Đừng gửi mật khẩu qua chat nữa

Một mật khẩu dán vào chat thực sự tốn những gì

• Nó tìm kiếm được, mãi mãi. Chính sách lưu trữ của chat nghĩa là mật khẩu đó nằm trong một chỉ mục mà bất kỳ ai có quyền vào workspace, kể cả người mới vào sau này và các tích hợp, đều truy vấn được nhiều năm sau. Thử tìm chữ "password" trong chính workspace của bạn xem. Chuẩn bị tinh thần trước.
• Nó sống sót qua mọi lần chia tay. Người nghỉ việc giữ lại mọi thứ họ từng lướt qua. Không ai liệt kê nổi đó là những gì, khiến việc cho nghỉ việc đúng nghĩa trở nên bất khả thi.
• Nó thừa hưởng mọi rủi ro của chat. Một phiên chat bị lừa đảo, một con bot được cấp quyền quá rộng, một lần xuất dữ liệu của quản trị viên workspace, thế là mật khẩu ra ngoài. Các nền tảng chat là công cụ cộng tác tuyệt vời và chưa bao giờ được thiết kế để làm nơi cất bí mật; dùng chúng như vậy nghĩa là bạn âm thầm buộc bảo mật thông tin đăng nhập của mình vào các bản tin rò rỉ của họ.
• Nó mục đi mà không ai thấy. Cái nào là mật khẩu hiện hành? Cái dán hồi tháng Ba hay cái dán hôm thứ Ba? Không ai biết, nên không ai đổi.

Cuộc di chuyển trong một buổi chiều

1. Giờ 1: gom hai mươi cái quan trọng nhất. Đừng nhắm tới sự đầy đủ. Hãy liệt kê hai mươi thông tin đăng nhập mà nếu lộ ra sẽ đau nhất: ngân hàng, nhà đăng ký tên miền, gốc cloud, hệ thống trả lương, các dịch vụ SaaS dùng chung mà cả nhà đều xài. Tạo kho theo bán kính thiệt hại, ví dụ "Tài chính", "Hạ tầng", "SaaS dùng chung".
2. Giờ 2: chuyển vào và phân quyền. Đặt từng thông tin đăng nhập vào kho của nó cùng một người chủ đứng tên, cấp cho từng nhóm đúng vai trò tối thiểu họ cần, và để thành viên đăng nhập bằng chính danh tính công ty họ đang có; với Entra ID SSO thì chẳng có gì mới phải nhớ.
3. Giờ 3: đổi những gì chat đã nhìn thấy. Mọi mật khẩu từng xuất hiện trong chat đều coi như đã cháy; cứ giả định vậy. Hãy đổi hai mươi cái đó ngay khi chuyển chúng vào, để kho mật khẩu khởi đầu sạch sẽ và những tin nhắn cũ trở thành chuyện vặt vô hại.
4. Giờ 4: biến chat thành nơi chỉ đường, không phải nơi cất giữ. Quy ước của nhóm kể từ hôm nay: tin nhắn chat dẫn link tới mục trong kho, không bao giờ chứa bí mật. Hãy ghim quy tắc đó; nó tự thực thi ngay khi vào kho nhanh hơn lướt lại lịch sử, và mỗi lần hiện một thông tin đăng nhập giờ để lại một sự kiện trong nhật ký thay vì một kết quả tìm kiếm.

Đo xem nó có hiệu quả không

Ba phép kiểm tra sau đó một tháng: tìm "password" trong workspace trả về các đường dẫn thay vì bí mật; mỗi thông tin đăng nhập trong nhóm hai mươi cái đều có ngày đổi gần nhất sau ngày di chuyển; và nhật ký, chứ không phải trí nhớ của ai đó, trả lời được ai đã mở thông tin đăng nhập ngân hàng trong tháng này. Cái giá cho tất cả những thứ này là vài đô mỗi tháng; phương án cũ vốn đã đắt hơn thế, chỉ là bạn không nhìn thấy.