Logowanie wieloskładnikowe i kontrola dostępu

Dlaczego samo hasło przestało wystarczać

Przeciętny pracownik ma konta w kilkudziesięciu serwisach i w części z nich używa tego samego hasła co w poczcie służbowej. Gdy jeden z tych serwisów zostanie okradziony z bazy, para adres i hasło trafia na listę, którą ktoś automatycznie sprawdza we wszystkich popularnych usługach. Wasza firma nie musi popełnić żadnego błędu, żeby konto zostało przejęte.

Drugi składnik przerywa ten schemat, bo samo hasło przestaje otwierać drzwi. Nie jest to zabezpieczenie doskonałe: istnieją strony pośredniczące, które proszą o kod i przekazują go dalej w czasie rzeczywistym. Właśnie dlatego dla kont z największymi uprawnieniami stosujemy metody, których w ten sposób przechwycić się nie da.

Ile warta jest która metoda

Metoda	Odporność na wyłudzenie	Dla kogo
Samo hasło	żadna	nie stosujemy nigdzie
Kod SMS	niska, numer da się przejąć	ostateczność, gdy nie ma innej opcji
Kod z aplikacji	średnia, można go przepisać obcemu	większość pracowników
Powiadomienie push z numerem	średnia, wymaga świadomej zgody	pracownicy, tam gdzie dostępne
Klucz sprzętowy	wysoka, klucz sprawdza adres strony	administratorzy, zarząd, księgowość
Logowanie bez hasła	wysoka, brak hasła do wykradzenia	docelowy stan całej firmy

Praktyczny wniosek jest taki, że nie trzeba kupować kluczy dla wszystkich. Kupuje się je dla kilku osób, których konto otwiera drogę do reszty: dla administratorów, dla zarządu i dla osób realizujących przelewy.

Gdzie włączyć drugi składnik najpierw

System	Ryzyko przy przejęciu	Kolejność
Poczta	dostęp do korespondencji i resetów haseł	pierwsza
Dostęp zdalny, VPN i pulpit zdalny	wejście do sieci firmowej	pierwsza
Konta administracyjne	pełna kontrola nad środowiskiem	pierwsza
Bankowość i systemy finansowe	bezpośrednia strata pieniędzy	druga
Systemy z danymi klientów	obowiązek zgłoszenia naruszenia	druga
Pozostałe aplikacje firmowe	zależnie od zawartości	trzecia

Poczta jest pierwsza nie dlatego, że zawiera najcenniejsze dane, tylko dlatego, że przez nią resetuje się hasła do wszystkiego pozostałego.

Co ustawiamy poza samym drugim składnikiem

Dostęp warunkowy pozwala uzależnić logowanie od kontekstu. W praktyce ustawiamy zwykle cztery rzeczy: blokadę logowań z krajów, w których nikt z firmy nie pracuje, wymóg urządzenia znanego firmie przy dostępie do danych wrażliwych, krótszą ważność sesji na urządzeniach prywatnych oraz wyłączenie starych protokołów, które drugiego składnika nie obsługują i były najczęstszym obejściem całego mechanizmu.

Druga część pracy to uprawnienia po zalogowaniu. Administrator dostaje dwa konta: jedno do codziennej pracy, drugie do zadań administracyjnych, z uprawnieniami podnoszonymi na czas zadania. W środowisku Microsoft robimy to w Entra ID, w sieci lokalnej przez oddzielne konta w Active Directory i unikalne hasła administratora lokalnego na każdej stacji.

Co się dzieje, gdy pracownik odchodzi

Najczęstsze znalezisko z audytu bezpieczeństwa IT to aktywne konto osoby, która odeszła kilkanaście miesięcy wcześniej, czasem z dostępem zdalnym. Powód jest zawsze ten sam: nikt nie wie, do czego dokładnie ta osoba miała dostęp, więc nikt nie odbiera niczego poza kluczem do biura.

Dlatego przy wdrożeniu powstaje lista dostępów przypisana do stanowiska, a nie do nazwiska. Dzięki niej odejście pracownika jest jednym zadaniem z listą kroków, a przyjęcie nowego nie wymaga zgadywania, co powinien dostać. Ta sama lista jest później dowodem przy audycie zgodności.

Ile to kosztuje pracownika w codziennej pracy

Największy opór przed wdrożeniem nie dotyczy bezpieczeństwa, tylko wygody, i to jest obawa uzasadniona, jeśli konfigurację zrobi się źle. Dobrze ustawione środowisko prosi o drugi składnik raz na kilkanaście dni na znanym firmie komputerze, a nie przy każdym otwarciu poczty. Przy pracy z nowego urządzenia albo z nietypowej lokalizacji pyta od razu, i o to właśnie chodzi.

Drugi element to komunikacja przed startem. Wysyłamy jednostronicową instrukcję ze zrzutami ekranu, uruchamiamy rejestrację działami i przez dwa tygodnie jesteśmy dostępni pod telefonem dla osób, którym coś nie wyszło. Wdrożenie zapowiedziane w piątek i włączone w poniedziałek rano generuje kolejkę zgłoszeń i opinię, że bezpieczeństwo przeszkadza w pracy, którą potem usuwa się latami.

Czego to wdrożenie nie załatwia

Nie chroni przed pracownikiem, który ma uprawnienia i świadomie ich nadużywa, ani przed atakiem na stację po zalogowaniu. Nie zastępuje też filtrowania poczty: drugi składnik utrudnia wejście na konto, ale nie usuwa wiadomości, która próbuje o to konto poprosić. Obie warstwy pracują razem i opisuje je bezpieczeństwo IT dla firm.

Wymagania regulacyjne dla tego obszaru rozpisuje strona NIS 2 dla firm, a zarządzanie samymi urządzeniami firmowymi to wdrożenie Intune.

Treść sprawdzona i zaktualizowana: 30 lipca 2026