Как передавать пароли сотрудникам?

Question

[caesar-neron]

Коллеги, добрый день.
Хотел бы обсудить с Вами способ передачи конфиденциальной информации сотрудникам компании, в первую очередь - паролей от учетных записей.
Описание: у организации распределенная структура, сотни сотрудников работают вне центрального офиса, следовательно передавать им пароли придется удаленно.
Стандартные ситуации:
1) новый сотрудник - его руководитель делает заявку в отдел IT о создании учетной записи, как правило сообщает контактный телефон нового сотрудника.
Какие каналы связи лучше использовать для передачи логина/пароля? (нужно учесть, что доступ в интернет будет не у всех сотрудников)

2) действующий сотрудник - идет обращение в отдел IT формата: "...я Петров И.А., забыл пароль"
Каким образом системный администратор должен идентифицировать человека, который звонит ему и утверждает, что он Петров? Теоретически у системного администратора может быть доступ к персональным данным сотрудников (телефон, паспортные)

Comments

[Ezhyg]

Главное не усложнять пользователям жизнь и работу, вы же, отчасти, для того и работаете. Но при этом нужно исходить и из необходимого "уровня защиты", конечно.

Answer 1

[Saboteur]

1. Передавать всегда следует временный пароль с автоматическим требованием сменить пароль при первом входе.

2. Передавать пароль можно через доверенное лицо.
Это может быть непосредственный руководитель сотрудника, либо отдельно выделенный "security sponsor" - выделить несколько человек, чтобы в каждой локации было 1-2 security sponsor-а, которые могли бы лично встретиться с сотрудником для передачи пароля.

3. Можно технически - регистрировать телефон сотрудника, его внешнюю почту. Но это только для основного пароля (входа в домен/почту). Для повышения безопасности можно поделить пароль на две части, половину слать на почту/телефон, половину через руководителя/HR.

4. Если это пароль от второстепенных систем, то можно отправлять временный пароль на корпоративную почту.

Answer 2

[Рональд Макдональд]

в первую очередь - паролей от учетных записей.

Либо лично, либо через руководителя, а там уже его проблемы.

2) действующий сотрудник - идет обращение в отдел IT формата: "...я Петров И.А., забыл пароль"

Через руками водителя, опять же, он подтверждает заявку.

Да, и забыл уточнить, что пароль временный и меняется при первом входе.

Comments

[caesar-neron]

Сообщать пароль сотрудника, другому сотруднику - не хорошо.

[Рональд Макдональд]

caesar-neron, да, забыл уточнить, что пароль временный и меняется при первом входе.

Answer 3

[ZakkMalin]

По SMS короткую ссылку на страницу ведущую для создания пароля

Comments

[caesar-neron]

Насколько я вижу - все по сути предлагают идентифицировать сотрудников через номер телефона, а дальше вариации.
Думаю это единственный нормальный вариант.

[ZakkMalin]

caesar-neron, да, нормальный вариант, потому что вы знаете телефон пользователя, и он знает уникальную ссылку для создания себе пароля, который ему больше удобный, и вы тем самым идентифицируете его, потому что только у него есть ссылка, заодно он тем самым подтверждает свой номер телефона.

[АртемЪ]

caesar-neron, Не обязательно через номер телефона, но можно и так.

[ZakkMalin]

Sha644,

Одно из худших решений.
На ровне с использованием этого же подхода в wifi сетях.

Причём тут Wi-Fi?

[ZakkMalin]

Sha644, что за бред

Answer 4

[Pavel Shvedov]

Одну часть пароля в смс, вторую часть по email, третью честь на бумажке заказным письмом.

Comments

[Александр]

Четвертую на заборе в md5

[Алексей Ярков]

Пятую курьером на ишаке, которому под кожу вшит чип с NFC меткой, где записана ссылка, по которой отображается пятая часть пароля.

[Saboteur]

А зря смеетесь.
В крупных корпорациях вполне даже хороший способ - заказным письмом часть пароля, по смс вторую часть.

Answer 5

[sim3x]

1. Видеозвонок.
Руководителя вместе с сотрудником.
Там сотрудник сообщает свой номер телефона и свой емаил на надежном сервисе
Его руководитель подтверждает
Сотруднику создают акк с его емаилом и телефоном
Сотрудник вводит емаил в ваш сервис авторизации получает смс с кодом входит в вашу систему и создает пароль

2. Нет, сотрудник обращается с таким только тогда, когда его телефон или почта сменилась
Опять же с участием его начальника
Все как в п1

В случае я забыл пароль - сотрудник идет в ваш сервис авторизации и получает на свою почту линк с формой восстановления пароля, в которой ему также требуется ввести код из смс

Теоретически у системного администратора может быть доступ к персональным данным сотрудников (телефон, паспортные)

нет

Comments

[АртемЪ]

Ну смотря какая компания.
В крупных компаниях у системного администратора нет доступа к персональным данным, в мелких - есть.

Answer 6

[Stalker_RED]

Пользователю дают сылку, он по ней регистрируется.
Вводит свои контакты, публичный ключ, и т.п.
Зачем руководитель (админ, безопасник) проверяет профиль и выдает ему права, назначает роли, вот это всё.
После получения нужных ролей юзер видит у себя в личном кабинете адреса сервисов, шар, серверов, баз данных, и всего такого, к чему у него есть доступ.

_{Никогда такого не видел на практике, но прикольно же?}

Comments

[caesar-neron]

Никогда такого не видел на практике, но прикольно же? - ДА

Answer 7

[АртемЪ]

Как правило пароль должен знать только сотрудник, и никто более.
Поэтому нужно обеспечивать возможность пользователю самому создавать себе пароли.
И ничего передавать не надо.
Если и передается, то только временный пароль, для первого входа в систему, да и то не обязательно.

Comments

[caesar-neron]

В данном случае без разницы, временный это пароль или нет.
Вот звонит у тебя телефон: "Здравствуйте, я Вася из Варкуты, сделайте мне пожалуйста учетную запись/сбросьте пароль от учетной записи", каким образом системный администратор должен понять, что это именно Вася?

[АртемЪ]

caesar-neron, Ну вопрос задан именно о передаче паролей, на него и дан ответ.

каким образом системный администратор должен понять, что это именно Вася?

Это уже вопрос идентификации пользователя.
И тут все зависит от организации и ситуации.
Во многих организациях Вася не из Воркуты звонит, а является лично, с паспортом, анкетой, и справкой о благонадежности из отдела безопасности.
В других достаточно телефона, или электронной почты.
Кадровик сказал оформить Васю Пупкина из Воркуты, имеющего почту [e-mail] - вы отправляете временный пароль, или ссылку на кабинет регистрации по указанному почтовому адресу.
То же самое с телефонами, вайберами, и прочими фейсбуками.
В любом случае у администратора не стоит задачи идентификации пользователя - это работа других.

Answer 8

[Максим Корнеев]

всем новым создавать некий стандартный пароль, который известен всем и может выдаваться сразу при приеме на работу. при первом входе менять его. как вариант "стандартный" пароль делается только на учетную запись и почту с требованием сменить при первом входе, далее пароли высылаются на почту.

Answer 9

[Karpion]

Можно рассмотреть вариант - пароль выдаётся/меняется руководителем отдела.