Doporučení k zásadám hesel pro hesla Microsoftu 365

  • Článek

Podívejte se na veškerý náš obsah pro malé firmy na Nápověda a vzdělávání pro malé firmy.

Jako správce organizace zodpovídáte za nastavení zásad hesel pro uživatele ve vaší organizaci. Nastavení zásad hesel může být složité a matoucí. Tento článek obsahuje doporučení, jak organizaci lépe zabezpečit před útoky na hesla.

Jenom cloudové účty Microsoftu mají předdefinované zásady hesel, které se nedají změnit. Jediné položky, které můžete změnit, je počet dní do vypršení platnosti hesla a to, jestli platnost hesla vůbec vyprší.

Pokud chcete zjistit, jak často vyprší platnost hesel Microsoft 365 ve vaší organizaci, přečtěte si téma Nastavení zásad vypršení platnosti hesel pro Microsoft 365.

Další informace o heslech Microsoft 365 najdete tady:

Resetování hesel (článek)

Nastavení vypršení platnosti hesla jednotlivých uživatelů (článek)

Umožnit uživatelům resetovat si vlastní hesla (článek)

Opětovné odeslání hesla uživatele (článek)

Je čas znovu promyslit povinné změny hesel.

Jak chápat doporučení pro hesla

Postupy pro dobrá hesla spadají do několika obecných kategorií:

  • Odolnost vůči běžným útokům Zahrnuje volbu toho, kam uživatelé zadávají hesla (známá a důvěryhodná zařízení s dobrým zjišťováním malwaru, ověřené weby) a toho, jaké heslo zvolit (délka a jedinečnost).

  • Zvládnutí úspěšného útoku Zvládnutím úspěšného hackerského útoku se myslí omezení délky expozice konkrétní služby nebo úplné zabránění takové škodě, pokud došlo ke krádeži uživatelského hesla. Znamená to například zajistit, že napadení vašich přihlašovacích údajů k sociální síti nepovede k ohrožení vašeho bankovního účtu nebo nenechávat nedostatečně zabezpečený účet přijímat odkazy na obnovení důležitého účtu.

  • Pochopení lidského faktoru Mnoho platných postupů pro dobrá hesla se tváří v tvář lidskému chování hroutí. Pochopení lidské povahy je velmi důležité, protože výzkumy ukazují, že téměř každé pravidlo, které pro uživatele vynutíte, vede k oslabování kvality hesel. Požadavky na délku, speciální znaky a požadavky na změnu hesla vedou všechny k normalizaci hesel, což útočníkům usnadňuje jejich uhodnutí nebo prolomení.

Pokyny k heslům pro správce

Hlavním cílem bezpečnějšího systému hesel je jejich různorodost. Chcete, aby vaše zásady pro hesla obsahovaly spoustu různých a těžko uhodnutelných hesel. Tady je několik doporučení, jak zajistit, aby vaše organizace byla co možná nejbezpečnější.

  • Zachování požadavku na minimální délku 8 znaků

  • Nepožadujte kompozici znaků. Například *&(^%$

  • Nevyžadujte u uživatelských účtů povinně pravidelné resetování hesla

  • Zakažte častá hesla, čímž ze systému odstraníte nejzranitelnější hesla

  • Informujte uživatele, aby nepouužijí opakovaně hesla organizace pro nepracovní účely.

  • Vynuťte registraci pro vícefaktorové ověřování

  • Povolení problémů s vícefaktorovým ověřováním na základě rizik

Pokyny k heslům pro uživatele

Tady jsou některé pokyny k heslům pro uživatele ve vaší organizaci. Ujistěte se, že uživatelé o těchto doporučeních vědí a vynucují tyto doporučené zásady pro hesla ve své organizaci.

  • Nepoužívejte heslo, které je totožné nebo podobné tomu, které používáte na jiném webu

  • Nepoužívejte jedno slovo, například heslo nebo běžně používanou frázi, jako je Iloveyou.

  • Udělte hesla těžko uhodnutá, a to i od lidí, kteří o vás hodně vědí, jako jsou jména a narozeniny vašich přátel a rodiny, oblíbené kapely a fráze, které rádi používáte.

Některé z běžných přístupů a jejich negativní dopad

Patří mezi nejčastěji používané postupy správy hesel, ale výzkum nás varuje před jejich negativními dopady.

Požadavky na vypršení platnosti hesla pro uživatele

Požadavky na vypršení platnosti hesla dělají víc škody než užitku, protože můžou uživatelé vybírat předvídatelná hesla složená ze sekvenčních slov a čísel, která spolu úzce souvisejí. V těchto případech může být nové heslo předpovězeno na základě předchozího hesla. Požadavky na vypršení platnosti hesla nenabízí žádné výhody omezení, protože kyberzločinci téměř vždy používají přihlašovací údaje, jakmile je prolomí.

Požadavky na minimální délku hesla

Pokud chcete uživatele povzbudit, aby přemýšleli o jedinečném hesle, doporučujeme postupovat podle přiměřeného požadavku na minimální délku osmi znaků.

Požadavek na použití více znakových sad

Požadavky na složitost hesla omezují klíčové místo a vedou uživatele k předvídatelným krokům, které spíše škodí, než pomáhají. Většina systémů vynucuje určitou úroveň požadavků na složitost hesla. Hesla například vyžadují použití znaků ze všech tří následujících kategorií:

  • velká písmena

  • malá písmena

  • nealfanumerické znaky

Většina lidí používá podobné vzory. Například velké písmeno na první pozici, symbol na poslední a číslo na posledních 2. Kybernetičtí zločinci jsou o takových vzorcích obeznámeni, a proto spouštějí slovníkové útoky pomocí nejběžnějších náhrad, "$" pro "s", "@" pro "a", "1" pro "l". Proto má vynucování používání kombinace velkých a malých písmen, čísel a speciálních znaků negativní vliv. Některé požadavky na složitost mohou uživatelům dokonce zabránit v používání bezpečných a zapamatovatelných hesel a nutit je vytvořit hesla méně bezpečná a nezapamatovatelná.

Úspěšné vzorce

Tady jsou některá doporučení týkající se podpory rozmanitosti hesel.

Zákaz častých hesel

Nejdůležitějším požadavkem na heslo, které byste měli uživatelům při vytváření hesel dát, je zákaz používání běžných hesel, aby se snížilo riziko útoku na hesla ve vaší organizaci. Mezi běžná uživatelská hesla patří: abcdefg, password, monkey.

Informujte uživatele, aby hesla organizace nikde jinde nepoužádá.

Jednou z nejdůležitějších zpráv, které se mají uživatelům ve vaší organizaci dostat, je nepouužít heslo organizace nikde jinde. Použití hesel organizace na externích webech výrazně zvyšuje pravděpodobnost, že kyberzločinci mohou tato hesla ohrozit.

Vynuťte registraci pro vícefaktorové ověřování

Ujistěte se, že uživatelé aktualizují kontaktní informace a informace pro zabezpečení jako jsou alternativní e-mailová adresa, telefonní číslo nebo zařízení zaregistrované pro nabízená oznámení, aby tak mohli reagovat na problémy se zabezpečením a byli na události zabezpečení upozorňováni. Aktualizované kontaktní informace a informace pro zabezpečení pomáhají uživatelům ověřit identitu v případě, že zapomenou heslo nebo se někdo jiný snaží převzít jejich účet. Poskytuje také kanál vzdáleného oznámení pro události zabezpečení, jako jsou pokusy o přihlášení nebo změna hesla.

Vic se dozvíte v tématu Nastavení vícefaktorového ověřování (MFA – Multi-Factor Authentication).

Povolení vícefaktorového ověřování na základě rizik

Vícefaktorové ověřování na základě rizik zajišťuje, že když náš systém detekuje podezřelou aktivitu, může vyzvat uživatele, aby se ujistil, že je legitimním vlastníkem účtu.

Další kroky

Chcete se dozvědět více o správě hesel? Tady je několik doporučených informací:

Související obsah

Resetování hesel (článek)
Nastavení vypršení platnosti hesla jednotlivých uživatelů (článek)
Umožnit uživatelům resetovat si vlastní hesla (článek)
Opětovné odeslání hesla uživatele – nápověda k Správa (článek)