Jak uporządkować hasła w firmie

Jak uporządkować hasła w firmie?

Zacznij od spisu firmowych kont i osób, które mają do nich dostęp. Następnie wskaż osobę odpowiedzialną za aktualizowanie tej listy, wprowadź firmowy menedżer haseł, włącz dodatkowe zabezpieczenie logowania i ustal, jak odbierane są dostępy po odejściu pracownika. To plan, który można wdrożyć także w firmie bez własnego zespołu cyberbezpieczeństwa.

W wielu firmach hasła powstają przy okazji. Ktoś zakłada konto reklamowe, ktoś inny kupuje narzędzie do faktur, agencja dostaje dostęp do strony. Przez pewien czas wszystko działa. Problem wychodzi na jaw dopiero wtedy, gdy trzeba szybko zmienić administratora, odzyskać konto albo sprawdzić, do czego nadal może zalogować się były pracownik.

Nie chodzi o to, by właściciel znał każde hasło. Chodzi o to, by firma wiedziała, jakie ma konta, kto może z nich korzystać i jak odzyska nad nimi kontrolę.

Dlaczego warto się tym zająć?

Hasło użyte w kilku miejscach może otworzyć drogę do firmowego systemu po wycieku z zupełnie innej usługi. Dostęp pozostawiony byłemu pracownikowi może działać miesiącami. Konto założone na prywatny adres współpracownika bywa trudne do odzyskania, gdy współpraca się kończy.

To nie są wyłącznie teoretyczne scenariusze. W raporcie Verizon DBIR 2026 nadużycie danych logowania pojawiało się na którymś etapie 39% analizowanych naruszeń bezpieczeństwa. Ta liczba nie oznacza, że 39% firm zostanie zaatakowanych. Pokazuje natomiast, jak często przejęte dane logowania uczestniczą w rzeczywistych incydentach.

Porządkowanie haseł zmniejsza też codzienne tarcia: nowa osoba szybciej dostaje potrzebny dostęp, nie trzeba szukać loginu w starym mailu, a odejście pracownika nie wywołuje nerwowego przeglądu wszystkich używanych aplikacji.

1. Wyznacz osobę, która będzie pilnować dostępów

Porządki zwykle zaczynają się od narzędzia. Lepiej zacząć od odpowiedzialności. Kto będzie dopisywał nowe konta do listy? Kto sprawdzi, jakie uprawnienia ma nowy pracownik? Kto potwierdzi, że odchodząca osoba straciła wszystkie dostępy?

W małej firmie może to robić właściciel, zaufany pracownik, informatyk albo firma zewnętrzna. Nie musi to być specjalista zatrudniony na pełen etat. Powinien jednak mieć na to czas, prawo do uzyskania informacji od zespołu i zastępstwo na czas nieobecności.

Właściciel lub zarząd nadal decyduje, kto może mieć dostęp do ważnych zasobów, zwłaszcza bankowości, poczty administratora i danych klientów. Osoba prowadząca proces pilnuje, by decyzje zostały wykonane i zapisane.

2. Zrób spis kont — bez wpisywania do niego haseł

Otwórz arkusz lub dokument dostępny tylko dla upoważnionych osób. Zapisz używane usługi: pocztę, domenę, hosting, bankowość, księgowość, sklep, system sprzedaży, konta reklamowe, media społecznościowe, narzędzia do projektowania i panele dostawców.

Przy każdej usłudze zanotuj:

• do czego służy i kto w firmie za nią odpowiada;
• kto ma konto administratora;
• które osoby i firmy zewnętrzne mają dostęp;
• czy korzystają z kont imiennych, czy ze wspólnego loginu;
• na jaki adres trafiają wiadomości potrzebne do odzyskania konta;
• czy włączono uwierzytelnianie wieloskładnikowe;
• kiedy ostatnio sprawdzono uprawnienia.

Nie zapisuj haseł w tym arkuszu. Spis ma pokazać, gdzie istnieje dostęp i kto nim zarządza. Hasła powinny trafić do menedżera haseł.

Nie musisz znać od razu wszystkich używanych aplikacji. Zacznij od tych, których utrata zatrzymałaby działalność: poczty, banku, domeny, głównego systemu sprzedaży i miejsca przechowywania dokumentów. Potem przejdź przez wydatki firmowe oraz zapytaj zespoły, z jakich usług korzystają. W ten sposób często znajdują się konta, o których właściciel nie wiedział.

Utrzymywanie spisu kont i regularne sprawdzanie, czy aktywne dostępy są nadal uzasadnione, należy do podstawowych zaleceń CIS Controls.

3. Ustal kolejność działań

Nie każde konto wymaga tej samej uwagi. Hasło do panelu domeny może pozwolić zmienić działanie firmowej strony i poczty. Dostęp do firmowej skrzynki bywa z kolei sposobem na odzyskanie haseł do innych usług. Dlatego nie warto zaczynać od najmniej ważnej aplikacji tylko dlatego, że łatwo ją uporządkować.

Najpierw sprawdź:

1. Kontrolę nad firmą: domenę, pocztę administratora, bankowość, hosting i główne konta w usługach chmurowych.
2. Pracę i sprzedaż: sklep, CRM, księgowość, systemy płatności oraz konta reklamowe.
3. Pozostałe narzędzia: aplikacje używane przez pojedyncze zespoły i dostawców.

W każdej grupie szukaj tych samych sygnałów: wspólnego hasła, prywatnego adresu używanego do odzyskiwania konta, byłego pracownika na liście użytkowników, braku dodatkowego zabezpieczenia logowania i sytuacji, w której tylko jedna osoba wie, jak odzyskać dostęp.

4. Wybierz firmowy menedżer haseł

Menedżer haseł pozwala tworzyć osobne, długie hasło dla każdej usługi i przechowywać je bez zapamiętywania dziesiątek ciągów znaków. Wersja przeznaczona dla zespołu umożliwia też przyznawanie dostępu do wybranych haseł bez rozsyłania ich mailem lub komunikatorem.

Przy wyborze sprawdź, czy narzędzie:

• pozwala założyć osobne konto każdemu pracownikowi;
• umożliwia ograniczenie dostępu do poszczególnych haseł lub grup haseł;
• obsługuje uwierzytelnianie wieloskładnikowe;
• pokazuje, jak działa odzyskiwanie dostępu do firmowego sejfu;
• pozwala administratorowi odebrać pracownikowi dostęp;
• działa wygodnie na urządzeniach używanych w firmie;
• pozwala kontrolować eksport całej bazy haseł.

To ostatnie jest ważne: eksport haseł do zwykłego pliku może być przydatny przy zmianie dostawcy, ale taki plik wymaga szczególnej ochrony. Brytyjskie National Cyber Security Centre radzi również sprawdzić sposób odzyskiwania konta, zabezpieczenie administratorów i łatwość używania narzędzia. Jeśli obsługa będzie zbyt uciążliwa, pracownicy wrócą do własnych notatek.

Hasła zapisane w przeglądarce nie są z definicji problemem. Znaczenie ma to, czy przeglądarka i konto synchronizacji są zarządzane przez firmę oraz czy dostęp da się odebrać po odejściu pracownika. Prywatny profil przeglądarki, nad którym firma nie ma kontroli, nie powinien być jedynym miejscem przechowywania firmowych danych logowania.

5. Zmień hasła, które stwarzają największe ryzyko

Po uruchomieniu menedżera haseł nie musisz tego samego dnia zmieniać każdego hasła w firmie. Najpierw zmień te, które są współdzielone bez kontroli, powtarzają się w kilku usługach, mogły wyciec lub są znane osobom, które nie powinny już mieć dostępu. Przy okazji zmień fabryczne hasła w urządzeniach i usługach, jeśli takie jeszcze pozostały.

Dla nowych kont pozwól menedżerowi wygenerować długie, losowe i unikalne hasło. Hasło główne do samego menedżera wymaga innego podejścia, bo trzeba je zapamiętać: wybierz długą frazę z niepowiązanych słów i zabezpiecz konto dodatkowym składnikiem logowania.

Nie wprowadzaj zasady „wszyscy zmieniają hasła co 30 dni” bez konkretnego powodu. Aktualne wytyczne NIST odradzają wymuszanie okresowych zmian bez oznak przejęcia hasła. NIST podkreśla za to długość hasła, blokowanie haseł znanych z wycieków i możliwość korzystania z menedżerów haseł.

6. Włącz dodatkowe zabezpieczenie logowania i przygotuj odzyskiwanie kont

Nawet dobre hasło może zostać wyłudzone. Dlatego na najważniejszych kontach włącz uwierzytelnianie wieloskładnikowe, często nazywane MFA lub 2FA. Zacznij od poczty, menedżera haseł, bankowości, domeny oraz kont administratorów.

W badaniu kont firmowych Microsoft Entra, dawniej Azure Active Directory, Microsoft Research oszacował, że stosowanie MFA wiązało się ze zmniejszeniem ryzyka przejęcia konta o 99,22% w badanej populacji. To wynik konkretnego badania, a nie obietnica takiego samego efektu w każdej firmie. Pokazuje jednak, dlaczego warto włączyć MFA przed dopracowywaniem mniej pilnych elementów polityki haseł.

Gdy usługa daje wybór, korzystaj z silniejszych metod, takich jak klucz bezpieczeństwa lub inna metoda odporna na wyłudzenie. Aplikacja uwierzytelniająca jest zwykle lepszym wyborem niż kod przesyłany SMS-em. CISA zaleca małym i średnim firmom włączać MFA wszędzie, gdzie to możliwe, zaczynając od kont administratorów i osób pracujących z wrażliwymi danymi.

Równocześnie zaplanuj odzyskiwanie dostępu. Gdzie są kody zapasowe? Kto ma prawo ich użyć? Co zrobić, gdy właściciel zgubi telefon? Nie przechowuj jedynej kopii kodu potrzebnego do otwarcia menedżera haseł wyłącznie wewnątrz tego menedżera. Procedura awaryjna powinna być dostępna dla upoważnionych osób nawet wtedy, gdy główne konto jest zablokowane.

7. Ogranicz wspólne konta

Jeśli kilka osób loguje się jednym hasłem, trudno ustalić, kto wykonał zmianę i czy były pracownik nadal zna dane logowania. Dlatego tam, gdzie usługa na to pozwala, zakładaj konta imienne i nadawaj tylko uprawnienia potrzebne do pracy.

Nie każda usługa to umożliwia. Jeśli wspólny login musi zostać, umieść hasło w firmowym menedżerze i udostępnij je tylko osobom, które naprawdę go potrzebują. Zapisz, kto znał to hasło. Po odejściu takiej osoby zmień je oraz sprawdź, czy usługa pozwala wylogować aktywne sesje.

Podobnie traktuj dostęp dostawców. Agencja marketingowa nie musi znać hasła do głównego konta firmy, jeśli platforma pozwala zaprosić ją jako osobnego użytkownika z ograniczonymi uprawnieniami.

8. Ustal, jak odbierasz dostęp po odejściu pracownika

To najważniejszy sprawdzian całego systemu. Osoba prowadząca dostępy powinna otrzymać informację o odejściu na tyle wcześnie, by przygotować listę działań. W odpowiednim momencie blokuje konta imienne, odbiera uprawnienia w usługach zewnętrznych, sprawdza aktywne sesje i zmienia wspólne hasła znane odchodzącej osobie. Na koniec potwierdza wykonanie zmian.

Ta sama zasada dotyczy zmiany stanowiska. Pracownik, który nie zajmuje się już płatnościami, nie powinien zachowywać dostępu do bankowości tylko dlatego, że nadal pracuje w firmie. CIS Controls zalecają proces odbierania dostępu po zakończeniu współpracy, cofnięciu uprawnień lub zmianie roli.

Nie kasuj kont pochopnie, jeśli zawierają historię działań potrzebną firmie. Często właściwym pierwszym krokiem jest zablokowanie logowania i zabezpieczenie danych, a dopiero później uporządkowanie konta zgodnie z zasadami danej usługi.

Plan na pierwszy miesiąc

W pierwszym tygodniu wyznacz osobę odpowiedzialną i spisz najważniejsze konta. Sprawdź administratorów, adresy do odzyskiwania oraz dostęp byłych pracowników i dostawców.

W drugim tygodniu wybierz menedżer haseł, zabezpiecz jego administratorów i przenieś do niego hasła do kluczowych usług. Zmień hasła współdzielone bez kontroli lub używane w kilku miejscach.

W trzecim tygodniu włącz MFA na najważniejszych kontach, przygotuj kody zapasowe i sprawdź, czy upoważniona osoba potrafi odzyskać dostęp w sytuacji awaryjnej.

W czwartym tygodniu przygotuj krótką listę działań na przyjęcie, zmianę roli i odejście pracownika. Ustal termin pierwszego przeglądu uprawnień. CIS Controls wskazują, by sprawdzać aktywne konta co najmniej raz na kwartał; w małej firmie to rozsądny punkt wyjścia.

Po miesiącu nie musisz mieć idealnej dokumentacji. Powinieneś za to móc odpowiedzieć na trzy pytania: jakie konta są najważniejsze, kto ma do nich dostęp i kto ten dostęp odbierze, gdy zajdzie potrzeba.

Najczęstsze pytania

Czy trzeba od razu zmienić wszystkie firmowe hasła?

Nie. Zacznij od haseł powtarzanych, udostępnianych bez kontroli, podejrzanych o ujawnienie oraz znanych byłym pracownikom lub dostawcom. Pozostałe konta porządkuj według znaczenia dla firmy.

Czy można prowadzić listę dostępów w arkuszu?

Tak, jeśli dostęp do arkusza jest ograniczony i ktoś go aktualizuje. Arkusz powinien zawierać informacje o kontach i uprawnieniach, ale nie same hasła. Te przechowuj w menedżerze haseł.

Czy właściciel firmy powinien znać wszystkie hasła?

Nie. Właściciel powinien wiedzieć, kto ma dostęp do kluczowych usług, kto może go odebrać i jak firma odzyska konto w sytuacji awaryjnej. Znajomość każdego hasła nie jest do tego potrzebna.

Co zrobić, jeśli były pracownik nadal ma dostęp?

Najpierw zablokuj jego konta imienne i odbierz przyznane uprawnienia. Następnie zmień wspólne hasła, które znał, sprawdź metody odzyskiwania kont oraz aktywne sesje, jeśli usługi pozwalają je zobaczyć lub zakończyć. Zapisz, co zostało wykonane, i sprawdź pozostałe systemy ze spisu.

Czy menedżer haseł rozwiąże cały problem?

Nie. Ułatwia tworzenie i przechowywanie unikalnych haseł, ale ktoś nadal musi decydować o dostępie, utrzymywać listę kont i reagować na zmiany w zespole. Narzędzie działa najlepiej jako część prostego, konsekwentnie prowadzonego procesu.

Od czego zacząć dziś?

Wypisz pięć najważniejszych usług firmy. Przy każdej zapisz administratora, użytkowników i sposób odzyskania dostępu. Jeśli przy którejś pozycji nie znasz odpowiedzi, masz pierwszy punkt do wyjaśnienia. Tak zaczyna się porządek w firmowych hasłach — od wiedzy, kto może otworzyć które drzwi, i od możliwości zamknięcia ich we właściwym momencie.

Źródła: Verizon DBIR 2026, NIST SP 800-63B, CIS Controls, NCSC Password Manager Buyers Guide, CISA oraz Microsoft Research. Źródła anglojęzyczne; dostęp: 13 października 2026 r.