ธุรกิจส่วนใหญ่ไม่ตระหนักว่ามีปัญหาเกี่ยวกับรหัสผ่าน จนกระทั่งปัญหาบังคับให้ต้องยอมรับ เช่น รหัสผ่านผู้ดูแลระบบที่เก็บไว้ในตารางคำนวณ หรือข้อมูลยืนยันตัวตนการเข้าสู่ระบบที่ยังคงใช้งานได้สำหรับสมาชิกในทีมที่ออกจากบริษัทไปหลายปีแล้ว

นี่คือเหตุการณ์ที่พบได้บ่อย ในสหราชอาณาจักร การสำรวจการละเมิดข้อมูลความปลอดภัยทางไซเบอร์ประจำปี 2024(หน้าต่างใหม่) ของรัฐบาลพบว่า 50% ของธุรกิจ ตรวจพบการละเมิดข้อมูลหรือการโจมตีความปลอดภัยทางไซเบอร์ในรอบ 12 เดือนที่ผ่านมา ซึ่งเพิ่มขึ้นเป็น 70% ของธุรกิจขนาดกลาง และ 74% ของธุรกิจขนาดใหญ่

In this situation, การตรวจสอบรหัสผ่านเป็นหนึ่งในการดำเนินการที่มีค่าที่สุดที่ธุรกิจสามารถทำได้เพื่อรักษาความปลอดภัย นี่เป็นวิธีปฏิบัติจริงในการเปิดเผยความเสี่ยงของข้อมูลยืนยันตัวตนที่มักก่อตัวขึ้นอย่างเงียบๆ ในเบื้องหลังผ่านรหัสผ่านที่อ่อนแอ, การเข้าถึงโดยไม่ได้รับอนุญาต, บัญชีที่ไม่มีการใช้งาน และการเข้าสู่ระบบที่จัดเก็บไว้นอกระบบที่ได้รับการอนุมัติ

โดยเฉพาะอย่างยิ่งสำหรับองค์กรขนาดเล็กและขนาดกลาง การทบทวนประเภทนี้สามารถช่วยปรับปรุงความปลอดภัยได้อย่างมีนัยสำคัญโดยไม่ต้องเสียค่าใช้จ่ายหรือดำเนินโครงการปรับเปลี่ยนที่ซับซ้อน

บทความนี้จะอธิบายถึงวิธีตรวจสอบรหัสผ่านสำหรับธุรกิจ สิ่งที่ควรมองหา และวิธีเปลี่ยนกระบวนการจากการทำความสะอาดเพียงครั้งเดียวให้กลายเป็นการปฏิบัติเพื่อความปลอดภัยที่สม่ำเสมอยิ่งขึ้น

การตรวจสอบรหัสผ่านคืออะไร?

การตรวจสอบรหัสผ่านคือการตรวจสอบอย่างเป็นระบบเกี่ยวกับรหัสผ่าน บัญชี และสิทธิ์การเข้าถึงที่ใช้ในธุรกิจ โดยมีวัตถุประสงค์เพื่อระบุความเสี่ยงที่เกี่ยวข้องกับข้อมูลยืนยันตัวตน เช่น รหัสผ่านที่อ่อนแอ รหัสผ่านที่ใช้ซ้ำ การเข้าสู่ระบบที่ล้าสมัย บัญชีที่ไม่มีการใช้งาน การเข้าถึงที่มากเกินไป และข้อมูลยืนยันตัวตนที่จัดเก็บไว้นอกระบบที่ได้รับการอนุมัติ

ในทางปฏิบัติ การตรวจสอบรหัสผ่านเป็นมากกว่าการตรวจสอบว่ารหัสผ่านมีความแข็งแกร่งเพียงพอหรือไม่ แต่ยังพิจารณาถึง:

  • วิธีการจัดการรหัสผ่านในองค์กร
  • ใครสามารถเข้าถึงอะไรได้บ้าง และการเข้าถึงนั้นยังจำเป็นอยู่หรือไม่
  • วิธีการจัดเก็บและแชร์รหัสผ่าน
  • ธุรกิจมีความสามารถในการมองเห็นเพียงพอที่จะตรวจพบความเสี่ยงก่อนที่จะกลายเป็นปัญหาด้านความปลอดภัยหรือไม่

ขอบเขตที่กว้างขวางนี้คือสิ่งที่ทำให้การตรวจสอบรหัสผ่านมีประโยชน์ ในองค์กรส่วนใหญ่ ความเสี่ยงของข้อมูลยืนยันตัวตนไม่ได้เกิดจากรหัสผ่านที่ไม่ดีเพียงรหัสเดียว แต่จะค่อยๆ ก่อตัวขึ้นจากความล้มเหลวเล็กๆ น้อยๆ ในการกำกับดูแล การควบคุมการเข้าถึงที่ไม่สอดคล้องกัน พฤติกรรมการจัดเก็บข้อมูลที่ไม่ดี และบัญชีที่ยังคงใช้งานได้หลังจากที่ควรได้รับการตรวจสอบหรือลบออกไปนานแล้ว

การตรวจสอบรหัสผ่านที่มีประสิทธิภาพจะช่วยให้เห็นปัญหาเหล่านั้นได้ชัดเจนขึ้น ช่วยให้ธุรกิจมีความเข้าใจที่ชัดเจนยิ่งขึ้นเกี่ยวกับสุขอนามัยของรหัสผ่านในปัจจุบัน และสร้างรากฐานที่นำไปใช้ได้จริงสำหรับการปรับปรุงการควบคุมการเข้าถึง การจัดการข้อมูลยืนยันตัวตนที่เข้มงวดขึ้น และการลดการเปิดรับความเสี่ยงที่หลีกเลี่ยงได้เมื่อเวลาผ่านไป การตรวจสอบประเภทนี้จะทำได้ง่ายขึ้นมากเมื่อใช้โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจที่มีเครื่องมือผู้ดูแลระบบที่สนับสนุนการมองเห็น การตรวจสอบการเข้าถึง และการบังคับใช้นโยบาย

วิธีดำเนินการตรวจสอบความปลอดภัยของรหัสผ่าน: กรอบการทำงานห้าขั้นตอนที่นำไปใช้ได้จริง

การตรวจสอบรหัสผ่านที่มีประโยชน์ไม่จำเป็นต้องเริ่มต้นด้วยการระบุทุกบัญชี เครื่องมือ และเส้นทางการเข้าถึงในธุรกิจอย่างสมบูรณ์แบบ เพียงต้องการโครงสร้างที่ชัดเจนและระบบที่ได้รับการควบคุมสำหรับการจัดการข้อมูลยืนยันตัวตน หากไม่มีสองสิ่งนี้ กระบวนการอาจกว้างเกินไปและเลื่อนออกไปได้ง่ายอย่างรวดเร็ว

วิธีทำลายวงจรของการหลีกเลี่ยงการตรวจสอบรหัสผ่านคือการรวมการจัดการรหัสผ่านไว้ที่ศูนย์กลาง กำหนดสิทธิ์ความเป็นเจ้าของ และตรวจสอบการเข้าถึงผ่านเวิร์กโฟลว์เดียวที่ได้รับการอนุมัติ

นี่คือคำแนะนำโดยละเอียดสำหรับการดำเนินการตรวจสอบรหัสผ่าน:

ขั้นตอนที่ 1: สร้างรายการข้อมูลยืนยันตัวตนทั้งหมด

เริ่มต้นด้วยการสร้างรายการระบบที่ธุรกิจต้องพึ่งพา ซึ่งรวมถึงแพลตฟอร์มหลักที่เห็นได้ชัด เช่น:

นอกจากนี้ ควรมีเครื่องมือและบริการที่เห็นได้ไม่ชัดเจนนักซึ่งทำงานในเครือข่ายด้วย:

  • บัญชีโซเชียลที่แชร์ร่วมกัน
  • การสมัครสมาชิก SaaS ที่ไม่มีการใช้งาน
  • เครื่องมือของผู้รับเหมา
  • สภาพแวดล้อมสำหรับการทดสอบ
  • บริการที่แต่ละทีมนำมาใช้โดยไม่มีการควบคุมดูแลจากส่วนกลาง

การจัดทำรายการเครื่องมือทุกชนิดเป็นสิ่งสำคัญ เนื่องจากความเสี่ยง of ข้อมูลยืนยันตัวตนส่วนใหญ่เริ่มต้นจากการมองเห็นที่ไม่ครบถ้วน หากไม่ทราบว่ามีการใช้เครื่องมือใดบ้าง ก็จะไม่สามารถตรวจสอบวิธีการจัดการการเข้าถึงในเครื่องมือเหล่านั้นได้

ธุรกิจที่ใช้โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ เช่น Proton Pass for Business อยู่แล้ว จะเริ่มต้นการตรวจสอบรหัสผ่านด้วยความได้เปรียบในทางปฏิบัติ เนื่องจากข้อมูลยืนยันตัวตนจะอยู่ในห้องนิรภัยที่เข้ารหัส

ขั้นตอนที่ 2: จับคู่การเข้าถึงกับความต้องการทางธุรกิจ

เมื่อมีมุมมองที่ชัดเจนขึ้นเกี่ยวกับระบบแล้ว ขั้นตอนต่อไปคือการตรวจสอบการเข้าถึง จำเป็นต้องตรวจสอบว่าบุคคลที่เหมาะสมยังคงมีระดับการเข้าถึงเครื่องมือที่เหมาะสมในระดับที่ถูกต้องหรือไม่

เริ่มต้นด้วยการพิจารณาแต่ละระบบหลักและถามว่าใครเข้าถึงได้บ้างในปัจจุบัน การเข้าถึงนั้นสะท้อนถึงความรับผิดชอบในปัจจุบันหรือไม่ และบัญชีใดมีสิทธิ์กว้างขวางเกินความจำเป็นหรือไม่

ในหลายๆ ธุรกิจ การเข้าถึงจะค่อยๆ ขยายตัวเมื่อเวลาผ่านไป ตัวอย่างเช่น อาจมีการมอบสิทธิ์ผู้ดูแลระบบในขอบเขตที่กว้างขวางเพื่อความสะดวกและไม่มีการลบออก ผู้รับเหมาอาจยังคงเข้าถึงได้หลังจากโครงการสิ้นสุดลง หรือสมาชิกในทีมอาจเปลี่ยนบทบาทและยังคงเก็บสิทธิ์จากบทบาทก่อนหน้าไว้

แนวโน้มดังกล่าวจะเพิ่มความเสี่ยงแม้ว่ารหัสผ่านจะแข็งแกร่งก็ตาม คำแนะนำของ NCSC(หน้าต่างใหม่) เกี่ยวกับการควบคุมการเข้าถึงแนะนำให้กำหนดบัญชีให้กับบุคคลที่ได้รับอนุญาตเท่านั้น และให้สิทธิ์การเข้าถึงและอนุญาตขั้นต่ำแก่ผู้ใช้เท่าที่จำเป็น เนื่องจากใครก็สามารถกลายเป็นภาระความรับผิดชอบได้ ดังนั้น การตรวจสอบรหัสผ่านจึงควรตรวจสอบเหตุผลเบื้องหลังของแต่ละระดับการเข้าถึง

ขั้นตอนที่ 3: ตรวจสอบความปลอดภัยของรหัสผ่าน

ขั้นตอนของการตรวจสอบรหัสผ่านนี้มีไว้เพื่อระบุรหัสผ่านที่ใช้ซ้ำหรืออ่อนแอ, การยืนยันตัวตนผ่านสองขั้นตอน (2FA) ที่ไม่มีการใช้งาน, การเข้าสู่ระบบที่ล้าสมัย และพฤติกรรมการจัดเก็บข้อมูลที่ไม่ปลอดภัยซึ่งทำให้มีโอกาสถูกโจมตีได้ง่ายขึ้น

ในจุดนี้ การทบทวนควรเน้นไปที่คำถามเชิงปฏิบัติสองสามข้อ:

  • รหัสผ่านไม่ซ้ำกันในแต่ละบัญชีหรือไม่
  • มีรหัสผ่านที่อ่อนแอหรือเดาง่ายหรือไม่
  • ข้อมูลยืนยันตัวตนเก่ายังคงถูกใช้งานและไม่มีการควบคุมดูแลหรือไม่,
  • พนักงานจดรหัสผ่านไว้ในพื้นที่จัดเก็บของเบราว์เซอร์หรือแอปจดบันทึกแทนระบบที่ธุรกิจอนุมัติหรือไม่
  • มีการเปิดใช้งาน 2FA ในทุกที่ที่สามารถทำได้หรือไม่

Proton Pass for Business ช่วยได้ด้วย Pass Monitor ซึ่งรวมถึง:

  • เครื่องมือตรวจสอบความปลอดภัยของรหัสผ่านเพื่อตรวจหาการใช้รหัสผ่านซ้ำหรือรหัสผ่านที่อ่อนแอ และ 2FA ที่ไม่มีการใช้งานโดยอัตโนมัติ
  • การตรวจสอบดาร์กเว็บ สำหรับการแจ้งเตือนหากข้อมูลยืนยันตัวตนมีส่วนเกี่ยวข้องกับการละเมิดข้อมูล
  • Proton Sentinel สำหรับตรวจจับและบล็อกกิจกรรมการเข้าสู่ระบบที่น่าสงสัยซึ่งอาจนำไปสู่การยึดครองบัญชี

ขั้นตอนที่ 4: ตรวจสอบบัญชีที่ไม่มีการใช้งาน

หนึ่งในวิธีที่เร็วที่สุดในการลดความเสี่ยงของข้อมูลยืนยันตัวตนคือการลบสิ่งที่ไม่มีความจำเป็นต้องมีอยู่อีกต่อไป ธุรกิจส่วนใหญ่มักมีบัญชีที่ไม่มีการใช้งานสะสมเมื่อเวลาผ่านไป ตัวอย่างเช่น:

  • อดีตพนักงานที่ยังคงสามารถเข้าถึงเครื่องมือของบริษัทได้
  • แพลตฟอร์ม SaaS เก่าที่ยังคงผูกกับข้อมูลยืนยันตัวตนของบริษัทที่ใช้งานได้ แม้ว่าจะเลิกใช้งานไปนานแล้วก็ตาม
  • บัญชีที่แชร์ร่วมกันซึ่งออกแบบมาเพื่อการใช้งานระยะสั้น แต่สุดท้ายกลับยังคงใช้งานได้เป็นเวลาหลายเดือนหรือหลายปี เนื่องจากไม่มีใครรู้ว่าใครเป็นเจ้าของ

บัญชีเหล่านี้ได้รับความสนใจน้อยกว่าบัญชีที่มีการใช้งานอยู่ ซึ่งทำให้มองข้ามได้ง่ายเป็นพิเศษ การตรวจสอบนี้ยังสอดคล้องกับระเบียบวินัยการปฏิบัติตามข้อกำหนดที่กว้างขึ้นอีกด้วย

การตรวจสอบรหัสผ่านสำหรับธุรกิจที่เข้มแข็งจำเป็นต้องรวมถึงความพยายามอย่างตั้งใจในการ:

  • ลบการเข้าถึงที่ไม่มีการใช้งานออก
  • ปิดบัญชีที่ล้าสมัย
  • ยืนยันความเป็นเจ้าของที่ชัดเจนสำหรับระบบที่เหลืออยู่

Proton Pass for Business ช่วยลดความยุ่งยากที่มักทำให้บัญชีเหล่านี้ยังคงอยู่ โดยทำให้สิทธิ์ความเป็นเจ้าของชัดเจนยิ่งขึ้น การเข้าถึงตรวจสอบได้ง่ายขึ้น และการเปลี่ยนข้อมูลยืนยันตัวตนจัดการได้ง่ายขึ้นเมื่อพนักงานลาออกหรือบทบาทเปลี่ยนไป

ขั้นตอนที่ 5: ปรับปรุงแก้ไขและทำให้เป็นมาตรฐาน

ขั้นตอนสุดท้ายคือการนำสิ่งที่พบไปปฏิบัติจริง การตรวจสอบรหัสผ่านจะช่วยปรับปรุงความปลอดภัยขององค์กรได้ก็ต่อเมื่อปัญหาที่ตรวจพบได้รับการแก้ไขอย่างเป็นระบบ

เมื่อระบุช่องว่างได้แล้ว ก็สามารถสร้างแผนงานที่เป็นระบบแทนที่จะเป็นการตอบสนองตามสถานการณ์ นี่คือรายการตรวจสอบการตรวจสอบรหัสผ่านอย่างง่าย:

  • เปลี่ยนข้อมูลยืนยันตัวตนที่อ่อนแอหรือหลุดรั่วทันที
  • เปลี่ยนรหัสผ่านที่ใช้ซ้ำด้วยรหัสผ่านที่ไม่ซ้ำกัน
  • เปิดใช้งาน 2FA ในทุกที่ โดยเริ่มต้นจากบัญชีที่สำคัญ
  • ลบบัญชีที่ไม่มีการใช้งานหรือไม่จำเป็นออก
  • ยกเลิกสิทธิ์ส่วนเกิน
  • ย้ายข้อมูลยืนยันตัวตนออกจากตารางคำนวณ เอกสาร หรือพื้นที่จัดเก็บของเบราว์เซอร์
  • รวมพื้นที่จัดเก็บรหัสผ่านไว้ในระบบธุรกิจที่ได้รับการอนุมัติ
  • อัปเดตนโยบายการเข้าถึงและรหัสผ่าน

นี่เป็นช่วงเวลาที่เหมาะสมเช่นกันในการกำหนดให้การดำเนินการทางเทคนิคสอดคล้องกับนโยบาย หากนโยบายรหัสผ่านในปัจจุบันไม่ชัดเจน ไม่มีการบังคับใช้ หรือไม่สอดคล้องกับความเป็นจริง การตรวจสอบก็จะเผยให้เห็นปัญหาเดิมๆ อีกครั้งในอีกหกเดือนข้างหน้า

การตรวจสอบรหัสผ่านและนโยบายรหัสผ่านทำงานร่วมกันได้เป็นอย่างดี คู่มือของ Proton ในการสร้างนโยบายรหัสผ่าน เป็นแหล่งข้อมูลเสริมที่มีประสิทธิภาพ และสามารถเริ่มต้นได้อย่างง่ายดายด้วย เทมเพลตนโยบายรหัสผ่าน

การปรับปรุงแก้ไขจำเป็นต้องจัดลำดับความสำคัญตามความเสี่ยง ไม่ใช่ตามความเป็นระเบียบเรียบร้อย เริ่มต้นด้วยบัญชีผู้ดูแลระบบ ระบบที่ประกอบด้วยข้อมูลที่ละเอียดอ่อน บริการที่เผยแพร่สู่ภายนอก และข้อมูลยืนยันตัวตนที่ใช้ร่วมกันซึ่งขาดความเป็นเจ้าของที่ชัดเจน จากนั้นค่อยดำเนินการกับส่วนอื่นๆ

ทำไมธุรกิจจึงข้ามการตรวจสอบรหัสผ่าน?

หากการตรวจสอบรหัสผ่านมีประโยชน์มากขนาดนั้น ทำไมธุรกิจจำนวนมากถึงไม่สนใจที่จะดำเนินการ? กระบวนการนี้อาจรู้สึกว่าเริ่มต้นยากกว่าที่เป็นจริง

ในองค์กรหลายแห่ง ข้อมูลยืนยันตัวตนจะถูกจัดเก็บไว้ในหลายตำแหน่งเกินกว่าจะตรวจสอบได้ง่าย พนักงานบางคนบันทึกรหัสผ่านไว้ในเบราว์เซอร์ คนอื่นๆ เก็บไว้ในตารางคำนวณ เอกสารที่แชร์ แอปจดบันทึก หรือข้อความภายใน

ทีมต่างๆ อาจใช้เครื่องมือของตนเอง ซื้อซอฟต์แวร์โดยอิสระ หรือจัดการการเข้าถึงอย่างไม่เป็นทางการ ส่งผลให้ธุรกิจอาจไม่สามารถติดตามได้ว่ามีการใช้งานระบบใดบ้างและใครสามารถเข้าถึงระบบเหล่านั้นได้บ้าง ทำให้ยากต่อการระบุและแก้ไขความเสี่ยงด้านความปลอดภัย

การไม่มีระบบแบบรวมศูนย์ยิ่งทำให้เรื่องนี้ยากขึ้นไปอีก หากไม่มีตำแหน่งเดียวในการจัดการข้อมูลยืนยันตัวตนของธุรกิจ แม้แต่การตรวจสอบความปลอดภัยของรหัสผ่านขั้นพื้นฐานก็อาจกลายเป็นการดำเนินการด้วยตนเองที่อาศัยการเดา ภาพหน้าจอ และความจำของแต่ละคน SMB หลายแห่งเลื่อนการทบทวนวิธีปฏิบัติเกี่ยวกับรหัสผ่านออกไป เนื่องจากสมมติว่าต้องใช้โครงการความปลอดภัยเต็มรูปแบบ ในความเป็นจริง ขั้นตอนแรกเป็นเพียงการสร้างโครงสร้างรอบๆ สิ่งที่มีอยู่แล้ว

การตรวจสอบรหัสผ่านมักถูกมองข้ามเช่นกัน เนื่องจากความเสี่ยงของข้อมูลยืนยันตัวตนมักก่อตัวขึ้นอย่างเงียบๆ สุขอนามัยของรหัสผ่านที่ไม่ดีไม่เหมือนกับการหยุดทำงานของซอฟต์แวร์หรือเหตุการณ์ฟิชชิ่ง เนื่องจากมักไม่แสดงให้เห็นอย่างชัดเจน รหัสผ่านที่อ่อนแอ การเข้าถึงที่ไม่จำเป็น บัญชีที่ไม่มีการใช้งาน และแนวทางการแชร์อย่างไม่เป็นทางการสามารถคงอยู่ได้นานหลายเดือนโดยไม่ได้รับความสนใจ กว่าจะสังเกตเห็น สิ่งเหล่านี้มักจะฝังลึกอยู่ในการดำเนินงานประจำวันไปแล้ว

การตรวจสอบรหัสผ่านจะช่วยนำความเสี่ยงที่ซ่อนอยู่เหล่านี้ขึ้นมาให้เห็น ช่วยรวบรวมหลักฐานและช่วยให้องค์กรมีทัศนวิสัยและการเป็นเจ้าของที่จำเป็นในการกระชับการควบคุมการเข้าถึง ปรับปรุงแนวทางการจัดเก็บข้อมูล และทำการตัดสินใจด้านความปลอดภัยที่สม่ำเสมอยิ่งขึ้น

เปลี่ยนการตรวจสอบรหัสผ่านให้เป็นการควบคุมอย่างต่อเนื่อง

การตรวจสอบรหัสผ่านจะมีคุณค่ามากขึ้นเมื่อเป็นส่วนหนึ่งของการปฏิบัติอย่างต่อเนื่อง แทนที่จะเป็นการทบทวนเพียงครั้งเดียว ความเสี่ยงของข้อมูลยืนยันตัวตนจะเพิ่มขึ้นเรื่อยๆ หากไม่ได้รับการแก้ไข การเข้าถึงจะเปลี่ยนไปเมื่อมีพนักงานใหม่ ลาออก เปลี่ยนบทบาท นำเครื่องมือใหม่มาใช้ หรือทำงานร่วมกับพาร์ทเนอร์ภายนอกในระยะเวลาจำกัด หากการทบทวนเกิดขึ้นเพียงครั้งเดียว สิ่งที่ค้นพบก็จะเริ่มล้าสมัยเกือบจะทันที

การจัดการรหัสผ่านแบบรวมศูนย์คือการลงทุนที่ดีที่สุด ช่วยให้ทีมไอทีมีมากกว่าพื้นที่ที่ปลอดภัยในการจัดเก็บข้อมูลยืนยันตัวตน แต่ยังช่วยสร้างทัศนวิสัยและการควบคุมที่จำเป็นในการตรวจสอบการเข้าถึงได้อย่างสม่ำเสมอยิ่งขึ้น บังคับใช้มาตรฐานที่เข้มงวดยิ่งขึ้น และตอบสนองได้เร็วขึ้นเมื่อมีสิ่งใดที่ต้องได้รับการดูแล

การเลือกโปรแกรมจัดการรหัสผ่านสำหรับทีมไอที จะช่วยสนับสนุนโมเดลการทำงานนี้ผ่านหน้าหลักของระบบสำหรับผู้ดูแลระบบที่มีประสิทธิภาพ การดูแลระบบแบบรวมศูนย์ นโยบายทีม การเข้าถึงตามบทบาท การจัดเตรียม SCIM, SSO และบันทึกการตรวจสอบ ซึ่งช่วยเปลี่ยนการจัดการรหัสผ่านให้เป็นการควบคุมการดำเนินงานและการปฏิบัติตามข้อกำหนดที่เข้มแข็งยิ่งขึ้น