Visão geral da estratégia sem senha
Este artigo descreve a estratégia sem senha da Microsoft e como os recursos de segurança do Windows ajudam a implementá-la.
Quatro etapas para a liberdade de senha
A Microsoft está trabalhando duro para criar um mundo em que as senhas não são mais necessárias. É assim que a Microsoft prevê a abordagem de quatro etapas para acabar com a era das senhas para as organizações:
Implantar uma opção de substituição de senha
Antes de se afastar das senhas, você precisa de algo para substituí-las. Windows Hello para Empresas e as chaves de segurança FIDO2 oferecem uma credencial de dois fatores forte protegida por hardware que permite o logon único para Microsoft Entra ID e Active Directory.
Implantar chaves de segurança Windows Hello para Empresas ou FIDO2 é o primeiro passo para um ambiente sem senha. É provável que os usuários usem esses recursos devido à sua conveniência, especialmente quando combinados com a biometria. No entanto, alguns fluxos de trabalho e aplicativos ainda podem precisar de senhas. Esse estágio inicial é sobre implementar uma solução alternativa para senhas e se acostumar com ela.
Reduzir a área de superfície de senha visível do usuário
Com uma opção de substituição de senha e senhas coexistindo no ambiente, a próxima etapa é reduzir a área de superfície de senha. O ambiente e os fluxos de trabalho precisam parar de pedir senhas. O objetivo desta etapa é alcançar um estado em que os usuários saibam que têm uma senha, mas nunca a usam. Esse estado ajuda a descondicionar os usuários de fornecer uma senha sempre que um prompt de senha é exibido em seu computador. Esse comportamento é como as senhas são phished. É improvável que os usuários que raramente usam sua senha a forneçam. Os prompts de senha não são mais a norma.
Transição para uma implantação sem senha
Depois que a superfície de senha visível pelo usuário for eliminada, sua organização poderá começar a fazer a transição de usuários para um ambiente sem senha. Nesta fase, os usuários nunca digitam, alteram ou até mesmo sabem sua senha.
O usuário entra no Windows usando chaves de segurança Windows Hello para Empresas ou FIDO2 e gosta de logon único nos recursos Microsoft Entra ID e do Active Directory. Se o usuário for forçado a autenticar, sua autenticação usará Windows Hello para Empresas ou chaves de segurança FIDO2.
Eliminar senhas do diretório de identidade
A etapa final da jornada sem senha é onde as senhas não existem. Nesta fase, os diretórios de identidade não armazenam nenhuma forma da senha.
Preparar-se para a jornada sem senha
O caminho para ser sem senha é uma jornada. A duração da viagem varia para cada organização. É importante que os tomadores de decisão de TI entendam os critérios que influenciam a duração dessa jornada.
A resposta mais intuitiva é o tamanho da organização, mas o que define exatamente o tamanho? Podemos examinar esses fatores para obter um resumo do tamanho da organização:
| Fator de tamanho | Detalhes |
|---|---|
| Número de departamentos | O número de departamentos em uma organização varia. A maioria das organizações tem um conjunto comum de departamentos, como liderança executiva, recursos humanos, contabilidade, vendas e marketing. Pequenas organizações podem não segmentar explicitamente seus departamentos, enquanto as maiores podem. Além disso, pode haver subdepartamentos e subdepartamentos desses subdepartamentos também. Você precisa conhecer todos os departamentos da sua organização e precisa saber quais departamentos usam computadores e quais não usam. Tudo bem se um departamento não usar computadores (provavelmente raro, mas aceitável). Essa circunstância significa que há um departamento a menos com o qual você precisa se preocupar. No entanto, verifique se esse departamento está em sua lista e se ele não é aplicável. Sua contagem dos departamentos deve ser completa e precisa, além de conhecer as partes interessadas para os departamentos que colocam você e sua equipe no caminho para a liberdade de senha. Realisticamente, muitos de nós perdemos de vista nosso gráfico organizacional e como ele cresce ou encolhe ao longo do tempo. Essa percepção é a razão pela qual você precisa fazer o inventário de todos eles. Além disso, não se esqueça de incluir departamentos externos, como fornecedores ou parceiros federados. Se sua organização ficar sem senha, mas seus parceiros continuarem a usar senhas para acessar seus recursos corporativos, você deverá saber sobre isso e incluí-las em sua estratégia sem senha. |
| Hierarquia de organização ou departamento | A hierarquia de organização e departamento são as camadas de gerenciamento dentro dos departamentos ou da organização como um todo. Como o dispositivo é usado, quais aplicativos e como eles são usados, provavelmente diferem entre cada departamento, mas também dentro da estrutura do departamento. Para determinar a estratégia correta sem senha, você precisa saber essas diferenças em toda a sua organização. É provável que um líder executivo use seu dispositivo de forma diferente em comparação com um membro do gerenciamento intermediário no departamento de vendas. Ambos os casos de usuário provavelmente são diferentes de como um contribuidor individual no departamento de serviço ao cliente usa seu dispositivo. |
| Número e tipo de aplicativos e serviços | A maioria das organizações tem muitos aplicativos e raramente tem uma lista centralizada que é precisa. Aplicativos e serviços são os itens mais críticos em sua avaliação sem senha. Aplicativos e serviços fazem um esforço considerável para migrar para um tipo diferente de autenticação. Mudar políticas e procedimentos pode ser uma tarefa assustadora. Considere a compensação entre atualizar seus procedimentos operacionais padrão e políticas de segurança em comparação com a alteração de 100 linhas (ou mais) do código de autenticação no caminho crítico do seu aplicativo CRM desenvolvido internamente. Capturar o número de aplicativos usados é mais fácil depois que você tem os departamentos, sua hierarquia e seus stakeholders. Nessa abordagem, você deve ter uma lista organizada de departamentos e a hierarquia em cada um deles. Agora você pode associar os aplicativos que são usados por todos os níveis em cada departamento. Você também deseja documentar se o aplicativo está desenvolvido internamente ou comercialmente disponível fora da prateleira. Se este último, documente o fabricante e a versão. Além disso, não se esqueça de aplicativos ou serviços baseados na Web ao inventariar aplicativos. |
| Número de personas de trabalho | Personas de trabalho são onde os três esforços anteriores convergem. Você conhece os departamentos, os níveis organizacionais em cada departamento, os números de aplicativos usados por cada um, respectivamente, e o tipo de aplicativo. A partir dessas informações, você deseja criar uma persona de trabalho. Uma persona de trabalho classifica uma categoria de usuário, título ou função (contribuidor individual, gerente, gerenciador intermediário etc.), dentro de um departamento específico para uma coleção de aplicativos usados. Há uma grande probabilidade de você ter muitas personas de trabalho. Essas personas de trabalho se tornarão unidades de trabalho e você se refere a elas na documentação e nas reuniões. Você precisa dar um nome a eles. Dê às suas personas nomes fáceis e intuitivos como Amanda - Contabilidade, Mark - Marketing ou Sue - Vendas. Se os níveis de organização forem comuns entre departamentos, decida sobre um primeiro nome que representa os níveis comuns em um departamento. Por exemplo, Amanda pode ser o primeiro nome de um contribuidor individual em qualquer departamento, enquanto o primeiro nome Sue poderia representar alguém da gestão intermediária em qualquer departamento. Além disso, você pode usar sufixos (como I, II, Senior, etc.) para definir ainda mais a estrutura departamental para uma determinada persona. Em última análise, crie uma convenção de nomenclatura que não exija que seus stakeholders e parceiros leiam uma longa lista de tabelas ou um anel de decodificador secreto. Além disso, se possível, tente manter as referências como nomes de pessoas. Afinal, você está falando de uma pessoa que está nesse departamento e que usa esse software específico. |
| Estrutura de TI da organização | As estruturas do departamento de TI podem variar mais do que a organização. Alguns departamentos de TI são centralizados, enquanto outros são descentralizados. Além disso, o caminho para a liberdade de senha provavelmente fará com que você interaja com a equipe de autenticação do cliente , a equipe de implantação , a equipe de segurança , a equipe PKI , a equipe de identidade , a equipe de nuvem etc. A maioria dessas equipes são seu parceiro em sua jornada para a liberdade de senha. Verifique se há um stakeholder sem senha em cada uma dessas equipes e se o esforço é compreendido e financiado. |
Avaliar sua organização
Agora você pode entender por que essa é uma jornada e não uma tarefa rápida. Você precisa investigar superfícies de senha visíveis do usuário para cada uma de suas personas de trabalho. Depois de identificar as superfícies de senha, você precisa atenuá-las. Resolver algumas superfícies de senha é simples - o que significa que uma solução já existe no ambiente e é apenas uma questão de mover usuários para ele. A resolução para algumas senhas pode existir, mas não são implantadas em seu ambiente. Essa resolução resulta em um projeto que deve ser planejado, testado e implantado. Esse projeto provavelmente abrange vários departamentos de TI com várias pessoas e, potencialmente, um ou mais sistemas distribuídos. Esses tipos de projetos levam tempo e precisam de ciclos dedicados. Esse mesmo sentimento é verdadeiro com o desenvolvimento de software interno. Mesmo com metodologias de desenvolvimento ágeis, alterar a forma como alguém se autentica em um aplicativo é fundamental. Sem o planejamento e o teste adequados, ele tem o potencial de afetar severamente a produtividade.
O tempo para concluir a jornada sem senha varia, dependendo do alinhamento organizacional com uma estratégia sem senha. O contrato de cima para baixo de que um ambiente sem senha é o objetivo da organização facilita as conversas. Conversas mais fáceis significam menos tempo gasto convencendo as pessoas e mais tempo gasto se movendo em direção ao objetivo. O acordo de cima para baixo, como prioridade dentro das fileiras de outros projetos de TI em andamento, ajuda todos a entender como priorizar projetos existentes. Concordar com prioridades deve reduzir e minimizar escalonamentos de nível executivo e de gerente. Após essas discussões organizacionais, as técnicas modernas de gerenciamento de projetos são usadas para continuar o esforço sem senha. A organização aloca recursos com base na prioridade (depois de concordarem com a estratégia). Esses recursos serão:
- Trabalhar através das personas de trabalho
- Organizar e implantar testes de aceitação do usuário
- Avaliar os resultados do teste de aceitação do usuário para superfícies de senha visíveis do usuário
- Trabalhar com os stakeholders para criar soluções que mitigam superfícies de senha visíveis do usuário
- Adicionar a solução ao backlog do projeto e priorizar em relação a outros projetos
- Implantar a solução
- Realizar testes de aceitação do usuário para confirmar se a solução atenua a superfície de senha visível do usuário
- Repita o teste conforme necessário
A jornada da sua organização para a liberdade de senha pode levar algum tempo. Contar o número de personas de trabalho e o número de aplicativos é um bom indicador do investimento. Espero que sua organização esteja crescendo, o que significa que é improvável que a lista de personas e a lista de aplicativos diminuam. Se o trabalho para ir sem senha hoje é n, então é provável que ir sem senha amanhã é n x 2 ou mais, n x n. Não deixe que o tamanho ou a duração do projeto sejam uma distração. À medida que você avança por cada persona de trabalho, as ações e tarefas se tornam mais familiares para você e seus stakeholders. Escopo do projeto para fases consideráveis e realistas, escolha as personas de trabalho corretas e, em breve, você verá partes da sua organização fazendo a transição para um estado sem senha.
Qual é a melhor orientação para iniciar a jornada para a liberdade de senha? Você deseja mostrar ao seu gerenciamento uma prova de conceito o mais rápido possível. Idealmente, você deseja mostrá-lo em cada etapa de sua jornada sem senha. Manter sua estratégia sem senha no topo da mente e mostrar progresso consistente mantém todos focados.
Persona de trabalho
Você começa com suas personas de trabalho. Isso fazia parte do seu processo de preparação. Eles têm um nome de persona, como Amanda – Contabilidade II ou qualquer outra convenção de nomenclatura definida pela sua organização. Essa persona de trabalho inclui uma lista de todos os aplicativos que Amanda usa para executar suas funções atribuídas no departamento de contabilidade. Para começar, você precisa escolher uma persona de trabalho. É a persona de trabalho direcionada que você habilita para concluir a jornada.
Dica
Evite usar personas de trabalho do departamento de TI. Esse método é provavelmente a pior maneira de iniciar a jornada sem senha. As funções de TI são muito difíceis e demoradas. Os trabalhadores de TI normalmente têm várias credenciais, executam uma infinidade de scripts e aplicativos personalizados e são os piores infratores do uso de senha. É melhor salvar essas personas de trabalho para o meio ou o fim de sua jornada.
Examine sua coleção de personas de trabalho. No início de sua jornada sem senha, identifique personas com o menor número de aplicativos. Essas personas de trabalho podem representar um ou dois departamentos inteiros. Essas funções são as personas de trabalho perfeitas para seu POC (prova de conceito) ou piloto.
A maioria das organizações hospeda sua POC em um laboratório ou ambiente de teste. Se você fizer esse teste com uma estratégia sem senha, pode ser mais desafiador e levar mais tempo. Para testar em um laboratório, primeiro você deve duplicar o ambiente da persona de destino. Esse processo pode levar alguns dias ou várias semanas, dependendo da complexidade da persona de trabalho direcionada.
Você deseja equilibrar os testes de laboratório com o fornecimento de resultados para o gerenciamento rapidamente. Continuar mostrando progresso em sua jornada para a liberdade de senha é sempre uma coisa boa. Se houver maneiras de testar a produção com baixo ou nenhum risco, pode ser vantajoso para sua linha do tempo.
A jornada para a liberdade de senha é levar cada persona de trabalho por cada etapa do processo. No início, incentivamos o trabalho com uma persona por vez para garantir que os membros da equipe e os stakeholders estejam familiarizados com o processo. Uma vez confortável com o processo, você pode cobrir quantas personas de trabalho em paralelo os recursos permitem. O processo se parece com isso:
Implantar uma opção de substituição sem senha
- Identificar usuários de teste que representam a persona de trabalho direcionada
- Implantar Windows Hello para Empresas para testar usuários
- Validar que as senhas e Windows Hello para Empresas funcionam
Reduzir a superfície de senha visível do usuário
- Testar o fluxo de trabalho do usuário para uso de senha
- Identificar o uso e planejar, desenvolver e implantar mitigações de senha
- Repita até que todo o uso de senha de usuário seja mitigado
- Remover recursos de senha do Windows
- Validar que nenhum dos fluxos de trabalho precisa de senhas
Transição para um cenário sem senha
- Campanha de conscientização e educação do usuário
- Incluir os usuários restantes que se encaixam na persona de trabalho
- Validar que nenhum dos usuários das personas de trabalho precisa de senhas
- Configurar contas de usuário para impedir a autenticação de senha
Depois de mover com êxito uma persona de trabalho para a liberdade de senha, você pode priorizar as personas de trabalho restantes e repetir o processo.