![如何说服安全审计员改变频繁更改密码的政策?](https://linux22.com/image/674869/%E5%A6%82%E4%BD%95%E8%AF%B4%E6%9C%8D%E5%AE%89%E5%85%A8%E5%AE%A1%E8%AE%A1%E5%91%98%E6%94%B9%E5%8F%98%E9%A2%91%E7%B9%81%E6%9B%B4%E6%94%B9%E5%AF%86%E7%A0%81%E7%9A%84%E6%94%BF%E7%AD%96%EF%BC%9F.png)
我是一家约有 500 名员工的小公司的新任初级 IT 经理,当前的密码策略规定密码在 30 天内过期,密码历史记录为 5 条。
正如你所理解的,这导致人们使用像 January16 这样的密码,将密码贴在屏幕上的便签上等等......这些政策都是常见的。
据我所知,理想的密码长度是 10 个字符,包含大写字母、小写字母、数字和符号。
因为我推测这里有人是安全审计员,也有其他人在这些问题上更有经验,所以我问你这个问题。
下次审计员来的时候,我可以向他们展示什么,以便他们允许我们将密码过期策略更改为 1 年?
我首先想到的就是向他们提供有关长而复杂的密码强度的数据,以及来自暴力密码检索应用程序的数据,以了解使用最先进的硬件可以实现多少 p/s,以及每天运行一次的脚本,以显示 AD 中是否有任何新帐户被创建作为安全措施,以防有人设法闯入网络并创建自己的帐户。
任何帮助都将非常感激。
答案1
我要做的第一件事就是找出谁真正制定了安全政策。拿到这些信息后,坐下来和他们谈谈。问问安全政策的目标是什么,希望从中得到什么,以及当前的政策如何实现这一目标。其中最重要的部分是,你听他们的回答。
可能有更安全的方法来实现您的目标。首先,字符数越多,就越能满足大写/小写/数字/特殊字符的要求。 https://xkcd.com/936/和https://www.explainxkcd.com/wiki/index.php/936:_Password_Strength应该是足够的底漆。
更安全的是使用 2FA 代替直接密码。
如上所述,频繁更改密码会导致忘记或输入错误密码的情况增加。这将导致与密码相关的帮助台呼叫次数增加,或书面或可预测密码的次数增加。
这次对话最重要的部分是理解目标,理解当前政策如何实现这些目标,以及如何发挥作用和你的队友(记住,大家都是一家公司...),避免发生冲突或侮辱。