Privilegizált jelszókezelés Magyarország meghatározó bankjánál – esettanulmány
Intro
Magyarország külföldi tulajdonban lévő, meghatározó bankja már több mint 200 fiókkal rendelkezik. A pénzügyi intézet – továbbiakban Bank – nagy hangsúlyt fektet az IT biztonságra, ezen belül pedig az ügyféladatok védelmére. Az esettanulmányban szereplők nevét kérésükre megváltoztattuk.
Tisztában vagyunk vele, hogy nem csak a külső támadások jelentenek biztonsági kockázatot, hanem szervezeten belül is meg kell teremteni a védelmet a fenyegetésekkel szemben. Olyan megoldásra volt szükségünk, amely lehetővé teszi a megfelelő jelszókezelési eljárások központosított megvalósítását, és a privilegizált fiókok hozzáféréseinek ellenőrzését. Büszkén kijelenthetem, hogy a PassMan telepítése jelentős terhet vett le az IT szakemberek válláról, és jóval magasabb a biztonságérzetünk is.
Szigeti Marcell – IT biztonsági divízió vezető
A kihívás: Elavult jelszókezelési politikák és jogosultságkezelés hiánya
A nagy pénzügyi intézmények gyakran kerülnek a kiberbűnözés célkeresztjébe, mert rengeteg érzékeny ügyféladatot tárolnak, amelyekhez hozzáférve mérhetetlen károk következhetnek be. A Bank esetében a legnagyobb kihívást a gyenge jelszavak, az elavult jelszókezelési politikák, és a jogosultságkezelés hiánya jelentették; a kockázatok csökkentésére pedig sürgős beavatkozásra volt szükség.
„Az egyedi jelszavak hiánya, a jelszavak visszaállítása, illetve cserélése sokáig elhúzódott a szervezetnél elsősorban azért, mert féltünk, hogy az átállás bonyolult és emiatt csökkenne a produktivitás” – mondta Szigeti.
A Bank esetében további problémát jelentett a kiemelt hozzáféréseket biztosító fiókok kezelése, ellenőrzése. A legtöbb IT adminisztrátor és rendszergazda jóval több jogosultsággal rendelkezett, mint amire valójában szükség volt a munka elvégzéséhez. Ezt tovább nehezítette, hogy az adminisztrátorok hitelesítő adatai hosszú ideig változatlanok maradtak, a frissítés pedig elengedhetetlen a folyamatos biztonság megteremtéséhez. Egy ilyen szervezet esetében – ahol mellesleg rengeteg rendszer és tömérdek érzékeny információ támogatja a mindennapi működést – jóval nagyobb a belső visszaélések kockázata is.
A megoldás: PassMan jelszókezelő
„A jelszavak és céges titkok biztonságos tárolására és központi kezelésére egyértelmű volt egy jelszókezelő program telepítése, azonban számos további funkcióra volt szükségünk, amely lehetővé teszi a magasabb szintű ellenőrzést, a belső visszaélések visszaszorítását és emellett természetesen a jogszabályoknak való megfelelést” – fogalmazott Szigeti Marcell, a Bank IT biztonsági divízió vezetője.
A kihívásokra végül a PassMan vállalati jelszókezelő bizonyult megoldásnak. A szoftver lehetővé teszi nagyon erős jelszavak, SSH kulcsok létrehozását, azok legerősebb titkosítási eljárással történő tárolását, és rendszeres, szervezeti jelszópolitikák szerint történő cseréjét.
A szerepkör alapú hozzáféréskezelés segít korlátozni a kiváltságos felhasználók jogosultságait, amely felszámolta a visszaélésekkel kapcsolatos kételyeket. A rendszeres naplózás révén visszakövethetők a tevékenységek, mely a vállalat számára folyamatos kontrollt biztosít, így a az IT biztonság feletti aggodalmak helyett a szervezet elsődleges stratégiai céljaira összpontosíthat.
