Zarządzanie hasłami w firmie: hasła w sejfie, a nie w zeszycie i w głowie szefa
Prowadzimy hasła i dostępy w firmach. Ty zachowujesz pełny wgląd i decyzje, a my dbamy, żeby porządek przetrwał każdą zmianę w zespole.
Zarządzanie hasłami w firmie to stały proces, w którym hasła firmowe są przechowywane w zaszyfrowanym sejfie (menedżerze haseł), każdy pracownik loguje się własnym kontem i ma dostęp tylko do tego, czego potrzebuje, najważniejsze konta są chronione uwierzytelnianiem dwuskładnikowym, a firma w każdej chwili wie, kto ma dostęp do czego, i potrafi ten dostęp odebrać w kwadrans. Sam program do haseł to narzędzie. Zarządzanie to zasady, ludzie i regularne przeglądy.
Jak to zwykle wygląda przed porządkiem
Znamy te zdania z setek firm. Każde z nich to otwarte drzwi, przez które ktoś może wejść albo ktoś, kto odszedł, nadal wchodzi.
-
Wszystkie hasła mam w zeszycie.
Zeszyt daje poczucie kontroli, ale firma wisi na jednym przedmiocie i jednej osobie. Zeszyt, arkusz, głowa -
Do skrzynki biurowej logujemy się wszyscy.
Wygoda kupiona za cenę rozliczalności. Gdy coś zniknie, podejrzani są wszyscy. Wspólne konta -
Jak to, mam komuś podać moje hasło?
Pracownik broni konta służbowego jak prywatności, bo używa tam tego samego hasła co prywatnie. Prywatne i firmowe -
Domenę zakładał nasz pierwszy informatyk.
Kod odzyskiwania przychodzi dziś do kogoś, kto od lat nie pracuje w firmie. Konto na prywatny adres
Dlaczego hasła są pierwszym miejscem do uporządkowania
Liczby ze źródłem, bez dopisywania.
Sejf haseł to narzędzie.
Zarządzanie hasłami to porządek, który ktoś prowadzi.
Firma kupuje menedżer haseł, przenosi do niego część haseł i po pół roku wraca do arkusza, bo nikt nie pilnuje zasad. Dlatego zaczynamy od spisu tego, co firma ma, a kończymy na stałej opiece, a nie na licencji.
Co obejmuje zarządzanie hasłami w firmie
Sześć obszarów. Pierwszy jest widoczny, pozostałe pięć decyduje o tym, czy porządek przetrwa.
Sejf firmowy
Menedżer haseł dla zespołu5
- Jeden zaszyfrowany sejf dla całej firmy
- Foldery dla zespołów: księgowość, sprzedaż, zarząd
- Udostępnianie hasła bez pokazywania go pracownikowi
- Generator długich, losowych haseł
- Dziennik: kto i kiedy użył hasła wspólnego
Konta i uprawnienia
Kto ma dostęp do czego5
- Spis kont, systemów i ich właścicieli
- Konta imienne zamiast wspólnych
- Osobne konta administratora
- Dostęp tylko do tego, czego ktoś potrzebuje w pracy
- Konta zakładane na firmowe adresy i numery
Uwierzytelnianie dwuskładnikowe
Drugi składnik obok hasła4
- Poczta, bankowość, domena i sam sejf w pierwszej kolejności
- Kod z aplikacji zamiast SMS
- Klucze sprzętowe dla właściciela, finansów i administratorów
- Kody odzyskiwania w bezpiecznym miejscu
Wejścia i wyjścia
Pierwszy i ostatni dzień pracy4
- Lista dostępów na pierwszy dzień
- Odebranie dostępów w kwadrans, z potwierdzeniem
- Zmiana haseł wspólnych, które znała osoba odchodząca
- Usunięcie jej telefonu z drugiej metody weryfikacji
Dostęp awaryjny
Gdy właściciel jest niedostępny3
- Kto przejmuje dostęp, gdy ktoś zachoruje albo zgubi telefon
- Koperta awaryjna z kluczami i kodami
- Procedura użycia, spisana i sprawdzona
Przeglądy i raport
Żeby porządek się nie rozjechał4
- Przegląd dostępów co kwartał z właścicielem
- Wyłapywanie haseł słabych i powtórzonych
- Sprawdzanie, czy firmowe adresy nie trafiły do wycieków
- Krótki raport dla właściciela
Polityka haseł w firmie: 9 zasad, które wystarczą
Bez trzydziestostronicowego dokumentu. Te zasady mieszczą się na jednej kartce i to one robią różnicę.
Menedżer haseł dla firmy: jak wybrać
Jesteśmy niezależni od producentów, więc nie polecamy jednej marki. Dobieramy narzędzie po Analizie Dostępów, do sposobu pracy firmy i do tego, kto będzie je prowadził.
Liczy się mniej to, który program wybierzesz, a bardziej to, czy ktoś go prowadzi: dodaje nowe osoby, odbiera dostępy, pilnuje zasad i przegląda uprawnienia. Program bez opieki po pół roku zamienia się w drugi arkusz.
Zobacz, jak wygląda wdrożenie menedżera haseł i stała opieka nad dostępami.
Na co patrzymy przy wyborze
- Gdzie są dane: w Unii Europejskiej albo na serwerze firmy
- Foldery i uprawnienia dla zespołów
- Udostępnianie hasła bez pokazywania go
- Dziennik użycia haseł wspólnych
- Wymuszone uwierzytelnianie dwuskładnikowe do sejfu
- Dostęp awaryjny na wypadek nieobecności właściciela
- Prosta obsługa na telefonie, bo tam pracuje zespół
Klucze do firmy, które powinny trafić do sejfu
To jest cyfrowy majątek firmy. Każdy z tych dostępów ma właściciela, drugi składnik logowania i zapasowy sposób odzyskania.
Hasła bez zarządzania i z zarządzaniem
Ta sama firma, przed i po uporządkowaniu.
| Obszar | Bez zarządzania | Z zarządzaniem hasłami |
|---|---|---|
| Gdzie są hasła | Zeszyt, arkusz, przeglądarki, głowa właściciela. | Jeden zaszyfrowany sejf z folderami dla zespołów. |
| Kto ma dostęp | Nikt nie wie na pewno. Część dostępów mają osoby, które już nie pracują. | Jedna lista: kto, do czego i na jakiej podstawie. |
| Odejście pracownika | Zmiana hasła do poczty i nadzieja, że to wystarczy. | Wszystkie dostępy odebrane w kwadrans, z potwierdzeniem. |
| Wyciek hasła | To samo hasło działa w kilku miejscach, także w banku. | Każde hasło inne, a drugi składnik logowania zatrzymuje intruza. |
| Urlop albo choroba szefa | Nikt nie może wejść do banku ani do domeny. | Dostęp awaryjny działa według spisanej procedury. |
Jak prowadzimy zarządzanie hasłami w firmie
Pięć kroków. Ostatni trwa stale, bo ludzie przychodzą, odchodzą i zmieniają role.
-
Inwentaryzacja
Spisujemy konta, systemy i osoby z dostępem. Powstaje Mapa Dostępów.
-
Uporządkowanie
Sejf firmowy, konta imienne, przeniesienie kont na firmę.
-
Zabezpieczenie
Uwierzytelnianie dwuskładnikowe i klucze sprzętowe tam, gdzie stawka jest najwyższa.
-
Wejścia i wyjścia
Procedury na pierwszy i ostatni dzień pracy, krótkie szkolenie zespołu.
-
Stały nadzór
Przeglądy, monitoring wycieków, raport dla właściciela co miesiąc.
co miesiąc, bez końca
Od czego zacząć
Trzy kroki współpracy. Każdy ma swój początek i koniec, ostatni trwa stale.
-
Krok 1
Analiza Dostępów
Pełny obraz tego, kto ma dostęp do czego, i plan uporządkowania.
- Mapa Dostępów
- Plan uporządkowania
- Rejestr ryzyk zaakceptowanych
-
Krok 2
Wdrożenie menedżera haseł
Sejf, migracja haseł, konta imienne, drugi składnik logowania i procedury, zrobione naszymi rękami.
- Migracja haseł do sejfu
- Konta przeniesione na firmę
- Szkolenie zespołu
Pytania o zarządzanie hasłami w firmie
Czym jest zarządzanie hasłami w firmie?
To stały proces, w którym hasła firmowe są w zaszyfrowanym sejfie, każdy pracownik ma własne konto i dostęp tylko do tego, czego potrzebuje, a firma wie, kto ma dostęp do czego, i potrafi go szybko odebrać. Obejmuje narzędzie, zasady, procedury wejść i wyjść oraz regularne przeglądy.
Jaki menedżer haseł wybrać dla firmy?
Taki, który pasuje do waszego sposobu pracy i który ktoś będzie prowadził. Jesteśmy niezależni od producentów i dobieramy narzędzie po Analizie Dostępów. Patrzymy na to, gdzie są dane, jak działają uprawnienia dla zespołów, czy jest dziennik użycia i dostęp awaryjny.
Czy trzymanie wszystkich haseł w jednym sejfie nie jest ryzykowne?
Mniej niż alternatywa. Sejf jest zaszyfrowany i chroniony hasłem głównym oraz drugim składnikiem uwierzytelniania. Zeszyt, arkusz i hasła zapisane w przeglądarce nie mają żadnej z tych ochron, a do tego nie wiadomo, kto zrobił ich kopię.
Co z hasłami, które zna cały zespół?
Najpierw sprawdzamy, czy system pozwala na konta imienne. Zwykle pozwala. Tam, gdzie nie, hasło wspólne trafia do sejfu, zespół korzysta z niego bez oglądania go, a po każdym odejściu jest zmieniane jednym ruchem.
Czy hasła trzeba zmieniać co miesiąc?
Nie. Wymuszanie zmian według kalendarza kończy się hasłami z kolejnym numerkiem na końcu. Hasło zmienia się wtedy, gdy wyciekło albo gdy odchodzi osoba, która je znała. Ważniejsze jest to, żeby każde hasło było inne i długie.
Czym różni się menedżer haseł od uwierzytelniania dwuskładnikowego?
Menedżer haseł przechowuje hasła i pozwala używać innego hasła w każdym miejscu. Uwierzytelnianie dwuskładnikowe dodaje drugą metodę weryfikacji obok hasła, np. kod z aplikacji albo klucz sprzętowy. Działają razem: pierwsze utrudnia kradzież hasła, drugie sprawia, że samo skradzione hasło nie wystarcza.
Czy właściciel straci kontrolę, gdy hasła trafią do sejfu?
Zyska ją. Dziś kontrola opiera się na zeszycie. Po wdrożeniu widzisz wszystkie dostępy i każde użycie haseł wspólnych, a żadna informacja nie ginie razem z laptopem ani podczas Twojego urlopu.
Co, jeśli pracownik zgubi telefon z drugim składnikiem logowania?
Na to jest procedura dostępu awaryjnego: zapasowe klucze, kody odzyskiwania przechowywane w bezpiecznym miejscu i osoba, która może przywrócić dostęp. Ustalamy ją przy wdrożeniu, zanim telefon zginie.
Co zrobić z hasłami, gdy pracownik odchodzi?
Zablokować jego konta imienne, zmienić hasła wspólne, które znał, usunąć jego telefon z drugiej metody weryfikacji i przejąć pocztę oraz pliki. W uporządkowanej firmie zajmuje to kwadrans. Pełna lista na dzień odejścia.
Czy RODO wymaga menedżera haseł?
Nie wprost. RODO wymaga czegoś trudniejszego: wykazania, że dostęp do danych osobowych mają tylko uprawnione osoby. Bez listy dostępów trudno to wykazać, z sejfem i procedurą odbierania dostępów staje się to proste.
Ile trwa uporządkowanie haseł w firmie?
W firmie kilkunastoosobowej zwykle kilka tygodni od Analizy Dostępów do działającego porządku. Dokładny plan dostajesz po analizie.
Czy musimy przekazać wam nasze hasła?
Nie. Hasła zostają w Waszym sejfie. Konfigurujemy go i prowadzimy, ale nie zbieramy Waszych haseł ani nie trzymamy ich u siebie.
Sprawdźmy, gdzie dziś są hasła Twojej firmy.
Zaczynamy od Analizy Dostępów. Po niej wiesz, kto ma dostęp do czego i co uporządkować najpierw.
Ostatnia aktualizacja: