Hablemos de Kanye.
Tal vez recuerde que apareció en las noticias internacionales cuando ingresó la contraseña de su teléfono en la televisión en vivo. Pero la parte que le ganó la burla nacional fue la propia contraseña: 000000.
Es fácil reírse del ejemplo que dio, pero, desafortunadamente, su actitud hacia la seguridad es similar a la de muchas personas en la actualidad. Y cuando sus empleados utilizan prácticas de contraseña deficientes, puede ponerle en riesgo a usted, a su equipo y a sus clientes.
Navegando por el camino deseado
Las personas tienden a ir a donde quieren, y si un camino no se construye, forjarán los "caminos deseados" para llegar allí. Esto también ocurre en la TI empresarial, donde los usuarios a menudo utilizan accesos directos que pueden comprometer la seguridad, como hizo Kanye. Si bien estas rutas deseadas pueden ser molestas para su equipo de TI, en realidad son indicativas de problemas en la experiencia del usuario y descubren información valiosa sobre lo que desean los usuarios, como el fácil acceso a sus aplicaciones y dispositivos.
Al adoptar estas rutas deseadas, puede crear modelos de seguridad y cumplimiento que comprendan al usuario final y, por lo tanto, impulsar la adopción. Ya sea que se trate de un cambio simple, como alargar el tiempo de sesión de inicio de sesión de 4 a 8 horas o invertir en soluciones que hagan que sus aplicaciones sean más rápidas y fáciles de usar, valdrá la pena.
Como ejemplo, HackerOne ha adoptado las rutas deseadas al implementar una estrategia de inicio de sesión único "SSO o No Go" al mantener a todos con solo dos contraseñas: una para su computadora portátil y otra para el acceso a la aplicación. También han implementado la autenticación multifactor (MFA), lo que facilita la facilidad de uso al habilitar la autenticación basada en empuje, en lugar de los mensajes SMS o OTP.
La seguridad y la experiencia del usuario pueden ir de la mano
Como ejemplo, para facilitar la seguridad de sus usuarios, Okta utiliza las mejores prácticas de NIST y los requisitos de FedRAMP para los controles de seguridad del usuario final, incluida la fortaleza / complejidad de la contraseña. Además, Okta requiere que los empleados utilicen MFA cada vez que inicien sesión desde cualquier ubicación, a través de Okta Verify con Push o Yubikey. Pero, ¿cómo hace todo esto sin empujar a los usuarios finales más allá de su umbral de fricción de seguridad? Una solución es enfatizar la longitud de la contraseña sobre la complejidad. Para crear una contraseña compleja, los usuarios a menudo toman una palabra de base e intercambian letras por símbolos que es difícil de recordar para los humanos, pero irónicamente fáciles de romper para las computadoras.
Los programas de descifrado de contraseñas pueden probar fácilmente diferentes combinaciones para una contraseña de 11 caracteres como Tr0ub4dor&3; apenas los frena. Sin embargo, tomar varias palabras comunes y unirlas, se vuelve exponencialmente más difícil de descifrar en virtud de tener más caracteres.
¿Una solución aún mejor? Elimine la necesidad de recordar un puñado de contraseñas con inicio de sesión único (SSO). Además de reducir la cantidad de contraseñas con las que tienen que lidiar las personas, el SSO también facilita el intercambio de contraseñas, sin tener una hoja de cálculo en un servidor no seguro o una nota adhesiva en su monitor. Llevando las cosas un paso más allá, MFA protege contra el robo de contraseñas, y evita los SMS y los TOTP (códigos de acceso únicos basados en el tiempo) ingresados manualmente cierran posibles puntos de vulnerabilidad de seguridad.
Mantener a sus usuarios finales contentos y seguros en un máximo histórico - para que Kanye no pueda arruinarlo para todos los demás - ¡es así de simple! Esta publicación se basa en una sesión en la conferencia anual de usuarios de Okta, Oktane19, a cargo de Aaron Zander, director de TI en HackerOne. Eche un vistazo a los videos de más sesiones de Oktane19.