Mnoge firme imaju neku vrstu pravila o lozinkama — minimalna dužina, obavezno velika slova, možda i poseban znak. Problem je što stara, uobičajena pravila često nisu zasnovana na savremenim bezbednosnim saznanjima, i mogu čak biti kontraproduktivna. U ovom tekstu objašnjavamo kako izgleda politika lozinki koja stvarno poboljšava bezbednost, a ne samo frustrira zaposlene.
Zašto su stara pravila često pogrešna
Tradicionalni saveti — kompleksna lozinka sa mešavinom velikih i malih slova, brojeva i specijalnih znakova, koja se menja svaka tri meseca — zvuče bezbedno, ali u praksi često dovode do suprotnog efekta. Kada su zahtevi previše komplikovani i lozinka se prečesto menja, ljudi pribegavaju predvidivim obrascima — na primer, dodavanju broja na kraju postojeće lozinke, ili zapisivanju lozinke na papirić pored monitora, jer je jednostavno previše teško zapamtiti stalno nove kombinacije.
Savremeni pristup — dužina umesto kompleksnosti
Bezbednosni stručnjaci danas se slažu da je dužina lozinke mnogo važnija od njene kompleksnosti. Duga fraza od nekoliko nasumičnih reči je otpornija na pokušaje pogađanja od kratke, kompleksne lozinke koja izgleda “jaka” na papiru, ali je zapravo relativno kratka. Dodatna prednost dugih fraza je da su lakše za pamćenje nego nasumične kombinacije slova, brojeva i simbola.
Zašto redovna, prinudna promena lozinke više nije preporuka
Nekada rasprostranjena praksa prinudne promene lozinke svaka tri meseca danas se generalno ne preporučuje, jer u praksi dovodi do predvidivih, sve slabijih varijacija originalne lozinke, umesto stvarno novih, jakih lozinki. Umesto prinudne, periodične promene, savremena preporuka je promena lozinke samo kada postoji konkretan razlog za sumnju da je kompromitovana.
Ključni elementi dobre politike lozinki
Minimalna dužina, ne kompleksnost
Umesto insistiranja na specijalnim znacima, postavite razuman minimum dužine (na primer, dvanaest ili više karaktera) i dozvolite korisnicima da kreiraju pamtljive, ali duge fraze.
Obavezna upotreba password manager alata
Kao što smo pisali u prethodnom tekstu, password manager rešava problem pamćenja jedinstvenih, dugih lozinki za svaki nalog, čineći da politika lozinki bude realno primenjiva, a ne samo teoretski zahtev.
Zabrana ponovnog korišćenja lozinki
Jasno pravilo da se ista lozinka ne sme koristiti na više poslovnih naloga, niti da se poslovna lozinka koristi za lične naloge zaposlenog.
Obavezna dvofaktorska autentifikacija
Politika lozinki treba da bude dopunjena zahtevom za MFA na svim poslovnim nalozima, jer čak i najbolja lozinka ne pruža potpunu zaštitu bez ovog dodatnog sloja.
Provera protiv poznatih kompromitovanih lozinki
Napredniji sistemi mogu automatski da provere da li je lozinka koju korisnik pokušava da postavi već poznata iz prethodnih curenja podataka, i da odbiju takvu lozinku, bez obzira na to koliko formalno ispunjava ostale zahteve.
Promena lozinke isključivo pri sumnji na kompromitovanje
Umesto rutinske, prinudne promene, lozinka se menja kada postoji konkretan razlog — poznato curenje podataka koje uključuje taj nalog, sumnjiva aktivnost, ili odlazak osobe koja je znala tu lozinku.
Politika za administratorske i posebno osetljive naloge
Nalozi sa širokim pristupom — administratorski nalozi, nalozi sa pristupom finansijskim podacima — zaslužuju stroža pravila od standardnih korisničkih naloga, uključujući, po mogućnosti, obavezno korišćenje fizičkog bezbednosnog ključa za MFA, umesto samo aplikacije na telefonu.
Edukacija kao deo politike
Politika lozinki na papiru ima ograničenu vrednost ako zaposleni ne razumeju zašto je važna. Kratko objašnjenje osnovnih principa — zašto je dužina važnija od kompleksnosti, zašto ponovno korišćenje lozinki predstavlja rizik, kako koristiti password manager — značajno povećava verovatnoću da će politika stvarno biti poštovana u praksi, a ne zaobiđena.
Sprovođenje politike kroz tehnička ograničenja
Gde god je moguće, politiku lozinki treba tehnički sprovesti kroz sistem, umesto da se oslanja isključivo na dobru volju zaposlenih — na primer, sistem koji ne dozvoljava kreiranje lozinke kraće od definisanog minimuma, ili koji zahteva MFA prilikom svake prijave sa novog uređaja.
Naš pristup u Trace Link-u
Pomažemo firmama da postave politiku lozinki zasnovanu na savremenim bezbednosnim preporukama — fokus na dužinu, obavezan password manager i MFA, umesto zastarelih, kontraproduktivnih pravila o čestoj promeni i kompleksnosti. Radimo sa firmama u Novom Sadu, Beogradu i širom Srbije.
Zaključak
Dobra politika lozinki nije ona koja izgleda najstrože na papiru, već ona koja realno smanjuje rizik u praksi, uzimajući u obzir kako se ljudi zaista ponašaju. Fokus na dužinu umesto kompleksnosti, obavezan password manager i MFA, uz promenu lozinke samo kada postoji konkretan razlog, predstavljaju savremen, efikasan pristup. Ako želite pomoć da postavite politiku lozinki za vašu firmu, javite nam se preko kontakt forme.