Cách chọn trình quản lý mật khẩu doanh nghiệp

Bắt đầu từ mối đe dọa, không phải từ danh sách tính năng

Trình quản lý mật khẩu doanh nghiệp tồn tại để sửa ba kiểu hỏng hóc rất cụ thể: thông tin đăng nhập được chuyền qua chat và bảng tính rồi chẳng bao giờ được đổi; người nghỉ việc vẫn còn quyền truy cập vì không ai nhớ họ từng biết những gì; và một chiếc laptop bị chiếm quyền làm lộ toàn bộ những gì cả công ty dùng chung. Hãy chấm mọi sản phẩm theo đúng ba điều đó, và các bảng so sánh tính năng sẽ ngắn đi rất nhiều.

Bốn thuộc tính thực sự quan trọng

1. Mã hóa phía trình duyệt, theo mô hình zero-knowledge

Nếu nhà cung cấp đọc được kho của bạn thì kẻ tấn công xâm nhập nhà cung cấp cũng đọc được, và một lệnh của tòa tống đạt cho nhà cung cấp cũng đọc được. Hãy yêu cầu danh mục chính xác: trường nào được mã hóa ngay trên máy bạn, trường nào máy chủ đọc được. Tiêu đề và URL cũng tính. (Bài nền: zero-knowledge thực sự nghĩa là gì.)

2. Cho nghỉ việc phải thu hồi ở tầng mật mã

Gỡ một thành viên phải làm được nhiều hơn là lật một bit phân quyền. Cơ chế trung thực là mã hóa lại các kho liên quan bằng khóa mới, để mọi vật liệu khóa mà thiết bị của người ra đi từng giữ trở nên vô nghĩa. Hãy hỏi từng nhà cung cấp rằng về mặt kỹ thuật thì điều gì xảy ra khi thu hồi quyền; câu trả lời khác nhau nhiều hơn brochure của họ.

3. Danh tính bám theo hệ thống tài khoản của bạn

Việc đăng nhập nên đi theo hệ thống danh tính bạn đang vận hành (Microsoft Entra ID, Google Workspace), để người mới nhận việc có quyền truy cập bằng tài khoản công ty và người nghỉ việc mất quyền cũng bằng chính tài khoản đó. Câu hỏi then chốt tiếp theo: SSO có làm yếu đi phần mã hóa không? Kiến trúc đúng sẽ giữ hai thứ tách bạch; SSO trả lời bạn là ai, còn khóa giải mã thì vẫn chỉ đến từ một bí mật nằm trên máy bạn.

4. Quyền rời đi được ghi thành văn bản

Chuyện gì xảy ra khi bản dùng thử hết hạn, thẻ hết hiệu lực, hoặc đơn giản là bạn muốn rời đi? Câu trả lời chấp nhận được là quyền chỉ đọc và quyền xuất dữ liệu, kéo dài đủ lâu để bạn an toàn, và nằm trong điều khoản hợp đồng chứ không phải trong một cuộc chat với bộ phận hỗ trợ. Một kho mật khẩu có thể giữ dữ liệu của bạn làm con tin là một kho đã hiểu sai nhiệm vụ của nó.

Những bẫy giá cần kiểm tra trước khi ký

• Bảo mật bán theo hạng gói. Nếu SSO, nhật ký hay các cơ chế kiểm soát chính sách chỉ có ở gói enterprise, thì các gói rẻ hơn đang kém an toàn một cách có chủ đích. Hãy ưu tiên nhà cung cấp mà các gói khác nhau ở con số, không khác nhau ở mức độ bảo vệ. (Quan điểm của Keyvaci: mọi tính năng bảo mật đều có trong mọi gói.)
• Mua chỗ theo lô. Bạn nên trả tiền cho số người thực sự có, tính theo tỷ lệ thời gian, chứ không phải mua trước từng lô ghế trống.
• Cú sốc giá khi gia hạn. Hãy kiểm tra bằng văn bản xem giá sẽ thành bao nhiêu sau năm đầu tiên.

Một bài đánh giá một tuần mà đội bạn chạy được thật

1. Ngày 1: Tạo tổ chức bằng bản dùng thử. Bấm giờ xem mất bao lâu để lưu và chia sẻ được thông tin đăng nhập thật đầu tiên. Ghi lại mọi bước mà một bí mật hiện lên màn hình hoặc lọt vào email.
2. Ngày 2: Cho ba thành viên thật nhận việc qua hệ thống tài khoản của bạn. Kiểm chứng rằng một tài khoản công ty bị đình chỉ sẽ mất quyền truy cập kho.
3. Ngày 3: Diễn tập cho nghỉ việc: thu hồi quyền của một thành viên khỏi một kho dùng chung, rồi xác nhận nhà cung cấp nói rằng về mặt mật mã điều gì đã xảy ra.
4. Ngày 4: Tình huống khẩn: để một thành viên "quên" mật khẩu chính và chạy trọn quy trình khôi phục từ đầu đến cuối. Ở mỗi bước, ai đọc được cái gì?
5. Ngày 5: Đọc nhật ký của chính tuần vừa rồi. Bạn có tự trả lời được câu "ai đã xem mật khẩu ngân hàng và xem lúc nào?" mà không cần hỏi bộ phận hỗ trợ không?

Sản phẩm nào sống sót qua tuần đó một cách trung thực đều là ứng viên nghiêm túc. Keyvaci được xây dựng để chịu đúng bài diễn tập này, trong bản dùng thử 14 ngày, không cần thẻ: bên trong có những gì.

So sánh danh sách rút gọn của bạn

Dù danh sách rút gọn của bạn gồm những ai, hãy chạy cùng một bài diễn tập một tuần đó trên mọi ứng viên và đặt cạnh nhau ba thứ: về mặt kỹ thuật điều gì đã xảy ra khi thu hồi quyền và khi khôi phục, mỗi năng lực bảo mật nằm ở hạng gói nào, và điều khoản hứa gì về dữ liệu của bạn sau khi bạn ngừng trả tiền. Ba câu trả lời đó phân loại sản phẩm nhanh hơn bất kỳ bảng so sánh tính năng nào.