M 2.11 Paroolide kasutamise reeglid

Algatamise eest vastutavad: IT-juht, IT-turvaosakond
Rakendamise eest vastutavad: IT-turvaosakond, kasutajad

Juhul kui IT-süsteemis rakendatakse kasutajate autentimiseks paroole, sõltub süsteemi kasutus- ja pääsuõiguste turvaline haldus suurel määral sellest, kas paroole kasutatakse korrektselt või mitte. Seetõttu on soovitatav koostada paroolide kasutamise reeglid ja kasutajad vastava infoga kurssi viia.

Reaalne kompromiss
Paroolide kasutamise reeglistik peab kujutama endast alati reaalset kompromissi järgnevate turvaeesmärkide vahel:
  • Parool peaks koosnema erinevatest sümbolitest ning olema piisavalt keeruline, et seda oleks raske ära arvata.
  • Võimalike paroolide arv peaks etteantud skeemis olema piisavalt suur, et lühikese aja jooksul ei oleks võimalik läbiproovimise teel õige paroolini jõuda.
  • Parool ei tohi olla liiga keeruline, et kasutajal oleks võimalik seda ilma suure pingutuseta meelde jätta.
Reeglid kasutajatele
Paroolide kasutamisel tuleb pöörata tähelepanu järgnevatele reeglitele:
  • Parool ei tohi olla kergesti aimatav. Seetõttu ei sobi paroolideks näiteks nimed, auto numbrimärgid, sünnikuupäevad jms.
  • Paroolis tuleks kasutada vähemalt ühte sümbolit, mis ei ole täht (märk või number).
  • Kui parooli jaoks on võimalik valida tähti ja numbreid, peab parool olema vähemalt kaheksakohaline.
Tõkestus pärast ebaõnnestunud katseid
  • Juhul kui parooliks on võimalik valida ainult numbreid, peaks parool olema vähemalt kuuekohaline ning lisaks peaks autentimissüsteem ebaõnnestunud sisenemiskatsete korral juurdepääsu sulgema (teatud ajaks või püsivalt).
  • Testimisega tuleb välja selgitada, kui palju parooli sümbolikohti arvuti reaalselt kontrollib.
  • Eelseadistusega määratud paroolid (nt tootja poolt süsteemide tarnimisel) tuleb asendada isiklike paroolidega.
  • Paroole ei tohi salvestada programmeeritavate funktsiooniklahvide alla.
  • Parooli tuleks hoida saladuses ning seda peaks teadma vaid kasutaja.
Parooli deponeerimine kinnises ümbrikus
  • Parooli talletamiseks tuleks see kindluse mõttes kirja panna, kuid vastaval juhul tuleb see kindlasti suletud ümbrikus kindlasse kohta hoiule panna. Kui parool kirjutatakse veel kuhugi üles, tuleb seda hoida vähemalt sama turvalistes oludes, nagu hoitakse tšekiraamatut või raha (vt M 2.22 Paroolide deponeerimine).
  • Parooli tuleb regulaarselt muuta, nt iga 90 päeva järel.
  • Kui volitamata isikud on parooli teada saanud või kui tekib sellekohane kahtlus, tuleb parool ära muuta.
  • Pärast paroolide muutmist ei tohiks vanu paroole enam uuesti kasutada.
  • Parooli sisestamine ei tohiks toimuda kõrvaliste isikute pilgu all.
Nõuded IT-süsteemidele
Kui IT-süsteemi tehnilised võimalused seda lubavad, tuleks arvestada järgmiste raamtingimustega:
  • Triviaalsete kombinatsioonide valimist paroolideks (nt. "BBBBBBBB", "123456") tuleks takistada.
  • Kõigil kasutajatel peab olema võimalus oma parooli igal ajal muuta.
Ühekordsed paroolid
  • Uute kasutajate esmakordseks süsteemi sisenemiseks tuleks neile jagada ühekordsed paroolid, mis tuleb kohe peale esimest kasutamist ära muuta. Võrkudes, kus paroolid edastatakse krüpteerimata kujul, on soovitatav ühekordseid paroole kasutada pidevalt (vt M 5.34 Ühekordsed paroolid).
  • Pärast kolmekordset parooli valesti sisestamist peaks autentimissüsteem vastava juurdepääsu sulgema (teatud ajaks või püsivalt). Suletud paroole võivad taastada ainult vastavate õigustega isikud, nt selleks volitatud administraatorid või spetsiaalsed kasutajate haldamisega tegelevad töötajad. Olulisema info selle kohta leiate meetmest M 2.402 Paroolide uuendamine.
  • Võrguühendusega süsteemides ei tohiks krüpteerimata paroolide edastamist kasutada isegi mitte intraneti autentimisprotsessis. Kui autentimisprotsess toimub läbi ebaturvalise võrgu, ei tohi paroole mitte mingil juhul edastada krüpteerimata kujul.
  • Parooli sisestamisel ei tohi parool arvutiekraanil näha olla.
  • Paroolid peavad olema süsteemi salvestatud selliselt, et neile ei oleks võimalik ligi tungida, nt ühesuunaline krüpteerimine (räsifunktsioonid).
  • Süsteem peaks kohustama kasutajat regulaarselt parooli muutma.
  • IT-süsteem peaks takistama vanade paroolide kasutamist parooli vahetamisel (paroolide ajalugu).
Kontrollküsimused:
  • Kas töötajad on saanud koolituse paroolide korrektse kasutamise osas?
  • Kas paroolide sobivust kontrollitakse?
  • Kas paroolide vahetamine on kohustuslik?
  • Kas iga võrgus olev kasutaja on varustatud isikliku parooliga?
  • Kas kasutajatel on soovitatud kasutada piisava keerukusega paroole, mis vastavad kaitsevajadusele?
  • Kas testitakse, mitut parooli sümbolikohta IT-süsteem tegelikult kontrollib?
  • Kas paroolid vahetatakse kohe ümber, kui need on saanud teatavaks volitamata isikutele või on olemas selline kahtlus?
  • Ebaõnnestunud sisselogimiskatsete korral: ega ei anta teada, kas kasutajatunnus ja/või parool olid valed?