Un equip en remot comparteix secrets igual que ho comparteix tot: per xat, entre fusos horaris i sovint des de la taula de la cuina, amb un portàtil que també fa anar el servei de streaming de la família. El costum de l'oficina d'acostar-se a llegir una contrasenya a la pantalla d'un altre ha deixat pas a enganxar-la en un missatge directe, i el missatge directe dura per sempre.
Compartir secrets de manera segura en un equip en remot no demana un gran projecte. Demana un inventari, una regla per triar l'eina, una política prou curta perquè la gent la tingui al cap, l'eina col·locada on l'equip ja treballa i un pla per als dos moments que causen la majoria de filtracions: les baixes i els errors. Aquí teniu aquesta configuració en cinc passos.
Pas 1: sapigueu què protegiu
Dediqueu una hora a fer la llista dels secrets que gestiona l'equip i on és cadascun avui. La majoria d'equips hi troben el mateix:
- Inicis de sessió compartits d'eines SaaS que no admeten inici de sessió únic ni comptes individuals.
- Claus d'API i testimonis de proveïdors de pagaments, correu, núvol i estadístiques.
- Credencials d'infraestructura: contrasenyes de bases de dades, claus SSH, claus de desplegament, claus de signatura, certificats.
- Codis de recuperació i còpies de seguretat de l'autenticació multifactor d'aquests comptes.
- Credencials que proporcionen els clients i que el personal d'assistència necessita per resoldre una incidència.
Per a cadascun, seguiu-ne el camí des que es crea fins a cada lloc on s'ha desat o on s'ha enviat. La llista de fils de xat, aplicacions de notes personals i contrasenyes desades al navegador és el registre de riscos real, i és més llarga del que ningú espera.
Pas 2: una regla per decidir quina eina feu servir
Els equips en remot necessiten dues eines i una regla senzilla per triar entre l'una i l'altra.
| Si el secret | Feu servir | Perquè |
|---|---|---|
| El fan servir diverses persones repetidament | Un gestor de contrasenyes o de secrets d'equip | Accés nominal, revocació, rotació, autenticació multifactor a la caixa forta |
| Es dona una sola vegada a una persona, o és temporal | Un enllaç secret d'un sol ús | Xifrat al navegador, es destrueix en la primera obertura, no en queda res al missatge |
| El llegeix el codi o la integració contínua | El magatzem de secrets de la plataforma o un gestor de secrets | Cap còpia en mans de cap persona |
La caixa forta és el sistema de referència. L'enllaç d'un sol ús és el mecanisme de transferència per a tot el que no encaixa a la caixa forta: el col·laborador extern que no hi entrarà mai, les credencials del primer dia d'una incorporació nova, la contrasenya temporal d'administrador que un company necessita ara mateix, a les 2 de la matinada en el seu fus horari. La guia enllaços secrets o gestors de contrasenyes tracta els casos límit.
Quan avalueu qualsevol de les dues eines, feu-vos quatre preguntes: on es fa el xifratge, qui pot veure el valor sense xifrar, què queda registrat i si es pot revocar. Per als enllaços secrets de LinkPilot, les respostes són: al vostre navegador, ningú tret del destinatari, una cronologia d'auditoria amb el pla Pro, i sí, fins que s'obre l'enllaç. La guia del xifratge al client explica què protegeix el xifratge al navegador i què no.
Pas 3: escriviu una política de tres regles
Qui treballa sol a hores intempestives no llegeix polítiques llargues. Tres regles cobreixen la major part del risc:
- Els secrets no van mai al xat, al correu, a les incidències ni als documents. Ni tan sols «temporalment». Ni tan sols si després els suprimiu. Feu servir la caixa forta o un enllaç d'un sol ús.
- Cada persona té el seu propi inici de sessió allà on el sistema ho permet, amb els permisos que necessita el seu rol. Els inicis de sessió compartits són a la caixa forta amb accés nominal, mai en un missatge fixat.
- Cada lliurament té un responsable i una data de fi. Qui comparteix un secret anota qui l'ha rebut, per què i quan s'acaba l'accés, sense anotar-ne el valor.
Reforceu-les amb autenticació multifactor a la caixa forta i a qualsevol compte que pugui crear o mostrar secrets, i amb uns requisits per als dispositius: xifratge del disc complet, bloqueig de pantalla i cap secret en aplicacions de notes personals ni en contrasenyes desades al navegador i sincronitzades.
Pas 4: poseu l'eina on ja és l'equip
Una política que obliga a obrir una altra pestanya perd contra el costum. Poseu el camí segur dins de l'eina de xat.
- Instal·leu l'aplicació de LinkPilot per a Slack.
/secretus respon en privat amb un enllaç d'un sol ús per publicar al canal.--ttl 1h,6h,24ho7den defineix la caducitat, cosa que importa quan el destinatari dorm. La drecera «Send as secret link» rescata una contrasenya que algú ja ha enganxat i la substitueix per un enllaç. - Definiu l'extensió de navegador de la caixa forta com a opció per defecte, perquè cercar-hi alguna cosa costi menys que demanar-la pel xat.
- Automatitzeu-ho allà on el codi necessita secrets. La integració contínua i els desplegaments els agafen directament del magatzem de secrets, de manera que cap enginyer no ha de copiar mai un valor de producció per enganxar-lo enlloc.
Per a un lliurament entre fusos horaris, la seqüència és aquesta: creeu l'enllaç amb una caducitat de 24 hores, envieu-lo amb una línia que n'expliqui la finalitat, envieu el nom d'usuari i el context en un missatge a part, i demaneu al destinatari que confirmi l'accés quan es connecti. Si l'enllaç indica que s'ha obert abans que hi arribés, roteu la credencial. La guia de credencials entre equips recull el procediment complet de lliurament.
Pas 5: prepareu-vos per a les baixes i les filtracions
La majoria d'exposicions passen en dos moments: quan algú se'n va i quan algú s'equivoca.
Baixes. Tingueu una llista de comprovació: traieu la persona de la caixa forta i de tots els sistemes amb compte individual, roteu qualsevol credencial compartida que hagi pogut veure, revoqueu-ne les claus d'API i les sessions, i comproveu si tenia secrets fora de la caixa forta. Feu-ho el mateix dia, també amb els col·laboradors externs que acaben l'encàrrec sense fer soroll.
Canvis de rol. Un canvi d'equip és una revisió, no un reinici. Traieu l'accés a les col·leccions de la caixa forta de l'equip anterior i a tot allò de producció que la persona ja no toca.
Filtracions. Feu que avisar sigui fàcil i sense culpes. Qui enganxa una clau al canal equivocat ha de poder dir-ho en un missatge i saber què passa després: el responsable rota el valor, actualitza els processos que el fan servir i revisa l'historial d'exportacions del canal. L'únic resultat dolent és la filtració que ningú no esmenta.
Supervisió. Reviseu el registre d'accessos de la caixa forta i les cronologies d'auditoria dels enllaços secrets amb una freqüència adequada a la sensibilitat, i cerqueu visualitzacions a hores estranyes, accessos des de llocs inesperats i comparticions que no corresponen a cap lliurament anotat.
Cinc passos, dues eines, tres regles. Un equip en remot que té tot això en marxa comparteix secrets amb més seguretat que la majoria d'equips d'oficina, perquè el procés no depèn de qui s'asseu a prop.