Security Settings

การบังคับเปลี่ยนรหัสผ่านทุก 90 วันเคยเป็นมาตรฐาน แต่ปัจจุบันถือว่าให้ผลตรงข้าม — คนที่ถูกบังคับเปลี่ยนบ่อยจะตั้งรหัสที่จำง่ายและเดาง่ายขึ้นเรื่อย ๆ เช่นเติมเลขเดือนต่อท้ายรหัสเดิม · สิ่งที่ได้ผลกว่าคือรหัสที่ยาวขึ้น ตรวจกับรายการที่เคยรั่วไหล และเปลี่ยนทันทีเมื่อมีเหตุ · หลักเดียวกันนี้ตั้งไว้แล้วในหน้า Global Settings ระดับแพลตฟอร์ม องค์กรจึงตั้งให้หย่อนกว่านั้นไม่ได้

ต้นแบบเปิดวิธีที่อ่อนที่สุดและปิดวิธีที่แข็งแรงที่สุด — รหัสทางข้อความสั้นเสี่ยงต่อการที่ผู้ไม่หวังดีขอเปลี่ยนซิมเพื่อรับรหัสแทน ซึ่งเป็นวิธีโจมตีที่ใช้กันจริงและสำเร็จบ่อย · ส่วนกุญแจความปลอดภัยแบบอุปกรณ์เป็นวิธีเดียวที่กันการหลอกให้กรอกรหัสในเว็บปลอมได้ เพราะกุญแจจะไม่ทำงานกับโดเมนที่ไม่ตรง · ระบบนี้เรียงลำดับความแข็งแรงให้เห็นและแนะนำให้บังคับใช้กุญแจอุปกรณ์กับผู้ใช้ที่เข้าถึงข้อมูลการเงินและข้อมูลส่วนบุคคลก่อน

เพิ่มการเข้ารหัสรายฟิลด์ซึ่งต้นแบบไม่มี — การเข้ารหัสทั้งฐานข้อมูลป้องกันกรณีที่ดิสก์ถูกขโมย แต่ไม่ป้องกันกรณีที่ผู้มีสิทธิ์เข้าถึงฐานข้อมูลเปิดดูข้อมูลเงินเดือนหรือเลขบัญชีธนาคาร · ฟิลด์ที่อ่อนไหวที่สุดควรเข้ารหัสแยกด้วยกุญแจที่ผู้ดูแลฐานข้อมูลไม่มี

ต้นแบบตั้งระยะเก็บไว้ 365 วันเท่ากันทุกประเภท ซึ่งขัดกับหน้า Audit Center ระดับแพลตฟอร์มที่กำหนดให้บันทึกทางบัญชีเก็บไม่น้อยกว่า 5 ปีตาม พ.ร.บ. การบัญชี 2543 · บันทึกที่ถูกลบไปตามนโยบายสร้างขึ้นใหม่ไม่ได้ ถ้ามีการตรวจสอบย้อนหลังหลังจากนั้น องค์กรจะไม่มีหลักฐาน

ตัวเลข "ถูกบล็อก 42 ครั้ง" กับ "ล้มเหลว 16 ครั้ง" อยู่คนละฐาน — 42 ครั้งคือคำขอที่ถูกบล็อกก่อนถึงหน้าเข้าระบบ เช่นมาจากที่อยู่ที่อยู่ในรายการต้องห้าม จึงไม่ถูกนับในยอด 358 ครั้ง · ต้นแบบวางสองตัวเลขนี้ไว้ข้างกันโดยไม่บอกฐาน ทำให้อ่านได้ว่ามีการบล็อกมากกว่าที่ล้มเหลว ซึ่งฟังดูขัดกันเอง