Securitatea cibernetică a unei organizații nu poate fi fragmentată. În timp ce utilizatorii pot fi tratați diferit, chiar dacă toți ar putea avea nevoie de protecție suplimentară, un program de securitate trebuie să țină cont de fiecare utilizator.
Rezolvarea acestei probleme poate deveni din ce în ce mai complexă pe măsură ce organizațiile se extind, deoarece trebuie să cântărească costurile și comportamentul utilizatorilor chiar și atunci când creează o arhitectură de securitate cibernetică care se extinde la toți utilizatorii.
Pentru multe organizații, dispozitivele mobile tind să fie un compromis pragmatic care echilibrează securitatea, costul și confortul. Dispozitivele mobile sunt omniprezente și ușor de utilizat pentru a îndeplini cerințele de autentificare multifactor (MFA): 73% dintre utilizatori consideră că smartphone-urile au fost cea mai convenabilă metodă de a îndeplini MFA.
Autentificarea bazată pe aplicații mobile nu este pentru toți
Oricât de bună poate fi autentificarea bazată pe aplicații mobile în crearea unui program de securitate pentru o organizație și echilibrarea costurilor, acestea sunt un panaceu care nu funcționează tot timpul. În anumite situații, este posibil ca unii utilizatori să nu poată utiliza dispozitive mobile sau să se bazeze pe conectivitatea mobilă pentru a se autentifica. În alte cazuri, pentru unii s-ar putea să nu fie confortabil să instaleze aplicații impuse de companie pe dispozitivele lor personale pentru a îndeplini cerințele de securitate.
Organizațiile implementează două tipuri de soluții pentru a autentifica acești utilizatori. Primul este autentificatoarele hardware care folosesc coduri de acces unice (OTP). Autentificatoarele hardware precum DS100 sunt standardul în autentificare: ajută organizațiile să nu aibă nevoie de parolă, unificând avantajele criptografice ale protocoalelor FIDO2 și beneficiile de securitate ale OTP.
A doua soluție este MFA tradițională, cum ar fi autentificarea pe bază de SMS (care trimite OTP-uri direct pe dispozitivele personale ale utilizatorilor) și OTP vocal.
Nu lăsa perfectul să fie dușmanul binelui
SMS și OTP vocal au defecte de securitate deja cunoscute: OTP SMS nu este criptat și este vulnerabil la întreruperile rețelei, schimbarea SIM, inginerie socială și atacuri SS7 și „man-in-the-middle”. RSA recomandă organizațiilor să treacă la o autentificare mai puternică.
Cu toate acestea, multe organizații trebuie să sprijine diverse grupuri de utilizatori, să economisească costuri și să ofere o soluție convenabilă care oferă utilizatorilor autentificare cu doi factori (2FA).
Institutul Național de Standarde și Tehnologie din SUA (NIST) a avut aceeași poziție când a spus că agențiile trebuie să echilibreze „aspectele practice ale implementărilor de astăzi cu nevoile viitorului” și că folosirea „SMS către mobil ca al doilea factor astăzi este mai puțin eficientă decât alte abordări, dar mai eficiente decât un singur factor.”
Nu există o modalitate sigură pentru un program de securitate. Dar există cel puțin o cale greșită
Nu există o modalitate de a echilibra nevoia de a răspunde tuturor utilizatorilor, de a îmbunătăți securitatea cibernetică și de a controla costurile. Fiecare organizațiile trebuie să cântărească ea însăși acești factori și să aleagă soluții pe baza profilului de risc, resurselor, utilizatorilor și obiectivelor lor unice.
Deși nu există o cale corectă, există cel puțin o cale greșită: organizațiile nu ar trebui să lase propriile soluții de securitate să fie impuse de furnizori. Echilibrarea acelor factori este deja destul de dificilă atunci când furnizorii impun termene limită sau elimină capabilități care, deși imperfecte, îndeplinesc totuși nevoi importante.
Soluțiile de securitate IT, risc si conformitate RSA, sunt distribuite în România de compania SolvIT Networks, ajutând la reușita celor mai importante organizații din lume prin rezolvarea celor mai complexe și mai sensibile provocări privind securitatea.
