¿Está bien que un administrador del sistema conozca la contraseña de un recién llegado / actúe como un usuario (inmediatamente después de su reclutamiento)?

  

Si nunca le digo a un administrador mi contraseña (ya que ha sido respondida   a la pregunta citada) no hay razón para que un administrador sepa mi   Contraseña, incluso al comienzo de mi trabajo en esa empresa

Una de las razones principales de esta regla es que los administradores no deben acceder a sus datos confidenciales, como correos electrónicos, etc. Dado que no hay datos asociados con la cuenta desde el principio, esto no es un problema.

  

generan una contraseña para el usuario (NO un cambio al primer inicio de sesión)

El uso de una contraseña de inicio de sesión único le pedirá una contraseña normal antes de poder cambiar la configuración. Por lo tanto, se necesita una contraseña antes de acceder a la configuración.

  

De todos modos, sospecho que la mayoría de los sistemas heredados permiten a los administradores restablecer   Contraseñas con gran libertad. ¿Es una práctica aceptada?

Esta es una práctica aceptada. No los sistemas antiguos, pero los sistemas más nuevos como Office 365 también permiten a los administradores restablecer la contraseña de los usuarios sin notificar al usuario. Sin embargo, dichos reinicios se registran en el sistema y el administrador será responsable de cualquier problema.

También tenga en cuenta que no todas las configuraciones se pueden cambiar en el nivel de administrador. Algunas cosas solo pueden ser realizadas por el usuario. En lugar de decirle a todos y cada uno de los usuarios que realicen una serie de pasos, lo están haciendo con anticipación.

Algunas otras preocupaciones de compartir una contraseña no se aplican aquí, como

1. Reutilizar la contraseña es irrelevante ya que la contraseña no es suya.
2. Ninguna información personal está asociada con la contraseña.

Para responder a algunos comentarios,

  

Sospecho que "no hay datos asociados con la cuenta en el   muy al principio "no es del todo cierto: podría tener algunos correos electrónicos en   Mi buzón (alguien podría haber enviado mi información confidencial a mi   Dirección de correo electrónico, porque el buzón se ha activado antes de que yo primero   iniciar sesión)

     

por Diego Pascotto

Los administradores no deben compartir la ID de correo antes de la configuración. El buzón debe haberse activado al configurar Outlook. Las ID de correo electrónico se comparten solo después de establecer la contraseña de inicio de sesión único. También como lo señala James Snell , recibir un correo electrónico a los pocos minutos de la creación de la cuenta es poco probable.

  

Una empresa competente tiene imágenes, procedimientos, a través de la automatización que toman   cuidar estas cosas sin tener que iniciar sesión como nuevo usuario en cualquier   tiempo.

     

por Sokel

Las pequeñas empresas no siempre invierten en la automatización. Si una empresa contrata alrededor de 10 empleados por año y cada uno con un rol diferente, el esfuerzo requerido para llevar a cabo la automatización y mantenerlo será mayor que el esfuerzo manual. La automatización solo vale la pena el esfuerzo cuando tiene un trabajo que se realiza repetidamente en grandes cantidades. En otras palabras, el esfuerzo requerido para la automatización debe ser menor que el esfuerzo requerido para el trabajo manual

  

Si el administrador ha tenido acceso no controlado a su cuenta en cualquier momento   a tiempo; podrían haber configurado cualquier cosa bajo tu nombre - evitando   Cualquier devolución a ellos.

     

por UKMonkey

Cualquier acción realizada por los administradores durante este tiempo se puede vincular a ellos, ya que está claro que la cuenta no se entrega al usuario hasta que el usuario restablece la contraseña con la contraseña de inicio de sesión único.

En una pequeña empresa, es probable que el administrador que configura la máquina de un nuevo empleado también sea el administrador de los correos electrónicos y servidores de documentos de la compañía. En cuyo caso, el administrador ya puede leer sus correos electrónicos o enviar un correo electrónico como usted en todo momento sin necesidad de acceder a su máquina.

Si este es el caso, entonces no hay un nuevo problema de seguridad aquí, aunque es cierto que la práctica es algo superflua. En teoría, un administrador nunca debería necesitar iniciar sesión en su cuenta con una contraseña activa; en su lugar, pueden iniciar sesión como cuenta de administrador y prácticamente hacer todo lo que necesiten hacer desde allí.

En la práctica, a menos que su equipo de TI tenga la suficiente práctica como para poder configurar nuevas máquinas repetibles, de manera correcta y confiable cada vez, a menudo es mucho más fácil iniciar sesión como usuario para probar la configuración y hacer algunas configuraciones que son más fáciles de hacer como usuario real en lugar de intentar simular el efecto mientras se inicia sesión como administrador. Muchos sistemas empresariales están diseñados para permitir que los administradores puedan restablecer la contraseña de otro usuario o hacerse pasar por otro usuario sin la contraseña del usuario, a menudo esto se registra para permitir la auditoría, pero en las empresas más pequeñas, es probable que el mismo administrador tenga acceso al sistema donde puede alterar el registro de auditoría.

La razón principal del adagio de que "nunca le digas a mi administrador mi contraseña" es para evitar que los usuarios sean víctimas de la ingeniería social, porque si se les dice todo el tiempo que un administrador real nunca necesitaría o pediría tu contraseña, se convierte en una respuesta automática que solo alguien que pretenda ser un administrador tendrá que pedirle su contraseña. La razón secundaria es que muchas personas reutilizan su contraseña; en cuyo caso pueden compartir mucho más de lo que creen. Ninguno de estos se aplica en esta situación.

Voy a abordar esta pregunta desde una dirección diferente.

Su pregunta se basa en el supuesto de que la cuenta es responsabilidad y / o propiedad del nuevo usuario en el momento de su creación, pero eso no es realmente cierto.

Cuando se crea la cuenta, pertenece al departamento de TI, no al usuario .

La configuración inicial que describe está ocurriendo antes de que el nuevo usuario tome posesión de la cuenta.

El hecho de que la cuenta tenga el nombre del nuevo usuario no cambia esto. El administrador podría crear una cuenta para Donald Duck y luego cambiar el nombre al del nuevo usuario.

El usuario solo toma posesión de la cuenta y se hace responsable de ella cuando inicia sesión y asigna su propia contraseña. Esa es la entrega de la cuenta.

Supongamos que usted pide una pizza para la entrega. La tienda escribe tu nombre y comienza a cocinar la pizza. Podrían ponerle los ingredientes equivocados, o quemarlos, o dejarlos caer. ¿Es este un problema de seguridad, porque tienen acceso a su pizza? No, porque todavía no es tu pizza . No ha sido entregado a usted. Si la tienda comete un error, ellos son responsables de corregirlo.

Una vez que lo haya pagado y recibido, se convertirá en su responsabilidad. Si lo suelta o se lo arroja a su vecino, la pizzería no es responsable.

Con respecto a las preocupaciones del correo electrónico, si el correo electrónico está presente en la cuenta antes del primer inicio de sesión del usuario, no importa, porque todavía no es su correo electrónico. el correo electrónico no es seguro de todos modos, se ve fácilmente por cualquier numero de personas. Además, en la mayoría de las jurisdicciones, el correo electrónico corporativo es propiedad de la empresa, no del individuo.

Generalmente se recomienda usar una cuenta personal para todo lo que haces. Los registros mostrarán quién hizo qué. Es por eso que los administradores no solo inician sesión con "root" o "Administrador", sino que tienen sus propias cuentas: puede saber quién hizo qué y revocar fácilmente las credenciales del administrador sin cambiar la contraseña de todos los administradores.

Los usuarios tienen problemas para elegir contraseñas seguras. Si memorizaron algunas contraseñas seguras y las usaran para todo, probablemente ya pueda considerarlo un usuario por encima del promedio. Si los administradores conocen la contraseña del usuario, podrían iniciar sesión en las cuentas privadas del usuario (como correo electrónico personal, servicio de transmisión de música, lo que sea). El administrador siempre puede hacerse pasar por un usuario: puede restablecer la contraseña y, a menudo, también es posible iniciar sesión como ese usuario sin saber la contraseña. En sistemas similares a Unix, puede ejecutar el comando su john para iniciar sesión como John: si usted es un usuario normal, le pedirá la contraseña de John; Si eres root, simplemente iniciará sesión como John sin necesidad de su contraseña. Esto no se recomienda por la razón mencionada en el primer párrafo, pero es totalmente posible en muchos sistemas.

La última pieza de información relevante es que las cosas son más fáciles de configurar por parte del usuario que las necesita. Si John necesita Outlook, puede escribir un script y programarlo para que se ejecute en el primer inicio de sesión. Sin embargo, en organizaciones pequeñas, podría ser más eficiente simplemente iniciar sesión como John una vez y configurar Outlook manualmente. Windows, en particular, no se presta bien para las secuencias de comandos: la mayor parte es posible, pero no está bien establecido y algunas cosas todavía son accesibles solo a través de la interfaz gráfica de usuario (GUI).

En conclusión, suponiendo que este es el procedimiento establecido, no veo ningún riesgo en ello. Los administradores pueden iniciar sesión como cualquier usuario de todos modos, por lo que no obtienen más privilegios a través de él. Tampoco están aprendiendo la contraseña personal del usuario. El único problema es que los registros mostrarán brevemente la actividad con el nombre incorrecto, pero no veo ningún beneficio para un administrador malintencionado: hay otras mil (más fáciles) formas de hacer cosas maliciosas.

  

¿la configuración realizada por el administrador COMO EL USUARIO es una práctica aceptable?

Sí.

Como con todas las prácticas, depende del contexto. Pero en general, esta es una práctica común y aceptable, dado que tiene un nivel básico de confianza en sus administradores y no un nivel de seguridad muy alto, como cuando guarda secretos de estado.

Está bien, a pesar de la regla general, porque inicialmente su cuenta no contiene datos confidenciales. Si bien hay una breve ventana de tiempo en la que podrían ingresar los correos, antes de cambiar la contraseña, es muy poco probable que a) sea el caso yb) contenga datos realmente confidenciales, por lo que generalmente no se considera un problema.

Tenga en cuenta que muchas empresas se reservan el derecho de acceder a sus correos electrónicos y / o archivos en su máquina de trabajo de todos modos . Aunque las compañías éticas protegerán ese acceso con un requisito de que usted esté presente o que al menos dos administradores estén presentes cuando inicien sesión en su cuenta, para asegurarse de que solo actúen de acuerdo con su tarea administrativa , p.ej elimine un virus, busque un archivo totalmente necesario mientras está de vacaciones, etc. Las mismas medidas de seguridad podrían implementarse durante este breve período de tiempo en el que tengan acceso directo a su nueva cuenta.

Tenga en cuenta que debe confiar en su departamento de administración en general; de todos modos, simplemente podrían instalar un sistema dañado. Sin embargo, el riesgo de suplantación de identidad dentro del corto período de tiempo es mínimo, ya que se desprende de su contrato y de la marca de tiempo del cambio de contraseña inicial, desde el momento en que tuvo el control de su cuenta.

Si la práctica es aceptable sin garantías adicionales, por ejemplo, Principio de 4 ojos, depende de las necesidades de seguridad de su empresa / trabajo. Cuanto más importante es la seguridad, más estrictas deben ser las medidas de seguridad, y tanto más apunta a automatizar estos procesos para minimizar la oportunidad de que cualquier persona corrompa su máquina / cuenta u obtenga acceso temporal a sus datos. Tenga en cuenta que esto último también podría lograrse simplemente haciendo que active su dirección de correo una vez que haya restablecido la contraseña.

Aceptable pero no ideal

Para que esto sea aceptable, debe ser parte de un procedimiento documentado. Esto sirve para explicar el motivo del comportamiento y para evitar cualquier acusación de impropiedad.

Los documentos generalmente se aprueban cuando se aprueban o se finalizan de otro modo, por lo que esto también establecería la aprobación oficial de la práctica.

Mejor idea ...

Si hay acciones que deben realizarse con las credenciales del usuario, es preferible automatizar el proceso. La automatización puede tomar la forma de un script, un asistente de configuración o un portal de autoservicio, sea lo que prefiera la organización.

Esto proporciona múltiples beneficios:

Primero, la interacción del usuario se minimiza para evitar la configuración errónea. En segundo lugar, se reduce el "tiempo de contacto" del administrador. Tercero, la configuración no sufrirá errores humanos o inconsistencias entre las implementaciones. Y, finalmente, se eliminarán sus preocupaciones sobre el uso de la cuenta.

Caveats

Se requieren habilidades adicionales para la automatización (en comparación con la instalación manual), y es posible que su organización no tenga esas habilidades. Algunas plataformas son difíciles de automatizar, aunque esto es un problema menor de lo que solía ser. O bien, la empresa simplemente puede no entender los beneficios de la automatización.

Parece que aquí se supone erróneamente que una PC portátil de propiedad de un empleador y una cuenta de correo electrónico proporcionada y pagada por un empleador en cierto sentido pertenecen al empleado. No lo hacen La situación es que usted está empleado y pagado para operar sus equipos y procesar sus datos. (Ídem, los administradores de sistemas).

Por lo tanto, la única forma de estar seguros de la privacidad es manejar los asuntos privados en el hardware que posee personalmente. Su teléfono móvil conectado a la red móvil es probablemente ese dispositivo, mientras está en el trabajo . Si su empleador permite el uso personal de su conexión a Internet en general, la comunicación segura (https) con una cuenta personal en un servicio de correo electrónico externo como Gmail es casi tan segura, siempre y cuando confíe en que su empleador no lo haga. haga cualquier cosa descaradamente inmoral, como instalar un registrador de pulsaciones de teclas en la PC de su empleador para interceptar su contraseña privada y una grabadora de pantalla para permitir que el empleador vea su pantalla más tarde. En la UE, esto sería descaradamente ilegal a menos que las políticas de los empleadores (de las que se le ha informado y que forman parte de su contrato de empleo) lo adviertan. Es probable que sea ilegal incluso si lo hacen, a menos que esté trabajando en un entorno especialmente sensible (en cuyo caso es probable que todo uso personal del hardware del empleador esté prohibido por razones de seguridad razonables).

El empleador paga a los administradores de sistemas para mantener sus activos de acuerdo con sus políticas. Estas políticas deben cumplir con la ley. Por lo tanto, en la UE existe una expectativa de privacidad con respecto a los correos electrónicos, cubierto con las acciones necesarias que debe realizar el empleador. Por lo tanto, un administrador del sistema puede tener que mirar los correos electrónicos "privados" para administrar un sistema de servidor de correo, pero nunca debe revelar o actuar sobre lo que ve a menos que revele una falta grave o un delito grave. Ciertamente, nunca debe mirar deliberadamente los correos electrónicos fuera de las políticas establecidas por el empleador y conocidas por el empleado.

Pero un administrador de sistemas malo o corrupto tiene privilegios, por lo que no hay nada que puedas hacer para protegerte de él. Si no confía plenamente en su empleador, como mínimo no utilice su hardware para fines privados que le perjudicaría si se hicieran públicos. ¡Como máximo, deberías buscar un nuevo trabajo!

De paso, soy un administrador de sistema de una pequeña empresa y configuro las PC prácticamente como se describe. En un empleador anterior, fue a la s.o.p. para enviar un solo correo electrónico desde la PC recién configurada a la cuenta de correo electrónico de la empresa del administrador del sistema, responda a eso y elimine la respuesta, para asegurarse de que todo funcione bien. También fue en el s.o.p. para enviar un correo electrónico más largo desde el administrador del sistema a la cuenta del empleado recién creado, generalmente dándole la bienvenida a la organización y brindándole información estándar sobre cómo comenzar. Los estaría esperando después de iniciar sesión por primera vez, restableciendo su contraseña.

Lo que faltan las otras respuestas de IMO es:

¿Por qué no se automatiza este proceso?

El aprovisionamiento de cuentas de usuario (sin importar el sistema operativo) no es nada que un administrador deba hacer de forma manual una y otra vez. La configuración inicial de una cuenta de usuario y el aprovisionamiento de software se pueden realizar a través de la automatización. La configuración de la contraseña respectiva de la cuenta de usuario también se haría automáticamente. Esto debería ser "cambiar después del primer uso". Este proceso de automatización debe revisarse periódicamente y debe implementarse con un principio de cuatro ojos.

Todo lo que haga un administrador en una máquina debe registrarse . Si un administrador simplemente se desplaza libremente en un sistema antes del aprovisionamiento, es probable que se produzcan situaciones de "mala administración".

Editar:

Como esta respuesta ha provocado algunas conversaciones, permítame agregar lo siguiente:

Estas son algunas de las herramientas para suministrar imágenes de Windows al hardware de la empresa, para Windows 8 Kit de herramientas de implementación de Microsoft y el System Center Configuration Manager para Windows 10. Estas herramientas Son herramientas oficiales de Microsoft, son gratuitas (por lo que puedo decir) y desde su primera mirada están bastante bien documentadas. Allí puede implementar y documentar fácilmente todos los procesos para aprovisionar Windows 8/10 en el hardware de la empresa. Todos los accesos de administrador a una máquina deben hacerse a través de herramientas como estas y deben registrarse con un servidor de registro. Entonces, hay menos posibilidades para que un solo administrador manipule una sola máquina.

Si un administrador maneja cada máquina a mano, 1) la manipulación es posible y 2) es probable que ocurran errores. Un proceso automatizado se puede revisar y auditar, un proceso manual es imposible de controlar.

El compromiso con herramientas como estas es un paso hacia un aprovisionamiento más seguro de los sistemas operativos y las cuentas de usuario en el entorno de una empresa.

Siento que esta pregunta solo señala la dicotomía entre "cómo deseamos que funcione" y "cómo funciona realmente".

En algún momento de la historia, apuesto a que los chicos de TI configuraron una computadora portátil para un ejecutivo. Cuando pasaron el portátil, el ejecutivo se enfureció cuando no funcionó o necesitó una configuración adicional. Entonces, les gritan, y es probable que sea cuando se inició alguna política de "iniciar sesión y asegurarse de que esté completamente configurada y funcionando antes de la transferencia".

¿Es este ideal? No. Pero nadie en TI se sorprende por la cantidad de alojamiento que TI hace para que las cosas funcionen sin problemas en una empresa, especialmente cuando afecta a los altos ejecutivos.

Es algo así como la forma en que un contratista que es contratado, pero que sigue dando malas noticias al contratante, quedará fuera del negocio ... bueno, un departamento de TI que sigue manejando cosas por el libro y molestando a la gente que los contrata eventualmente ser reemplazado.

A menudo está caminando sobre cáscaras de huevo, y tiene que elegir y elegir sus batallas.

Configurar una computadora portátil e iniciar sesión en ella para realizar cualquier configuración posterior para programas impares y verificar dos veces para que todo funcione (QA) antes de la transferencia ... eso es algo para lo que TI acaba de hacer una concesión. vida más fácil. Siempre y cuando los administradores de TI fueran los únicos que lo hicieran, era una "apuesta segura".

Pero, cuando los ejecutivos le piden a alguien que inicie sesión por ellos y haga un trabajo (para lo cual, el administrador podría ser engañado para cocinar los libros para alguien sin darse cuenta) ... o un ejecutivo / gerente que le pida que se relaje en una política diseñado para proteger a los usuarios de ellos mismos o para proteger a los servidores de virus (p. ej., "simplemente deje que mi gente guarde sus contraseñas en el correo electrónico junto a la computadora" ... um, no.)

Tienes que elegir y elegir tus batallas. Puede evitar las políticas durante todo el día, y de hecho, si continúa investigando las políticas, se sentirá frustrado al ver todos los pequeños consuelos que el departamento de TI está haciendo para que todo siga funcionando sin problemas.

El otro problema con esto es que a medida que el departamento de TI hace consuelos, pueden verse como un grupo dispuesto a doblar las reglas ... así que algunas personas pueden no tomarse las reglas tan en serio o esperar que las doblen hasta el punto de rompiendo.

Entonces, TI, al igual que la filosofía Jeet Kun Do de Bruce Lee es "ser como el agua". Desea satisfacer las necesidades y los deseos de la empresa para la que trabaja para que las cosas salgan bien y al mismo tiempo satisfacer su propósito principal. Pero, también quieres ser una fuerza a tener en cuenta si alguien te empuja en una dirección que es claramente mala para ellos o para la empresa.

Es por esto que hay un delicado acto de equilibrio en las empresas. Quieres contratar gente de confianza en TI. Preferiría tener empleados de TI mediocres en los que confío, en lugar de las estrellas de rock que me preocupan, están encontrando formas de malversar el dinero o trabajando en el trabajo por contrato en la noche.

Por otra parte, tampoco quiero que el personal ejecutivo piense que pueden andar por todo el departamento de TI. Tratar con TI debería ser como tratar con la policía. Deben confiar en que tienen el poder suficiente para rechazar a las personas que son arrogantes, pero también lo suficientemente confiables como para que no abusen de su poder.

Entonces, tl; dr ... Creo que te estás quedando atrapado en una política que no parece ideal desde una perspectiva académica / ideal, pero que probablemente nació de un paso en falso pasado, y ahora actúa como el El departamento de TI se preocupa lo suficiente como para hacer un control de calidad antes de entregarlos a ciegas.

Usted compra un carro nuevo. Al menos una vez al año lo lleva al mecánico para su mantenimiento (control de aceite, etc.). La mayoría de nosotros le daremos una llave al mecánico y nos fuimos a hacer algo (compras, café, etc.). Tienen acceso completo a tu coche. Ellos pueden hacer cualquier cosa. ¿Considera que es un gran problema que podría dejar / olvidar su computadora portátil / oficina privada dentro o algunos documentos personales o ...?

Al igual que el mantenimiento de su automóvil, preparar su cuenta es algo que debe hacerse. Puede sentarse, observar y fingir que sabe lo que están haciendo o dejar que lo hagan ellos mismos confiando en que son profesionales y saber lo que están haciendo.

En caso de mudarme a un nuevo trabajo, me preocuparía más que mi buzón de correo completo se quede en el trabajo anterior que el vacío en un nuevo trabajo.

Ser paranoico está bastante bien, siempre y cuando estés seguro de que sabes por qué eres paranoico.

Esto me recuerda a una broma de GDPR:
En la oficina de médicos, la enfermera dice: "Debido a GDPR no puedo decir sus nombres en público, pero el que tiene sífilis puede ir a ver al médico ..."