Est-il prudent d'utiliser Google Apps For Business: Tableur pour garder une trace des mots de passe?
Google Apps for Business est censé être suffisamment sécurisé pour les données d'entreprise, comme indiqué dans la FAQ: http://www.google.com/apps/intl/fr/business/faq.html
Ils déclarent: "Nous procédons également à des contrôles de sécurité réguliers par des tiers et à des audits SAS 70 effectués par des tiers indépendants. Nous croyons fermement en la sécurité de notre environnement Google Apps en stockant nos propres données d'entreprise Google dans le même environnement. "
Par conséquent, vous devriez utiliser Google Spreadsheets (Business) pour garder une trace des mots de passe, n'est-ce pas?
Si vous avez des doutes à ce sujet, alors c'est généralement un assez bon "drapeau rouge" à mon avis.
Le problème est que vous dépendez d'un tiers pour stocker vos informations relatives à la sécurité. Il suffit d’un mauvais employé (dans votre entreprise et dans une entreprise tierce) pour rompre la confiance et vous causer beaucoup de problèmes, et c’est pourquoi le cryptage est si populaire.
Bien que je fasse confiance aux capacités de Google pour gérer ses systèmes en toute sécurité et pour sélectionner des employés dignes de confiance, je ne stockerai toujours pas mes mots de passe sur leur système à moins de les chiffrer préalablement sur mon propre système. 'obtiens seulement la version chiffrée de l'information).
Pensez également à la possibilité pour un tiers d'obtenir une décision de justice pour que Google fournisse un accès complet aux données de leurs clients. La nature de cette ordonnance du tribunal pourrait être que cet accès soit également tenu secret des clients. Dans ce cas, j'imagine que Google n'aurait d'autre choix que de se conformer à la loi. En fin de compte, vous ne sauriez pas vraiment qui a réellement accès à vos données.
Ma recommandation: Ne comptez pas sur des tierces parties pour stocker des informations sensibles si vous n'y êtes pas obligé (et si vous devez le faire, laissez-les alors stocker uniquement les versions chiffrées de vos données).
Autant que je sache, Google Docs est protégé par un mot de passe, mais n'est pas crypté , ce qui signifie que vous ne souhaitez pas y stocker de données confidentielles.
Vous pourriez être intéressé par Passpack , un service en ligne destiné à ceux qui ont besoin d’une gestion centralisée et cryptée des mots de passe.
(De façon anecdotique, une combinaison de KeePass et Dropbox a été une solution de gestion de mot de passe réussie pour moi.)
Chaque fois que vous stockez des mots de passe ou tout autre type de données sensibles, le chiffrement devrait faire partie de l'équation. Pourquoi voudriez-vous stocker une liste de mots de passe de cette manière? Je préfère utiliser des bases de données cryptées sqlite3 pour les listes de mots de passe, mais je ne conserve que ma liste de mots de passe sur un stockage local, et tout moteur de base de données fonctionnerait bien, à condition qu'il soit crypté. Si vous avez besoin d'y accéder et de l'éditer à l'échelle de l'entreprise, vous devez le faire sur un serveur intranet.
Je ne veux pas paraître brusque, mais le fait de stocker des mots de passe dans une feuille de calcul (ou tout autre document) annule le but des mots de passe. En termes de sécurité, vous créez un "point de défaillance unique". Si un utilisateur accède à votre compte Google Documents avec la feuille de calcul du mot de passe, tout est compromis. Bien que chiffrés, les sites de gestion de mots de passe en ligne peuvent sembler être une meilleure solution, vous rencontrez toujours le même problème: quelqu'un obtient le mot de passe du site, puis tous vos autres mots de passe. Tout type de système de stockage de mot de passe, crypté ou non, a le même problème. Si ce mot de passe est compromis, il en va de même pour tout le reste. Ce n'est pas un moyen d'implémenter la sécurité. Sérieusement, un stylo, un bloc-notes et un coffre-fort constituent une meilleure protection que tout ce qui a été suggéré jusqu'à présent, sans infraction.
Vous pouvez limiter le concours du document aux seuls noms d'utilisateur et adresses de serveur. Et ensuite, demandez à vos collègues membres de l’équipe (ne gardez évidemment pas ces instructions dans le document) d’exécuter les adresses, le nom d’utilisateur et un seul mot de passe sécurisé et approuvé par le maître du projet via quelque chose de type PwdHash. Ceci devrait être beaucoup plus sûr que de stocker les mots de passe dans un document en texte brut.