Se non dovessi mai dire a un amministratore la mia password (poiché è stata data risposta alla domanda citata) non c'è motivo per cui un amministratore conosca la mia password anche all'inizio del mio lavoro in quell'azienda

Uno dei motivi principali di questa regola è che gli amministratori non dovrebbero accedere ai tuoi dati riservati come e-mail, ecc ... Poiché all'inizio non ci sono dati associati all'account, questo non è un problema.

generano una password per l'utente (NON una modifica al primo accesso)

L'utilizzo di una password di accesso singolo chiedere una normale password prima di poter modificare la configurazione. Quindi è necessaria una password prima di accedere alla configurazione.

Sospetto comunque che la maggior parte dei sistemi legacy consenta agli amministratori di reimpostare le password con grande libertà. È una pratica accettata?

Questa è una pratica accettata. Non i vecchi sistemi ma i sistemi più recenti come Office 365 consentono anche agli amministratori di reimpostare la password degli utenti senza avvisare l'utente. Tuttavia, qualsiasi ripristino di questo tipo viene registrato nel sistema e l'amministratore sarà ritenuto responsabile per eventuali problemi.

Si noti inoltre che non tutte le configurazioni possono essere modificate a livello di amministratore. Alcune cose possono essere eseguite solo dall'utente. Invece di dire a ogni utente di eseguire una serie di passaggi, lo fanno in anticipo.

Alcuni altri problemi di condivisione di una password non si applicano qui come

A rispondi ad alcuni commenti,

Ho il sospetto che "all'inizio non ci siano dati associati all'account" non è assolutamente vero: potrei avere delle email nella mia casella di posta (qualcuno potrebbe aver inviato il mio alcune informazioni riservate al mio indirizzo email, perché la casella di posta è stata attivata prima del mio primo accesso)

di Diego Pascotto

L'ID posta non deve essere condiviso con nessuno dagli amministratori prima della configurazione. La cassetta postale deve essere stata attivata durante la configurazione di Outlook. Gli ID email vengono condivisi solo dopo aver impostato la password di accesso singolo. Inoltre, come sottolineato da James Snell, è improbabile ricevere un'email entro pochi minuti dalla creazione dell'account.

Un'azienda competente dispone di immagini, procedure, tramite automazione che si prendono cura di queste cose senza mai accedere come nuovo utente in qualsiasi momento.

di Sokel

Le piccole aziende non sempre investi nell'automazione. Se un'azienda assume circa 10 dipendenti all'anno e ciascuno con un ruolo diverso, lo sforzo richiesto per portare l'automazione e mantenerlo sarà maggiore dello sforzo manuale. L'automazione vale lo sforzo solo quando si ha un lavoro che viene svolto ripetutamente in gran numero. In altre parole, lo sforzo richiesto per l'automazione dovrebbe essere inferiore a quello richiesto per il lavoro manuale

Se l'amministratore ha avuto accesso non monitorato al tuo account in qualsiasi momento; avrebbero potuto impostare qualsiasi cosa sotto il tuo nome, impedendo loro di restituire loro.

di UKMonkey

Qualsiasi azione intrapresa dagli amministratori durante questo periodo possono essere ricollegati ad essi in quanto è chiaro che l'account non viene consegnato all'utente fino a quando l'utente non reimposta la password utilizzando la password single sign-on.

In una piccola azienda, è probabile che l'amministratore che configura la macchina di un nuovo dipendente sia anche l'amministratore delle email e dei document server dell'azienda. In tal caso, l'amministratore è già in grado di leggere le tue e-mail o inviare un'e-mail come te in ogni momento senza mai aver bisogno di accedere alla tua macchina.

Se questo è il caso, non ci sono nuovi problemi di sicurezza qui, anche se è vero che la pratica è un po 'superflua. In teoria, un amministratore non dovrebbe mai aver bisogno di accedere al tuo account utilizzando una password attiva; possono invece accedere come account amministratore e fare praticamente tutto ciò di cui hanno bisogno da lì.

In pratica, a meno che il tuo team IT non sia abbastanza esperto da essere in grado di configurare nuove macchine ripetibili, correttamente e in modo affidabile ogni singola volta, è spesso molto più facile accedere come utente per testare l'installazione ed eseguire alcune configurazioni che sono semplicemente più facili da eseguire come utente effettivo piuttosto che cercare di simulare l'effetto mentre si effettua l'accesso come amministratore. Molti sistemi aziendali sono progettati per consentire agli amministratori di essere in grado di reimpostare la password di un altro utente o impersonare un altro utente senza la password dell'utente, spesso questo viene registrato per consentire l'audit, ma nelle aziende più piccole, lo stesso amministratore probabilmente ha anche accesso al sistema in cui si trovano può manomettere il registro di controllo.

Il motivo principale per l'adagio "non dire mai a un amministratore la mia password" è per evitare che gli utenti cadano vittime dell'ingegneria sociale, perché se all'utente viene detto tutto il tempo che un vero L'amministratore non avrebbe mai bisogno o chiesto la tua password, diventa una risposta automatica che solo qualcuno che finge di essere un amministratore avrebbe mai bisogno di chiederti la tua password. Il motivo secondario è che molte persone riutilizzano la propria password; in tal caso potrebbero condividere molto di più di quanto si rendano conto. Nessuno di questi si applica in questa situazione.

Affronterò questa domanda da una direzione diversa.

La tua domanda si basa sul presupposto che l'account sia responsabilità e / o proprietà del nuovo utente nel momento in cui viene creato, ma non è proprio vero.

Quando l'account viene creato, appartiene al reparto IT, non all'utente .

La configurazione iniziale che descrivi avviene prima che il nuovo utente prenda possesso dell'account.

Il fatto che l'account abbia il nome del nuovo utente non cambia questo. L'amministratore potrebbe creare un account per Paperino e successivamente modificare il nome con quello del nuovo utente.

L'utente prende possesso dell'account e ne diventa responsabile solo quando effettua il login e assegna la propria password. Questa è la consegna dell'account.

Supponi di ordinare una pizza per la consegna. Il negozio scrive il tuo nome e inizia a cucinare la pizza. Potrebbero metterci sopra le guarnizioni sbagliate, bruciarlo o lasciarlo cadere. È un problema di sicurezza, perché hanno accesso alla tua pizza? No, perché non è ancora la tua pizza . Non ti è stato consegnato. Se il negozio commette un errore, è responsabile della correzione.

Dopo averlo pagato e preso in consegna, diventa una tua responsabilità. Se lo lasci cadere o lo lanci al tuo vicino, la pizzeria non è responsabile.

Per quanto riguarda i problemi relativi all'email, se l'email è presente nell'account prima del primo accesso dell'utente, non importa, perché non è ancora la sua email. L'email non è comunque sicura , è facilmente visualizzabile da qualsiasi numero di persone. Inoltre, nella maggior parte delle giurisdizioni, la posta elettronica aziendale è di proprietà dell'azienda, non dell'individuo.

In genere si consiglia di utilizzare un account personale per tutto ciò che fai. I log mostreranno chi ha fatto cosa. Ecco perché gli amministratori non accedono tutti solo con "root" o "Administrator", ma hanno i propri account: puoi dire chi ha fatto cosa e puoi facilmente revocare le credenziali dell'amministratore senza cambiare la password per tutti gli amministratori.

Gli utenti hanno problemi a scegliere password sicure. Se hanno memorizzato alcune password complesse e le usano per tutto, probabilmente puoi già considerarlo un utente superiore alla media. Se gli amministratori conoscono la password dell'utente, potrebbero essere in grado di accedere agli account privati ​​dell'utente (come l'email personale, il servizio di streaming musicale, qualunque cosa). L'amministratore può sempre impersonare un utente: può reimpostare la password, e spesso è anche possibile accedere semplicemente come quell'utente senza conoscere la password. Su sistemi unix-like, puoi eseguire il comando su john per accedere come john: se sei un utente normale, ti chiederà la password di john; se sei root, ti accederà come john senza bisogno della loro password. Questo non è raccomandato per il motivo menzionato nel primo paragrafo, ma è totalmente possibile su molti sistemi.

L'ultima informazione rilevante è che le cose sono più facili da configurare dall'utente che ne ha bisogno. Se John ha bisogno di Outlook, puoi scrivere uno script e programmarne l'esecuzione al primo accesso. Nelle organizzazioni più piccole, tuttavia, potrebbe essere più efficiente accedere una volta sola come John e configurare Outlook manualmente. Windows in particolare non si presta bene per lo scripting: la maggior parte è possibile, ma non è ben consolidato e alcune cose sono ancora accessibili solo tramite l'interfaccia utente grafica (GUI).

In conclusione, supponendo che questa sia la procedura stabilita, non vedo alcun rischio in essa. Gli amministratori possono comunque accedere come qualsiasi utente, quindi non ottengono ulteriori privilegi tramite esso. Inoltre non stanno imparando la password personale dell'utente. L'unico problema è che i log mostreranno brevemente attività con il nome sbagliato, ma non vedo alcun vantaggio per un amministratore malintenzionato: ci sono mille altri modi (più semplici) per fare cose dannose.

la configurazione fatta da admin COME UTENTE è una pratica accettabile?

Sì, lo è.

Come con tutte le pratiche dipendono dal contesto. Ma in generale questa è una pratica comune e accettabile, dato che hai un livello base di fiducia nei tuoi amministratori e non un livello molto alto di necessità di sicurezza, come quando proteggi i segreti di stato.

Va ​​bene , nonostante la regola generale, perché inizialmente il tuo account non contiene dati sensibili. Sebbene vi sia un breve lasso di tempo in cui la posta potrebbe arrivare, prima di modificare la password, è in genere così improbabile che a) sia il caso eb) contenga dati veramente sensibili che di solito non è considerato un problema.

Tieni presente che molte aziende mantengono il diritto di accedere comunque alla tua posta e / o ai file sulla tua macchina di lavoro . Sebbene le società etiche proteggano tale accesso richiedendo la tua presenza o la presenza di almeno due amministratori quando accedono al tuo account, per assicurarti che agiscano solo in linea con il loro compito amministrativo , per esempio rimuovere un virus, cercare un file assolutamente necessario durante le vacanze, ecc. Le stesse garanzie potrebbero essere in atto per questo breve periodo in cui hanno accesso diretto al tuo nuovo account.

Nota che devi fidarti del tuo dipartimento di amministrazione in generale: potrebbero semplicemente installare un sistema danneggiato comunque. Tuttavia, il rischio di furto d'identità nel breve lasso di tempo è minimo, poiché risulta chiaro dal contratto e dalla data e ora della modifica della password iniziale, da quando avevi il controllo del tuo account.

Se la pratica è accettabile senza ulteriori garanzie, ad es. Il principio dei 4 occhi, dipende dalle esigenze di sicurezza della tua azienda / lavoro. Più la sicurezza è cruciale, più rigorose devono essere le protezioni e più si mirerebbe ad automatizzare questi processi per ridurre al minimo la finestra di opportunità per chiunque possa danneggiare la tua macchina / account o ottenere l'accesso temporaneo ai tuoi dati. Nota che quest'ultimo può essere ottenuto anche semplicemente attivando il tuo indirizzo di posta dopo aver reimpostato la password.

Accettabile ma non ideale

Affinché ciò sia accettabile, dovrebbe essere parte di una procedura documentata. Questo serve per spiegare il motivo del comportamento e per precludere qualsiasi accusa di scorrettezza.

I documenti sono generalmente approvati quando firmati o altrimenti finalizzati, quindi questo stabilirebbe anche l'approvazione ufficiale della pratica.

Better Idea ...

Se ci sono azioni che devono essere eseguite con le credenziali dell'utente, è preferibile automatizzare il processo. L'automazione può assumere la forma di uno script, una procedura guidata di configurazione o un portale self-service --- qualunque cosa l'organizzazione preferisca.

Ciò offre molteplici vantaggi:

Primo l'interazione dell'utente è ridotta al minimo per evitare errori di configurazione. In secondo luogo, il "tempo di contatto" dell'amministratore è ridotto. Terzo, la configurazione non subirà errori umani o incongruenze tra le distribuzioni. Infine, le tue preoccupazioni sull'utilizzo dell'account saranno eliminate.

Avvertenze

Sono necessarie competenze aggiuntive per l'automazione (rispetto all'installazione manuale) e la tua organizzazione potrebbe non avere queste capacità. Alcune piattaforme sono difficili da automatizzare, sebbene questo sia meno problematico di quanto non lo fosse in passato. Oppure l'azienda potrebbe semplicemente non comprendere i vantaggi dell'automazione.

Ciò che manca alle altre risposte IMO è:

Perché questo processo non è automatizzato?

Il provisioning degli account utente (indipendentemente dal sistema operativo) non è niente di quello che un amministratore dovrebbe fare a mano più e più volte. La configurazione iniziale di un account utente e il provisioning del software possono essere effettuati tramite automazione. Anche l'impostazione della rispettiva password dell'account utente verrà eseguita automaticamente. Dovrebbe essere "modifica dopo il primo utilizzo". Questo processo di automazione deve essere riesaminato regolarmente e deve essere implementato con il principio dei quattro occhi.

Tutto ciò che un amministratore fa su una macchina deve essere registrato . Se un amministratore si limita a vagare liberamente su un sistema prima del provisioning, è inevitabile che si verifichino scenari di "cattivo amministratore".

Modifica:

poiché questa risposta ha suscitato qualche conversazione, lasciatemi aggiungere quanto segue:

Di seguito sono riportati alcuni strumenti per fornire immagini Windows all'hardware aziendale, per Windows 8 Microsoft Deployment Toolkit e System Center Configuration Manager per Windows 10. Questi strumenti sono strumenti ufficiali di Microsoft, sono gratuiti (per quanto ne so) e dal primo sguardo abbastanza ben documentati. Qui puoi implementare e documentare facilmente tutti i processi per il provisioning di Windows 8/10 sull'hardware aziendale. Tutti gli accessi amministrativi a una macchina dovrebbero essere effettuati tramite strumenti come questi e dovrebbero essere registrati con un server di registrazione. Quindi ci sono meno possibilità per un singolo amministratore di manipolare una singola macchina.

Se un amministratore gestisce ogni macchina a mano, 1) la manipolazione è possibile e 2) gli errori sono destinati a verificarsi. Un processo automatizzato può essere rivisto e verificato, un processo manuale è impossibile da controllare.

L'impegno per strumenti come questi è un passo verso un provisioning più sicuro dei sistemi operativi e degli account utente in un ambiente aziendale.

Sembra che qui ci sia un presupposto errato, che un PC portatile di proprietà di un datore di lavoro e un account di posta elettronica fornito e pagato da un datore di lavoro in un certo senso appartengano al dipendente. Non lo fanno! La situazione è che sei impiegato e pagato per far funzionare le loro apparecchiature e per elaborare i loro dati. (Idem, gli amministratori di sistema).

Quindi l'unico modo per essere certi della privacy è gestire questioni private su hardware di tua proprietà. Il tuo telefono cellulare connesso alla rete mobile è probabilmente quel dispositivo, mentre sei al lavoro. Se il tuo datore di lavoro consente l'uso personale della sua connessione a Internet in generale, la comunicazione sicura (https) con un account personale su un servizio di posta elettronica esterno come Gmail è quasi altrettanto sicura, purché ti fidi del tuo datore di lavoro di non farlo fare qualsiasi cosa palesemente immorale come installare un keystroke-logger sul tuo PC di proprietà del datore di lavoro per intercettare la tua password privata e un registratore dello schermo per consentire al datore di lavoro di guardare il tuo schermo in un secondo momento. Nell'UE ciò sarebbe palesemente illegale a meno che le politiche dei datori di lavoro (di cui sei stato informato e che fanno parte del tuo contratto di lavoro) non lo avvertano. È probabile che sia illegale anche se lo fanno, a meno che tu non stia lavorando in un ambiente particolarmente sensibile (nel qual caso è probabile che qualsiasi uso personale dell'hardware del datore di lavoro sia vietato per ragionevoli motivi di sicurezza).

Gli amministratori di sistema sono pagati dal datore di lavoro per mantenere le proprie risorse in conformità con le sue politiche. Queste politiche dovrebbero essere conformi alla legge. Quindi nell'UE c'è un'aspettativa di privacy rispetto alle e-mail, coperta dalle azioni necessarie per l'esecuzione del datore di lavoro. Quindi un amministratore di sistema potrebbe dover guardare le e-mail "private" per amministrare un sistema di server di posta, ma non dovrebbe mai rivelare o agire su ciò che vede a meno che non riveli una grave cattiva condotta o un crimine. Certamente non dovrebbe mai guardare deliberatamente le e-mail al di fuori delle politiche stabilite dal datore di lavoro e note al dipendente.

Ma un amministratore di sistema cattivo o corrotto è privilegiato, quindi non c'è nulla da cui puoi proteggerti lui. Se non ti fidi completamente del tuo datore di lavoro, almeno non utilizzare il suo hardware per scopi privati ​​che ti farebbero male se fossero resi pubblici. Al massimo, dovresti cercare un nuovo lavoro!

Di passaggio, sono un amministratore di sistema di una piccola azienda e imposto i PC più o meno come descritto. In un precedente datore di lavoro, era s.o.p. per inviare una singola e-mail dal PC appena configurato all'account e-mail aziendale dell'amministratore di sistema, rispondere a questa e cancellare la risposta, per assicurarsi che tutto funzioni correttamente. Era anche s.o.p. per inviare un'e-mail più lunga dall'amministratore di sistema all'account del dipendente appena creato, generalmente accogliendolo nell'organizzazione e fornendo informazioni standard su come iniziare. Li aspetterebbe dopo il primo accesso, reimpostando la password.

Mi sembra che questa domanda sottolinei semplicemente la dicotomia tra "come vorremmo che funzionasse" e "come funziona veramente".

In un momento storico, scommetto che i ragazzi IT hanno impostato un laptop per un dirigente. Quando hanno passato il laptop, il dirigente si è arrabbiato perché non funzionava o necessitava di una configurazione aggiuntiva. Quindi, vengono sgridati, e probabilmente è stato allora che è iniziata una politica di "accedere e assicurarsi che sia completamente configurato e funzionante prima del trasferimento".

È l'ideale? No. Ma nessuno in IT è mai sorpreso dalla quantità di sistemazioni che l'IT offre per far funzionare le cose senza intoppi in un'azienda, soprattutto quando ha un impatto sui superiori.

È un po 'come il modo in cui un appaltatore ottiene assunto, ma continua a dare cattive notizie al noleggiatore che sarà fuori mercato ... beh, un reparto IT che continua a gestire le cose come da manuale e sconvolgere le persone che li assumono alla fine verrà sostituito.

IT sta spesso camminando su gusci d'uovo e deve scegliere le sue battaglie.

Configurare un laptop e accedervi per eseguire eventuali post-setup per programmi dispari e ricontrollare per far funzionare tutto (QA) prima del passaggio di consegne ... è qualcosa per cui IT ha appena fatto una concessione per semplificare la vita di tutti. Finché gli amministratori IT erano gli unici a farlo, era una "scommessa sicura" da fare.

Ma, quando i dirigenti chiedono a qualcuno di accedere per loro e di lavorare (a cui, l'amministratore potrebbe essere risucchiato a cucinare i libri per qualcuno senza rendersene conto) .. o un dirigente / manager che chiede all'IT di rilassarsi su una politica intesa a proteggere gli utenti da se stessi, o proteggere i server dai virus (ad esempio: "lascia che la mia gente mantenga le proprie password sui post-it accanto al computer "... ehm, no.)

Devi scegliere le tue battaglie. Puoi controllare le policy tutto il giorno e, in effetti, se continui a scavare nella policy, ti sentirai frustrato nel vedere tutte le piccole consolazioni che il reparto IT sta dando per mantenere le cose senza intoppi.

L'altro problema con questo è che, mentre il reparto IT si consola, può essere visto come un gruppo disposto a piegare le regole .. quindi alcune persone potrebbero non prendere le regole così seriamente, o aspettarsi che le pieghino al punto di rottura.

Quindi, IT, proprio come la filosofia Jeet Kun Do di Bruce Lee è "essere come l'acqua". Vuoi soddisfare i bisogni e i desideri dell'azienda per cui lavori per far sì che le cose vadano bene, soddisfacendo anche il tuo scopo principale. Ma vuoi anche essere una forza da non sottovalutare se qualcuno ti spinge in una direzione che è chiaramente dannosa per se stesso o per l'azienda.

Questo è il motivo per cui le aziende hanno un delicato equilibrio. Vuoi assumere persone affidabili nel settore IT. Preferirei dipendenti IT mediocri di cui mi fido, quindi le rockstar che temo trovino modi per sottrarre denaro o sfruttare i server per lavorare su contratti di notte.

D'altra parte, Inoltre, non voglio che il personale esecutivo pensi di poter camminare dappertutto. Avere a che fare con l'IT dovrebbe essere come trattare con la polizia. Devono essere affidabili da avere abbastanza potere per respingere le persone che sono arroganti, ma anche abbastanza affidabili da non abusare del loro potere.

Quindi, tl; dr ... penso che tu " ti stai bloccando su una politica che non sembra ideale da un punto di vista accademico / ideale, ma probabilmente è nata da un passo falso del passato e ora agisce come il reparto IT abbastanza attento a controllare le cose prima di consegnarle alla cieca.

Acquisti una nuova macchina. Almeno una volta all'anno lo porti da un meccanico per la manutenzione (controllo olio ecc.). La maggior parte di noi darà una chiave al meccanico e andrà a fare qualcosa (shopping, caffè, ecc.). Hanno un accesso completo alla tua auto. Possono fare qualsiasi cosa. Lo consideri un grosso problema, dato che potresti lasciare / dimenticare il tuo laptop privato / da ufficio all'interno o alcuni documenti personali o .... ??

Proprio come la manutenzione della tua auto, preparare il tuo account è qualcosa che deve essere fatto. Puoi sederti, guardare e fingere di sapere cosa stanno facendo o lasciarli fare da soli, fidandosi di loro che sono professionisti e sanno cosa stanno facendo.

In caso di trasferimento a un nuovo lavoro, sarei più preoccupato per la mia casella di posta piena lasciata sul vecchio lavoro che vuota per un nuovo lavoro.

Essere paranoici è abbastanza OK, fintanto che sei sicuro di sapere perché sei paranoico.

Questo mi ricorda una barzelletta sul GDPR:
Nell'ambulatorio del medico, l'infermiera esce dicendo: "A causa del GDPR non posso dì i tuoi nomi in pubblico, ma quello con la sifilide può andare dal dottore .... "