Audit IT – complexitatea parolelor

Un studiu prezentat în 2020 la atelierul ConPro al conferinței IEEE Security & Privacy arată că majoritatea utilizatorilor nu își schimbă parolele după un incident de securitate sau atunci când sunt obligați de proceduri, iar dacă o fac, aleg adesea o parolă la fel de slabă sau mai slabă.

În urma auditului IT, RezolvIT identifică elemente precum „complexitatea”, „vârsta” și „unicitatea” parolelor: practic, aflăm cum sunt compuse parolele, când au fost schimbate ultima oară și dacă sunt folosite și pentru alte servicii sau site-uri.

Există chiar un soi de obiecție atunci când colegii noștri de la Helpdesk le explică utilizatorilor de ce parola trebuie să fie lungă și unică pentru fiecare site și de ce sistemul le refuză parolele simple.

Pentru a le recomanda companiilor cum să-și ajute utilizatorii să facă aceste lucruri înainte de apariția unui incident de securitate, e important să înțelegem cât de eficiente sunt practicile de după un incident.

Ce a arătat studiul?

Din cei 249 de participanți, 63 aveau conturi pe un domeniu compromis. Doar 33% dintre cei 63 și-au schimbat parolele și doar 13% (din 63) au făcut acest lucru în trei luni de la anunțul breșei. Parolele noi au fost, în medie, de 1,3 ori mai puternice decât cele vechi, deși cele mai multe erau mai slabe sau la fel de puternice. Concret, parolele noi semănau în general cu celelalte parole ale participanților, iar aceștia au modificat rareori parolele de pe alte site-uri, chiar și atunci când erau identice sau asemănătoare cu parola de pe domeniul compromis.

Concluzia e simplă: nu e suficient să le ceri oamenilor să-și schimbe parola. Firma are nevoie de reguli care să funcționeze și când utilizatorii nu reacționează.

Ce reguli pentru parole recomandăm în 2026?

Recomandările s-au schimbat față de anii trecuți. Ghidul american NIST SP 800-63B, revizuit în 2025, spune că parolele nu trebuie schimbate periodic, ci doar când există semne că au fost compromise, și renunță la regulile de compoziție (o majusculă, o cifră, un simbol) în favoarea parolelor lungi, verificate în listele de parole compromise.

Pe scurt, pentru firma ta:

1. Lungimea contează mai mult decât complexitatea. O frază de cel puțin 15 caractere, ușor de reținut, e mai greu de spart decât un cuvânt scurt cu simboluri.
2. O parolă unică pentru fiecare cont. Când o parolă refolosită apare într-o breșă, atacatorii o încearcă imediat și pe e-mail, pe VPN și în aplicațiile firmei.
3. Un manager de parole. Așa, angajații nu mai trebuie să rețină zeci de parole și nu le mai notează pe bilețele lipite de monitor.
4. Autentificarea în doi pași (MFA) pe e-mail, VPN, Microsoft 365 și aplicațiile importante. Pentru firmele care intră sub incidența NIS2 (în România, OUG 155/2024), autentificarea multifactor face parte din măsurile de securitate cerute.
5. Schimbarea parolei după un incident, nu după calendar: imediat ce un serviciu anunță o breșă sau o adresă a firmei apare într-o listă de conturi compromise.

Vezi și regulile de bază pentru crearea de parole sigure.

Ce primești la auditul IT?

Auditul IT gratuit îți dă inventarul echipamentelor, lista riscurilor, inclusiv a celor legate de parole și de conturi, și un raport cu recomandări concrete. Când firma angajează pe cineva, pregătim calculatorul și conturile de la început cu reguli sigure, iar când cineva pleacă, îi închidem accesele.

RezolvIT evidențiază necesitatea unor proceduri clare pentru parole: puține reguli, dar respectate de toată lumea.

Cere acum un Audit IT gratuit pentru compania ta.