Que motivo uma empresa pode ter para impedir que os usuários alterem suas senhas?

Question

Se um usuário quiser alterar sua senha, ele deverá permitir que o departamento de TI gere um código aleatório, ou então ele deverá informar a nova senha pelo telefone. De qualquer forma, o departamento de TI aparentemente precisa saber o que é a senha (onde eles armazenam essa informação é desconhecida).

O departamento de TI afirma que esta é a política da empresa, mas não vejo o ponto. Não é como se os usuários pudessem fazer algo para bloquear a empresa.

Na verdade, sinto que isso torna as coisas menos seguras, já que o processo inconveniente torna menos provável que um departamento de TI ocupado chame periodicamente os usuários para realizar uma alteração de senha.

    

Answer 1

Eu sei de uma única razão, e isso é de uma história de horror em que um auditor exigia que a TI apresentasse todas as senhas dos usuários.

Além de alguém seguir cegamente esse conceito de horror (em vez de declarar o auditor horrível incompetente), não há uma única razão pela qual isso seria uma boa ideia.

Apenas para tornar isso um pouco mais explícito:

• Não há motivos para informar sua (s) senha (s) a ninguém. Isso inclui pessoas de TI. Eles podem solicitar que você faça login (e insira a senha enquanto eles não olham para o teclado) para ajudar a solucionar problemas, mas eles nunca devem pedir uma senha.
• O acesso a recursos compartilhados (por exemplo, um colega de trabalho que sai do trabalho) deve ser feito com cuidado. A solução não é obter outra senha de usuário, mas os direitos de acessar os dados necessários. (mais uma vez, NUNCA compartilhe uma senha).
• Nunca diga uma senha para ninguém no telefone. ... Eu acho que poderia continuar, mas não há uma única razão para alguém ter sua senha no trabalho. Nenhum. Nada. Fecho eclair. Zilch Rien.

Bom, agora que está fora do caminho, ypur título era: "Qual a razão de uma empresa ter para impedir que os usuários alterem suas senhas". Eu não consigo pensar em nenhuma razão sensata para isso. Na verdade, alguém precisa gerar uma senha inicial. Se você não puder alterar a senha sem avisar, precisará ir ao escritório de TI, pedir que ela desvie o olhar ou saia da sala e digite sua senha inicial. Você também precisará repetir isso anualmente (ou com mais frequência se você espera que alguém tenha visto você digitar a senha).

Em suma, é totalmente insano.

    

Answer 2

Pode haver motivos parciais para essa política estranha. Às vezes, a rede de sistemas precisa da alteração da senha para se originar em um servidor e se propagar para o restante. Isso pode acontecer se houver uma mistura, como servidores Microsoft e Linux, que possuam sua própria trilha de segurança / auditoria. Isso tem muitos problemas a longo prazo, mas você pode ter mudanças que devem ocorrer em TI. A equipe encarregada do servidor de senha central levou a equipe a trabalhar durante um ano. Não sei por que demorou tanto.

Eu vi coisas muito estranhas do outro lado da TI. Isso pode ser legal, o resultado de contratos com clientes ou outras limitações que possam forçar a TI a ter essa configuração. Às vezes, a TI é informada de que você pode não saber o motivo pelo qual essa configuração ruim está sendo usada. A maioria das regras de RH tem neles, não compartilham o componente de senha.

A última coisa que vi foi quando um Exec quis saber a senha de todos ou ter um programa de monitoramento que precisa da senha de todos. Expliquei que isso não ia acontecer. Eu fui apoiado por um exec mais alto, caso contrário ....