Ubah kata sandi Anda? baik. ubah ssn kamu? Oh sayang...

Saat situs belanja online mengalami pelanggaran data, Anda akan mendapat peringatan untuk mengganti kata sandi. Jika bank Anda diretas, mereka akan mengirimi Anda kartu kredit baru. Masalah sebenarnya terjadi ketika bisnis mengautentikasi Anda menggunakan data pribadi yang tidak dapat diubah, seperti SSN atau tanggal lahir Anda. Sebuah whitepaper baru dari NSS Labs meneliti penggunaan informasi statis dan dinamis untuk otentikasi, dan menawarkan saran bisnis untuk meningkatkan keamanan.

Data Statis

SSN tidak pernah dimaksudkan sebagai pengidentifikasi pribadi. Laporan mencatat bahwa pengidentifikasi setara di Inggris tidak pernah digunakan untuk otentikasi. Setelah SSN Anda terungkap dalam pelanggaran, selamanya dikompromikan. Dan itu masalah.

Beberapa bisnis berusaha melindungi pelanggan dengan hanya menyimpan empat digit terakhir SSN. Ternyata ini tidak terlalu efektif. Lima digit pertama tidak acak; mereka didasarkan pada kapan dan di mana Anda pertama kali melamar SSN Anda. Sebuah proyek penelitian dari lima tahun lalu menganalisis data dari "File Master Kematian" pemerintah dan merancang algoritma untuk memprediksi lima digit pertama itu. Dengan hanya dua upaya mereka berhasil akurasi 60 persen. Jika cybercrooks sudah memiliki empat digit terakhir, SSN Anda akan ditampilkan.

Tanggal lahir adalah datum lain yang tidak bisa diubah. Laporan tersebut mencatat bahwa tempat lahir, jenis kelamin, dan kewarganegaraan juga dapat digunakan untuk otentikasi, dan juga tidak dapat diubah. Selanjutnya dinyatakan bahwa "Perusahaan dan pemerintah harus menahan diri dari menggunakan atribut-atribut ini untuk tujuan keamanan online, meskipun secara historis mereka telah dianggap rahasia."

Data Dinamis

Konsumen perlu menggunakan kata sandi kuat yang berbeda untuk semua situs yang aman, dan bisnis perlu membantu, bukan menghalangi, upaya ini. Laporan ini menyarankan semua bisnis untuk memperbolehkan kata sandi panjang dan menghapus batasan apa pun tentang karakter apa yang dapat digunakan. Sangat mengecewakan ketika situs web menolak kata sandi super-aman yang dihasilkan oleh pengelola kata sandi Anda.

Pengguna yang lupa kata sandi sering kali dapat mengautentikasi ulang dengan memberikan jawaban untuk satu atau lebih pertanyaan keamanan. Meminta informasi yang tersedia untuk umum seperti kota asal pelanggan atau nama gadis ibu adalah kesalahan besar . Bisnis harus memungkinkan pelanggan untuk menentukan pertanyaan mereka sendiri, dan pelanggan harus membuat pertanyaan yang tidak bisa dijawab oleh orang luar. Laporan tidak mengatakan ini, tetapi jika Anda dihadapkan dengan pertanyaan keamanan yang buruk, saya menyarankan Anda memberikan jawaban yang tidak benar namun mudah diingat.

Profil Kriminal

Pengiklan dan bisnis online secara konstan membuat profil konsumen dengan berbagai cara. Mereka berupaya mengidentifikasi pelanggan setia, risiko kredit buruk, bahkan mencari tahu siapa yang sehat dan siapa yang tidak. Kebiasaan belanja Anda mungkin menentukan apakah Anda mendapatkan kupon diskon atau tidak, promosi iklan mana yang hits browser Anda.

Hal yang persis sama terjadi di dunia kejahatan cyber yang teduh. Setiap pelanggaran data memberi orang-orang jahat lebih banyak data, dan dengan menggabungkan hasil dari pelanggaran yang tumpang tindih mereka dapat membuat profil yang sangat akurat. Papan tulis menunjukkan bahwa profil semacam itu sudah ada untuk "jutaan pengguna."

Saran untuk Bisnis

Whitepaper menawarkan sejumlah saran untuk bisnis online. Itu menyarankan menyimpan hanya data pribadi minimum yang diperlukan, dan tidak menyimpan apa pun untuk sekali transaksi. Bisnis harus menghindari penyimpanan data sensitif sebagai teks biasa; khususnya mereka harus menyimpan hash kata sandi, bukan kata sandi. Mereka juga harus memungkinkan pengguna untuk mengakhiri akun, sehingga menghapus semua data pribadi dari sistem, termasuk data yang disimpan dalam cadangan.

Bisnis harus menganggap pelanggaran data akan terjadi. Laporan ini mencatat bahwa dari sepuluh pelanggaran terbesar dalam dekade terakhir, setengahnya terjadi pada 2013. Persiapan untuk pelanggaran mencakup pengaturan saluran komunikasi alternatif untuk setiap pengguna, jika saluran utama dilanggar. Bisnis harus secara proaktif menjangkau setelah pelanggaran, dan menerapkan metode untuk mengautentikasi ulang pengguna yang berisiko, seperti membuat pertanyaan tantangan berdasarkan aktivitas pengguna yang sebenarnya.

Whitepaper lengkap, berjudul "Mengapa Pelanggaran Data Anda Adalah Masalah Saya, " menawarkan banyak informasi yang berguna dan dapat ditindaklanjuti, dan secara mengejutkan dapat dibaca. Silahkan lihat.