Krav til adgangskoder i Sarbanes-Oxley Act

Hvad er SOX?

I 2002 vedtog den amerikanske regering Sarbanes-Oxley Act (SOX) for at beskytte aktionærer og offentligheden mod regnskabsfejl og svigagtige aktiviteter i organisationer. Overholdelse af reglerne i SOX kræver, at offentlige virksomheder registrerer og beskytter alle ressourcer til økonomistyring, herunder rapporter, applikationer, støttesystemer og tjenester, i henhold til de angivne standarder. Manglende overholdelse kan medføre bøder, fængselsstraf eller begge dele.

Hvilke krav er der til SOX-adgangskoder?

SOX opstiller ingen specifikke krav til adgangskoder eller godkendelse af identitet i finansielle systemer. Finansielle organisationer, der ønsker at sikre holistisk overholdelse af SOX, opfordres dog til at indføre følgende bedste praksis for adgangskoder og godkendelse.

1. Brug længere adgangskoder

Adgangskoder på mere end 20 tegn er svære at knække. Hackere skal prøve mange forskellige kombinationer og er endda ikke nødvendigvis i stand til at gætte den korrekte adgangskode, når blot den er lang nok.

2. Undgå gængse adgangskoder

Brug af almindelige ord og tal som adgangskode, administrator eller 12345 i adgangskoder gør dem mere udsatte for at blive kompromitteret. Adgangskoder som disse kan nemt gættes under et potentielt angreb på baggrund af ord fra ordbøger.

3. Brug adgangskoder med sekvenser af sammenhængende ord i stedet for gængse adgangskoder

Adgangskoder med sekvenser af sammenhængende ord er i modsætning til gængse adgangskoder længere og lettere at huske, men sværere at knække. Det kunne være noget i retning af Lilla himmel &g græskarfrø! Dette opfylder kravene til sværhedsgraden i adgangskoder og er ret fængende, hvilket gør den nem at huske.

4. Genbrug ikke gamle adgangskoder

Det kan være praktisk for brugerne at genbruge gamle adgangskoder eller fragmenter af dem, men det øger risikoen for, at disse adgangskoder bliver kompromitteret. For at forbedre adgangskodesikkerheden er det vigtigt at forhindre brugerne i at genbruge gamle adgangskoder.

5. Undgå personlige oplysninger

Ved at bruge personlige oplysninger i adgangskoder, såsom brugernavne og fødselsdatoer, gør man det nemt for angribere at gætte og kompromittere dem. Vi råder brugerne til at vælge adgangskoder, der ikke indeholder personlige oplysninger.

6. Beskyt med mere end adgangskoder

Det udgør en enorm risiko for de underliggende ressourcer at have usikre adgangskoder som eneste beskyttelse. For at forbedre identitetssikkerheden bør brugerne godkendes med stærke MFA-metoder – såsom biometri, TOTP'er og sikkerhedsnøgler – tillige med adgangskoder.

7. Begræns menneskelige handlinger under administrationen af adgangskoder

Når anmodninger om nulstilling af adgangskoder sendes til en helpdesk, findes der muligvis ikke en proces til identitetsbekræftelse for at sikre, at anmodningen er gyldig. Når nye adgangskoder desuden videregives i klartekst via en chatapplikation, øger det muligheden for tyveri af adgangskoder. Selvbetjent administration af adgangskoder er en mere sikker og praktisk løsning, der afhjælper sådanne udfordringer.

Gør det nemt at overholde reglerne i SOX med ADSelfService Plus

Med ADSelfService Plus kan din organisation nemt implementere bedste praksis for administration af adgangskoder ved hjælp af funktionen til håndhævelse af politik for adgangskoder. Ved hjælp af brugerdefinerede politikker, der kan benyttes til udvalgte brugere, grupper eller OU'er i AD, kan du håndhæve konkrete krav til adgangskoder og godkendelse for brugere med forskellige adgangsrettigheder til økonomiske oplysninger.

• Brugerdefineret længde på adgangskoder: Håndhæv længere adgangskoder ved at konfigurere adgangskodernes minimumslængde.
• Brugerdefineret sværhedsgrad i adgangskoder: Tilpas brugen af store og små bogstaver, specialtegn, Unicode-tegn og numeriske tegn i adgangskoder.
• Begrænsning af kompromitterede adgangskoder: Bloker kompromitterede og svage slutbrugeradgangskoder, der indeholder ord i ordbøger, forudsigelige mønstre og palindromer.
• Begrænsning af brugernavne i adgangskoder: Begræns brugere i at medtage brugernavne eller fortløbende tegn fra brugernavne i deres adgangskoder.
• Indstillinger for adgangskodehistorik: Undgå, at brugere genbruger et bestemt antal af deres tidligere adgangskoder under nulstillinger og ændringer af adgangskoder.
• Situationstilpasset MFA: Beskyt brugernes adgang til følsomme økonomiske data ved at aktivere MFA for enheder, applikationer, VPN'er og OWA. Vælg mellem 20 forskellige godkendelsesmetoder, herunder biometri, FIDO-adgangsnøgler og YubiKey.
• Selvbetjent administration af adgangskoder: Giv brugerne mulighed for at nulstille glemte adgangskoder og låse deres konti op uden hjælp fra helpdesk.

Fordele ved at bruge ADSelfService Plus til at overholde SOX

• OU- og gruppebaserede politikker, der kan håndhæves: Sørg for en detaljeret håndhævelse af flere politikker for adgangskoder i det samme AD-domæne på baggrund af OU- og gruppemedlemskaber.
• Øget sikkerhed for adgangskoder: Håndhæv adgangskoder med sekvenser af sammenhængende ord og begræns almindelige tegntyper i adgangskoder.
• Politikker for betinget adgang: Implementer skærpede MFA-metoder for mistænkelige anmodninger om adgang til ressourcer ved hjælp af politikker for betinget adgang på baggrund af brugernes IP, placering og tidspunkt for adgang.
• Overholdelse af andre regler og standarder: Via ADSelfService Plus overholder du ikke kun reglerne i SOX, men også NIST SP 800-63B, HIPAA, PCI DSS og CJIS-sikkerhedspolitikken.