让密码易于管理

网络安全入门指南：第4节

在本节中，您将学习：

设置强密码和独特密码，以保护您的账户。.
使用密码管理器来安全地存储和共享密码。.
当员工或志愿者离职时，管理账户访问权限及账户恢复事宜。.

您的非营利组织可能需要使用数十个账户来处理电子邮件、筹款、财务、沟通以及项目实施等事务。要记住每个账户不同的密码确实很困难。管理这些账户的访问权限则又增添了一项挑战。.
其目的是让强密码和独特密码在实际应用中更方便，同时确保当某人外出或离职时，仍能维持对组织的访问权限。

什么样的密码才算安全？

密码应符合以下要求：

独特性

仅用于一个账户，包括将工作和个人密码分开管理。.

长

密码长度越长，就越难被破解，即便是诈骗分子使用的技术也难以攻破。.

难以预测

请避免使用姓名、生日、您所在组织的名称、常见的引语以及仅更改年份等套路。.

重复使用密码会在原本互不关联的账户之间建立联系。如果该密码在某项服务中泄露，有人可能会尝试用它登录其他账户。诸如添加不同数字之类的微小变动，同样容易被猜中。.
对于需要记住的密码（例如解锁密码管理器的密码），由随机选取且互不相关的单词组成的长密码短语会很有帮助。对于其他账户，密码管理器可以生成并存储长而随机的密码。.
请勿使用培训材料中作为示例公布的密码或密码短语。.

什么是密码管理器？

密码管理器会在受保护的数字保险库中生成并存储密码。您只需解锁保险库，即可检索或自动填写账户密码。根据具体工具的不同，它还可能：

生成唯一的密码。.
可在所有已获批准的设备上使用。.
与授权人员共享选定的凭据。.
识别已被重复使用或可能泄露的密码。.
存储其他敏感的访问信息。.

加拿大网络安全中心建议使用密码管理器来管理唯一的密码和密码短语。.
密码管理器可以减少记忆密码或通过电子邮件和消息发送密码的必要性。它还将重要信息集中存储在一个地方，因此保护密码库并制定恢复方案至关重要。.

根据贵组织的实际需求进行选择

一款对个人来说很实用的工具，未必能满足团队的需求。在选择密码管理器之前，请考虑您的非营利组织将如何使用它。.

它能在我们的设备和浏览器上运行吗？

工作人员和志愿者需要一种在工作中方便查阅它的实用方法。.

每个人都能拥有自己的登录账号吗？

通过个人访问权限，可以更轻松地管理权限和离岗事宜。.

我们可以将个人凭证与组织凭证区分开来吗？

应能够管理组织访问权限，同时不泄露任何人的个人账户信息。.

我们能否只共享部分凭证？

人们应该能够获得履行其职责所需的一切。.

授权管理员能否撤销访问权限并管理交接？

当员工调岗或离职时，贵组织需要保持业务连续性。.

如果我们更换工具，会发生什么？

检查凭据是否可以转移，以及导出数据如何受到保护。.

该工具是否正在积极维护，并配有清晰的安全文档？

了解该系统如何保护信息，以及如何处理更新和安全问题。.

有哪些MFA和恢复选项？

你需要保护保险库，并在不依赖任何一个人的情况下恢复访问权限。.

包含哪些功能？哪些功能需要额外付费？

团队共享、管理和数据恢复功能可能需要付费套餐。.

提示

免费工具虽然有用，但请确认其功能是否符合您的需求。免费的个人版可能无法提供非营利组织所需的共享或管理功能。在购买升级版或接受捆绑产品之前，请先确认其功能。.

那么，浏览器中的密码管理器呢？

浏览器和设备密码管理器可以帮助个人创建和存储唯一的密码。它们是否适合在组织中使用，取决于其共享、账户所有权和密码恢复功能。.
请确认密码同步到了哪个账户。如果组织凭据仅保存在某人的个人浏览器账户中，交接可能会比较困难。.
此外，还应考虑谁可以解锁该设备或浏览器配置文件。在共享计算机上，请避免将组织密码保存在其他用户可访问的配置文件中。对于公共或共用设备，请使用经批准的访问安排，并在使用完毕后注销。.

保护金库

将密码管理器视为一个独立的重要账户。.

在工具要求设置主密码或主密码短语时，请使用一个较长且唯一的密码或密码短语。.
在支持的情况下，请启用多因素身份验证（MFA）。.
请保持应用程序、浏览器扩展程序和设备处于最新状态。.
设置自动锁屏功能，并在离开设备时将其锁定。.
在需要之前就制定好恢复方案。.
了解谁可以访问共享凭据，以及谁可以管理组织保险库。.

请将恢复信息安全地存储起来，并将其与需要解锁的保险库分开存放。请勿将其放在通用工作表或普通的共享文档中。.
密码管理器并不能让已遭入侵的设备变得安全，也无法阻止所有的网络钓鱼攻击。请继续使用可信的登录途径，并对异常请求进行核实。.

谨慎共享访问权限

如果某项服务支持个人账户或授权访问，请优先使用这些功能。例如，一名传播志愿者可以通过自己的授权登录账号来管理社交媒体，而无需使用他人的密码。.

何时需要使用共享账户：

请使用组织批准的方法共享其凭据。.
将访问权限限制在需要的人员范围内。.
配置多因素认证（MFA）和账户恢复机制，确保访问权限不依赖于某一个人。.
应将账户用途、负责人及授权用户记录在案。.
当职责发生变更或有人离职时，应重新审查其访问权限。.

将某人从共享保险库中移除，并不会删除其之前查看或复制的密码。在该用户的授权到期时，请更新其已知的共享凭据，并审查其他访问途径，包括已注册的身份验证器和活动会话。.

先用一个账户进行练习

应循序渐进地引入该工具，以便大家能够掌握相关流程。.

01/

选择一款经过认证的密码管理器，并设置保险库保护和恢复机制。.

04/

确认该人员所需的任何其他经批准的设备是否具有访问权限。.

02/

请以影响较小的组织账户为例，练习保存和检索密码。.

05/

从您的库存中转到优先账户。.

03/

生成一个唯一的密码，并确认该账户能否使用该密码登录。.

如果导入现有密码，请注意，导入和导出操作可能会生成未加密的文件。请按照工具的说明操作，限制对这些文件的访问权限，并在确认传输完成后删除临时副本。.

什么时候应该更改密码？

当已知或怀疑密码已泄露、被意外披露，或在受数据泄露影响的账户上被重复使用时，应立即更改密码。当知晓默认密码或共享密码的人员不再具备授权访问权限时，应替换默认密码并更改共享密码。.
通常不建议仅仅因为经过了固定天数就改变常规做法。这样做可能会导致可预测的波动。. NIST 指南当有证据表明系统遭到入侵时，应立即采取措施进行变更，而非仅因常规的定期到期而进行变更。请遵守贵组织必须满足的任何适用要求。.
如果某个账户可能已被入侵，更改密码仅是应对措施的一部分。请通过贵组织的应急响应流程上报该问题，并检查访问权限、账户恢复设置以及当前登录会话。.

一项建议的政策规则

组织账户必须使用唯一的密码。凭证必须通过经批准的方式进行存储，并在必要时通过该方式共享。在支持的情况下，必须使用个人或受权访问。当人员变更职务或离职时，必须审查其访问和账户恢复安排。如怀疑发生信息泄露，必须立即报告。.

在采用此规则之前，请明确经批准的存储和共享方式、由谁负责管理以及人们可以向谁寻求帮助。.

活动

重新审视您的密码管理方式

注意检查是否存在重复使用的密码、仅由一人保管的凭据、通过消息共享的密码，以及存储在个人账户中的组织凭据。.

请记录配置和空格，而不是密码本身！

点击此处下载练习题

您的收获

学习完本节内容后，您应该能够：

一种经批准的组织密码存储和共享方法。.
一项将重复使用的密码替换为唯一密码的计划。.
密码管理器的保护与恢复方案。.
一种在人员离职时维持访问权限并撤销授权的流程。.

接下来，您将了解有助于保障非营利组织设备安全的内置安全措施，以及如何管理谁可以访问其信息和服务。.

第 5 节：确保设备和访问安全

要保护您所在非营利组织的设备，首先要了解其内置的安全功能、这些功能为何重要，以及由谁负责确保这些功能已启用并得到维护。.

参见第5节