¿Cuándo las políticas de acceso al sistema comienzan a convertirse en una fuente de incidentes de seguridad? [cerrado]

Muchas organizaciones enfrentan este problema, y los empleados son el "eslabón más débil" en seguridad. En general, la autenticación basada en contraseña ha demostrado ser un vacío. No se puede esperar razonablemente que los empleados recuerden once o doce contraseñas que deben cambiar mensualmente. Recientemente enfrentamos este problema en mi organización y llegamos a algunas conclusiones.

1. La autenticación de dos factores junto con una solución de inicio de sesión único (SSO, por sus siglas en inglés) hará que los empleados estén más contentos y reducirá el perfil de riesgo de múltiples entradas de contraseña independientes.
2. Para la autenticación de dos factores, los dispositivos de medios como las unidades flash no son la mejor forma, pero es mejor que nada. Los empleados los dejarán en sus puestos de trabajo por desgracia. Una forma más sólida de factor doble sería implementar una verificación celular (Duo Mobile ofrece esto). Cuando un usuario intenta iniciar sesión, se le pedirá que verifique su teléfono celular. Si es un teléfono inteligente con la aplicación Duo Mobile, aparecerá una notificación en su barra de tareas solicitando la aprobación del inicio de sesión. De lo contrario, las funciones de mensajes de texto se pueden usar para un código de acceso. Esto también puede funcionar con un teléfono de oficina (no es la mejor opción, pero requiere que el atacante esté físicamente en el escritorio de los empleados).
3. Si va a utilizar una autenticación muy sólida de dos factores, el SSO es una necesidad para evitar que los empleados se agiten demasiado. La autenticación de dos factores debe configurarse para una bóveda de contraseñas que tiene complementos de navegador para SSO y almacena otras contraseñas para su recuperación, permitiendo que esta solución funcione con aplicaciones que no admiten un método de SSO. Durante nuestra investigación, LastPass y AuthLite tenían estas opciones disponibles. También tenían características que administrarían los cambios de contraseña para los empleados, cambiando automáticamente las contraseñas de los empleados después de un período de vencimiento. Dado que las contraseñas fueron generadas por el sistema, eliminó el dolor de cabeza por reutilización de la contraseña.

Al final, optamos por una bóveda de contraseñas que ofrecía capacidades de SSO junto con la autenticación de dos factores de la unidad flash (para fines de costo) para acceder a la bóveda de empleados.