Va bene che un amministratore di sistema conosce la password per un nuovo arrivato / agisce come utente (immediatamente dopo il suo reclutamento)?

If I should never tell an admin my password (as it has been answered to the cited question) there is no reason that an admin knows my password even at the very beginning of my work in that company

Uno dei motivi principali di questa regola è che gli amministratori non dovrebbero accedere ai tuoi dati riservati come mail, ecc ... Dato che all'inizio non ci sono dati associati all'account, questo non è un problema.

they generate a password for the user (NOT a change-at-first-login one)

L'utilizzo di una password di accesso singolo richiede una normale password prima che sia possibile modificare la configurazione. Quindi è necessaria una password prima di accedere alla configurazione.

I suspect anyway that most legacy systems allow admins to reset passwords with great freedom. Is it an accepted practice?

Questa è una pratica accettata. Non vecchi sistemi ma sistemi più recenti come Office 365 consentono anche agli amministratori di reimpostare la password degli utenti senza avvisare l'utente. Tuttavia, tali reimpostazioni vengono registrate nel sistema e l'amministratore sarà ritenuto responsabile per qualsiasi problema.

Si noti inoltre che non tutte le configurazioni possono essere modificate a livello di amministrazione. Alcune cose possono essere eseguite solo dall'utente. Invece di dire a ogni singolo utente di eseguire una serie di passaggi, lo fanno prima del tempo.

Alcuni altri dubbi sulla condivisione di una password non si applicano qui come

1. Riutilizzare la password è irrilevante in quanto la password non è la tua.
2. Nessuna delle tue informazioni personali è associata alla password.

Per rispondere ad alcuni commenti,

I suspect that "there is no data associated with the account at the very beginning" it's not absolutely true: I could have some emails in my mailbox (someone could have sent my some confidential info to my email address, because the mailbox has been activated before I first log in)

by Diego Pascotto

L'ID della posta non deve essere condiviso con nessuno dagli amministratori prima della configurazione. La mailbox deve essere stata attivata durante l'impostazione di Outlook. Gli ID email sono condivisi solo dopo l'impostazione della password di accesso singolo. Inoltre, come sottolineato da James Snell , è improbabile ricevere un'email entro pochi minuti dalla creazione dell'account.

A competent company has images, procedures, via automation that take care of these things without ever logging in as the new user at any time.

by Sokel

Le piccole aziende non sempre investono nell'automazione. Se un'azienda assume circa 10 dipendenti l'anno e ciascuno con un ruolo diverso, lo sforzo richiesto per portare l'automazione e mantenerlo sarà maggiore dello sforzo manuale. L'automazione vale solo la pena quando si ha un lavoro svolto ripetutamente in grandi quantità. In altre parole, lo sforzo richiesto per l'automazione dovrebbe essere inferiore a quello richiesto per il lavoro manuale

If the admin has had unmonitored access to your account at any point in time; they could've set up anything under your name - preventing any returns to them.

by UKMonkey

Qualsiasi azione intrapresa dagli amministratori durante questo periodo può essere ricollegata a loro poiché è chiaro che l'account non viene consegnato all'utente finché l'utente non reimposta la password utilizzando la password di accesso singolo.

In una piccola azienda, è probabile che l'amministratore che imposta la macchina di un nuovo dipendente sia anche l'amministratore delle e-mail aziendali e dei server di documenti. In tal caso, l'amministratore è già in grado di leggere le tue e-mail o inviare una e-mail come te in qualsiasi momento senza dover mai accedere al tuo computer.

Se questo è il caso, non ci sono nuovi problemi di sicurezza qui, anche se è vero che la pratica è un po 'superflua. In teoria, un amministratore non dovrebbe mai aver bisogno di accedere al tuo account utilizzando una password attiva; possono accedere come account amministratore e fare praticamente tutto ciò che dovevano fare da lì.

In pratica, a meno che il tuo team IT non sia sufficientemente abituato a configurare nuove macchine ripetibili, corrette e affidabili ogni volta, è spesso molto più facile effettuare il login come utente per testare l'installazione e fare alcune configurazioni che sono semplicemente più facili da fare come utente reale piuttosto che provare a simulare l'effetto mentre si è loggati come amministratore. Molti sistemi aziendali sono progettati per consentire agli amministratori di reimpostare la password di un altro utente o impersonare un altro utente senza la password dell'utente, spesso questo viene registrato per consentire il controllo, ma in aziende più piccole, lo stesso amministratore probabilmente ha anche accesso al sistema dove può manomettere il registro di controllo.

Il motivo principale per cui "non dire mai ad un amministratore la mia password" è impedire che gli utenti cadano vittime dell'ingegneria sociale, perché se gli viene detto sempre che un vero amministratore non avrebbe mai avuto bisogno della tua password, diventa una risposta automatica che solo qualcuno che finge di essere un amministratore avrebbe mai bisogno di chiederti la tua password. Il motivo secondario è che molte persone riutilizzano la propria password; nel qual caso possono condividere molto più di quanto realizzino. Nessuno di questi si applica a questa situazione.

Ho intenzione di affrontare questa domanda da una direzione diversa.

La tua domanda si basa sul presupposto che l'account è la responsabilità e / o la proprietà del nuovo utente nel momento in cui viene creato, ma non è proprio vero.

Quando viene creato l'account, appartiene al reparto IT, non all'utente .

La configurazione iniziale che descrivi sta succedendo prima il nuovo utente prende possesso dell'account.

Il fatto che l'account abbia il nome del nuovo utente non cambia questo. L'amministratore potrebbe creare un account per Paperino, e in seguito cambiare il nome con quello del nuovo utente.

L'utente prende possesso dell'account e ne diventa responsabile al momento dell'accesso e assegna la propria password. Questa è la consegna del conto.

Supponi di ordinare una pizza per la consegna. Il negozio scrive il tuo nome e inizia a cucinare la pizza. Potrebbero metterci sopra i condimenti sbagliati o bruciarli o lasciarli cadere. È un problema di sicurezza, perché hanno accesso alla tua pizza? No, perché non è ancora la tua pizza . Non è stato consegnato a te. Se il negozio commette un errore, è responsabile della correzione.

Una volta pagato e preso in consegna, diventa responsabilità dell'utente. Se la lasci cadere o la butti al tuo vicino, la pizzeria non è responsabile.

Per quanto riguarda i problemi di posta elettronica, se l'e-mail è presente nell'account prima del primo accesso dell'utente, non importa, perché non è ancora la sua e-mail. L'email non è sicura comunque, è facilmente visibile da un numero qualsiasi di persone. Inoltre, nella maggior parte delle giurisdizioni, l'e-mail aziendale è di proprietà dell'azienda, non dell'individuo.

In genere è consigliabile utilizzare un account personale per tutto ciò che fai. I registri mostreranno chi ha fatto cosa. Ecco perché gli amministratori non si collegano tutti solo con "root" o "Administrator", ma hanno i loro account: puoi dire chi ha fatto cosa, e puoi facilmente revocare le credenziali dell'amministratore senza cambiare la password per tutti gli amministratori.

Gli utenti hanno difficoltà a scegliere password sicure. Se hanno memorizzato alcune password forti e le usano per tutto, probabilmente puoi considerarlo già un utente superiore alla media. Se gli amministratori conoscono la password dell'utente, potrebbero essere in grado di accedere agli account privati dell'utente (come email personale, servizio di streaming musicale, qualsiasi cosa). L'amministratore può sempre impersonare un utente: può reimpostare la password e spesso è anche possibile accedere come tale utente senza conoscere la password. Sui sistemi unix-like, puoi eseguire il comando su john per accedere come john: se sei un utente normale, ti chiederà la password di john; se sei root, ti collegherà semplicemente come john senza aver bisogno della loro password. Questo non è raccomandato per la ragione menzionata nel primo paragrafo, ma è totalmente possibile su molti sistemi.

L'ultima informazione rilevante è che le cose sono più facili da configurare dall'utente che ne ha bisogno. Se John ha bisogno di Outlook, puoi scrivere uno script e programmarlo per essere eseguito al primo accesso. Nelle organizzazioni più piccole, tuttavia, potrebbe essere più efficiente accedere come John una volta e configurare Outlook manualmente. Windows in particolare non si presta bene per lo scripting: la maggior parte è possibile, ma non è ben definito e alcune cose sono ancora accessibili solo attraverso l'interfaccia grafica utente (GUI).

In conclusione, supponendo che questa sia la procedura stabilita, non vedo alcun rischio al suo interno. Gli amministratori possono comunque accedere come qualsiasi utente, quindi non ottengono più privilegi attraverso di esso. Inoltre, non stanno imparando la password personale dell'utente. L'unico problema è che i log mostreranno brevemente attività sotto il nome sbagliato, ma non vedo alcun vantaggio per un amministratore malintenzionato: ci sono altri mille modi (più semplici) per fare cose maligne.

is the configuration made by admin AS THE USER an acceptable practice?

Sì, lo è.

Come con tutte le pratiche dipende dal contesto. Ma in generale questa è una pratica comune e accettabile, dato che hai un livello base di fiducia nei tuoi amministratori e non un livello molto alto di esigenze di sicurezza, come quando custodisci segreti di stato.

Va bene, nonostante la regola generale, perché inizialmente il tuo account non contiene dati sensibili. Mentre c'è una breve finestra temporale in cui potrebbero entrare le e-mail, prima che tu abbia cambiato la password, in genere è così improbabile che a) sia il caso eb) contenga dati veramente sensibili che di solito non è considerato un problema.

Nota che molte aziende mantengono il diritto di accedere ai tuoi messaggi e / o file sulla tua macchina da lavoro comunque . Anche se società etiche proteggeranno quell'accesso con un requisito che sei presente o che sono presenti almeno due amministratori quando accedono al tuo account, per assicurarsi che agiscano solo in linea con il loro compito amministrativo , per esempio rimuovi un virus, cerca un file assolutamente necessario mentre sei in vacanza, ecc. Le stesse misure di sicurezza potrebbero essere applicate per questo breve periodo in cui hanno accesso diretto al tuo nuovo account.

Nota che devi fidarti del tuo dipartimento amministrativo in generale - potrebbero comunque installare un sistema corrotto. Il rischio di imitazione entro un breve lasso di tempo è tuttavia minimo, in quanto è chiaro dal contratto e dal timestamp della modifica iniziale della password, da quando in poi avevi il controllo sul tuo account.

Se la pratica è accettabile senza ulteriori salvaguardie, ad es. Il principio di 4 occhi, dipende dalle esigenze di sicurezza della tua azienda / lavoro. La sicurezza più cruciale è la più severa delle misure di sicurezza devono essere - e più si vorrebbe automatizzare questi processi per ridurre al minimo la finestra di opportunità per chiunque di corrompere il computer / account o ottenere un accesso temporaneo ai dati. Tieni presente che quest'ultimo potrebbe anche essere ottenuto semplicemente attivando il tuo indirizzo di posta elettronica una volta ripristinata la password.

Accettabile ma non ideale

Affinché ciò sia accettabile, dovrebbe essere parte di una procedura documentata. Questo serve a spiegare il motivo del comportamento e ad escludere qualsiasi accusa di scorrettezza.

I documenti sono generalmente approvati al momento della firma o comunque finalizzati, quindi questo stabilirà anche l'approvazione ufficiale della pratica.

Idea migliore ...

Se ci sono azioni che devono essere eseguite con le credenziali dell'utente, è preferibile automatizzare il processo. L'automazione può assumere la forma di uno script, un wizard di installazione o un portale self-service, qualunque sia l'organizzazione che preferisce.

Questo offre molteplici vantaggi:

Innanzitutto, l'interazione dell'utente è ridotta al minimo per evitare errori di configurazione. In secondo luogo, il "touch time" dell'amministratore viene ridotto. In terzo luogo, la configurazione non subirà errori umani o incongruenze tra le distribuzioni. E, infine, le tue preoccupazioni sull'uso dell'account saranno eliminate.

Avvertimenti

Ci sono ulteriori competenze necessarie per l'automazione (rispetto all'installazione manuale) e la tua organizzazione potrebbe non avere queste competenze. Alcune piattaforme sono difficili da automatizzare, sebbene questo sia meno problematico di un tempo. Oppure, la compagnia potrebbe non comprendere i vantaggi dell'automazione.

Sembra esserci un'ipotesi errata qui, che un PC portatile di proprietà di un datore di lavoro e un account di posta elettronica forniti e pagati da un datore di lavoro in qualche modo appartengano al dipendente. Non lo fanno! La situazione è che sei impiegato e pagato per far funzionare le loro attrezzature e per elaborare i loro dati. (Idem, gli amministratori di sistema).

Quindi, l'unico modo per essere certi della privacy è gestire le questioni private sull'hardware che possiedi personalmente. Il tuo telefono cellulare connesso alla rete mobile è probabilmente quel dispositivo, mentre sei al lavoro . Se il tuo datore di lavoro consente l'uso personale della sua connessione a Internet a grandi dimensioni, la comunicazione sicura (https) con un account personale su un servizio di posta elettronica esterno come Gmail è quasi altrettanto sicura - basta che tu abbia fiducia nel fatto che il tuo datore di lavoro non fare qualsiasi cosa sfacciatamente immorale come installare un keystroke-logger sul PC di proprietà del tuo datore di lavoro per intercettare la tua password privata e uno screen recorder per consentire al datore di lavoro di guardare il tuo schermo in un secondo momento. Nell'UE ciò sarebbe palesemente illegale a meno che le politiche dei datori di lavoro (di cui siete stati informati e che fanno parte del vostro contratto di lavoro) mettano in guardia da tali. È probabile che sia illegale anche se lo fanno, a meno che tu non stia lavorando in un ambiente particolarmente sensibile (nel qual caso è probabile che tutto l'uso personale dell'hardware del datore di lavoro sia vietato per ragioni di sicurezza).

Gli amministratori di sistema sono pagati dal datore di lavoro per mantenere le sue attività in conformità con le sue politiche. Queste politiche dovrebbero rispettare la legge. Nell'Unione europea, quindi, vi è un'aspettativa di privacy in relazione alle e-mail, coperte con le azioni necessarie per il datore di lavoro. Quindi un amministratore di sistema potrebbe dover controllare le e-mail "private" per amministrare un sistema di server di posta, ma non dovrebbe mai rivelare o agire in base a ciò che vede, a meno che non sveli una grave cattiva condotta o un crimine. Certamente non dovrebbe mai guardare deliberatamente e-mail al di fuori delle politiche stabilite dal datore di lavoro e note al dipendente.

Ma un sysadmin cattivo o corrotto è privilegiato, quindi non c'è nulla che tu possa fare per proteggerti da lui. Se non ti fidi del tuo datore di lavoro, come minimo non usi il suo hardware per scopi privati che ti farebbe male se fossero resi pubblici. Al massimo, dovresti cercare un nuovo lavoro!

Di passaggio, sono un amministratore di sistema di piccole società e ho configurato i PC praticamente come descritto. In un precedente datore di lavoro, era s.o.p. per inviare una singola e-mail dal PC appena configurato all'account di posta elettronica della società del sysadmin, rispondere a questa ed eliminare la risposta, per assicurarsi che tutto funzioni correttamente. Era anche s.o.p. inviare una e-mail più lunga dal sysadmin all'account del dipendente appena creato, generalmente accogliendolo nell'organizzazione e fornendo informazioni standard su come iniziare. Li aspetterebbe dopo aver effettuato l'accesso per la prima volta, reimpostando la password.

Ciò che le altre risposte mancano IMO è:

Perché questo processo non è automatizzato?

Il provisioning degli account utente (indipendentemente dal sistema operativo) non è nulla che un amministratore dovrebbe fare ripetutamente a mano. La configurazione iniziale di un account utente e il provisioning del software possono essere eseguiti tramite l'automazione. Anche l'impostazione della rispettiva password dell'account utente verrà eseguita automaticamente. Questo dovrebbe essere "cambia dopo il primo utilizzo". Questo processo di automazione deve essere rivisto regolarmente e deve essere implementato con un principio a quattro occhi.

Tutto ciò che un amministratore fa su una macchina dovrebbe essere registrato . Se un amministratore si sposta liberamente su un sistema prima del provisioning, è probabile che si verifichino degli scenari di "cattiva amministrazione".

Modifica:

Poiché questa risposta ha suscitato un po 'di conversazione, permettimi di aggiungere quanto segue:

Ecco alcuni strumenti per la fornitura di immagini Windows all'hardware aziendale, per Windows 8 il Microsoft Deployment Toolkit e System Center Configuration Manager per Windows 10. Questi strumenti sono strumenti Microsoft ufficiali, sono gratuiti (per quanto posso dire) e da un primo sguardo sono ben documentati. Qui è possibile implementare e documentare facilmente tutti i processi per il provisioning di Windows 8/10 sull'hardware aziendale. Tutti gli accessi amministrativi a una macchina devono essere eseguiti tramite strumenti come questi e devono essere registrati con un server di registrazione. Quindi ci sono meno possibilità per un singolo amministratore di manipolare una singola macchina.

Se un amministratore gestisce ogni macchina a mano, 1) la manipolazione è possibile e 2) gli errori sono tenuti a verificarsi. Un processo automatizzato può essere rivisto e verificato, un processo manuale è impossibile da controllare.

L'impegno per strumenti come questi è un passo verso un provisioning più sicuro di sistemi operativi e account utente in un ambiente aziendale.

Ritengo che questa domanda indichi semplicemente la dicotomia tra "come desideriamo che l'IT funzioni" e "come funzioni realmente".

A un certo punto della storia, scommetto che i ragazzi IT hanno installato un laptop per un exec. Quando hanno spento il laptop, l'exec è stato irritato quando non funzionava o aveva bisogno di un'ulteriore configurazione. Quindi, vengono sgridati, e probabilmente è quando è iniziata la politica di "accedere e assicurarsi che sia completamente configurato e funzionante prima della disattivazione".

Questo è l'ideale? No. Ma nessuno in IT è mai sorpreso dalla quantità di alloggi che l'IT produce per far funzionare le cose senza intoppi in un'azienda, specialmente quando impatta sui rialzi.

È un po 'come un appaltatore che viene assunto, ma continua a dare cattive notizie al noleggiatore sarà fuori dal mercato .. beh, un reparto IT che continua a gestire le cose da parte del libro e sconvolgere le persone che li assumono eventualmente sostituito.

L'IT cammina spesso con i gusci delle uova e deve scegliere le sue battaglie.

Configurare un laptop e loggarsi per fare post-setup per i programmi dispari e ricontrollare per far funzionare tutto (QA) prima della consegna ... è una cosa che ha fatto una concessione per rendere tutti la vita più facile Finché gli amministratori IT erano gli unici a farlo, era una "scommessa sicura" da fare.

Ma, quando gli exec chiedono a qualcuno di registrarsi per loro e di lavorare (a cui, l'amministratore potrebbe essere risucchiato a cucinare i libri per qualcuno senza rendersene conto) .. o un dirigente / dirigente che chiede all'IT di rilassarsi su una politica inteso a proteggere gli utenti da se stessi o a proteggere i server da virus (ad esempio: "lascia che i miei utenti conservino le loro password in post-it accanto al computer" ... um, no.)

Devi scegliere e scegliere le tue battaglie. La politica di nitpick può durare tutto il giorno e, in effetti, se continui a scavare nei criteri, ti sentirai frustrato nel vedere tutte le piccole consolazioni che il reparto IT sta facendo per far funzionare le cose senza intoppi.

L'altro problema con questo è che siccome il reparto IT fa consolazioni, possono essere viste come un gruppo disposto a piegare le regole ... quindi alcune persone potrebbero non prendere le regole sul serio, o aspettarsi che le piegino al punto di rottura.

Quindi, IT, proprio come la filosofia di Jeet Kun Do di Bruce Lee è "essere come l'acqua". Volete soddisfare i bisogni e i desideri della società per cui lavorate per rendere le cose senza intoppi e allo stesso tempo soddisfare il vostro scopo principale. Ma vuoi anche essere una forza da non sottovalutare se qualcuno ti spinge in una direzione che è chiaramente negativa per se stessi o per la compagnia.

Ecco perché c'è un delicato equilibrio nelle aziende. Vuoi assumere fiduciario in IT. Preferisco avere impiegati IT mediocri che mi fideranno delle rockstars che sono preoccupato di trovare modi per sottrarre denaro al lato o sfruttare i server per lavorare sul lavoro a contratto la sera.

D'altra parte, anche io non voglio che il personale dirigente pensi di poter camminare su tutto il territorio IT. Trattare con l'IT dovrebbe essere come trattare con la polizia. Devono essere affidabili di avere abbastanza potere per respingere le persone arroganti, ma anche abbastanza affidabili da non abusare del loro potere.

Quindi, tl; dr ... Penso che ti stia bloccando su una politica che non sembra ideale da un punto di vista accademico / ideale, ma che probabilmente è nata da un passo falso passato, e ora agisce come IT deing cura abbastanza le cose del QA prima di consegnarle alla cieca.

Hai comprato una macchina nuova. Almeno una volta all'anno lo porti al meccanico per manutenzione (controllo dell'olio ecc.). Molti di noi daranno una chiave meccanica e andranno a fare qualcosa (shopping, caffè, ecc.). Hanno un accesso completo alla tua auto. Possono fare qualsiasi cosa. Lo consideri un grosso problema alto che potresti lasciare / dimenticare il tuo laptop privato / ufficio all'interno o alcuni documenti personali o .... ??

Proprio come la manutenzione della tua auto, preparare il tuo account è qualcosa che deve essere fatto. Puoi sederti, osservare e fingere di sapere cosa stanno facendo o lasciare che lo facciano da soli credendo che siano professionisti e sanno cosa stanno facendo.

In caso di trasferimento a un nuovo lavoro, sarei più preoccupato per la mia casella di posta piena lasciata sul vecchio lavoro che ne vuota uno su un nuovo lavoro.

Essere paranoico è abbastanza OK, purché tu sia sicuro di sapere perché sei paranoico.

Questo mi ricorda una battuta sul GDPR:
L'infermiera dell'ufficio del medico esce dicendo: "A causa del GDPR, non sono autorizzato a dire il tuo nome in pubblico, ma quello con la sifilide può andare a vedere il dottore ...."