Polityki haseł i zarządzanie nimi

Dlaczego polityka haseł to więcej niż „ustaw trudne hasło"

Pojedyncze zalecenie „hasło ma być trudne" nie wystarcza, bo nie mówi, co firma robi, gdy pracownik i tak zapisze je na karteczce przyklejonej do monitora, użyje tego samego hasła w systemie księgowym i w prywatnej poczcie, albo nie zmieni go nigdy od dnia zatrudnienia. Polityka haseł to spisany i faktycznie egzekwowany zestaw zasad — jak długie i złożone mają być hasła, jak często się je zmienia, gdzie się je przechowuje i kto ma prawo je resetować — połączony z narzędziem, które te zasady w praktyce ułatwia, a nie utrudnia.

Warianty problemu w firmach

Brak jakiejkolwiek polityki

Najczęstszy punkt wyjścia — każdy pracownik ustawia hasło według własnego uznania, część wybiera imię dziecka albo datę urodzenia, część to samo hasło co dziesięć lat temu. Żadnej wspólnej zasady, żadnego wymuszania zmiany.

Polityka na papierze, niestosowana w praktyce

Zdarza się, że regulamin firmowy zawiera zapis o „silnych hasłach", ale system informatyczny w żaden sposób go nie egzekwuje — pracownik może ustawić dowolnie proste hasło i nikt tego nie zauważy, dopóki nie dojdzie do włamania.

Hasła powtarzane między systemami

To samo hasło do poczty, systemu księgowego i logowania do komputera. Wyciek z jednego, najsłabiej zabezpieczonego serwisu (nawet niezwiązanego z pracą) otwiera drzwi do wszystkich pozostałych kont.

Wymuszanie zbyt częstych zmian

Paradoksalnie, zbyt agresywna polityka też szkodzi — wymuszanie zmiany hasła co miesiąc prowadzi do tego, że pracownicy zmieniają jedną cyfrę na końcu tego samego hasła albo zapisują je na kartce, bo nie są w stanie zapamiętać kolejnej wersji.

Co robimy przy wdrażaniu polityki haseł

Punktem wyjścia jest ustalenie realnych zasad dopasowanych do wielkości i charakteru firmy: minimalnej długości i złożoności hasła, częstotliwości zmiany (rzadziej niż co miesiąc, ale regularnie), zasad blokady konta po kilku nieudanych próbach logowania oraz tego, kto i w jaki sposób może zresetować zapomniane hasło.

Drugim, praktycznym elementem jest wdrożenie menedżera haseł — programu, który generuje długie, losowe hasła i zapamiętuje je za pracownika, więc jedynym hasłem do zapamiętania staje się hasło główne do samego menedżera. To rozwiązuje najczęstszą przyczynę słabych haseł: potrzebę zapamiętania wielu różnych kombinacji naraz.

Konfiguracja obejmuje instalację i ustawienie menedżera na stanowiskach firmowych, migrację istniejących haseł do bezpiecznej bazy, ustawienie reguł wymuszania nowej polityki w systemach, które na to pozwalają, oraz krótkie wprowadzenie dla zespołu — samo narzędzie bez wyjaśnienia, jak z niego korzystać, zwykle zostaje odinstalowane w ciągu tygodnia.

Błędy przy samodzielnym porządkowaniu haseł

• Wymuszanie zmiany hasła zbyt często — prowadzi do przewidywalnych wariacji tego samego hasła zamiast realnej zmiany.
• Wybór menedżera haseł bez sprawdzenia, gdzie przechowuje dane — część darmowych narzędzi synchronizuje hasła przez serwery, których lokalizacja i poziom zabezpieczeń są nieznane.
• Jedno hasło główne do menedżera, zapisane w tym samym miejscu co reszta haseł — niweczy sens narzędzia, które ma być jedynym punktem dostępu.
• Brak procedury na odejście pracownika — zmiana hasła do wspólnych kont po zwolnieniu pracownika bywa pomijana, a to jedna z najczęstszych luk wykrywanych podczas audytu.
• Ustawienie identycznego hasła tymczasowego dla wszystkich nowych kont — wygodne dla działu IT, ale jeśli nie jest wymuszana natychmiastowa zmiana przy pierwszym logowaniu, staje się stałą luką.

Dodatkowe pytania klientów

Czy menedżer haseł jest bezpieczny — co, jeśli ktoś włamie się do niego?

Dobrze skonfigurowany menedżer szyfruje bazę haseł lokalnie, więc nawet przejęcie samego pliku bazy bez znajomości hasła głównego nie daje dostępu do zawartości. To wciąż wymaga jednego mocnego hasła głównego — dlatego jego dobór i ochrona są kluczowym elementem wdrożenia.

Ile znaków powinno mieć bezpieczne hasło firmowe?

Dłuższe hasło złożone z kilku niepowiązanych słów bywa bezpieczniejsze i łatwiejsze do zapamiętania niż krótki ciąg losowych znaków ze skomplikowanymi wymaganiami — to jeden z elementów, który ustala się indywidualnie przy tworzeniu polityki.

Czy trzeba zmieniać wszystkie hasła w firmie naraz?

Nie — wdrożenie zwykle przebiega stopniowo, od kont o największym znaczeniu, z migracją pozostałych w miarę przechodzenia zespołu na menedżer haseł.

Co się dzieje z hasłami po odejściu firmy IT, która je wdrażała?

Baza haseł w menedżerze pozostaje własnością firmy klienta i jest dostępna niezależnie od tego, kto ją skonfigurował — to jeden z elementów, który warto ustalić już na etapie wdrożenia.

Czy polityka haseł wystarczy, żeby zabezpieczyć firmę?

Nie w pojedynkę — to jeden z elementów szerszej ochrony. Razem z uwierzytelnianiem dwuskładnikowym i kontrolą dostępów stanowi fundament, na którym opierają się pozostałe zabezpieczenia.

Kiedy potrzebne jest coś więcej niż porządkowanie haseł

Sama polityka haseł nie chroni przed przejęciem konta w sytuacji, gdy hasło i tak wycieknie — do tego służy uwierzytelnianie dwuskładnikowe, dodające drugi, niezależny element potwierdzenia tożsamości. Jeśli problemem jest to, kto w firmie w ogóle powinien mieć dostęp do danego systemu, niezależnie od siły samego hasła, właściwym tematem jest kontrola uprawnień i dostępów.

Warunki współpracy

Wdrożenie polityki haseł i menedżera haseł wycenia się indywidualnie, zależnie od liczby stanowisk i systemów objętych zmianą — cennika usług nie publikujemy. Dojazd do klienta na terenie Warszawy i okolicznych powiatów jest bezpłatny. Na wykonaną konfigurację obowiązuje gwarancja do 12 miesięcy. Firma nie jest płatnikiem VAT, więc wykonaną pracę dokumentuje fakturą bez VAT.

Przykład z praktyki

Częsty obraz zastany podczas pierwszej wizyty w firmie: kilkanaście osób w zespole, każda z własnym hasłem do komputera, część haseł to imiona dzieci albo nazwa firmy z cyfrą na końcu, a hasło do wspólnego konta w systemie księgowym nie zmieniło się od czasu, gdy firma go wdrożyła — cztery lata wcześniej. Żadne z tych haseł nie jest zapisane w bezpiecznym miejscu, za to dwa leżą na karteczkach przyklejonych do monitorów. Po wdrożeniu menedżera haseł i ustaleniu prostych zasad (minimalna długość, wymuszona zmiana raz na kilka miesięcy, natychmiastowa zmiana po odejściu pracownika) obraz zmienia się diametralnie — a dla pracowników jedyną różnicą w codziennej pracy jest jedno hasło główne zamiast dziesięciu zapamiętywanych osobno.

Dlaczego dobre hasło to za mało bez odpowiedniego przechowywania

Nawet najlepiej wymyślone hasło traci sens, jeśli jest zapisane w miejscu dostępnym dla osób postronnych — w pliku tekstowym na pulpicie, w wiadomości e-mail wysłanej „na wszelki wypadek" do prywatnej skrzynki, albo właśnie na karteczce przy biurku. Menedżer haseł rozwiązuje ten problem od drugiej strony: skoro hasła są długie i losowe, a więc niemożliwe do zapamiętania, przechowuje się je w zaszyfrowanej bazie, do której dostęp daje jedno, dobrze chronione hasło główne. To przenosi punkt ciężkości bezpieczeństwa z dziesiątek słabych ogniw na jedno, dobrze zabezpieczone.

Które hasła zmienić w pierwszej kolejności

Przy ograniczonych zasobach warto zacząć od haseł o największym znaczeniu: dostępu do bankowości elektronicznej i systemów księgowych, poczty firmowej, paneli administracyjnych stron internetowych i systemów CRM, a także haseł współdzielonych przez kilka osób — te ostatnie są szczególnie ryzykowne, bo trudno ustalić, kto faktycznie z nich korzystał w razie incydentu. Hasła do pojedynczych, mało istotnych narzędzi mogą poczekać do kolejnego etapu porządkowania.

Rola szkolenia zespołu

Samo wdrożenie menedżera haseł bez wyjaśnienia zespołowi, dlaczego zmienia się dotychczasowe przyzwyczajenia, kończy się często cichym powrotem do starych nawyków po kilku tygodniach. Krótkie wprowadzenie — pokazanie, jak menedżer działa, dlaczego jedno mocne hasło główne jest bezpieczniejsze niż dziesięć zapamiętanych osobno, i co zrobić w razie problemu z dostępem — zwykle decyduje o tym, czy nowa polityka faktycznie się przyjmie, czy zostanie porzucona przy pierwszej niedogodności.

Hasła a praca zdalna

Zespoły pracujące zdalnie lub hybrydowo dodają do tematu jeszcze jeden wymiar: hasła i menedżer haseł muszą działać spójnie niezależnie od tego, czy pracownik loguje się z biura, z domu, czy z laptopa służbowego zabranego w podróż. Synchronizacja bazy haseł między urządzeniami, dostęp z telefonu w razie potrzeby szybkiego zalogowania się do systemu poza biurem oraz jasna zasada, że hasła firmowe nie są zapisywane w przeglądarce na prywatnym sprzęcie — to elementy, które warto ustalić razem z resztą polityki, a nie doklejać do niej później.