Dlaczego SSPR zawodzi i co możemy z tym zrobić?
Data publikacji: 09.04.2021
Wiele rozwiązań do samoobsługowego resetowania haseł (SSPR) ma bardzo niskie wskaźniki adaptacji użytkowników, nawet bliskie 20 procent. Warto zrozumieć, dlaczego tak jest, jeżeli chcemy je ulepszać i zoptymalizować ich zastosowanie biznesowe. Ten artykuł pomoże Ci zrozumieć problemy związane ze stosowaniem SSPR i dowiedzieć się, gdzie szukać ulepszeń.
Zdarza się, że pracownicy nie pamiętają haseł lub zostają zablokowani, a to oznacza dla nich stratę czasu i produktywności, a dla działu IT – dodatkową pracę. W takim przypadku rozwiązaniem są narzędzia do samoobsługowego resetowania hasła (SSPR), które możemy obecnie znaleźć w ofercie wielu dostawców (często jako część innego produktu). Rozwiązania SSPR są teraz dostępne dla Microsoft Azure, ServiceNow i innych pakietów ITSM, a wiele rozwiązań do zarządzania tożsamością zintegrowało SSPR z takimi pakietami.
W wielu firmach rozwiązanie SSPR nie jest używane tak często, jak powinno. Według badania przeprowadzonego przez Service Desk Institute wśród jego członków, mniej niż 10 procent organizacji stosujących rozwiązania SSPR osiągnęło minimum 70 procent wykorzystania (mierzonego jako odsetek samoobsługi). Zdecydowana większość osiągnęła mniej niż 40 procent wykorzystania.
Proste drzewo decyzyjne może pomóc nam zrozumieć problemy, z jakimi borykają się użytkownicy SSPR:
- Rejestracja: Użytkownicy muszą udostępnić dane osobowe i osobiste w celu weryfikacji przez SSPR. Tylko 60 procent użytkowników przechodzi ten etap, co oznacza, że 40 procent z nich porzuca działanie i kontaktuje się z biurem obsługi klienta.
- Praktycznie rzecz biorąc, wszystkie rozwiązania SSPR obejmują jedynie hasła Windows, natomiast wiele organizacji posiada hasła aplikacji z SAP, Oracle, IBM, LDAP i tak dalej. W takich przypadkach samoobsługowy reset haseł jest niemożliwy, więc w kolejnym etapie 40 procent użytkowników porzuca działanie i dzwoni do działu obsługi.
- Weryfikacja jest łatwa do przeprowadzenia, jeśli użytkownik posiada zaakceptowany token. Najczęściej kody weryfikacyjne dostarczane są za pomocą wiadomości SMS, ale także przy użyciu innych aplikacji. Może się jednak zdarzyć, że użytkownik z jakichś powodów nie ma dostępu do zarejestrowanego tokena.
- Ostatecznością są odpowiedzi na prywatne pytania typu „Jaki był Twój pierwszy samochód?” lub „Jaki jest Twój ulubiony dodatek do pizzy?”. Jeśli jednak użytkownicy nie pamiętają swoich odpowiedzi lub niepoprawnie je przeliterują, muszą zadzwonić do biura obsługi.
W powyższym scenariuszu tylko 22,5 procent użytkowników przeprowadza samoobsługę haseł, a pozostałe 77,5 procent dzwoni do biura obsługi!
Dodatkowe kwestie:
- Czy użytkownik będzie wiedział, co ma zrobić? Potrzeba resetowania hasła może pojawiać się bardzo rzadko, więc istnieje ryzyko, że użytkownik zapomni, co ma zrobić i zadzwoni do działu obsługi klienta.
- Wielu z nas pracuje w domu. Czy rozwiązanie może zresetować hasło lokalne na naszym komputerze przenośnym? Okazuje się, że większość rozwiązań nie może tego zrobić, w takim przypadku należy przywrócić komputer do domeny naszego biura i poprosić zespół IT o pomoc.
Jeśli tylko około 20 procent wszystkich problemów z hasłami jest obsługiwana samodzielnie przez użytkowników, pytanie brzmi: czy naprawdę warto mieć i utrzymywać rozwiązanie SSPR?
Jednak lepsze pytanie brzmi: czy możemy uzyskać adaptację rozwiązania wśród użytkowników powyżej 80 procent? Wtedy będzie to miało sens!
Jak zapewnić sukces SSPR?
Eksperci FastPassCorp w nawiązaniu do wielu lat pracy z projektami SSPR wysuwają wniosek, że adaptacja użytkowników może przekroczyć nawet 90 procent, ale wymaga dobrego wewnętrznego procesu i odpowiedniej funkcjonalności w stosunku do produktu SSPR. Jako studium przypadku przyjrzyjmy się nowemu rozwiązaniu FastPass V4 SSPR, które zapewnia kilka nowych funkcji.
- Rejestracja: większość użytkowników będzie musiała zarejestrować się podczas logowania do systemu Windows - po prostu nie ma sposobu, aby tego uniknąć. Użytkownicy, którzy nie mają komputera w domenie, zostaną zaproszeni e-mailem. Ten proces przebiega automatycznie, dopóki użytkownik się nie zarejestruje - prawie w 100 procentach. Dopóki użytkownik nie jest zarejestrowany, nie może zadzwonić do biura obsługi, więc o pomoc musi poprosić managera lub zaufanego współpracownika.
- Portal FastPass V4 może resetować hasła do dowolnej aplikacji korporacyjnej - użytkownik po prostu wybiera typ hasła, które chce zresetować.
- Przedsiębiorstwa mogą korzystać z wielu różnych typów tokenów: Smartcard, Microsoft Authenticator, Duo, telefony komórkowe, urządzenia RSA i tak dalej. FastPass V4 obsługuje je wszystkie i wiele więcej, a użytkownik może dowolnie wybrać ten, do którego akurat ma dostęp!
- Opierając się na wieloletnim doświadczeniu, FastPass ma zalecenia dla klientów, które pomogą zwiększyć szanse użytkowników na udzielenie odpowiedzi na pytania i zapewnią im bezpieczeństwo. Jednym z elementów są pytania własne użytkowników, dzięki któremu mogą generować od jednego do dwóch pytań osobistych.
- Nowym elementem FastPass V4 jest „Zatwierdzenie przez menedżera” lub „Zatwierdzenie przez zaufanego współpracownika". Jeśli któryś z nich jest dostępny i może sprawdzić, czy użytkownik naprawdę prosi o nowe hasło, może je zatwierdzić - nawet jeśli wszystko inne zawiodło i nawet jeśli użytkownik nie został zarejestrowany!
Na powyższej ilustracji tylko 7,1 procent wszystkich zgłoszeń kierowanych jest do punktu obsługi, a 92,9 procent rozwiązywanych jest samodzielnie.
Gdy punkt serwisowy potwierdzi, że jest to prawdziwy użytkownik, zostanie on poproszony o zresetowanie hasła samodzielnie w FastPass, aby upewnić się, że został zarejestrowany poprawnie i może utworzyć nowe hasło zgodnie z firmową polityką dotyczącą haseł. Nawet użytkownicy komputerów zdalnych automatycznie zresetują hasło lokalnego komputera w ramach procesu samoobsługi.
Kluczową kwestią dla bezpieczeństwa korporacyjnego jest to, jak bronić dział obsługi przed atakami socjotechnicznymi. Hakerzy mogą zadzwonić do biura obsługi i podszyć się pod prawdziwego użytkownika, aby uzyskać hasło. Dobrzy hakerzy mają doświadczenie w technikach socjotechnicznych i często potrafią nakłonić pracowników działu obsługi do pomocy.
FastPass V4 z programem Identity Verification Manager (IVM) ochroni użytkowników, pracowników działu obsługi klienta i firmę przed takimi atakami typu „vishing” (phishing głosowy!).
Źródło: www.fastpasscorp.com/blog
Autor: Ana Zamora (FastPassCorp)
Kliknij tutaj, aby dowiedzieć się więcej o rozwiązaniach FastPassCorp.
