"Mimi si roboti". Hakika, wewe si roboti, na wavu huo wa usalama wa uthibitisho ni kukamata spambots. Wanadamu wana kitu kizuri na hatari—akili! Akili inayounda roboti na algoriti za AI na ML – nzuri. Akili ambayo inaweza pia kupata njia ya kuvunja au kuiba data—hatari.
Ross Ulbricht, mtu mwenye akili mbaya nyuma ya soko la giza la Silk Road, alikamatwa mwaka wa 2013 na kwa sasa amefungwa katika gereza la Marekani. Walakini, tangu mwisho wa 2017, zaidi ya nywila milioni 555 zimeshirikiwa kwenye wavuti giza. Hiyo ni nambari inayotesa kwa CISOs kote ulimwenguni.
Blogu hii inakusudia kuwasilisha umuhimu wa sera ya nambari ya siri kutoka kwa mtazamo wa CISO na umuhimu Usimamizi wa Kifaa cha Simu (MDM) inashikilia kwa sawa.
Athari za Sera Duni au Hakuna Nambari ya siri
Ripoti[1] huongeza jaribio la CISO. Gharama ya wastani ya uvujaji wa data mwaka wa 2023 ilikuwa dola milioni 4.45. Ukuaji wa 15% kutoka 2020—kasi zaidi kuliko ukuaji wa kimataifa wa masoko mengi halali. Na ikiwa hofu inaweza kuwa mbaya zaidi—asilimia 86 ya uvujaji wa data wa shirika hutokana na hati miliki zilizoathiriwa au zilizoibiwa, kulingana na utafiti.[2].
Data ndiyo mali isiyohamishika mpya, na wahalifu wa mtandao wanafahamu hilo vyema. Uchunguzi[3] iligundua kuwa 52% ya watu hutumia nambari ya siri sawa kwenye akaunti. Ingawa watu binafsi wanaendelea kuteswa na wadukuzi kupitia uvunjaji wa nambari ya siri, kiwango cha uharibifu wa sifa na kifedha kwa mashirika ni kikubwa.
Haishangazi CISO na timu zao za usalama wa mtandao zinakabiliwa na uchovu. Kulinda habari imekuwa kazi isiyozuilika katika nafasi ya 'Wavuti Ulimwenguni Pote'.
Lakini je, inamaanisha kwamba mashirika yanajitolea? Hiyo sio chaguo, sawa? Chaguo pekee ni kupigana! Na kupambana na CISO lazima! Usalama na sera za taarifa za shirika huhusisha mambo mengi muhimu, na nambari ya siri au sera za nenosiri ni mojawapo ya mipigo hiyo muhimu.
Kama CISO, ni lazima utumie vyema sera za nambari ya siri ili kuongeza upau wa usalama wa shirika lako.
Hapa kuna njia chache za kufanya hivyo.
Usiifanye Rahisi!
Ingawa kanuni ya keep-it-simple- stupid (KISS) inatumika kwa nyanja nyingi za maisha, kwa hakika haina nafasi katika sera zako za nenosiri. Kuweka nywila dhahiri na hatarishi huweka vifaa na mitandao kwa panga.
Kuzungumza juu ya nambari, utafiti[4] ni ndoto ya kutimia kwa wahalifu wa mtandao na jinamizi baya zaidi kwa CISO.
- 31% hutumia siku za kuzaliwa za watoto au majina kama nywila (samahani, haikufanyi kuwa mzazi mzuri!)
- 34% hutumia siku za kuzaliwa au majina ya wenzi wao au wenzi wao kama nenosiri (lengo duni la uhusiano kuwahi kutokea!)
- 37% hutumia jina la mwajiri wao kama nenosiri (huu ni uaminifu? Ni lazima utanie!)
- 44% hutumia tena nenosiri la akaunti ya kibinafsi kazini (chochote kilifanyika kwa uwezo wa kufikiri!)
Kiini cha yoyote sera ya nambari ya siri lazima kuhakikisha kwamba kila nenosiri lazima liwe la kipekee, changamano, na refu. Kuchanganya nambari badala ya kuweka safu (kama 1234) ni mahali pazuri pa kuanzia. Kubadilisha herufi fulani kama nambari husaidia pia.
Kama kwa uchambuzi[5], nenosiri ambalo lina herufi 12 au zaidi ni kali mara trilioni 62 kwa wahalifu wa mtandao kudukua kuliko moja yenye herufi 6. Na ndio, nenosiri kali zaidi ni lile lenye herufi 16 ambalo limetolewa kutoka kwa seti ya 200.
Kwa mfano, mbwa tangu 1984 huweka alama kwenye sanduku la urefu, lakini D0gP3rS0nS1nc39t3eN84 huweka alama kwenye visanduku vya urefu, nguvu na utata. Mwisho si rahisi kudukuliwa kwa njia yoyote ile, na ikiwa nywila kama hiyo au d3AtHByCh0c0la8 pia kupata maelewano, labda mdukuzi huyo anastahili kuwa sehemu ya timu yako ya usalama.
Sasa hiyo inatuleta kwenye sehemu iliyoibiwa. Wacha tuangalie hilo tena kupitia nambari za ripoti (zilizotajwa hapo juu[4]) 57% ya wafanyikazi huandika nywila zao kwenye maandishi ya kunata. 55% yao huokoa kwenye simu zao na 51% kwenye kompyuta. Hizi ni nambari zinazohusika sana na zisizogusika, pia; kwa hiyo, ni kitu kisichozidi kile unachoweza kudhibiti. Kama CISO, kuhakikisha wafanyakazi wanaepuka kanuni ya KISS na kuweka manenosiri kama 1Am4r0MOuT3r5PaC3 ni nini unaweza kudhibiti.
"USIBUSU" lazima iwe sheria gumba ya sera yoyote ya nambari ya siri.
Ikiwa Ni Nguvu, Kwa Nini Inabadilika?
Mashirika mengi yana sera ya nambari ya siri inayohitaji kubadilisha manenosiri mara kwa mara. Je, hilo ni jambo la lazima? Kweli, unaweza kufanya bila mabadiliko ya nenosiri mara kwa mara wakati wafanyikazi wanafuata "USIBUSU". Nywila thabiti na ngumu, kama zingine zilizotajwa hapo juu, zina nafasi ndogo sana ya kudukuliwa.
Kwa ujumla wafanyakazi huepuka nywila zenye nguvu na changamano ikiwa wanahitaji kukumbuka mpya mara kwa mara. Hapo ndipo nywila dhaifu (kama vile Amanda@123) ingia kwenye mfumo wako wa mtandao. Lakini kutekeleza mabadiliko ya mara kwa mara ya nenosiri ni nzuri kwa mkao wa usalama wa jumla na haina madhara! Busara inahitajika, ingawa.
MFA, HARAKA
Ikiwa unakosa MFA au uthibitishaji wa vipengele vingi katika sera yako ya nambari ya siri, usisubiri zaidi; kutekeleza mara moja. MFA husaidia kuweka manenosiri salama kwani watumiaji wanahitaji kuingia na taarifa au kitendo fulani badala ya nenosiri pekee. OTP, ambazo hapo awali zilikuwa kitu cha BFSI, sasa ni za kawaida.
Iwapo biashara ya mtandaoni inaweza kufikia masafa marefu ili kulinda akaunti yako kwa kutumia OTP, unaweza kufanya juhudi zako pia ili kulinda data yako ya shirika. Uthibitishaji wa FIDO ni chaguo jingine kubwa. MFA huongeza safu ya ziada ya usalama kwa vifaa. Kwa hivyo, hata kama nenosiri limeathiriwa, mdukuzi bado anahitaji aina moja au zaidi ya uthibitishaji ili kuingia kisiri.
Funza Watu na Ueneze Ufahamu
Baadhi ya CISO ni sawa na wafanyakazi kuwa na sera ya msimbo wa siri wa shirika mahali fulani kwenye barua zao ambazo hazijasomwa au katika folda fulani ya kazi ambayo ilitembelewa mara ya mwisho siku ya kujiunga. Hapo ndipo mstari mwembamba kati ya CISO nzuri na CISO kubwa iko. Viongozi wakuu wa timu za usalama wanajua kuwa nywila ndio lango kuu la ufikiaji wa habari. Kwa hivyo, CISO lazima iendelee kutoa mafunzo kwa watu na kueneza ufahamu kuhusu umuhimu wa sera za nambari ya siri.
Wafanyakazi wanapaswa kujua madhara ya kutofuata sheria kulingana na jukumu lao katika shirika. Weka madhara kuwa makubwa kama vile adhabu kubwa za kifedha au hata kusimamishwa na kusitishwa baadae wakati sera za nambari ya siri hazizingatiwi baada ya mafunzo na maonyo yanayorudiwa.
Hivi karibuni au baadaye, kuna kila nafasi ya sera za nambari ya siri kuwa ZTP (sera ya kutovumilia sifuri), kama vile makosa mengine ya mahali pa kazi ambayo hayawezi kujadiliwa. Kwa nini usubiri maafa ya usalama wa data? Kwa nini usiifanye ZTP leo?
Kutumia Suluhisho la MDM hukusaidia kuongeza usalama wa kifaa na mtandao. Unaweza kusukuma sera yako ya nambari ya siri kwenye anuwai ya vifaa kupitia MDM, bila kujali kifaa au aina ya OS. MDM hukuruhusu kutuma arifa na arifa za usalama na hukuruhusu kufuatilia vipindi vya kuingia. Timu yako ya usalama itaarifiwa papo hapo ikiwa kutakuwa na majaribio mengi ya kuingia katika mojawapo ya vifaa vyako vilivyosajiliwa na MDM. Kisha unaweza kuchunguza suala hilo na kuchukua hatua inayohitajika, ikiwa ni pamoja na kufunga kifaa na kufuta data yake kwenye akaunti za hasara au wizi.
Ndiyo, Unaweza Kuweka Siri
Kuna mengi ya kujadili na marafiki na familia kuhusu vyakula na vinywaji. Sera ya nambari ya siri hailingani na mjadala huo; kwa kweli, haiendani na mazungumzo popote au na mtu yeyote. Watu pekee ambao CISO inapaswa kujadili nao sera za nambari ya siri ni timu ya TEHAMA na mamlaka za moja kwa moja.
Bw. Hacker, Karibu Ndani
Sio lazima uwe mhalifu wa mtandaoni ili kufikiria kama moja. Mtazamo wa mbele na uvumbuzi ni sifa za ajabu kwa CISO kumiliki. Unaweza kuajiri mdukuzi mtaalamu kwa mkataba wa kila mwaka na umwombe muigizaji huyu mzuri wa mtandao kujaribu na kudukua kifaa au mtandao wako. Hii itaunga mkono sera yako ya msimbo wa siri kwani utafahamishwa kuhusu mianya yoyote au mianya yote ya nenosiri katika usalama wa shirika lako. Pia itakujulisha jinsi waigizaji wabaya wanavyotamba. Unaweza kisha kuwapiga katika mchezo wao wenyewe!
Kukumbatia Sera ya Nambari ya siri na Uongezaji wa Mizani
Kutumia mtaji kwa sera ya msimbo wa siri iliyotiwa mafuta mengi kunaweza kujumuisha usalama wa shirika. Na kama CISO, hiyo ndiyo KRA yako hapo hapo. Suluhisho la MDM kama vile Scalefusion linaweza kusaidia kutekeleza sera kali za nambari ya siri kwenye makundi yote ya vifaa vinavyodhibitiwa. Unaweza kuweka vigezo kama vile urefu, utata, kubadilisha muda, majaribio ya kuingia ambayo hayakufaulu, na zaidi.
Marejeo:
1. IBM
2. Wingu la Google - Horizon ya Tishio
3. Kura ya maoni ya Google / Harris
4. Usalama wa Mwekaji
5. Kisayansi wa Marekani
