צוות מרוחק משתף סודות כמו שהוא משתף כל דבר אחר: בצ'אט, בין אזורי זמן שונים, ולא פעם ממטבח הבית, על מחשב נייד שמריץ גם את שירות הסטרימינג של המשפחה. ההרגל הישן מהמשרד, להתכופף ולקרוא סיסמה מהמסך של מישהו, הוחלף בהדבקה של הסיסמה בהודעה פרטית, וההודעה הפרטית נשארת לתמיד.
שיתוף סודות מאובטח בצוות מרוחק לא דורש תוכנית גדולה. הוא דורש רשימת מלאי, כלל אחד לבחירת הכלי, מדיניות קצרה שאנשים זוכרים בעל פה, כלי שנמצא במקום שבו הצוות כבר עובד, ותוכנית לשני הרגעים שגורמים לרוב הדליפות: עזיבות וטעויות. כך בונים את זה בחמישה שלבים.
שלב 1: לדעת על מה מגינים
הקדישו שעה לרשימת הסודות שהצוות מטפל בהם ולמקום שבו כל אחד מהם נמצא היום. רוב הצוותים מוצאים את אותם דברים:
- התחברויות משותפות לכלי SaaS שלא תומכים ב-SSO או בחשבון נפרד לכל משתמש.
- מפתחות API וטוקנים של ספקי תשלומים, אימייל, ענן וסטטיסטיקות.
- פרטי התחברות לתשתית: סיסמאות למסדי נתונים, מפתחות SSH, מפתחות פריסה, מפתחות חתימה, תעודות.
- קודי שחזור וגיבויים של MFA לחשבונות האלה.
- פרטי התחברות שלקוחות מסרו ושצוות התמיכה צריך לטיפול בפנייה.
לכל אחד מהם, עקבו אחרי הדרך מהרגע שנוצר ועד כל מקום שבו הוא שמור או שאליו נשלח. רשימת שרשורי הצ'אט, אפליקציות הפתקים האישיות ומאגרי הסיסמאות בדפדפן היא מרשם הסיכונים האמיתי, והיא ארוכה יותר ממה שמישהו מצפה.
שלב 2: כלל אחד לבחירת הכלי
צוותים מרוחקים צריכים שני כלים, וכלל פשוט לבחירה ביניהם.
| אם הסוד | השתמשו ב | כי |
|---|---|---|
| משמש שוב ושוב כמה אנשים | מנהל סיסמאות צוותי או מנהל סודות | גישה לפי שם, ביטול גישה, החלפה, MFA על הכספת |
| נמסר לאדם אחד פעם אחת, או זמני | קישור סודי חד-פעמי | מוצפן בדפדפן, מושמד בפתיחה הראשונה, שום דבר לא נשאר בהודעה |
| קוד או CI קוראים אותו | מאגר הסודות של הפלטפורמה או מנהל סודות | אין עותק אנושי בכלל |
הכספת היא מקור האמת. הקישור החד-פעמי הוא דרך ההעברה לכל מה שלא מתאים לכספת: הקבלן שלעולם לא יהיה בכספת שלכם, פרטי ההתחברות של עובד חדש ביום הראשון, הסיסמה הזמנית לחשבון ניהול שעמית צריך עכשיו, ב-2 לפנות בוקר לפי השעון שלו. המדריך קישורים סודיים לעומת מנהלי סיסמאות עוסק במקרי הגבול.
כשבודקים כל אחד מהכלים, שאלו ארבע שאלות: איפה מתבצעת ההצפנה, מי יכול לראות את הערך הגלוי, מה נרשם ביומן, והאם אפשר לבטל? בקישורים סודיים של LinkPilot התשובות הן: בדפדפן שלכם, אף אחד מלבד הנמען, יומן ביקורת ב-Pro, וכן, עד שהקישור נפתח. המדריך להצפנה בצד הלקוח מסביר ממה הצפנה בדפדפן מגינה וממה לא.
שלב 3: מדיניות של שלושה כללים
אנשים שעובדים לבד בשעות לא שגרתיות לא קוראים מדיניות ארוכה. שלושה כללים מכסים את רוב הסיכון:
- סודות לא נכנסים לצ'אט, לאימייל, לפניות או למסמכים. גם לא "זמנית". גם לא כשמוחקים אחר כך. השתמשו בכספת או בקישור חד-פעמי.
- לכל אדם יש התחברות משלו כשהמערכת מאפשרת, עם ההרשאות שהתפקיד שלו דורש. התחברויות משותפות נשמרות בכספת עם גישה לפי שם, אף פעם לא בהודעה נעוצה.
- לכל מסירה יש אחראי ותאריך סיום. מי שמשתף סוד רושם מי קיבל אותו, למה ומתי הגישה מסתיימת, בלי לרשום את הערך עצמו.
לצד הכללים האלה, הפעילו אימות רב-שלבי על הכספת ועל כל חשבון שיכול ליצור סודות או להציג אותם, וקבעו דרישות מהמכשירים: הצפנת דיסק מלאה, נעילת מסך, ובלי סודות באפליקציות פתקים אישיות או במאגרי סיסמאות שמסונכרנים בדפדפן.
שלב 4: הכלי צריך להיות איפה שהצוות כבר נמצא
מדיניות שמחייבת לפתוח עוד לשונית מפסידה להרגל. שימו את הדרך המאובטחת בתוך כלי הצ'אט.
- התקינו את אפליקציית LinkPilot ל-Slack. הפקודה
/secretעונה רק לכם, עם קישור חד-פעמי לפרסם בערוץ.--ttl 1h,6h,24hאו7dקובעים את התפוגה, וזה חשוב כשהנמען ישן. קיצור הדרך "Send as secret link" מציל סיסמה שמישהו כבר הדביק ומחליף אותה בקישור. - הגדירו את תוסף הדפדפן של הכספת כברירת מחדל, כדי שיהיה קל יותר לחפש משהו בכספת מאשר לשאול בצ'אט.
- השתמשו באוטומציה בכל מקום שבו קוד צריך סודות. CI ופריסות מושכים ישירות ממאגר הסודות, כך שאף מהנדס לא מעתיק ערך מסביבת הייצור כדי להדביק אותו במקום כלשהו.
במסירה בין אזורי זמן הסדר הוא כזה: צרו את הקישור עם תפוגה של 24 שעות, שלחו אותו עם שורה אחת על המטרה, שלחו את שם המשתמש וההקשר בהודעה נפרדת, ובקשו מהנמען לאשר שיש לו גישה כשהוא מתחבר. אם הקישור מדווח שנפתח לפני שהנמען הגיע אליו, החליפו את הסוד. במדריך פרטי התחברות בין צוותים יש את תהליך המסירה המלא.
שלב 5: תוכנית לעזיבות ולדליפות
רוב החשיפות קורות בשני רגעים: כשמישהו עוזב, וכשמישהו טועה.
עזיבות. החזיקו רשימת בדיקה: הסירו את האדם מהכספת ומכל מערכת שיש בה חשבון אישי, החליפו כל פרט התחברות משותף שהוא יכול היה לראות, בטלו את מפתחות ה-API וההתחברויות הפעילות שלו, ובדקו אם החזיק סודות מחוץ לכספת. בצעו אותה באותו יום, גם לקבלנים שההתקשרות איתם מסתיימת בשקט.
שינויי תפקיד. מעבר בין צוותים הוא בדיקה, לא איפוס. הסירו את הגישה לאוספים של הצוות הקודם בכספת ולכל מה שקשור לסביבת הייצור שהאדם כבר לא עובד איתו.
דליפות. הפכו את הדיווח לקל ונטול האשמה. מי שהדביק מפתח בערוץ הלא נכון צריך להיות מסוגל לומר זאת בהודעה אחת ולדעת מה קורה אחר כך: האחראי מחליף את הערך, מעדכן את המשימות שמשתמשות בו ובודק את היסטוריית הייצוא של הערוץ. התוצאה הרעה היחידה היא דליפה שאף אחד לא מזכיר.
ניטור. בדקו את יומן הגישה של הכספת ואת יומני הביקורת של הקישורים הסודיים בתדירות שמתאימה לרגישות. חפשו הצגות בשעות לא שגרתיות, גישה ממקומות לא צפויים ושיתופים שלא תואמים מסירה שנרשמה.
חמישה שלבים, שני כלים, שלושה כללים. צוות מרוחק שכל אלה קיימים אצלו משתף סודות בצורה בטוחה יותר מרוב הצוותים שעבדו אי פעם במשרד, כי התהליך לא תלוי במי שבמקרה יושב בקרבת מקום.