O gerenciamento de senhas é uma combinação de sistemas e processos usados para lidar com segurança com a emissão, o acesso, o armazenamento e a manutenção de senhas. Com a proliferação de sistemas e dispositivos, tornou-se um item essencial no kit de ferramentas de toda equipe de TI. O gerenciamento de senhas facilita a aplicação das práticas recomendadas durante todo o ciclo de vida das senhas, da criação à desativação.
Veja como usar o gerenciamento de senhas para reduzir chamadas à assistência técnica, aumentar a segurança e aprimorar a experiência do usuário.
À medida que as ameaças cibernéticas tornam-se mais sofisticadas e eficazes, o gerenciamento de senhas oferece uma defesa crítica contra acesso não autorizado a sistemas, aplicativos e dados.
O gerenciamento de senhas ajuda as organizações a lidar e se defender contra descuidos que levam a violações de dados, como:
- Criar senhas simples e fáceis de adivinhar.
- Compartilhar senhas por meio de conversas verbais no escritório, documentos, e-mail, telefone ou mensagens de texto.
- Usar a mesma senha para todos os logins.
- Anotar senhas.
Além de reduzir práticas de risco que envolvam senhas, o gerenciamento de senhas:
- Elimina a necessidade de memorizar senhas.
- Criptografa as senhas dos usuários para reforçar a proteção.
- Garante a conformidade com regulamentações e práticas recomendadas.
- Facilita a criação de senhas fortes, complexas e difíceis de adivinhar.
- Torna mais rápido e fácil criar, gerenciar e usar senhas.
- Reduz ao mínimo a reutilização de senhas.
- Notifica usuários quando credenciais fazem parte de uma violação de dados ou tentativa de phishing
- Possibilita o preenchimento automático das credenciais do usuário quando é detectado um formulário de login para o qual o sistema possui um nome de usuário e uma senha.
- Permite a sincronização de credenciais em vários dispositivos.
Gerenciadores de senhas para navegadores
Os gerenciadores de senhas para navegadores tornaram-se populares por serem a forma mais comum de acesso dos usuários a sites e serviços. O gerenciamento de senhas está incluso em todas as principais plataformas de navegadores.
Ele permite que os usuários salvem credenciais para contas e o navegador as preenche automaticamente. Muitos usuários aproveitam o gerenciador de senhas para navegadores sem entender os riscos de segurança envolvidos, que são os seguintes:
Navegadores não foram desenvolvidos para o gerenciamento de senhas. Como o gerenciamento de senhas é um complemento dos navegadores, a maioria não possui os recursos de segurança e produtividade de soluções desenvolvidas especialmente para esse fim.
Se um dispositivo for roubado, as senhas podem ser recuperadas de navegadores abertos. Como a maioria dos usuários não sai dos navegadores, o gerenciamento de senhas para navegadores é uma estratégia de alto risco.
Há o comprometimento de senhas em casos de ataque a um navegador. Navegadores são vulneráveis a ataques cibernéticos, que infectam dispositivos por meio de anexos de e-mail maliciosos, arquivos infectados baixados de sites ou visitas a sites infectados. Os cibercriminosos também comprometem os navegadores ao incorporar malwares a extensões de navegador e por meio de sharewares, freewares, adwares e spywares maliciosos.
O que é FIDO?
FIDO significa Fast Identity Online (Identidade Rápida Online). A organização sem fins lucrativos FIDO Alliance foi constituída em julho de 2012, sendo suas fundadoras a Infineon, PayPal, Lenovo, Nok Nok, Validity Sensors e Agnitio. Os padrões FIDO buscam substituir as senhas por um único token usado para autenticação e aproveitar a autenticação multifator para aumentar a segurança e a usabilidade.
Com a FIDO, usuários fazem login com chaves de acesso resistentes a phishing. As chaves de acesso substituem os logins que exigem apenas senha. A FIDO permite que os usuários façam login com chaves de acesso em seus dispositivos usando uma chave biométrica ou de segurança.
O que são chaves de acesso?
Chaves de acesso são um tipo de credencial de autorização que permite aos usuários efetuar login em aplicativos, sites, serviços e sistemas, sem digitar uma senha, em dispositivos que os usuários já possuem (por exemplo, smartphone ou laptop). Construídas com base no padrão de Autenticação Web, as Chaves de Acesso utilizam criptografia de chave pública para segurança. Isso evita que as chaves de acesso sejam roubadas em ataques cibernéticos, como phishing. Com as chaves de acesso, a chave privada é armazenada nos dispositivos dos usuários e a chave pública, nos servidores das organizações.
O uso de chaves de acesso para autenticação de usuários elimina a necessidade de nomes de usuário e senhas vulneráveis. As chaves de acesso substituem as credenciais tradicionais por credenciais digitais análogas às chaves físicas. Essas chaves digitais são acessadas por meio do login dos usuários nos dispositivos, com uso de um número de identificação pessoal (PIN), movimento-padrão ou biometria (por exemplo, impressão digital).
Os benefícios comumente citados das chaves de acesso são:
- Experiência de autenticação simplificada para usuários.
- Melhor acessibilidade para usuários com deficiência.
- Redução das requisições de suporte ao cliente para a redefinição de senhas.
- Maior resiliência a ataques de phishing.
- Estratégia baseada em padrões que agiliza a integração de recursos de autorização para desenvolvedores.
Como os gerenciadores de senhas funcionam
As soluções de gerenciamento de senhas, ou gerenciadores de senhas, fornecem um conjunto selecionado de recursos desenvolvidos para automatizar, otimizar e proteger funções relacionadas a senhas. Eles integram os recursos a seguir.
- Criam políticas de senha personalizadas: Para organizações com equipes com diferentes requisitos de acesso, às políticas de gerenciamento de senhas podem ser implementadas em um nível granular; por exemplo, requisitos de autorização aprimorados podem ser implementados para usuários que acessam informações confidenciais.
- Detectam alterações: O sistema pode detectar automaticamente alterações de senhas e sincronizá-las em todos os aplicativos apropriados.
- Habilitam a autenticação multifator: O gerenciador oferece sólidos recursos de autenticação multifator que garantem a validade das tentativas de acesso dos usuários. Um desses recursos é a capacidade de acionar a autenticação multifator quando comportamentos incomuns são detectados.
- Impõe requisitos de senha: O gerenciador de senhas ajuda as organizações a implementar e impor as políticas de senha de modo automático. As organizações podem ter certeza de que todos os requisitos são aplicados em toda a rede, incluindo o uso de senhas fortes, atualizações regulares de senhas e o uso de senhas exclusivas para diferentes aplicativos, serviços e sistemas.
- Geram senhas fortes: A solução pode criar automaticamente senhas exclusivas e fortes que usuários têm dificuldade em criar.
- Sincronizam dispositivos e sistemas operacionais: Como os usuários dependem de vários dispositivos, o gerenciamento de senhas compartilha senhas automaticamente entre os dispositivos, eliminando a necessidade de digitá-las novamente em diferentes dispositivos.
São recursos adicionais em boas soluções de gerenciamento de senhas:
- Capacidade de registrar, monitorar e cancelar senhas de usuários.
- Controle de acesso para dispositivos de funcionários.
- Opções de implantação local e na nuvem.
- Gerenciamento de senhas em endpoints de funcionários.
- Ferramentas de relatórios.
- Recursos de autoatendimento.
Certificações globais de segurança para gerenciamento de senhas
Existem muitas certificações de segurança associadas ao gerenciamento de senhas. A seguir, mostramos algumas das procuradas com maior frequência por organizações globais.
APEC CBPR (Regras de Privacidade Transfronteiriça da Cooperação Econômica Ásia-Pacífico).
APEC CBPR é uma certificação de privacidade de dados garantida pelo governo para empresas que comprova sua conformidade com as proteções de privacidade de dados reconhecidas internacionalmente. Ela enfatiza as práticas de privacidade visando garantir a proteção dos dados pessoais dos clientes da APEC de acordo com os padrões prescritos ao se deslocarem entre fronteiras.
APEC PRP (Reconhecimento de Privacidade para Processadores da Cooperação Econômica Ásia-Pacífico)
A APEC PRP é uma certificação para processadores de dados que atuam em representação de organizações clientes (controladores de dados) que comprova sua capacidade de implementar efetivamente os requisitos de privacidade de um controlador.
BSI C5 (Catálogo de Critérios de Conformidade para Computação na Nuvem)
O BSI C5 é um padrão auditado que estabelece uma linha de base mínima obrigatória para a segurança na nuvem e a adoção de soluções de nuvem pública. Foi introduzida na Alemanha pelo Escritório Federal de Segurança da Informação (BSI).
ISO 27001
A ISO 27001 é uma especificação internacionalmente reconhecida para um Sistema de Gestão de Segurança da Informação, ou SGSI, que avalia o gerenciamento geral da segurança da informação.
SOC2 Tipo II
Uma auditoria de controle de organização de serviços (SOC, Service Organization Control) Tipo II avalia como um provedor de serviços baseado na nuvem lida com informações confidenciais. Ela abrange a adequação dos controles de uma empresa e sua eficácia operacional.
SOC3
Uma auditoria SOC III avalia controles internos relacionados à segurança, à disponibilidade e à integridade do processamento e à confidencialidade.
Regulamento Geral sobre a Proteção de Dados (RGPD)
O RGPD é um regulamento que determina um conjunto de leis padronizadas de proteção de dados em toda a União Europeia (UE) a fim de aumentar a privacidade e ampliar os direitos de dados dos cidadãos da UE.
Escudo de Proteção da Privacidade União Europeia (UE)-Estados Unidos (EUA)
O Escudo de Proteção de Dados UE-EUA é um marco legal que regula as trocas transatlânticas de dados pessoais para fins comerciais entre a União Europeia e os Estados Unidos, que exige a proteção de dados.
Desafios do gerenciamento de senhas
O gerenciamento de senhas traz muitos benefícios, mas também vários desafios dignos de nota. Entender esses desafios permite às organizações extrair o máximo valor das soluções de forma segura e eficaz.
Alguns dos desafios do gerenciamento de senhas são:
- Interoperabilidade: Como não há padrões obrigatórios, nem todos os sites são compatíveis com todos os sistemas de gerenciamento de senhas.
- Vulnerabilidade de senha mestra: Como os gerenciadores de senhas usam uma senha mestra para acessar outras senhas, uma brecha na segurança poderia expor as outras senhas. Além disso, se houver perda da senha mestra, o usuário poderá perder o acesso a aplicativos, serviços e sistemas.
- Preocupações com a segurança: Giram em torno da ideia de que o gerenciamento de senhas pode ser um ponto único de falha, já que todas as senhas podem ser expostas se houver comprometimento do sistema.
- Adoção pelo usuário: Em alguns casos, os usuários têm problemas para configurar e usar novos sistemas de gerenciamento de senhas.
Outra série de desafios relacionados ao gerenciamento de senhas diz respeito às ameaças cibernéticas, como as ameaças à proteção de senhas em:
- Ataques de força bruta: Ferramentas automatizadas são usadas para roubar ou adivinhar senhas.
- Violações de dados: Cibercriminosos obtêm acesso não autorizado a redes e roubam credenciais de login de bancos de dados de sites.
- Spoofing de login: Cibercriminosos usam senhas coletadas ilegalmente por meio de uma página de login falsa.
- Ataques de “shoulder surfing”: As senhas são roubadas por um cibercriminoso que observa a entrada dos usuários nos sistemas (por exemplo, usando uma câmera oculta).
- Ataques de sniffing: As senhas são roubadas por meio de uma série de táticas ilegais, como roubo físico, keylogging e malwares.
11 Práticas recomendadas para o gerenciamento de senhas
1. Proibir a reutilização de senhas
Senhas não devem ser reutilizadas em diferentes dispositivos ou aplicativos. Cada conta deve ter uma senha exclusiva, o que pode ser difícil de controlar sem um gerenciador de senhas.
2. Criar e aplicar uma política de gerenciamento de senhas
Disponibilizar a funcionários e administradores orientações claras, visando facilitar a adoção das práticas recomendadas pelos usuários e sua implementação pelos administradores.
3. Treinar os membros da equipe sobre segurança online
O treinamento é fundamental para a adoção das práticas recomendadas de gerenciamento de senhas pelos usuários. A seguir, algumas maneiras de explicar a importância dessas práticas e incentivar a conformidade, o que ajudará a construir e sustentar uma cultura de segurança como prioridade.
- Explicar o papel do gerenciamento de senhas na prevenção de violações de dados.
- Treinar funcionários nas práticas recomendadas para o gerenciamento de senhas.
- Ajudar funcionários a seguir as práticas recomendadas para o gerenciamento de senhas com automação.
- Oferecer um programa de treinamento sob demanda, com recursos que os funcionários possam consultar quando quiserem.
- Oferecer incentivos que encorajem a participação em treinamentos e exercícios de gerenciamento de senhas (por exemplo, bônus em dinheiro ou vales-presentes).
4. Melhorar a proteção de contas e senhas de usuários privilegiados
Usar o gerenciamento de acesso privilegiado para acrescentar uma camada extra de proteção a contas que tenham um nível mais alto de acesso a dados e aplicativos e que sejam procuradas por cibercriminosos.
5. Identificar problemas de segurança com rapidez e ajudar funcionários a corrigir contas em risco
O gerenciamento de senhas deve identificar, de forma proativa, problemas de segurança relacionados a senhas e contas em risco. Quando problemas são detectados, a solução deve ter respostas automatizadas para a correção e emitir alertas para aqueles considerados de alto risco.
6. Implementar autenticação multifator
A autenticação multifator (MFA, multi-factor authentication) exige que usuários forneçam duas ou mais provas (fatores) para a confirmação de sua identidade antes da concessão do acesso. Estes fatores são:
- Algo que você sabe: senha ou número de identificação pessoal (PIN).
- Algo que você tem: smartphone, celular ou token.
- Algo que você é: biometria (por exemplo, impressão digital ou reconhecimento facial).
7. Tornar as alterações de senha obrigatórias
Exigir que usuários alterem suas senhas de acordo com um cronograma definido. O gerenciamento de senhas automatiza esse processo a fim de garantir a conformidade.
8. Eliminar gradualmente o gerenciamento de senhas baseado em navegador
O gerenciamento de senhas baseado em navegador representa um risco à segurança. As organizações são incentivadas a criar planos que eliminem o seu uso e substituí-lo por uma solução com um propósito específico.
9. Exigir senhas fortes
As senhas devem ser complexas e exclusivas para evitar que criminosos cibernéticos as quebrem. Os gerenciadores de senhas podem automaticamente gerar senhas fortes que tenham:
- Mais de oito caracteres.
- Uma combinação de letras maiúsculas e minúsculas.
- Números e símbolos diferentes.
10. Armazenar as senhas em um sistema de gerenciamento de senhas
Use um gerenciador de senhas específico que otimize os processos para os usuários e facilite a administração pelas equipes de TI. Isso estabelece regras para o gerenciamento de senhas, aumentando a segurança.
11. Usar criptografia de senhas
A criptografia de ponta a ponta irreversível é essencial para o gerenciamento de senhas, pois protege as credenciais, já que mesmo as senhas mais fortes são vulneráveis, a menos que sejam criptografadas. A criptografia de senhas protege os dados armazenados ou transferidos. A criptografia protege os dados digitais, codificando-os matematicamente por meio de criptografia a fim de impedir que sejam lidos ou descriptografados com uma chave ou senha.
Gerenciamento de senhas: uma atualização de segurança fácil, mas poderosa
A segurança cibernética apresenta desafios crescentes, à medida que os cibercriminosos e suas táticas são reforçados com tecnologias sofisticadas, como a inteligência artificial e o aprendizado de máquina. Toda a tecnologia empregada para os manter afastados está sendo usada para obter acesso não autorizado. As equipes de segurança empregam uma rede de soluções para garantir proteção.
O gerenciamento de senhas é uma das soluções de segurança mais fáceis de implementar e comprovadamente eficaz. Com ele, um vetor de ataque altamente explorado é praticamente eliminado. O gerenciamento de senhas evita o comprometimento de credenciais que expõe as organizações a danos incalculáveis.
