En las últimas décadas, hemos aprendido algunas lecciones muy difíciles sobre el reciclaje. Tener todo "desechable" no es bueno para el medio ambiente, tampoco para la economía o la posteridad. Todos debemos aprender cómo reciclar, reutilizar y desechar correctamente los elementos materiales.
La palabra crítica en el párrafo anterior es "materiales". Algunos artículos “no materiales” nunca deberían reciclarse, especialmente cuando se trata de ciberseguridad. Por ejemplo, si uno recicla contraseñas y cuentas, es posible que sea un "reciclador de seguridad" y podría generar riesgos innecesarios y amenazas imprevistas.
Rotación versus reciclaje de contraseñas
Si cree que el término "reciclador de ciberseguridad" es un eslogan fabricado, es parcialmente correcto. No obstante, los elementos no materiales como las contraseñas tienen un costo para reciclar.
Si bien la rotación de contraseña es una práctica recomendada de seguridad de TI para credenciales privilegiadas cuando ejecutada con contraseñas únicas, el reciclaje de contraseñas, o la reutilización de credenciales, introduce un riesgo cuantificable y es un tabú de seguridad.
La elección de contraseñas únicas, nunca utilizadas antes, proporciona una seguridad muy superior, y solo tiene un costo asociado con el tiempo, las herramientas y los procesos para cambiarlos realmente. No hay nada material desechable, incluso si utiliza contraseñas de un solo uso (OTP). Las contraseñas (y las cuentas, para el caso) deben ser únicas cada vez que se cambian.
Entonces, ¿por qué hago de esto el punto focal de un blog? En el ámbito de la tecnología de la información y la ciberseguridad, reciclamos todo el tiempo. Reciclamos hardware, licencias de software, así como elementos que a menudo se pasan por alto, como el almacenamiento de datos y el espacio de disco. Este reciclaje se realiza en nombre de la eficiencia y la rentabilidad. Otros artículos, como acabamos de cubrirlos, nunca deberían reciclarse. Sin embargo, el problema práctico que enfrentan la mayoría de las organizaciones es cómo evitar el reciclaje de contraseñas y cuentas, y mantenerlas únicas cada vez que se cambian.
Eliminar el reciclaje de contraseñas y aplicar las mejores prácticas de seguridad de contraseñas
Aquí es donde entra en juego BeyondTrust Password Safe. La tecnología está diseñada para administrar cuentas y contraseñas y colocar a las cuentas privilegiadas bajo gestión. Esto significa que el nombre, la contraseña y el uso de una cuenta se rigen por una solución automatizada y sumamente escalable, y se pueden registrar / desproteger y documentar para su uso en cada sesión. Además, las contraseñas se pueden rotar automáticamente, de modo que el reciclaje de la contraseña nunca se produce y cada sistema, cuenta y recurso tiene una contraseña única. Esto protege contra ataques de reutilización de contraseñas, impide el movimiento lateral y condensa dramáticamente la superficie de amenaza de su organización.
Finalmente, Password Safe tiene herramientas de administración de sesión para grabar sesiones RDP y SSH de manera interactiva cuando se utilizan estas cuentas. Esta capacidad le permite determinar si la cuenta y las contraseñas se usaron de manera apropiada, lo que proporciona un beneficio medible para cumplir con los estándares de auditoría y cumplimiento.
Los conceptos de reciclaje en el mundo material ayudan a mejorar la sostenibilidad en todo nuestro planeta. El reciclaje de la tecnología de seguridad puede ser rentable siempre y cuando podamos garantizar que las amenazas del uso anterior se mitigan. Sin embargo, la contraseña y el reciclaje de la cuenta nunca deben ocurrir y BeyondTrust puede ayudar a garantizar que no sucumba al lado oscuro de las prácticas de reciclaje de la ciberseguridad.
Obtenga más información acerca de Password Safe de BeyondTrust.
Morey J. Haber, Chief Technology Officer, BeyondTrust
With more than 20 years of IT industry experience and author of Privileged Attack Vectors, Mr. Haber joined BeyondTrust in 2012 as a part of the eEye Digital Security acquisition. He currently oversees BeyondTrust technology for both vulnerability and privileged access management solutions. In 2004, Mr. Haber joined eEye as the Director of Security Engineering and was responsible for strategic business discussions and vulnerability management architectures in Fortune 500 clients. Prior to eEye, he was a Development Manager for Computer Associates, Inc. (CA), responsible for new product beta cycles and named customer accounts. Mr. Haber began his career as a Reliability and Maintainability Engineer for a government contractor building flight and training simulators. He earned a Bachelors of Science in Electrical Engineering from the State University of New York at Stony Brook.