Никто же не догадается
Я уже не знаю, сколько можно писать о паролях и на сей раз не моя история, но коллег по цеху. Приводили они организацию средних размеров в чувство. Новые сервера, новые машинки пользователям, старые перебраны и вычищены, поднят домен, файлопомойка, почта, прокси и на каком-то этапе встал вопрос о придумывании паролей для учётных записей. Ну как встал, с точки зрения айтишника создать пароль просто: либо берётся из головы что-то сложное с цифрами и в разном регистре, либо открывается генератор и поехали...
Но тут пользователям начальство позволило самим придумать пароли. Всем были розданы листочки с рекомендациями, которые, наверное, и не были прочитаны. Половина полученных паролей под требования безопасности не проходили от слова "совсем". Использовалось всё: от фамилии до года рождении. Классика. И казалось бы смешно, но переубедить "юзеров" очень сложно, каждый же уверен, что его пароль никому не нужен, да и, даже если нужен, то никто не догадается.
Решили проблему, кстати, достаточно поучительно. Приказом директора была введена обязательная проверка пароля на сайте Microsoft, принимались только пароли уровня "Strong". Не сочтите за рекламу, подобных сервисов много, просто надёжнее пользоваться чем-то проверенным. Конечно, можно было бы задать в политиках учётных записей требования сложности паролей, НО тут вопрос не системного администрирования, а психологии. Пользователи сами научились придумывать безопасные пароли и проверять их на сложность.
Осталось ещё обучить их запоминать пароли, а не прилеплять к монитору. =(
И да, порекомендовал переводить всё это безобразие на токены.
Но тут пользователям начальство позволило самим придумать пароли. Всем были розданы листочки с рекомендациями, которые, наверное, и не были прочитаны. Половина полученных паролей под требования безопасности не проходили от слова "совсем". Использовалось всё: от фамилии до года рождении. Классика. И казалось бы смешно, но переубедить "юзеров" очень сложно, каждый же уверен, что его пароль никому не нужен, да и, даже если нужен, то никто не догадается.
Решили проблему, кстати, достаточно поучительно. Приказом директора была введена обязательная проверка пароля на сайте Microsoft, принимались только пароли уровня "Strong". Не сочтите за рекламу, подобных сервисов много, просто надёжнее пользоваться чем-то проверенным. Конечно, можно было бы задать в политиках учётных записей требования сложности паролей, НО тут вопрос не системного администрирования, а психологии. Пользователи сами научились придумывать безопасные пароли и проверять их на сложность.
Осталось ещё обучить их запоминать пароли, а не прилеплять к монитору. =(
И да, порекомендовал переводить всё это безобразие на токены.