All'interno di RSA: Implementazione di soluzioni FIDO e senza password su larga scala | Studio di caso dell'Alleanza FIDO
Sviluppato in collaborazione con la FIDO Alliance, questo case study documenta il percorso di RSA nell'implementazione dell'autenticazione senza password su scala, cogliendo le lezioni reali apprese dall'utilizzo della propria piattaforma in produzione.
Scaricate subito il caso di studio gratuito per imparare:
- Come RSA ha impiegato le proprie soluzioni per implementare l'assenza di password per la propria forza lavoro globale
- Lezioni apprese dallo sviluppo interno
- Come il supporto dell'applicazione RSA authenticator per passepartout mobili legati al dispositivo progresso accelerato
- Migliori pratiche per affrontare il comportamento e motivare l'adozione di passwordless
Il seguente estratto illustra le best practice tecnologiche, di implementazione e di ridondanza che RSA ha appreso nell'utilizzo delle sue soluzioni per l'implementazione di passwordless globali. Per saperne di più, scaricate il report completo.
L'architettura della piattaforma viene prima di tutto.
Prima di distribuire gli autenticatori, è necessario eliminare le dipendenze dalle password per l'iscrizione, il recupero e i criteri. In caso contrario, l'FIDO diventa un componente aggiuntivo e non sostitutivo, lasciando anelli deboli nella catena di identità di un'organizzazione.
L'assenza di password consente di migliorare la sicurezza adiacente.
La verifica dell'help desk era una vulnerabilità di vecchia data. L'infrastruttura senza password ha reso possibile la verifica bidirezionale dal vivo, eliminando i segreti condivisi in un punto di contatto critico.
I tasti di accesso legati al dispositivo nelle app mobili offrono una terza opzione.
Al di là delle “chiavi di accesso sincronizzate rispetto alle chiavi di sicurezza”, questo approccio aumenta il controllo aziendale, migliora l'UX ed elimina i costi di distribuzione dell'hardware.
Sfruttare il comportamento degli utenti esistenti.
RSA ha fatto progressi più rapidi perché i dipendenti avevano già l'app mobile. Le organizzazioni dovrebbero trovare e dare priorità al loro punto di appoggio per l'autenticazione esistente.
Sequenza deliberata: alternative → low-stakes → high-stakes.
Non iniziate con il sistema più visibile. Costruite prima il comfort.
Distribuzione ampia, mandato successivo.
Date ai dipendenti il tempo di adottare le loro tempistiche. Imparate a capire cosa confonde le persone. Creare una rete di tester interessati in tutta l'azienda e di campioni.
Le campagne e le scadenze superano le prestazioni di ciascuna di esse da sola.
L'adozione volontaria si stabilizzerà a prescindere dalla qualità dell'UX. La riprova sociale è importante, ma lo è anche l'urgenza. RSA ha registrato un aumento dell'utilizzo pari a 3 volte quando ha associato l'iniziativa a una chiara scadenza.
Pianificare il fallimento di un metodo o la scomparsa di un dispositivo, perché succederà..
L'autenticazione senza password richiede una ridondanza intenzionale, sia nei metodi che nei dispositivi. Per questo motivo, FIDO Alliance raccomanda a ogni utente di registrare almeno due passkey, quando possibile. Nell'implementazione di RSA, alcuni gruppi di utenti hanno ricevuto sia una passkey legata al dispositivo basata sul software tramite l'app mobile di RSA, sia una passkey legata al dispositivo basata sull'hardware, in modo che perdere l'accesso a una delle due non significasse mai perdere del tutto l'accesso.
Stanziare un tempo sufficiente per guidare il cambiamento del comportamento. L'implementazione della tecnologia richiede settimane. Il cambiamento delle abitudini organizzative richiede mesi.
Stabilite obiettivi ambiziosi, poi siate trasparenti sulla portata.
Il team dirigenziale di RSA ha imposto il 100% di assenza di password e questo audace obiettivo ha spinto l'organizzazione molto più in là di quanto avrebbe fatto un obiettivo più morbido come “migliorare l'autenticazione”. RSA ha eliminato le password da tutti gli endpoint gestiti e dai flussi di autenticazione primari. I sistemi legacy e i casi limite esistono; RSA li documenta e sta sviluppando piani per risolverli piuttosto che pretendere la perfezione. Ogni azienda dovrà affrontare questa realtà.
“Cos'è un passepartout?” è una domanda reale.
Al di fuori dell'ingegneria, i dipendenti avevano bisogno di formazione. RSA ha sviluppato analogie chiare e aggiornato la documentazione per collegare la tecnologia a modelli mentali familiari.
Consolidare i metodi di autenticazione in un'unica applicazione.
Quando i dipendenti possono autenticarsi tramite passkey, codice QR o biometrico dalla stessa app che già utilizzano, la conformità non richiede un cambiamento di comportamento, ma solo un tocco diverso. La capacità di RSA di offrire il metodo giusto al momento giusto, senza cambiare app o aggiungere attriti, ha ridotto notevolmente la resistenza durante l'implementazione del mandato.
