¿Debemos confirmar otros datos personales antes de las preguntas de seguridad durante el restablecimiento de la contraseña?

3

Me han asignado la tarea de trabajar en una herramienta de restablecimiento de contraseña para el sitio web de mi empresa. Esta herramienta es para que una persona de soporte proporcione una nueva contraseña de restablecimiento por teléfono en caso de que el cliente no reciba el correo electrónico o esté bloqueado de su cuenta de correo electrónico.

En primer lugar, personalmente diría que esto no es ideal, ya que creo que existen otros métodos, como recibir un código de reinicio a través del teléfono, pero como aparentemente no es una opción, me quedé con la tarea.

Así que me encargaron agregar 2 preguntas de seguridad a las cuentas de los usuarios, donde las preguntas son preseleccionadas (por el usuario) de aproximadamente 14 preguntas. La idea es que un usuario llamará y se le harán las preguntas y si ambas respuestas eran correctas, la contraseña se restablecería y se entregaría al usuario final.

Mientras construía el formulario de reinicio, seguí adelante y decidí por una seguridad adicional para agregar un código postal (compañía y clientes del Reino Unido) y su número de contacto principal, ambos requeridos para registrarse. Luego, el proceso es: enviar a los usuarios un correo electrónico, confirmar el código postal y el número de teléfono principal, preguntar por las respuestas de las preguntas de seguridad; si todo está bien, proporcione una nueva contraseña.

El desacuerdo que tuve fue con los otros miembros de mi equipo que pensaron que esta enmienda era completamente innecesaria. Personalmente, pensé que este sería un paso adicional desde el punto de vista de la protección de datos y un nivel adicional de seguridad.

Mi pregunta es ¿quién tiene razón? ¿Estoy siendo demasiado protector o los otros miembros del equipo son demasiado apresurados?

    
pregunta Sparkz 06.04.2017 - 00:29
fuente

1 respuesta

2
  

Personalmente, pensé que este sería un paso adicional desde el punto de vista de la protección de datos y un nivel adicional de seguridad.

Esto es correcto.

  

El desacuerdo que tuve fue con los otros miembros de mi equipo que pensaron que esta enmienda era completamente innecesaria.

Esto también podría ser correcto.

Cuanta más información pueda obtener del usuario, más confianza tendrá de que realmente son ellos. Pero eso no es lo único en juego. ¿Por qué limitar esta idea a restablecer contraseñas? ¿Por qué no les pregunta su fecha de nacimiento y número de teléfono en cada inicio de sesión? ¿O cada página?

La seguridad siempre debe considerarse en el contexto de un modelo de amenaza. ¿Contra qué tipo de atacantes va a protegerse y qué tipo no es usted? Esto requiere un acuerdo en toda la empresa, ya que puede variar según el tipo de información que almacena, o la importancia de UX para su empresa, la seguridad de los puntos de venta o el aspecto de su presupuesto.

No podemos decirle si su plan es demasiado (o, en realidad, muy poco) para su producto. Esa es una decisión de juicio, y una que su equipo tendrá que hacer.

Lo que podemos decir es que es bastante común que solo se requieran unas pocas preguntas de seguridad antes de reiniciar. También a menudo hay un margen de maniobra para el representante de servicio al cliente, donde pueden hacer más o menos preguntas dependiendo de qué tan torpe sientan que está actuando la persona en el otro extremo.

Pero, una vez más, no hay una respuesta para todos.

    
respondido por el Xiong Chiamiov 06.04.2017 - 08:17
fuente

Lea otras preguntas en las etiquetas