سياسات كلمات المرور الفعّالة فعلًا: أبعد من "8 أحرف ورمز واحد"

إجبار المستخدمين على رمز خاص وتغيير شهري جعل كلمات المرور أضعف لا أقوى — ومعظم المعايير الأمنية تخلّت بالفعل عن الاثنين. إليك ما توصي به الإرشادات الحديثة فعليًا.

لعقدين من الزمن، كانت "كلمة المرور القوية" تعني حدًا أدنى من الطول، مزيجًا من الأحرف الكبيرة والصغيرة، رقمًا، ورمزًا، مع تغييرها كل 90 يومًا. الإرشادات الحديثة — بما فيها معايير NIST — تراجعت عن معظم ذلك، لأنه تبيّن أنه ينتج أنماطًا يسهل توقعها ("Password1!"، "Password2!") بدلًا من كلمات مرور أقوى فعليًا.

ما الذي تغيّر ولماذا

إجبار المستخدمين على تغيير كلمة المرور دوريًا يدفعهم نحو تعديلات صغيرة يسهل تخمينها لكلمة مرورهم السابقة. قواعد التعقيد تدفعهم نحو استبدالات يعرفها المهاجمون مسبقًا (@ بدل a، 0 بدل o). الطول، لا التعقيد، هو ما يُبطئ فعليًا محاولات التخمين الآلي — عبارة مرور من 16 حرفًا تتفوق بمراحل على مزيج من 8 رموز معقّدة.

كيف تبدو السياسة الحديثة

• حد أدنى للطول بين 12 و16 حرفًا، دون إلزام بمزيج رموز وأرقام.
• لا تغيير دوري إلزامي — التغيير فقط عند وجود دليل على اختراق.
• فحص كلمات المرور الجديدة مقابل قوائم كلمات مرور مسرّبة معروفة، لا مقابل قواعد تعقيد اعتباطية.
• مصادقة ثنائية على كل حساب يدعمها — وهذا أهم من أي قاعدة متعلقة بكلمة المرور.

العامل البشري

كل قاعدة تجعل كلمة المرور أصعب على الحفظ تدفع الموظفين لتدوينها أو إعادة استخدامها في مكان آخر. مدير كلمات مرور معتمد على مستوى الشركة يزيل هذه المعادلة تمامًا — يمكن للموظفين استخدام كلمات مرور طويلة وفريدة لكل نظام دون حفظ أي منها.

الخطأ الأكثر شيوعًا بين الشركات

الإبقاء على سياسة كلمات مرور قديمة لأنها "ما تنص عليه قائمة تدقيق"، دون التحقق مما إذا كانت هذه القائمة قد حُدّثت منذ 2015. اسأل مزوّد تقنية المعلومات لديك عن المعيار الذي تستند إليه سياستكم فعليًا.