Quality Power
Zarządzanie hasłami w firmie — jak to ustawić raz i nie wracać
Hasła w głowie właściciela i w pliku na pulpicie to dwie najczęstsze konfiguracje w małych firmach. Jak przejść na coś, co działa.
W małej firmie hasła zwykle leżą w trzech miejscach: w głowie właściciela, w przeglądarce i w pliku, o którym nikt nie pamięta. Ta konfiguracja działa, dopóki nie trzeba komuś czegoś przekazać, dopóki nikt nie gubi telefonu i dopóki nie pojawi się pierwsza próba oszustwa. Potem przestaje działać naraz.
Co jest naprawdę ryzykiem
| Ryzyko | Jak wygląda w praktyce |
|---|---|
| Jedno hasło w wielu usługach | Wyciek w jednym serwisie otwiera dostęp do pozostałych |
| Hasła w pliku albo w notatkach | Dostęp ma każdy, kto siądzie przy komputerze |
| Hasła tylko w głowie | Nieobecność właściciela unieruchamia firmę |
| Drugi składnik tylko na jednym telefonie | Utrata telefonu oznacza utratę dostępu, nawet przy znanym haśle |
| Dostępy współpracowników jako wspólne konto | Po rozstaniu nie da się odebrać dostępu bez zmiany hasła dla wszystkich |
| Hasła wysyłane komunikatorem | Zostają w historii rozmowy na zawsze |
Czwarty wiersz jest tym, który najczęściej unieruchamia firmy — i najrzadziej jest przewidziany. Hasło bez kodów zapasowych do uwierzytelniania dwuskładnikowego jest bezużyteczne po utracie telefonu, co opisuję w rankingu sposobów na odzyskanie dostępu.
Jak to ustawić w jedno popołudnie
- Jeden menedżer haseł dla firmy. Wybór narzędzia jest mniej istotny od tego, żeby było jedno i żeby wszyscy go używali. Kryteria doboru rozpisałem w rankingu pytań przed zakupem narzędzia.
- Silne, unikalne hasło główne — jedyne, które trzeba zapamiętać. Najlepiej długie i złożone z kilku słów, bo łatwiej je zapamiętać niż krótkie z symbolami.
- Uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne. Priorytet: poczta, domena, hosting, bank, konta sprzedażowe, profile.
- Kody zapasowe wygenerowane i schowane poza telefonem. Wydrukowane albo zapisane w menedżerze, do którego masz dostęp z innego urządzenia.
- Kontakt awaryjny w menedżerze haseł. Funkcja, przy której wskazana osoba może poprosić o dostęp, a po ustalonym czasie bez reakcji go otrzymuje. To jedno ustawienie rozwiązuje problem z pozycji trzeciej tabeli.
- Imienne konta dla współpracowników, nie wspólne hasło. Przy rozstaniu odbiera się jedno konto, a nie zmienia hasła wszystkim.
Czego nie robić
- Nie przesyłaj haseł w wiadomościach. Jeśli musisz przekazać dostęp, zrób to przez funkcję udostępniania w menedżerze haseł albo przez odnośnik wygasający po jednym użyciu.
- Nie używaj danych firmowych w hasłach. Nazwa firmy, rok założenia, nazwa domeny — to pierwsze kombinacje sprawdzane przy próbach włamania.
- Nie zapisuj kodów zapasowych w tym samym telefonie, który jest drugim składnikiem. To unieważnia cały mechanizm.
- Nie klikaj odnośników z wiadomości o hasłach i dostępach. Procedury odzyskiwania uruchamia się samodzielnie, wchodząc na stronę usługi wpisaną z ręki — schemat podszywania się opisuję w rankingu oszustw wymierzonych w małe firmy.
Arkusz, który i tak jest potrzebny
Menedżer haseł przechowuje dostępy, ale nie odpowiada na pytanie, co gdzie jest wykupione i kiedy wygasa. Do tego potrzebna jest osobna lista: usługa, u kogo, na jakim koncie, data wygaśnięcia, kto ma dostęp. Pięć kolumn, przeglądane raz na pół roku — to element planu awaryjnego firmy i jedyna ochrona przed wygaśnięciem domeny.
Co zrobić przy rozstaniu ze współpracownikiem
| Krok | Działanie |
|---|---|
| 1 | Odebrać dostęp do kont imiennych i wyłączyć konto pocztowe |
| 2 | Zmienić hasła do kont wspólnych, których nie dało się rozdzielić |
| 3 | Sprawdzić, czy nie był wskazany jako kontakt awaryjny albo odzyskiwania |
| 4 | Sprawdzić uprawnienia w wizytówce, profilach i kontach reklamowych |
| 5 | Przejrzeć, czy nie istnieją klucze dostępu albo integracje na jego dane |
Trzeci i piąty wiersz są pomijane najczęściej, a to one zostawiają furtkę po rozstaniu. Przy współpracy z podwykonawcami warto od początku nadawać dostęp, nie przekazywać własności konta — co rozpisałem w rankingu błędów przy pierwszym podwykonawcy.
Dostępy uporządkowane raz, zamiast szukania przy każdej potrzebie
Przy wdrożeniach spisuję, co gdzie jest wykupione, na jakich kontach i kiedy wygasa — razem z menedżerem haseł, dostępem awaryjnym i imiennymi uprawnieniami dla współpracowników. To popołudnie pracy, które zdejmuje ryzyko unieruchomienia firmy.
Najczęstsze pytania
Czy menedżer haseł jest bezpieczny?
Bezpieczniejszy niż plik na pulpicie, to samo hasło w wielu serwisach albo poleganie na pamięci. Warunek: silne hasło główne, włączone uwierzytelnianie dwuskładnikowe i kody zapasowe przechowywane poza telefonem.
Jak przekazać komuś hasło?
Przez funkcję udostępniania w menedżerze haseł albo przez odnośnik wygasający po użyciu. Hasło wysłane komunikatorem zostaje w historii rozmowy na zawsze.
Co zrobić przy rozstaniu ze współpracownikiem?
Odebrać dostęp do kont imiennych, zmienić hasła do kont wspólnych i sprawdzić, czy nie był wskazany jako kontakt odzyskiwania ani czy nie istnieją integracje na jego dane.
Czy menedżer haseł zastępuje listę usług i terminów?
Nie. Przechowuje dostępy, ale nie mówi, co gdzie jest wykupione i kiedy wygasa. To osobny arkusz i jedyna realna ochrona przed wygaśnięciem domeny.
