Quản trị mật khẩu – trăn trở của các CIO

Khi mình move sang vị trí CIO, có người hỏi mình có tự tin không? Mình nói mình tự tin như cái ngày mình được làm Trưởng nhóm cách đây 8 năm vậy.

Nhưng mình cũng chia sẻ luôn là vấn đề mình lăn tăn nhất trong những việc phải làm khi là BẢO MẬT THÔNG TIN TRUY CẬP. Hay nói đơn giản là bảo mật cái mớ tài khoản và mật khẩu truy cập vào hệ thống Production.


Mấy năm chinh chiến món IT, cũng có đôi nơi đã áp dụng vài ba cách cho vấn đề này:
– Có nơi thì sếp cầm hết, khi nào có sự cố thì sếp phi đến cơ quan nhập pass. Haizz, khổ các ông sếp nếu đêm hôm có sự cố ra phết. Không được!
– Có nơi thì phân mật khẩu ra làm 2 nửa. Nhân viên 1 nửa, sếp 1 nửa. Ấy rồi cái đêm hôm khuya khoắt ấy, sếp lại được mời đến nhập 1 nửa cái pass và thế rồi trong cơn buồn ngủ, sếp đã đọc ngay 1 nửa pass ấy cho nhân viên qua điện thoại để nó nhập cho nhanh còn đi nghỉ. Không được!
– Có nơi thì chơi cách khá hơn tý, đó là mật khẩu được niêm phong trong phong bì, cất vào két sắt, khi cần thì nhân viên lấy ra dùng, xong sếp lại change pass dán kín và cất vào tủ. Cũng có cái ngon là bảo mật, nhưng cái không ngon là sếp vẫn phải qua co quan mở két chứ, hehe, mà không thì giao cho nhân viên cái chìa khóa, lúc đó ông nhân viên mở ra lúc nào sếp cũng chả biết. Lại không được!!!

Trăn trở nhiều, rút kinh nghiệm nhiều từ các vị trí làm việc trước đây, hôm nay mình đã tự dựng xong hệ thống giải quyết được cái vấn đề đau đầu này. Gọi là tạm thôi nhé, còn nhiều thứ phải nâng cấp, chỉnh sửa. Hệ thống có tên là MPS sẽ gồm mấy chức năng chính rất đơn giản nhưng hiệu quả về quản lý:
– Khi nhân viên có nhu cầu truy cập DB hoặc OS. nhân viên đó vào hệ thống MPS, tạo một yêu cầu.
– Ông sếp sẽ nhận đc SMS/Email báo có yêu cầu truy cập, ông ta mở iPhone, iPad, Note2… hoặc thiết bị nào đó vào được internet và phê duyệt.
– Nhân viên sẽ nhận được một pass tạm dùng trong phiên làm việc đó, hết phiên thì pass lại được reset lại thành một mật khẩu ngẫu nhiên mà chả ai biết ngoài MPS.

Vậy là cũng tạm ổn. Từ mai mình tạm nhẹ đầu rồi 
Có ai có kinh nghiệm vụ này xin cho ít tư vấn nhé, mình chỉnh sửa cho tối ưu hơn.
Hệ thống này thật ra rất đơn giản, ai cũng có thể làm được, nhưng mình thấy nó khá hiệu quả cho các nhà quản lý 

Advertisements

One thought on “Quản trị mật khẩu – trăn trở của các CIO

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s