esetleg mobiltelefonra küldött kódot is, ahogy a PSD2 bevezetése óta a pénzügyi szolgáltatások és rendszerek online elérésénél teszik egész Európában. 

Rengeteg különféle hitelesítési módszer áll tehát rendelkezésre, amelyeket a szervezetek egyszerűen és átfogóan tudnak kezelni olyan fejlett eszközökkel, mint például az Advanced Authentication. A megoldás legújabb kiadása nemrég jelent meg, amely már arra is lehetőséget biztosít, hogy a felhasználók többféle autentikációs módszert és eszközt is megadjanak előzetesen, és mindig a számukra legkényelmesebb megoldást válasszák a belépéshez.

Az alkalmazottak számára egy idő után azonban túlságosan fárasztó és zavaró, ha mindig körülményes hitelesítéssel kell kezdeniük, mielőtt nekilátnának a munkának, akár naponta többször is, például hosszabb megbeszélések vagy szünetek után.

Megvan benne a rizikófaktor? 

Ezt az ellentétet oldhatják fel a vállalatok, ha kockázatalapú hitelesítést használnak. Ez ugyanis attól teszi függővé a megkövetelt hitelesítés erősségét, hogy mennyire tűnik kockázatosnak az adott felhasználó tevékenysége. Ha például egy alkalmazott 9:02-kor akar bejelentkezni a céges rendszerbe a központi irodában, arról a gépről, amelyen minden nap dolgozik, az alacsony kockázatúnak számít, és ez esetben a belépéshez elég lehet pusztán a felhasználónév és a jelszó kombinációja. Ha azonban ugyanez a munkatárs kiküldetésre vagy konferenciára utazik, és több száz kilométerrel messzebbről, egy hotel wifi-hálózatára kapcsolódva szeretne belépni a vállalati hálózatba, akkor a biztonság kedvéért indokolt a további hitelesítési módszerek használata. 

A kockázatalapú hitelesítés egyszerűen megvalósítható olyan eszközök segítségével, mint például a nemrégiben megjelent NetIQ Risk Service, amely az Advanced Authentication keretrendszerrel is integrálható. A szoftver minden szükséges elemet ellenőriz a rizikók felméréséhez, beleértve az IP-címet és földrajzi helyet, a felhasználói profil információit, a belépéshez használt eszköz és böngésző adatait, a felhasználó korábbi tevékenységeit, köztük a legutóbbi belépésének idejét és korábbi IP-címeit, illetve korábbi sikertelen belépési kísérleteit. Majd értékeli az információkat, és ez alapján dönt arról, milyen szintű hitelesítést követel meg a bejelentkezéshez. A szervezetek ráadásul maguk is finomhangolhatják ezt az elemzési folyamatot, mivel beállíthatják, hogy az egyes tényezőket milyen súlyozással vegye figyelembe a megoldás.