अब आपका संगठन पासवर्ड सुरक्षा की ज़िम्मेदारी अलग-अलग टीम के सदस्यों पे छोड़ नहीं सकता। पूरी ईमानदारी के बावजूद, लोग डिफॉल्ट रूप से आसान लेकिन जोखिम भरी आदतों की तरफ झुक जाते हैं, जैसे प्रमाण ब्राउज़र, स्प्रेडशीट या स्टिकी नोट्स में सेव करना।

एक मज़बूत पासवर्ड नीति आपके संगठन में पासवर्ड बनाने, स्टोर करने, शेयर करने, समीक्षा करने और सुरक्षित रखने के लिए साफ और लागू किया जा सकने वाला मानक स्थापित करती है। एक आधुनिक नीति प्रमाण-आधारित जोखिम को कम करती है, अनुपालन में सहायता करती है और सिस्टम, टीमों और वर्कफ़्लो के बीच एक्सेस सुरक्षा में एकरूपता लाती है।

ये चीज़ कारोबारों के लिए नज़रअंदाज़ करने लायक नहीं है। Verizon की 2025 Data Breach Investigations Report में पाया गया कि सच्ची लीक में प्रमुख शुरुआती हमले के तरीकों में से 22% हिस्सा प्रमाणों के दुरुपयोग का था। कमज़ोर प्रमाण सुरक्षा की कीमत संचालन में गड़बड़ी, नियामक जोखिम, प्रतिष्ठा को नुकसान और उस लंबे डाउनटाइम में भी सामने आती है जो तब होता है जब टीमें खोए हुए या जिन पर छेड़छाड़ हुई है, ऐसे एक्सेस को रिकवर करने की भागदौड़ में लग जाती हैं।

पासवर्ड नीति बनाने के अलावा, आपके संगठन को ऐसे सिस्टम और टूल्स की भी ज़रूरत है जो सुरक्षित आदतें अपनाना आसान बनाएं। नियम अकेले संचालन सुरक्षा सुनिश्चित करने के लिए काफी नहीं, क्योंकि जहां रुकावटें होती हैं, सबसे सच्चे इरादे रखने वाले प्रोफेशनल भी शॉर्टकट अपना लेते हैं। मकसद है पासवर्ड हाइजीन को सबसे आसान रास्ता बनाना।

नीचे दिया गया पासवर्ड नीति टेम्पलेट आपके कारोबार को अभी की सबसे अच्छी प्रथाओं और NIST के अनुरूप दिशानिर्देशों में आधारित रखने में मदद कर सकता है। आप इसे आंतरिक नीति, सुरक्षा हैंडबुक या गवर्नेंस कंट्रोल में ढाल सकते हैं, उन संगठनों के लिए जिन्हें सामान्य सलाह से ज़्यादा व्यावहारिक चीज़ चाहिए।

पासवर्ड नीति टेम्पलेट (नमूना)

सेक्शननीति आवश्यकता (उदाहरण भाषा)लागू करने के नोट्स
कार्यक्षेत्रये नीति उन सभी कर्मचारियों, ठेकेदारों, वेंडर और थर्ड पार्टियों पर लागू होती है जो पासवर्ड-आधारित सत्यापन के ज़रिए कंपनी के सिस्टम या डाटा को एक्सेस करते हैं। इसमें सभी सिस्टम शामिल हैं, जिनमें SaaS प्लैटफॉर्म, क्लाउड सर्विस, आंतरिक टूल्स, एंडपॉइंट और प्रशासनिक वातावरण शामिल हैं।सुनिश्चित करें कि कोई सिस्टम या उपयोगकर्ता ग्रुप कार्यक्षेत्र से बाहर न रहे। वेंडर और शेयर किए गए वातावरण शामिल करें।
उपयोगकर्ता की ज़िम्मेदारियांसभी उपयोगकर्ता इस नीति के अनुसार पासवर्ड बनाएं, स्टोर करें और संभालें। उपयोगकर्ता प्रमाण शेयर नहीं करें, पासवर्ड दोबारा इस्तेमाल नहीं करें या उन्हें अनअप्रूव्ड स्थानों पे स्टोर नहीं करें। प्रमाण की संभावित छेड़छाड़ की सूचना तुरंत दें।इसे ऑनबोर्डिंग और सुरक्षा ट्रेनिंग में शामिल करें।
मैनेजमेंट की ज़िम्मेदारियांमैनेजर ऑनबोर्डिंग, भूमिका में बदलाव और ऑफबोर्डिंग की समय पर जानकारी दें ताकि सही एक्सेस कंट्रोल और प्रमाण अपडेट करना सक्षम हो।इसे HR वर्कफ़्लो से जोड़ें।
IT और सुरक्षा की ज़िम्मेदारियांIT और सुरक्षा टीमें इस नीति को लागू कराने, पासवर्ड मैनेजमेंट टूल्स को मंज़ूरी देने, अनुपालन की निगरानी करने और प्रमाण से जुड़ी घटनाओं पे प्रतिक्रिया देने के लिए ज़िम्मेदार हैं।अंदरूनी स्तर पे साफ तौर पे ज़िम्मेदारी तय करें।
पासवर्ड की लंबाईपासवर्ड नीचे दी गई न्यूनतम लंबाई पूरी करें: 15 अक्षर (स्टैंडर्ड खाते), 16 अक्षर (विशेषाधिकार प्राप्त खाते), और 20 अक्षर (शेयर या सर्विस खाते, जहां संभव हो)।सिस्टम को लंबे पासवर्ड के लिए सहायता देनी चाहिए (आदर्श रूप से 64 अक्षर तक.)
पासवर्ड बनानापासवर्ड संगठन द्वारा मंज़ूर किए गए बिज़नेस पासवर्ड मैनेजर के ज़रिए रैंडम तरीके से जनरेट किए जाने चाहिए। पैटर्न, पर्सनल डाटा या आसानी से अंदाज़ा लगाए जा सकने वाले स्ट्रक्चर पे आधारित यूज़र के बनाए पासवर्ड की इजाज़त नहीं है।Proton Pass for Business मज़बूत, बेतरतीब पासवर्ड बनाने को ऑटोमेट कर सकता है।
पासवर्ड की यूनिकनेसहर खाते, सिस्टम और सर्विस के लिए पासवर्ड यूनिक होना चाहिए। वर्क सिस्टम, निजी खातों या क्लाइंट वातावरण में दोबारा इस्तेमाल करने पर पूरी तरह रोक है।सिर्फ याद रखने पे नहीं, टूलिंग और ट्रेनिंग के ज़रिए लागू कराएं।
पासवर्ड की मज़बूती की टेस्टिंगपासवर्ड कमज़ोर, दोबारा इस्तेमाल होने वाले या पहले मालूम डाटा लीक में उजागर हुए नहीं होने चाहिए।जहां संभव हो, ऐसे सिस्टम इस्तेमाल करें जो लीक हुए पासवर्ड की पहचान के लिए सहायता देते हैं।
प्रतिबंधित प्रथाएंनीचे दी गई चीज़ें प्रतिबंधित हैं: पासवर्ड दोबारा इस्तेमाल करना; निजी या कंपनी से जुड़े शब्दों का इस्तेमाल; अंदाज़ लगाए जा सकने वाले पैटर्न; पासवर्ड को प्लेन टेक्स्ट में स्टोर करना; ईमेल, चैट या नोट्स के ज़रिए प्रमाण शेयर करना।अस्पष्टता हटाएं, इसके लिए इस सेक्शन को साफ रखें।
मल्टी-फैक्टर सत्यापन (MFA)MFA उन सभी सिस्टम पे सक्षम करें जो इसके लिए सहायता देते हैं, खासकर ईमेल, पहचान प्रोवाइडर, रिमोट एक्सेस, वित्तीय सिस्टम, HR प्लैटफॉर्म और प्रशासनिक खातों के लिए।पहले हाई-रिस्क सिस्टम को प्राथमिकता दें।
पासवर्ड स्टोरेजसभी प्रमाण केवल संगठन द्वारा स्वीकृत पासवर्ड मैनेजर में ही स्टोर किए जाने चाहिए। ब्राउज़र या लोकल टूल्स में स्टोरेज की अनुमति नहीं है, जब तक कि वे केंद्रीय रूप से संभाले और मंज़ूर किए गए ना हों।Proton Pass for Business एन्क्रिप्ट की गई तिजोरी देता है, जिनका एक्सेस कंट्रोल्ड होता है।
प्रतिबंधित स्टोरेज तरीकेपासवर्ड स्प्रेडशीट, डॉक्यूमेंट, ईमेल ड्राफ्ट, टिकटिंग सिस्टम, शेयर की गई ड्राइव या निजी नोट्स में स्टोर नहीं किए जाने चाहिए।इनकी नियमित ऑडिट करते रहें, क्योंकि ये काफी आम हैं।
पासवर्ड शेयर करनापासवर्ड इनफॉर्मल चैनल से शेयर नहीं किए जाने चाहिए। जहां शेयर करना ज़रूरी हो, वहां ऐसे अप्रूव्ड सिक्योर सिस्टम के ज़रिए ही शेयर हो, जो एक्सेस कंट्रोल, ऑडिटिंग और रद्द करने के लिए सहायता देते हैं।Proton Pass for Business पासवर्ड उजागर किए बिना प्रमाण को सुरक्षित तरीके से शेयर करना सक्षम करता है।
शेयर किए गए खातेशेयर या सर्विस खाते के प्रमाण का एक तय मालिक, सीमित एक्सेस, सुरक्षित स्टोरेज और नियमित समीक्षा होनी चाहिए। कर्मियों में बदलाव होने या छेड़छाड़ की आशंका होने पर प्रमाण बदल दें।जहां संभव हो, अलग-अलग खातों को तरजीह दें।
ट्रेनिंग और जागरूकतासभी उपयोगकर्ता ऑनबोर्डिंग पर पासवर्ड और प्रमाण सुरक्षा ट्रेनिंग पूरी करें और उसके बाद समय-समय पर भी। ट्रेनिंग में पासवर्ड मैनेजमेंट, MFA का इस्तेमाल, फिशिंग की जागरूकता और इंसिडेंट रिपोर्टिंग शामिल होनी चाहिए।ट्रेनिंग को व्यावहारिक और अप-टू-डेट रखें।
इंसिडेंट रिस्पॉन्सकिसी भी संदिग्ध या सच्ची प्रमाण छेड़छाड़ की सूचना तुरंत दें। प्रभावित प्रमाण रीसेट करें, सत्र वापस लें और एक्सेस की समीक्षा करें। घटनाओं को दर्ज करें।जवाबी कार्रवाई की गति परफेक्शन से ज़्यादा मायने रखती है।
रिपोर्टिंग की ज़रूरतेंउपयोगकर्ता संभावित प्रमाण उजागर होने की सूचना तय किए गए रिपोर्टिंग चैनल से दें। सच्चे इरादे से रिपोर्ट करने पर कोई अनुशासनात्मक कार्रवाई नहीं होगी।जल्दी रिपोर्ट करने को बढ़ावा देता है।
निगरानी और लॉगिंगजहां संभव हो, सत्यापन गतिविधि को लॉग करें, जिसमें लॉगइन कोशिशें, प्रमाण में बदलाव और विशेषाधिकार प्राप्त एक्सेस शामिल हैं। गड़बड़ियों के लिए लॉग की समय-समय पर समीक्षा होनी चाहिए।पहले हाई-रिस्क सिस्टम पर ध्यान दें।
ऑफबोर्डिंग और एक्सेस वापस लेनाभूमिका में बदलाव या नौकरी खत्म होने पर एक्सेस तुरंत हटाएं। शेयर किए गए प्रमाण की समीक्षा करें और ज़रूरत हो तो उन्हें बदलें।ज़रूरी, क्योंकि संगठनों के लिए ये सबसे आम फेलियर पॉइंट्स में से एक है।
अनुपालन अलाइनमेंटये नीति NIST और ISO 27001 जैसे मान्यता प्राप्त फ्रेमवर्क की एक्सेस कंट्रोल ज़रूरतों के साथ संगठन के अनुपालन में सहायता करती है।ऑडिट और गवर्नेंस के लिए उपयोगी।
लागू करानाइस नीति का पालन न करने पर गंभीरता के हिसाब से दोबारा ट्रेनिंग, एक्सेस पर पाबंदी या अनुशासनात्मक कार्रवाई हो सकती है।लगातार लागू करें।
समीक्षा चक्रइस नीति की समीक्षा साल में कम से कम एक बार, या सिस्टम, जोखिम या नियामक ज़रूरतों में किसी बड़े बदलाव के बाद करें।अपडेट करने के लिए एक ज़िम्मेदार तय करें।

पासवर्ड नीति क्या है? परिभाषा, मकसद और उद्देश्य

पासवर्ड नीति नियमों का एक औपचारिक समूह है, जो तय करता है कि संगठन के सिस्टम में प्रमाण कैसे बनाए, संभाले, स्टोर और सुरक्षित रखे जाते हैं।

पासवर्ड नीति का कॉन्सेप्ट सुनने में सरल लगता है, लेकिन इसका असर बहुत व्यापक है। ये सिर्फ कारोबारी प्रमाणों के लिए बिज़नेस पासवर्ड मैनेजर इस्तेमाल करना ज़रूरी बताने से कहीं ज़्यादा है। आधुनिक संगठनों में पासवर्ड नीतियां पहचान सुरक्षा की नींव का काम करती हैं।

बिना एक एकरूप नीति के, जो तय करे कि सिस्टम पर प्रमाण कैसे हैंडल हों, पासवर्ड प्रथाएं बिखर जाती हैं और संगठन धीरे-धीरे ये देखने की क्षमता खो देते हैं कि एक्सेस असल में कैसे संभाला जा रहा है।

मज़बूत पासवर्ड नीति का मकसद

अच्छी तरह तय की गई पासवर्ड नीति सुरक्षा की खामियों को दूर करती है, ये साफ बताकर कि आपके संगठन में प्रमाण को कैसे हैंडल किया जाना चाहिए। ये पासवर्ड बनाने, स्टोरेज, शेयर करने और लाइफसाइकिल मैनेजमेंट के लिए एकरूप मानक स्थापित करती है।

पासवर्ड नीतियां गवर्नेंस और अनुपालन में भी अहम भूमिका निभाती हैं। NIST Digital Identity Guidelines(नई विंडो) जैसे सुरक्षा फ्रेमवर्क और ISO 27001(नई विंडो) जैसे मानक आधुनिक एक्सेस कंट्रोल के हिस्से के तौर पर मज़बूत सत्यापन प्रथाओं के महत्व पर ज़ोर देते हैं।

संवेदनशील डाटा हैंडल करने वाले संगठनों, खासकर जो निजी जानकारी, वित्तीय रिकॉर्ड या कारोबारी गोपनीय जानकारी संभालते हैं, से लगातार ये उम्मीद की जाने लगी है कि वो दिखाएं कि उन सिस्टम तक एक्सेस को दर्ज सुरक्षा कंट्रोल्स के ज़रिए संभाला जाता है।

पासवर्ड नीति के ज़रिए आपका संगठन कंपनी के सिस्टम, सर्विस, डिवाइस, एप्लीकेशन और डाटा को एक्सेस करने के लिए इस्तेमाल होने वाले पासवर्ड बनाने, स्टोर करने, शेयर करने और संभालने की न्यूनतम ज़रूरतें तय करता है।

पासवर्ड नीति को क्या करना चाहिए?

पासवर्ड नीति दस्तावेज़ का मकसद है:

  • पासवर्ड से जुड़ी सुरक्षा घटनाएं कम करें
  • पासवर्ड दोबारा इस्तेमाल करने और असुरक्षित स्टोरेज प्रथाओं को रोकें
  • सुरक्षित पासवर्ड बनाने और मैनेजमेंट की प्रथाएं ज़रूरी बनाएं
  • कर्मचारियों, वेंडर और सिस्टम के बीच सुरक्षित एक्सेस के लिए सहायता करें
  • ऑडिट की तैयारी और एक्सेस गवर्नेंस को मज़बूत करें
  • छेड़छाड़ किए गए प्रमाणों के लिए जवाबी प्रक्रिया तय करें

ये उद्देश्य मिलकर ये सुनिश्चित करने में मदद करते हैं कि पासवर्ड सुरक्षा को अनफॉर्मल उम्मीद नहीं, बल्कि संचालन मानक की तरह देखा जाए।

पासवर्ड नीति: कार्यक्षेत्र, भूमिकाएं और ज़िम्मेदारियां

एक मज़बूत पासवर्ड नीति को दो चीज़ें साफ बतानी चाहिए। पहला, ये साफ तौर पर तय करे कि किन उपयोगकर्ताओं, सिस्टम और डाटा को नीति का पालन करना चाहिए।

दूसरा, ये साफ करे कि आपके संगठन में उन मानकों का पालन, लागू कराना और बनाए रखना किसकी ज़िम्मेदारी है।

अपनी पासवर्ड नीति का कार्यक्षेत्र तय करें

आधुनिक संगठनों में एक्सेस शायद ही कभी सिर्फ आंतरिक नेटवर्क पर काम करने वाले फुल-टाइम कर्मचारियों तक सीमित रहता है। ठेकेदारों, वेंडर और सर्विस प्रोवाइडर सभी को कंपनी के सिस्टम तक एक्सेस चाहिए हो सकता है, इसलिए नीति उन सभी पर लागू होनी चाहिए जो पासवर्ड-आधारित सत्यापन के ज़रिए कंपनी के सिस्टम या डाटा से जुड़ते हैं।

ये पूरे टेक्नोलॉजी वातावरण पर भी लागू होना चाहिए, इनमें शामिल हैं:

  • क्लाउड प्लैटफॉर्म
  • SaaS टूल्स
  • आंतरिक सिस्टम
  • डेवलपमेंट वातावरण
  • प्रशासनिक कंसोल
  • शेयर किए गए परिचालन खाते 

ये इसलिए अहम है क्योंकि हमलावर एंट्री पॉइंट ढूंढते वक्त शायद ही कभी मुख्य और गौण सिस्टम में फर्क करते हैं।

अपनी पासवर्ड नीति में भूमिकाएं और ज़िम्मेदारियां तय करें

बिना साफ ज़िम्मेदारी के पासवर्ड मैनेजमेंट बिखर जाता है। कर्मचारी मान लेते हैं कि IT सुरक्षा अपने-आप हैंडल कर लेगा, जबकि IT मानता है कि उपयोगकर्ता खुद ही सबसे अच्छी प्रथाओं का पालन करेंगे। असरदार प्रमाण सुरक्षा के लिए आपके संगठन में तालमेल ज़रूरी है।

कर्मचारी और ठेकेदार सिस्टम के साथ रोज़ के इंटरैक्शन में पासवर्ड सुरक्षा बनाए रखते हैं, जबकि मैनेजर ऑनबोर्डिंग, भूमिका में बदलाव और ऑफबोर्डिंग के दौरान एक्सेस गवर्नेंस पर निगरानी रखते हैं। IT और सुरक्षा टीमें तकनीकी कंट्रोल्स लागू करने और अनुपालन की निगरानी के लिए ज़िम्मेदार होंगी। सिस्टम मालिक भी ये सुनिश्चित करेंगे कि उनके संभाले जाने वाले एप्लीकेशन और वातावरण में मानक लागू हों।

न्यूनतम पासवर्ड लंबाई और एंट्रॉपी ज़रूरतों पर पासवर्ड नीति के दिशानिर्देश

पासवर्ड की लंबाई किसी प्रमाण की मज़बूती तय करने वाले सबसे महत्वपूर्ण कारकों में से एक है। लंबे पासवर्ड संभावित कॉम्बिनेशन की संख्या काफी बढ़ा देते हैं, जिन्हें हमलावर को ब्रूट-फोर्स अटैक के दौरान टेस्ट करना पड़ेगा।

असल में, NIST सलाह देता है(नई विंडो) कि सख्त कॉम्पोज़िशन नियमों की बजाय पासवर्ड की लंबाई को प्राथमिकता दी जाए। उपयोगकर्ताओं को सिंबल, नंबर और बड़े अक्षरों के खास कॉम्बिनेशन डालने पर मजबूर करने की बजाय, आधुनिक नीतियां इस पर ध्यान देती हैं कि पासवर्ड काफी लंबे हों और उनकी जांच मालूम छेड़छाड़ किए गए प्रमाणों के मुकाबले हो।

इसलिए संगठनों को ये भी सुनिश्चित करना चाहिए कि उनके सिस्टम लंबे और ज़्यादा जटिल पासवर्ड के लिए सहायता दें, जहां तक तकनीकी तौर पर संभव हो। ऐसा करने से सुरक्षा टीमें समय के साथ मज़बूत प्रमाण मानक अपना सकती हैं और ये भी सुनिश्चित होता है कि आपका संगठन भविष्य में बदलती सुरक्षा ज़रूरतों को पूरा करने के लिए तैयार है।

एक मज़बूत पासवर्ड इन ज़रूरी शर्तों को पूरा करे या उनसे बेहतर हो:

  • ब्रूट-फोर्स और ऑटोमेटेड क्रैकिंग की कोशिशों का मुकाबला करने के लिए काफी लंबाई
  • सिर्फ एक खाते या सर्विस के लिए यूनिक, ताकि सिस्टम में प्रमाण दोबारा इस्तेमाल होने से बचा जा सके
  • अंदाज़ लगाना मुश्किल, यानी निजी जानकारी, कंपनी से जुड़ी चीज़ों या अंदाज़ लगाए जा सकने वाले पैटर्न से बचें
  • बेतरतीब या पूरी तरह अप्रत्याशित, आदर्श रूप से किसी अप्रूव्ड पासवर्ड मैनेजर से बनाए हुए
  • मालूम डाटा लीक में पहले कभी उजागर न हुए हों या आम पासवर्ड लिस्ट में न हों

ध्यान रखें कि नाम, जन्मदिन, कंपनी से जुड़े शब्दों या आसान कीबोर्ड पैटर्न पर बने पासवर्ड, लंबाई चाहे जो हो, ऑटोमेटेड पासवर्ड-क्रैकिंग टूल्स से अक्सर जल्दी क्रैक हो जाते हैं। इंडिविजुअल और कारोबार, दोनों के लिए मज़बूत पासवर्ड की ज़रूरतों पर हमारी विस्तृत गाइड देखें।

पासवर्ड की बेतरतीबी और जटिलता

आधुनिक सुरक्षा फ्रेमवर्क सलाह देते हैं कि उपयोगकर्ताओं से खुद पासवर्ड बनाने को कहने की बजाय उन्हें बेतरतीब तरीके से बनाया जाए। अप्रूव्ड पासवर्ड मैनेजमेंट टूल्स से बने बेतरतीब पासवर्ड काफी मज़बूत सुरक्षा देते हैं, क्योंकि वो अंदाज़ लगाए जा सकने वाले पैटर्न से बचते हैं और इतनी लंबाई में बनाए जा सकते हैं जो याद रखना व्यावहारिक नहीं है।

उदाहरण के लिए, आप Proton Pass में बने सिक्योर पासवर्ड जेनरेटर और सिक्योर प्रमाण मैनेजमेंट प्रथाओं का इस्तेमाल कर सकते हैं। ये टूल्स मिलकर मज़बूत, अप्रत्याशित पासवर्ड बनाने में मदद करते हैं, और पासवर्ड स्टोरेज, शेयर करने और लाइफसाइकिल मैनेजमेंट से जुड़ी आम चुनौतियों को भी दूर करते हैं।

कमज़ोर या दोबारा इस्तेमाल होने वाले पासवर्ड को हतोत्साहित करने के लिए पासवर्ड नीति में नीचे दी गई न्यूनतम ज़रूरतें शामिल की जा सकती हैं:

  • स्टैंडर्ड उपयोगकर्ता खाते के पासवर्ड कम से कम 15 अक्षर लंबे होने चाहिए।
  • विशेषाधिकार प्राप्त या एडमिनिस्ट्रेटर खाते के पासवर्ड कम से कम 16 अक्षर लंबे होने चाहिए।
  • शेयर या सर्विस खाते के प्रमाण जहां तक तकनीकी तौर पर संभव हो, कम से कम 20 अक्षर लंबे होने चाहिए।
  • सिस्टम जहां संभव हो, कम से कम 64 अक्षर लंबे पासवर्ड के लिए सहायता दें।
  • लंबी पासफ्रेज़ का इस्तेमाल किया जा सकता है, जहां उन्हें सहायता मिलती हो और उचित हो।
  • पासवर्ड इस्तेमाल से पहले संगठन की अप्रूव्ड मज़बूती और जांच की ज़रूरतों को पूरा करें।

हर सिस्टम या सर्विस के लिए यूनिक पासवर्ड का इस्तेमाल

पासवर्ड दोबारा इस्तेमाल करना प्रमाण-आधारित सुरक्षा घटनाओं के सबसे आम कारणों में से एक है। जब एक ही पासवर्ड कई सर्विस में इस्तेमाल होता है, तो एक अकेली लीक कई सिस्टम तक एक साथ एक्सेस उजागर कर सकती है।

हमलावर नियमित तौर पर इस आदत का फायदा क्रेडेंशियल स्टफिंग नाम की तकनीक से उठाते हैं, जिसमें एक सर्विस से चुराए गए यूज़रनेम और पासवर्ड ऑटोमेटिक तौर पर दूसरे प्लैटफॉर्म पर टेस्ट किए जाते हैं।

इस वजह से, यूनिकनेस पर कोई समझौता नहीं हो सकता। हर खाते, सर्विस और सिस्टम का अपना पासवर्ड होना चाहिए, जो कहीं और कभी दोबारा इस्तेमाल न हो।

दर्जनों या सैकड़ों यूनिक पासवर्ड संभालना सिक्योर पासवर्ड मैनेजमेंट टूल्स की सहायता के बिना व्यावहारिक नहीं होगा। एंटरप्राइज़ पासवर्ड मैनेजमेंट टूल्स इस ज़रूरत को व्यावहारिक बनाते हैं, क्योंकि वो अपने-आप मज़बूत पासवर्ड बनाते और उन्हें सुरक्षित रखते हैं, जिससे कर्मचारी याददाश्त पर निर्भर हुए बिना यूनिक प्रमाण बनाए रख सकते हैं।

मल्टी-फैक्टर सत्यापन (MFA) की ज़रूरतें

मल्टी-फैक्टर सत्यापन (MFA) अनधिकृत एक्सेस का जोखिम कम करने के सबसे असरदार तरीकों में से एक है, खासकर उन वातावरणों में जहां प्रमाण फिशिंग, मालवेयर(नई विंडो) या बाहरी डाटा लीक के ज़रिए उजागर हो सकते हैं।

MFA इस तरह काम करता है कि खाते तक एक्सेस पाने से पहले उपयोगकर्ताओं को कम से कम दो अलग-अलग कारकों के ज़रिए अपनी पहचान साबित करनी पड़ती है। इनमें शामिल हैं:

  • कुछ जो उपयोगकर्ता जानते हैं (एक पासवर्ड)
  • कुछ जो उनके पास होता है (जैसे सिक्योरिटी की, सत्यापन ऐप या मोबाइल डिवाइस)
  • कुछ जो वो खुद हैं (बायोमेट्रिक सत्यापन, जैसे फिंगरप्रिंट या चेहरे की पहचान)।

चूंकि हमलावरों के पास इन सभी कारकों तक एक साथ एक्सेस शायद ही कभी होता है, MFA इस संभावना को काफी कम कर देता है कि चुराए गए प्रमाण अकेले खाते पर छेड़छाड़ के लिए इस्तेमाल हो सकें।

NIST और CISA जैसे संगठनों के दिशानिर्देश पुरज़ोर सलाह देते हैं(नई विंडो) कि जहां भी पासवर्ड-आधारित एक्सेस इस्तेमाल हो, वहां मल्टी-फैक्टर सत्यापन अपनाया जाए, खासकर उन सिस्टम के लिए जिनमें संवेदनशील डाटा हो या जो प्रशासनिक अधिकार देते हैं।

MFA को अपनी पासवर्ड नीति का हिस्सा बनाना

आपका संगठन ऐसे टूल्स इस्तेमाल करके MFA अपनाने को और मज़बूत बना सकता है, जो दो-फैक्टर सत्यापन को खातों पर लागू करना और संभालना आसान बनाते हैं। मसलन, Proton Pass सेव किए गए प्रमाणों के साथ टाइम-आधारित वन-टाइम पासवर्ड (TOTP) स्टोर और ऑटोफिल कर सकता है, जिससे लॉगइन वर्कफ़्लो आसान होते हैं और सत्यापन डाटा एन्क्रिप्ट किया रहता है।

संगठन जो सत्यापन कारकों को अलग रखना पसंद करते हैं, उनके लिए Proton एक अलग Proton Authenticator ऐप भी देता है, जो सिक्योर छह अंकों वाले सत्यापन कोड बनाता है और उन्हें शुरु-से-अंत तक एन्क्रिप्शन के ज़रिए डिवाइस में सिंक कर सकता है। ये ऑथेंटिकेटर ऐप ऑफलाइन काम करता है और ओपन सोर्स है, जिससे संगठन कारोबारी खातों पर MFA लागू कर सकते हैं और साथ ही पारदर्शिता और मज़बूत निजता सुरक्षा बनाए रख सकते हैं

सुरक्षित पासवर्ड शेयर करने की प्रथाएं

हालांकि कई सुरक्षा दिशानिर्देश पासवर्ड शेयर करने से बिल्कुल बचने की सलाह देते हैं, असली कारोबारी माहौल में अब भी इसकी ज़रूरत पड़ती है। सर्विस खाते, वेंडर एक्सेस और इमरजेंसी प्रक्रियाओं में कभी-कभी कई अधिकृत उपयोगकर्ताओं को एक ही प्रमाण तक एक्सेस चाहिए होता है।

जब शेयर करना इनफॉर्मल तरीके से होता है, जैसे ईमेल, चैट या ज़ुबानी बातचीत से, प्रमाण उजागर हो जाते हैं और कंट्रोल करना मुश्किल हो जाता है। इन चैनलों से एक बार शेयर होने के बाद आमतौर पर ये पता लगाने का कोई भरोसेमंद तरीका नहीं रहता कि किसके पास एक्सेस है या उसे बाद में वापस लें।

इसलिए पासवर्ड नीतियों में ये तय करना चाहिए कि शेयर करना कैसे और कब इजाज़त दी जाती है। ज़्यादातर संगठनों में, ये सिर्फ ऐसे अप्रूव्ड प्रमाण मैनेजमेंट टूल्स के ज़रिए ही होना चाहिए, जो एक्सेस कंट्रोल्स, ऑडिटिंग और ज़रूरत पड़ने पर एक्सेस वापस लेने की सुविधा देते हैं।

ऑफबोर्डिंग और एक्सेस वापस लेने की प्रक्रियाएं

जब कर्मचारियों की भूमिका बदले, वो संगठन छोड़ें या वेंडर रिश्ते खत्म हों, तो एक्सेस की तुरंत समीक्षा करें और उसे एडजस्ट करें। प्रमाण समय पर वापस न लेना अनधिकृत एक्सेस के सबसे आम स्रोतों में से एक है।

एक मज़बूत पासवर्ड नीति ऑनबोर्डिंग और ऑफबोर्डिंग प्रक्रियाओं से जुड़ी होनी चाहिए, ताकि भूमिका में बदलाव या रवानगी के हिसाब से एक्सेस अधिकार तुरंत अपडेट हुआ हो, जिसमें खाते अक्षम करें, शेयर किए गए प्रमाण बदलें और गैर-ज़रूरी सिस्टम एक्सेस वापस लें शामिल है।

अगर कई लोगों को शेयर किए गए सर्विस खाते तक एक्सेस था, तो कर्मियों में बदलाव होते ही पासवर्ड बदल दें, ताकि पुराने कर्मचारी या ठेकेदार अपने खाते अक्षम होने के बाद भी एक्सेस बनाए न रखें।

पासवर्ड नीति और इंसानी आदतों के बीच का गैप भरें

पासवर्ड नीतियां तभी असरदार होती हैं जब लोग उनका पालन करें।

ज़्यादातर संगठनों में नाकामी इसलिए नहीं होती कि नीतियां नहीं हैं; ये इसलिए होती हैं कि नीतियां रोज़ के वर्कफ़्लो में अंदर डाली नहीं गई होतीं। कर्मचारी शॉर्टकट अपना लेते हैं जब प्रक्रियाएं अस्पष्ट हों, टूल्स कम पड़ें या उम्मीदों को मज़बूत न किया गया हो।सही तरीके से लागू करने पर (और बिज़नेस पासवर्ड मैनेजर के साथ मिलाकर), एक मज़बूत पासवर्ड नीति इनफॉर्मल आदतों की जगह लगातार कंट्रोल्स ले आती है, प्रमाण से जुड़े जोखिम को कम करती है और सिक्योर एक्सेस मैनेजमेंट को रोज़ के संचालन का हिस्सा बनाती है, सिर्फ बाद में सोची गई चीज़ नहीं।