Mengapa pendaftaran VPN meminta Anda datang ke kantor

Diminta hadir secara langsung untuk akun VPN terasa seperti batasan teknis, dan sama sekali bukan demikian. Protokol terowongan tidak punya pendapat tentang di mana Anda berdiri. Yang diterapkan kunjungan adalah keputusan tentang identitas: seseorang di organisasi harus yakin bahwa orang yang menerima kredensial adalah orang yang tercatat. Memahami keputusan mana yang membutuhkan jaminan itu adalah yang mengubah perdebatan tentang perjalanan menjadi masalah yang bisa dipecahkan.

Tiga permintaan yang tampak serupa

Karyawan baru perlu identitasnya ditetapkan, kelayakannya dikonfirmasi, dan aksesnya disetujui, dan tidak satu pun dari itu berasal dari permintaan sertifikat atau nama tampilan dalam email. Pengguna yang sudah ada dan mengganti kata sandi memerlukan cara yang disetujui untuk mengautentikasi perubahan, yang merupakan pertanyaan lain lagi. Siapa pun yang kehilangan semua pengautentikasi yang diterima memerlukan pemulihan, dan itu yang paling berbahaya dari ketiganya, karena orang yang meminta bisa jadi penipu yang berusaha mengganti bukti yang biasanya akan menghentikannya.

Kasus-kasus itu seharusnya tidak berbagi satu prosedur informal secara default. Memiliki nomor karyawan atau akses ke kotak surat yang belum terverifikasi bukan pengganti pemeriksaan yang dipilih organisasi.

Apa yang dibuktikan kunjungan dan apa yang tidak

Pembuktian identitas adalah proses dengan tahapan, bukan tempat. Panduan seperti panduan pembuktian identitas NIST memisahkan penyelesaian identitas, validasi bukti di baliknya, dan verifikasi bahwa pemohon adalah orang yang dijelaskan bukti tersebut. Setiap tahap bisa dengan atau tanpa kehadiran, jarak jauh atau di tempat, dan jaminannya bergantung pada bagaimana semuanya dilakukan. Melewati satu tahap adalah keputusan tentang risiko, bukan jalan pintas administratif.

Berdiri di kantor tidak dengan sendirinya menjalankan satu pun dari tahapan itu. Panggilan video juga tidak dengan sendirinya menjalankan satu pun dari itu, karena itu proses jarak jauh tidak otomatis lebih lemah dan proses di tempat tidak otomatis lengkap.

Jaminan dibawa oleh operator terlatih, penanganan bukti, dan kontrol teknis, dan lokasi hanya membatasi bagaimana semuanya dapat diterapkan. Meja di kantor dengan operator yang tidak terlatih bukan proses yang kuat.

Minta alternatif yang disetujui

Jika perjalanan benar-benar tidak praktis, tanyakan kepada pemilik yang ditunjuk apakah sudah ada metode jarak jauh atau pemulihan yang disetujui. Jangan menegosiasikan pengecualian dengan administrator perorangan, karena itu menghasilkan kredensial yang tidak dapat diaudit siapa pun dan preseden yang tidak disetujui siapa pun. Jalur yang disetujui biasanya terdokumentasi, bahkan ketika belum ada yang memintanya baru-baru ini.

Di mana langkah di tempat diwajibkan, cari tahu persis tahap mana yang dipenuhinya. Kunjungan yang memverifikasi bukti adalah persyaratan berbeda dari yang menyaksikan tanda tangan, dan keduanya memiliki alternatif yang berbeda.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Jaga tahap-tahap berikutnya tetap eksplisit

Verifikasi bukan akhir proses. Persetujuan akses, pengikatan kredensial, dan pengiriman masing-masing memerlukan catatannya sendiri, dan cakupan perangkat serta sumber daya yang dimaksud harus dituliskan, bukan diasumsikan.

Pertahankan juga jalur pemulihan yang diotorisasi, karena pengguna yang tidak dapat memulihkan akan menemukan jalur informal. Tangani kredensial yang terekspos melalui proses penghapusan yang sebenarnya. Kunjungan yang selesai atau perubahan kata sandi tidak dengan sendirinya mencabut sesi aktif lain, dan di celah itulah sebagian besar insiden berlanjut.

Pertanyaan yang harus dibawa kembali kepada pemilik karena itu sempit: keputusan mana yang membutuhkan jaminan langsung, dan apa cara yang disetujui untuk mencapai jaminan yang sama ketika perjalanan mustahil. Pertanyaan itu bisa dijawab, sedangkan keluhan tentang perjalanan tidak.