En primer lugar, tanto como sea posible, necesita cambiarse a algo como Windows Active Directory o usar LDAP * para permisos internos. De esa forma, los usuarios obtienen permisos basados en un repositorio central, no conocen las contraseñas de otros usuarios y puede auditar quién puede y quién lo hizo.
Supondré que no estás en una industria regulada (si lo estás, estás en un verdadero problema). Incluso entonces, la configuración actual de su empresa comparte todas las contraseñas con Dropbox, cualquiera que tenga acceso a los datos o copias de seguridad de Dropbox, y potencialmente con cualquier compañía que luego se fusione o adquiera Dropbox. Esto puede o no ser un argumento que a nadie le importe.
Cambiar las contraseñas es un gran problema, y cada vez que alguien se retire, DEBE estar cambiando las contraseñas. ¿Por qué una persona no empleada o bajo contrato tiene acceso a los recursos corporativos? Es aún peor si se fueron en circunstancias menos que amistosas.
Una vez que haya terminado con la integración de AD o LDAP, todavía habrá sistemas que no estén integrados. Para ellos, soy un gran fan de KeePass **. Los empleados pueden tener un archivo KeePass "personal", que es su principal, y tiene cuentas específicas para cada persona, que se deben usar tanto como sea posible, para que puedan desactivarse cuando las personas se van y así se pueden auditar las acciones
-
DEBE supervisar y tomar medidas serias cuando vea que los empleados comparten contraseñas. Esta es una práctica muy común en pequeñas empresas no reguladas, y causa problemas más adelante (las auditorías fallaron, los clientes hicieron preguntas difíciles sobre sus propias auditorías, la regulación futura y nuevamente el costo de cambiar todas las contraseñas que cualquier exempleado conoce).
-
Si su empleador realmente ama a Dropbox, hay integración de KeePass disponible, así como integración de FTP, SFTP, etc. .
- Pregúnteles cuál es su plan para los momentos en que Dropbox es inaccesible (se trata de DDoS'd) o de repente se cierra (si Enron, Lehmen Brothers y Lavabit pueden desaparecer de la noche a la mañana, también Dropbox)
Los empleados también pueden haber compartido archivos KeePass si es absolutamente necesario; hace un buen trabajo al manejar a algunas personas abriendo y modificando el mismo archivo .kbdx simultáneamente, combinando las actualizaciones, o puede usar el comando Sincronizar. Las contraseñas y los archivos de claves que se utilizan para abrir estos archivos KeePass compartidos deben mantenerse a la menor cantidad de personas posible, los contenidos deben ser lo más mínimos posible y se deben cambiar las contraseñas y los archivos de claves cada vez que alguien que los conozca se vaya.
- Nuevamente, configure cuentas individuales en cada punto que se pueda hacer. Cuando tienes que investigar algo (llámalo un problema de producción, o tal vez un fraude), esto es crítico.
- Para cualquier base de datos KeePass compartida, use un archivo de claves generado aleatoriamente si la administración lo acepta, pero también las contraseñas largas (35 caracteres o más) generadas aleatoriamente por el propio KeePass; los empleados mantienen las contraseñas compartidas en su base de datos personal de KeePass, y las contraseñas DEBEN ser tan largas y aleatorias que sea honestamente onerosa para los empleados escribirlas a mano.
- De esa manera, no hay incentivo para escribirlo; toma una eternidad y es un dolor escribir de todos modos.
- También se pueden usar caracteres ASCII altos, como el símbolo de copyright o los caracteres acentuados, lo que dificulta aún más que los empleados adquieran el hábito de usar cuentas de superusuario compartidas sin pasar por su propio documento KeePass.
* Para ver un ejemplo de Linux, vea la pregunta "¿Cómo configuro mi sistema RHEL5 o RHEL6 para usar ldap para autenticación?"
** Cuando configura su base de datos KeePass, o después si alguien más lo hace, asegúrese de ingresar a Archivo, Configuración de la base de datos y haga clic en el botón para el número de rondas "de un segundo". Auméntelo desde allí como mejor le parezca, pero hacer eso incluso en una máquina muy lenta aumenta significativamente su seguridad. Por lo general, uso de millones a decenas de millones de rondas, ya que un segundo o cinco no importa en comparación con los ahorros de velocidad de la característica de auto-tipo.