Nedobytné dveře se zámkem na zahnutý hřebík

Firmy požadují dokonalé zabezpečení informačních systémů, ale když si mají jejich zaměstnanci po 90 dnech změnit heslo, je kolem toho plno řečí. Jenže není možné stavět hradbu a v ní nechat děravé dveře, píše šéf NEWPS Aleš Kučera.  Jaký je jeho recept na hesla? Přečtěte si v novém sloupku.

Když vydavatelé platebních karet dali lidem možnost změnit si PIN a pak se podívali na výsledek, zjistili, že 98 procent uživatelů si nastavilo čtyři jedničky, datum narození, nebo posloupnost 1234. Jinými slovy, když najdete platební kartu a máte čtyři nebo pět pokusů uhodnout její PIN, je docela slušná šance, že se trefíte. Alespoň to tvrdila statistika, kterou jsem kdysi četl a nemám důvod jí nevěřit.

Podobné je to totiž s hesly do různých informačních systémů. Lidé je zapomínají, a protože je zapomínají, tak si je někam píší. Ideálně samozřejmě na papírek přilepený na monitor. Nebo jsou hackeři schopni jejich heslo sociálně uhodnout, protože je to něco jako datum svatby či narození. Případně dokáží administrátorovi, který schvaluje změnu hesla, tak popsat toho, kdo je terčem jejich útoku, že jim administrátor heslo vydá. Někdy si lidé vytvoří cosi jako algoritmus, podle nějž hesla do všech možných systémů, aplikací, počítačů konstruují. Pak ale prolomením jednoho přístupu ohrožují i všechny ostatní brány do svého IT světa.

Jak to vyřešit, když vzhledem k čím dál větší digitalizaci našich životů je dnes potřeba účtů a hesel tolik? Jednou z prvních věcí je uvědomit si, že existují přístupy, které je nezbytné chránit (internetové bankovnictví), ale i takové, u nichž to tak důležité není (online půjčovna filmů). A podle toho hesla nastavovat co do složitosti a tedy zapamatovatelnosti. Za druhé platí, že bezpečnější než všechny klíče a generátory hesel je vlastní paměť. Z osobní zkušenosti vím, že si lze zapamatovat i 20 hesel. Hodně to samozřejmě souvisí s tím, jak často je používáte.

Realita je bohužel mnohdy taková, že se postaví informační systém, a kdekdo kritizuje, jak málo je zabezpečený. Ale když stanovíte, že si každý uživatel musí po 90 dnech změnit heslo, tak si všichni stěžují, že už zase mají vymýšlet nové. Obrazně řečeno, všichni by chtěli, aby dveře byly neprostupné, ale klíč k nim úplně jednoduchý. Tak to ovšem nejde.

Aleš Kučera
předseda představenstva
NEWPS HOLDING SE