Når du hyppigt bliver bedt om at skifte adgangskoder på websteder og andre login-tjenester, så er det faktisk spild af tid og penge målt i forhold til sikkerhedsgevinsten. Det mener Microsoft-forsker Cormac Herley, som har set nærmere på de skjulte omkostninger ved it-sikkerhedsforanstaltninger.
I en rapport konkluderer han, at især politikken med hyppigt at skifte kodeord ikke giver tilstrækkelig værdi i forhold til, at medarbejderne skal bruge tid på det. Det skriver avisen Boston Globe.
Hyppige skift af kodeord giver nemlig ifølge Cormac Herley ikke nogen beskyttelse mod misbrug, medmindre brugeren når at skifte adgangskode i tidsrummet fra en hacker får fat i kodeordet, og til det bliver udnyttet.
I stedet for hyppige skift er det derfor langt vigtigere, at brugerne fra starten vælger sikre adgangskoder, der ikke er lette at gætte for en hacker.
Cormac Herley baserer sin konklusion på, at en hacker vil anvende kodeordet med det samme, men der er dog eksempler på eksempelvis tyveri af koder til netbanker, hvor de kriminelle venter et godt stykke tid, før de lænser selve kontoen.
Direktør Ulf Munkedal fra sikkerhedsfirmaet Fort Consult er enig i, at et godt password er langt mere vigtigt, selvom skift af koder også i sig selv kan have stor værdi.
»Det kommer an på, hvilke systemer det drejer sig om, hvem der har adgang til dem, og hvordan kulturen i virksomheden er,« siger Ulf Munkedal.
Eksempelvis kan it-afdelingen i en virksomhed med en salgskultur være nødt til at være mere strikse med at håndhæve en passwordpolitik, fordi medarbejderne fokuserer på tempo. I en bank kan it-afdelingen derimod oftere overlade det mere til medarbejderne, fordi kulturen i forvejen er bygget op omkring at passe på data.
»Man skal finde den gyldne middelvej, der passer til éns egen virksomhed. Passwordskift i sig selv har stor værdi, men gode passwords er langt mere vigtigt. Og det er også vigtigt at få systemerne til at håndhæve, at brugerne vælger gode passwords,« siger Ulf Munkedal.
Han anbefaler, at man især understreger over for sine brugere, at de ikke skal bruge de samme kodeord til virksomhedens systemer, som de bruger til deres private tjenester.
Helt konkret bør man vælge et unikt og stærkt kodeord til henholdsvis sit virksomhedslogin, netbank og digital signatur. Til gengæld kan man genbruge et standardkodeord til websteder, hvor man ikke har fortrolige data liggende.
I virksomheden bør man alt efter kulturen sætte systemet op til at bede om nye koder med et sted mellem 30 og 90 dages mellemrum. Det gælder om at finde en balance, hvor brugerne ikke begynder at omgå intentionerne ved sikkerhedspolitikken.
»Hvis man beder folk skifte for hyppigt, så begynder der at gå system i folks passwords, så det bliver eksempelvis Olsen1, Olsen2, Olsen3 og så videre,« siger Ulf Munkedal.'
Hvordan er password-politikken i din virksomhed? Skriv i debatten nedenfor.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
