กดอนุญาตแอปเข้าถึงบัญชีบริษัท ต้องตรวจอะไรแม้ไม่ได้ให้รหัสผ่าน
เข้าบัญชีถูกเว็บ ยังต้องอ่านสิทธิ์
พนักงานเปิดลิงก์เครื่องมือช่วยงานแล้วพบหน้าลงชื่อเข้าใช้ของผู้ให้บริการที่คุ้นเคย ต่อมามีหน้าขออ่านอีเมลหรือไฟล์ คำตอบหลักคืออย่าตัดสินความปลอดภัยจากการที่ไม่ได้ส่งรหัสผ่านให้แอป หน้าลงชื่อเข้าใช้ยืนยันตัวผู้ใช้ ส่วนหน้าขอสิทธิ์เป็นการตัดสินว่าแอปจะทำอะไรกับข้อมูลได้
Microsoft อธิบาย consent phishing ว่าเป็นการหลอกให้ผู้ใช้อนุญาตแอปที่เป็นอันตรายเข้าถึงข้อมูล แม้หน้าขอสิทธิ์อยู่บนระบบผู้ให้บริการจริงก็ยังต้องตรวจแอปและสิทธิ์ที่ขอ ประเด็นนี้ต่างจากการกู้บัญชี MFA หรือการตั้งรหัสผ่านที่แข็งแรง เพราะกำลังพิจารณาการมอบสิทธิ์อีกชั้นหนึ่ง
แปลงรายการสิทธิ์เป็นผลต่อข้อมูลจริง
ก่อนอนุญาต ให้ตอบสามเรื่อง: แอปต้องอ่านข้อมูลอะไร ต้องแก้ไขหรือส่งอะไรได้ และครอบคลุมผู้ใช้หรือพื้นที่ใด ถ้าข้อความไม่ชัดให้ส่งให้ผู้ดูแลอธิบาย ไม่กดผ่านเพื่อทดลองกับบัญชีจริง ขอชื่อผู้พัฒนาและช่องทางยืนยันผลิตภัณฑ์จากแหล่งที่องค์กรตรวจสอบเอง ไม่ใช้ชื่อแอปหรือโลโก้เป็นหลักฐานเพียงอย่างเดียว
ทำตารางงานที่ต้องการเทียบกับสิทธิ์ที่ขอ ตัวอย่างสมมติคือทีมต้องการแสดงเวลาว่างเพื่อนัดประชุม แต่แอปขออ่านและส่งอีเมลด้วย ความต่างนี้ยังไม่ใช่คำพิพากษาว่าแอปอันตราย แต่เป็นคำถามที่ต้องได้เหตุผลและผู้รับผิดชอบอนุมัติ หากไม่มีคำตอบ ให้หยุดไว้ก่อนหรือเลือกวิธีที่ใช้ข้อมูลน้อยกว่า
อนุมัติให้แคบและมีเจ้าของงาน
องค์กรควรกำหนดว่าแอปประเภทใดผู้ใช้ตัดสินใจได้ และกรณีใดต้องส่งผู้ดูแลหรือเจ้าของข้อมูลพิจารณา ข้อเสนอนี้ต้องปรับกับระบบที่ใช้จริง ไม่สมมติว่าทุกบริการมีปุ่มอนุญาตเฉพาะแฟ้มเหมือนกัน บันทึกวัตถุประสงค์ ผู้ขอ ผู้อนุมัติ ขอบเขตที่ยอมรับ และวันที่ต้องทบทวนไว้กับทะเบียนแอป
ก่อนขยายการใช้ ลองกับบัญชีและข้อมูลทดสอบที่ได้รับอนุญาต ตรวจว่างานที่ต้องการทำสำเร็จโดยไม่เพิ่มสิทธิ์เพื่อให้ผ่านอย่างเดียว เมื่อเปลี่ยนเจ้าของงาน เพิ่มความสามารถแอป หรือเลิกใช้งาน ต้องทบทวนใหม่ การอนุมัติครั้งแรกไม่ใช่สิทธิ์ถาวรที่ไม่ต้องมีใครดูแล
ถ้าเผลออนุญาตแล้ว ให้รายงานอะไร
เก็บชื่อแอป ผู้พัฒนา ลิงก์ต้นทาง เวลาที่กด บัญชีที่ใช้ และสิทธิ์ที่มองเห็น ส่งผ่านช่องทางรับเหตุขององค์กร ไม่ส่งรหัสผ่านหรือ token และไม่ชวนเพื่อนกดตามเพื่อพิสูจน์ ผู้ดูแลต้องประเมินการเพิกถอนสิทธิ์และขอบเขตข้อมูลที่เกี่ยวข้องตามระบบจริง ไม่ถือว่าลบทางลัดแอปออกจากหน้าจอแล้วการอนุญาตสิ้นสุด
แนวทาง Microsoft สำหรับ illicit consent grants ให้ตรวจสิทธิ์และบันทึกการเข้าถึงเพื่อประเมินขอบเขต รวมทั้งเพิกถอนสิทธิ์ของแอปที่ไม่เหมาะสมตามขั้นตอนของผู้ดูแล การเปลี่ยนรหัสผ่านอาจเป็นส่วนหนึ่งของการรับเหตุบัญชี แต่ไม่ควรใช้เป็นหลักฐานเพียงอย่างเดียวว่าได้ตรวจและยกเลิกสิทธิ์แอปแล้ว
ตรวจผลทั้งความปลอดภัยและงานที่พึ่งพา
หลังดำเนินการ ขอหลักฐานว่าเพิกถอนหรือจำกัดอะไรกับแอปใด เมื่อใด และยังต้องติดตามการเข้าถึงใดอยู่ พร้อมทดสอบงานที่เคยพึ่งแอปว่าต้องใช้ทางเลือกใด หากการทำงานหยุด อย่ากดอนุญาตกลับทั้งหมดเพื่อให้สะดวก ให้เจ้าของงานกับผู้ดูแลตกลงวิธีที่ผ่านการตรวจใหม่
เมื่อหารือระบบความปลอดภัยไอทีกับ Chawinnix สามารถเริ่มจากทะเบียนแอปและตัวอย่างคำขอสิทธิ์ที่ปิดข้อมูลลับแล้ว เพื่อออกแบบเส้นทางอนุมัติและทบทวนให้เข้ากับงานจริง ไม่จำเป็นต้องส่งข้อมูลลูกค้าหรือสิทธิ์ผู้ดูแลในขั้นสอบถาม เป้าหมายคือให้ทุกการเชื่อมต่อมีเหตุผล เจ้าของ และวิธีตรวจผล
