기업용 비밀번호 관리 솔루션 고르는 법

기능 목록이 아니라 위협에서 출발하십시오

기업용 비밀번호 관리 솔루션은 세 가지 구체적인 실패 유형을 고치기 위해 존재합니다. 채팅과 스프레드시트로 공유된 채 한 번도 교체되지 않는 자격 증명, 무엇을 알고 있었는지 아무도 기억하지 못해 퇴사 후에도 접근 권한을 유지하는 사람, 그리고 노트북 한 대가 침해되면서 회사 전체가 공유하던 모든 것이 노출되는 상황입니다. 모든 제품을 이 세 가지에 비추어 판단하면 기능 비교표는 훨씬 짧아집니다.

실제로 중요한 네 가지 성질

1. 클라이언트 측 제로 지식 암호화

공급업체가 보관함을 읽을 수 있다면, 그 공급업체를 침해한 공격자도 읽을 수 있고 그 공급업체에 송달된 법원 명령도 읽을 수 있습니다. 정확한 목록을 요구하십시오. 어떤 필드가 사용자의 기기에서 암호화되고, 어떤 필드가 서버에서 읽히는지 말입니다. 제목과 주소도 포함됩니다. (기초 설명: 제로 지식 암호화의 진짜 의미.)

2. 암호학적으로 이루어지는 퇴사 처리

구성원을 제외하는 일은 권한 비트를 뒤집는 것 이상이어야 합니다. 정직한 방식은 해당 보관함들을 새 키로 다시 암호화하는 것이며, 그러면 퇴사자의 기기가 보유했던 키 재료가 무엇이든 더 이상 의미가 없어집니다. 각 공급업체에 권한 회수 시점에 기술적으로 무슨 일이 일어나는지 물어보십시오. 답변은 브로슈어보다 훨씬 큰 편차를 보입니다.

3. 디렉터리를 따라가는 신원

로그인은 이미 운영 중인 인증 시스템(Microsoft Entra ID, Google Workspace)에 올라타야 합니다. 그래야 입사자는 업무 계정으로 접근 권한을 얻고 퇴사자는 같은 계정으로 그 권한을 잃습니다. 결정적인 후속 질문은 이것입니다. SSO가 암호화 구조를 약화시키는가? 올바른 아키텍처는 둘을 분리해 둡니다. SSO는 당신이 누구인지에 답하고, 복호화 키는 여전히 사용자 기기에 있는 비밀에서만 나옵니다.

4. 문서화된 이탈 권리

체험이 끝나거나 카드가 만료되거나 그냥 떠나기로 했을 때 무슨 일이 일어납니까. 받아들일 만한 답은 안전하다고 할 만큼 충분히 오래 보장되는 읽기 전용 접근과 내보내기이며, 그것도 상담 채팅이 아니라 약관에 적혀 있어야 합니다. 데이터를 인질로 잡을 수 있는 보관함은 자기 역할을 잘못 이해한 것입니다.

계약 전에 확인할 가격 함정

• 등급으로 파는 보안. SSO, 감사 로그, 정책 제어가 최상위 기업 등급에만 있다면, 저렴한 등급은 의도적으로 덜 안전한 것입니다. 보호 수준이 아니라 인원을 세는 방식으로 플랜을 나누는 공급업체를 택하십시오. (Keyvaci의 입장: 모든 플랜에 모든 보안 기능.)
• 좌석 묶음 판매. 실제로 있는 사람만큼, 일수로 계산해 내야 합니다. 빈자리를 미리 묶어 사는 것이 아닙니다.
• 갱신 시점의 가격 절벽. 1년이 지난 뒤 가격이 어떻게 되는지 문서로 확인하십시오.

팀이 실제로 돌려 볼 수 있는 일주일 평가

1. 1일차: 체험으로 조직을 만듭니다. 첫 실제 자격 증명을 저장하고 공유하기까지 걸리는 시간을 재십시오. 비밀이 화면이나 메일에 드러난 모든 단계를 기록하십시오.
2. 2일차: 실제 구성원 세 명을 디렉터리를 통해 온보딩합니다. 디렉터리 계정을 정지하면 보관함 접근 권한이 사라지는지 확인하십시오.
3. 3일차: 퇴사 처리 훈련을 실행합니다. 공유 보관함에서 구성원 한 명의 권한을 회수한 뒤, 암호학적으로 무슨 일이 일어났다고 공급업체가 설명하는지 확인하십시오.
4. 4일차: 비상 상황을 만들어 보십시오. 구성원 한 명이 마스터 비밀번호를 "잊게" 하고 복구 절차를 처음부터 끝까지 돌려 봅니다. 각 단계에서 누가 무엇을 읽을 수 있었습니까.
5. 5일차: 그 일주일 동안 쌓인 자신들의 감사 로그를 읽어 보십시오. "은행 비밀번호를 누가 언제 봤는가"에 고객지원에 묻지 않고 답할 수 있습니까.

그 일주일을 정직하게 버티는 제품이라면 진지한 후보입니다. Keyvaci는 카드 없이 14일 체험으로 정확히 이 훈련을 돌려 볼 수 있도록 만들어졌습니다. 안에서 무엇을 보게 되는지 확인하십시오.

후보군 비교하기

어떤 후보군을 추리든 모든 후보에 같은 일주일 훈련을 돌리고 세 가지를 나란히 비교하십시오. 권한 회수와 복구 시점에 기술적으로 무슨 일이 일어났는지, 각 보안 기능이 어느 가격 등급에 들어 있는지, 그리고 결제를 중단한 뒤의 데이터에 대해 약관이 무엇을 약속하는지입니다. 이 세 가지 답이 어떤 기능 비교표보다 빠르게 제품을 갈라 놓습니다.