معظم سياسات كلمات المرور في الشركات مكتوبة بشكل جيد ومطبقة بشكل سيئ. الموظف يقرأ الورقة، يوقع عليها، وبعدها يلصق كلمة المرور تحت الكيبورد. المشكلة مو في الموظف، المشكلة في سياسة تطلب منه شي صعب يتذكره وسهل يخترقه في نفس الوقت.
قاعدة الحرف الكبير والرقم والرمز مع تغيير كل 30 يوم تنتج كلمات مثل Ahmed123 ثم Ahmed124. الطول أهم من التعقيد. اطلب عبارة مرور من أربع كلمات أو أكثر، شي يتذكره الموظف ويصعب تخمينه.
مثال: جملة قصيرة من حياته اليومية مع تعديل بسيط، مو اقتباس مشهور. الطول يعطي مقاومة أكبر للتخمين، والسهولة تخلي الموظف ما يكتبها على ورقة.
أخطر عادة هي نفس كلمة المرور في البريد والبنك وأدوات العمل. تسريب واحد من موقع صغير يفتح كل الأبواب. الحل العملي مدير كلمات مرور معتمد، يولد ويخزن، والموظف يتذكر عبارة مرور رئيسية وحدة بس.
خلّي المدير أداة رسمية للفريق، مو خيار شخصي. بهالطريقة تصير الحماية أسهل من العادة القديمة، وهذي وحدها اللي تصمد مع الوقت. وفي شركة عندها عشر أنظمة، ما في موظف يقدر يحفظ عشرين كلمة قوية من راسه.
كلمة المرور لحالها ما تكفي. فعّل التحقق بخطوتين على البريد وأدوات الإدارة وأي نظام فيه بيانات عملاء، والأولوية للحسابات اللي تقدر تغير إعدادات أو تطلع بيانات.
الحسابات المشتركة، مثل صندوق info أو حساب خدمة يربط نظامين، هي الثغرة الصامتة. كل حساب خدمة له كلمة مرور عشوائية طويلة، عند مسؤول واحد بالاسم، ومسجل في جدول عند قسم التقنية. أما المشاركة بين موظفين فتنتهي: كل واحد بحسابه. وهذا اللي نشوفه في Q8DM: أغلب المشاكل تبدأ من حساب قديم ما أحد يعرف من يستخدمه.
أكثر حساب ينسى الناس تعطيله هو حساب الموظف اللي ترك الشركة. حط خطوة ثابتة في إجراء الخروج: تعطيل الحساب، سحب الوصول للملفات، تغيير كلمات المرور المشتركة اللي كان يعرفها، وإنهاء الجلسات النشطة.
بعدها راجع الصلاحيات كل ستة أشهر، بجدول بسيط: الحساب، من يستخدمه، وهل لازم يظل مفتوح. المراجعة القصيرة المنتظمة أفضل من مراجعة كبيرة ما تصير. والجدول هذا يخليك تعرف مين عنده وصول شنو، بدل ما تسأل الموظفين وتنتظر الجواب.
السياسة على ورق ما تلزم أحد. الإلزام يجي من ثلاث جهات: التقنية تمنع الاختيارات الضعيفة من الأصل، والمدير يشرح السبب بجملة وحدة، والمخالفة لها نتيجة واضحة ومعلومة من البداية.
اشرح للموظف شنو تحمي: راتبه، ملفات العملاء، سمعته. الناس تلتزم لما تفهم، مو لما تنهدد. وهذي النقطة اللي تغيب عن كثير من السياسات.
قِس النتيجة بثلاث أرقام: نسبة الحسابات المفعّل عليها التحقق بخطوتين، عدد الحسابات بلا مالك معروف، وعدد الحوادث اللي تبدأ من كلمة مرور مسروقة.
Q8DM تشتغل في البرمجة والتصميم والتدريب من 1998، وتتعامل مع الموضوع من الجهتين: الضبط التقني والسياسة اللي يفهمها الفريق. إذا تبي ترتيب سياسة وصول عملية، ابدأ من q8dm.com.