问：在最近的公司安全会议上，有个话题是密码和密码更新。风险管理组提出一种观点是不要让终端用户定期更改密码。他们说系统帐户和系统管理员层应该继续这么作，但是一般用户不能。我觉得他们的观点有些奇怪，因为共享密码的用户总是问题。
还有，随着我们采用单点登录，我认为这是在目前的安全意识环境中的不寻常的进步。风险管理的争议是如果一个密码足够强大，就没有定期更改的理由。 答：我也看到了这种趋势，以及对密码思考的“新”方式。我们都被带入了这样一个怪圈“密码最少要八个字符，必须每30天更改一次”。
根据我作为一个顾问的经验，如果用户经过了六到十二个月的培训（这很重要），安全依……
我们一直都在努力坚持原创.......请不要一声不吭，就悄悄拿走。
我原创，你原创，我们的内容世界才会更加精彩！
【所有原创内容版权均属TechTarget，欢迎大家转发分享。但未经授权，严禁任何媒体（平面媒体、网络媒体、自媒体等）以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
TechTarget
官方微博
TechTarget中国
问：在最近的公司安全会议上，有个话题是密码和密码更新。风险管理组提出一种观点是不要让终端用户定期更改密码。他们说系统帐户和系统管理员层应该继续这么作，但是一般用户不能。我觉得他们的观点有些奇怪，因为共享密码的用户总是问题。还有，随着我们采用单点登录，我认为这是在目前的安全意识环境中的不寻常的进步。风险管理的争议是如果一个密码足够强大，就没有定期更改的理由。
答：我也看到了这种趋势，以及对密码思考的“新”方式。我们都被带入了这样一个怪圈“密码最少要八个字符，必须每30天更改一次”。根据我作为一个顾问的经验，如果用户经过了六到十二个月的培训（这很重要），安全依然很强大。我们都知道编写（并对其好处进行否定）没有任何个人意义的复杂密码是人类的天性，特别是当他们必须要经常更改的时候。我崇尚对安全和便利的权衡，因为如果不这样，只有黑客可以胜利。记住这是理想的情况。如果你怀疑因为有人共享密码、通过明文文本邮件传送，并在没有保护的硬盘上存储而导致密码很容易受到攻击，那么这些密码就需要经常更改。
作者
Kevin Beaver是一名优秀的信息安全顾问与作者。拥有超过17年的IT工作经验，擅长做信息安全评估。Beaver已经写了五本书，包括《Hacking For Dummies》《Hacking Wireless Networks For Dummies》《The Practical Guide to HIPAA Privacy and Security Compliance》等。
翻译
相关推荐
-
RSAC 2017：小组讨论话题涵盖加密趋势、选举等
每年在RSA大会开幕演讲后，世界顶级密码学家都会齐聚舞台上分享他们对加密趋势的看法以及意见。今年，这个小组讨论会连续第四次由Rambus公司加密研究分支总裁Paul Kocher主持……
-
如何部署用户账户安全来阻止密码恢复攻击（二）
无论企业使用多么强大的密码，只要企业的密码重置程序很薄弱，攻击者都能够通过获取用户的个人详细信息。
-
视频讲座：如何防止关键数据泄露
任何事情的发生都可能导致数据的泄漏，例如有针对性的攻击，丢失的移动终端，或者是错误配置的网络安全设备。
-
身份认证技术指南
一次RSA遭攻击事件，让安全认证成为热点。如何才能实现有效的身份认证和访问管理？本技术手册，将从三个方面为你详细介绍有关认证的知识，帮助你选择合适的认证方案。