想要員工保證遵守嚴(yán)謹(jǐn)?shù)拿艽a策略是相當(dāng)困難的，但是對于那些可能會使用“password123”密碼的員工來說，也有針對他們的保護(hù)措施。

不管是何種規(guī)模的企業(yè)，密碼的應(yīng)用都是一個相當(dāng)薄弱的環(huán)節(jié)，許多中小型企業(yè)都被動地依賴員工，希望他們能夠做出正確的選擇去使用強(qiáng)效密碼。

然而不幸的是，大多數(shù)員工并沒有給自己的設(shè)備做出正確的選擇，要么是因?yàn)槿狈Π踩庾R，要么就是覺得太過繁瑣；當(dāng)人們面對密碼設(shè)置時，往往會做出錯誤的選擇。根據(jù)2012年9月CSID身份管理和欺詐保護(hù)公司的消費(fèi)者調(diào)查顯示，盡管有接近90%的人認(rèn)為他們應(yīng)該選擇一個好密碼，但61%的人仍然在不同的網(wǎng)站重復(fù)使用自己的密碼，僅有半數(shù)的人有可能會有5個或更少的密碼組合。

雖然創(chuàng)建一個密碼策略和進(jìn)行員工安全教育是良好的第一步，但這并不足以說服用戶去選擇好密碼，Joe Siegrist告訴我們。Joe Siegrist是身份管理服務(wù)供應(yīng)商LastPass公司的共同創(chuàng)始人兼首席執(zhí)行官。

“我們普遍認(rèn)為這一策略已被人們所忽略，除非是企業(yè)強(qiáng)迫用戶去執(zhí)行。” Siegrist說。“有95%的人認(rèn)為盡管他們了解了很多有關(guān)的安全政策，但如果不是被強(qiáng)迫制執(zhí)行的，那么這些政策基本上就等于是形同虛設(shè)。”

中小型企業(yè)經(jīng)常會容忍員工們對密碼設(shè)置的不規(guī)范操作，雖然有四分之三的職工會為了安全而去增強(qiáng)密碼，但同時他們也會設(shè)置簡易密碼，為了能夠更有效地訪問他們的賬戶而做出妥協(xié)。

CSID在報告中指出，“業(yè)務(wù)的可靠性由安全度最低的鏈接或與之相關(guān)的密碼決定，無論二者源自客戶、合作伙伴還是內(nèi)部員工。”

對于那些想讓員工使用更為安全的密碼的企業(yè)，下文給出了四條建議。

具備可視性權(quán)限

中小企業(yè)通常都不了解他們的員工使用內(nèi)部系統(tǒng)時所設(shè)置的密碼強(qiáng)度，也不知道他們是否在用外部服務(wù)密碼或者他們是否具有多個不同的密碼。企業(yè)設(shè)置可視性權(quán)限的第一步應(yīng)該是通過中心系統(tǒng)管理員來進(jìn)行員工憑證的管理，或者使用云服務(wù)中的密碼管理服務(wù)，還可以使用完整的身份和訪問管理（IAM）解決方案。

若沒有上述幾種系統(tǒng)，企業(yè)只能盲從地面對嚴(yán)峻的安全風(fēng)險，LastPass公司的Siegrist說。

“然而令人生畏的是大多數(shù)人并不知道目前的狀況到底是好是壞，所以，如果你沒有任何工具或是程序，你最好盡可能地想出一些提高安全的辦法。”他說。

LastPass公司的策略，例如，給每個員工當(dāng)前的賬戶密碼進(jìn)行安全評分。若是連公司管理者都不能獲取他們自己的密碼，就可以發(fā)現(xiàn)他們的員工沒有遵守相關(guān)的安全政策。

密碼的集中管理

即使企業(yè)不需要一個完整的IAM系統(tǒng)，密碼的集中管理也已能洞悉員工們的密碼設(shè)置習(xí)慣。企業(yè)應(yīng)牢牢掌握住員工賬戶管理的控制權(quán)，既可以添加新員工的賬號密碼也可以進(jìn)行刪除，這樣即便在離職員工中有心懷不滿者，也可以將其安全風(fēng)險大大降低。

云身份認(rèn)證服務(wù)供應(yīng)商Ping Identity的首席技術(shù)官Patrick Harding認(rèn)為，“隨著企業(yè)的發(fā)展，內(nèi)部人員可能會增加到50或100人，想要追蹤職員們已添的加賬戶都加入到了哪些不同的應(yīng)用程序中，不僅過程非常繁瑣，其成本可能也會非常昂貴。”

Ping Identity公司的產(chǎn)品通過使用單點(diǎn)登錄的方式消除了許多云應(yīng)用程序的密碼，以安全聲明標(biāo)記語言（SAML）取代密碼來安全地訪問在線賬戶。

選擇單一入口點(diǎn)

除了要對身份存儲進(jìn)行集中管理之外，企業(yè)還可從簡化用戶需求，使用一憑證一登陸的方法入手，并從中受益。通過對用戶登陸密碼輸入次數(shù)的限制，企業(yè)可以提高員工的效率，以及將其集中在單一通道中，以確保安全，Harding講道。

“如果你每天只有一次驗(yàn)證，那么此身份驗(yàn)證要大大強(qiáng)于一個密碼，甚至優(yōu)于強(qiáng)效密碼。”他說。

使用電子郵件賬戶的雙因素身份驗(yàn)證可兼作單點(diǎn)登錄系統(tǒng)的登陸憑據(jù)。

改善員工行為

最后，企業(yè)應(yīng)該教育員工選擇有效的密碼口令，從而改善他們的密碼管理。LastPass的Siegrist說，如果員工們總是重復(fù)使用密碼，則要及時提醒他們公司的政策是反對密碼的重復(fù)使用的。若員工們沒有及時更新舊密碼，也需要馬上提醒他們。