Logowanie wieloskładnikowe Barlinek

Dlaczego hasło wycieka poza Waszą firmą?

Pracownik ma konta w kilkudziesięciu miejscach: sklepy internetowe, portal z ogłoszeniami, aplikacja przewoźnika, forum branżowe. W części z nich użył tego samego hasła co w poczcie służbowej, bo tak jest po prostu wygodniej. Gdy któraś z tych stron zostanie okradziona z bazy, para adres i hasło trafia na listę, którą ktoś automatycznie sprawdza we wszystkich popularnych usługach.

Do przejęcia konta nie potrzeba po Waszej stronie żadnego potknięcia. Nikt nie musi w nic kliknąć ani otworzyć załącznika. Wystarczy, że rok temu ktoś założył konto w sklepie z narzędziami tym samym hasłem, którym loguje się do poczty.

Drugi składnik ten łańcuch rozrywa, bo samo hasło przestaje otwierać cokolwiek. Nie jest zabezpieczeniem doskonałym i tego nie ukrywamy, bo istnieją strony pośredniczące, które proszą o kod i przekazują go dalej w czasie rzeczywistym. Właśnie dlatego dla kont, które otwierają drogę do wszystkiego innego, używamy metod odpornych na taki trik.

Jakie konta zastajemy w firmie na dwadzieścia osób?

Stan zastany jest przewidywalny i prawie zawsze wygląda tak samo, bez względu na branżę.

Konto	Jak to zwykle wygląda	Co z tym robimy
Administrator serwera	jedno hasło znane czterem osobom	konta imienne i osobne hasło do serwera
Skrzynka biura	sześć osób loguje się tym samym hasłem	skrzynka współdzielona z uprawnieniami imiennymi
Konto właściciela	pełne uprawnienia i samo hasło	klucz sprzętowy i osobne konto do zadań admina
Program handlowy	wspólne konto dla całej zmiany	konta imienne, żeby było wiadomo, kto wystawił
Dostęp firmy serwisowej	stały, ze wspólnym hasłem dostawcy	konto włączane na czas zgłoszenia
Konto po byłym pracowniku	aktywne od kilkunastu miesięcy	wyłączenie i lista dostępów przy odejściu
Bankowość firmowa	hasło zapisane w przeglądarce	drugi składnik i osobny sprzęt, jeśli to możliwe

Wiersz z kontem po byłym pracowniku wraca w tej okolicy szczególnie często. Powód nie jest złośliwy: nikt nie wie, do czego dokładnie ta osoba miała dostęp, więc przy odejściu odbiera się jej klucz do biura i na tym się kończy.

Od czego zaczynamy i dlaczego akurat od poczty?

Kolejność nie jest kwestią gustu. Poczta idzie pierwsza, bo przez nią resetuje się hasła do wszystkiego pozostałego: do bankowości, do programu handlowego, do panelu operatora. Kto ma skrzynkę, ten po kilku minutach ma resztę.

Zaraz za nią jest dostęp zdalny, czyli pulpit zdalny i połączenie z domu, bo to jedyna droga prowadząca prosto do wnętrza Waszej sieci. Trzecie w kolejce są konta administracyjne. Dopiero potem bankowość, systemy z danymi klientów i pozostałe programy.

W firmie na dwadzieścia osób ta kolejność ma jeszcze jedną zaletę. Pierwsze dwa kroki dotyczą wszystkich, więc od razu widać efekt, a kolejne można rozłożyć w czasie bez poczucia, że wdrożenie utknęło.

Co zrobić z kartkami pod klawiaturą?

Zastąpić je czymś, co jest równie wygodne. Odbieranie ludziom kartki bez dawania niczego w zamian kończy się kartką schowaną głębiej, więc zaczynamy od sejfu haseł: jedno miejsce, jedno hasło główne do zapamiętania, reszta wpisuje się sama. Właściciel ma wgląd we wszystko, pracownik tylko w to, czego używa.

Dopiero wtedy zmieniamy hasła, które siedzą na kartkach, bo dopiero wtedy nie ma powodu, żeby je gdziekolwiek zapisywać. Przy okazji wychodzi zwykle, że kilka z tych haseł jest identycznych i że jedno z nich pasuje również do prywatnego konta właściciela.

Drugi element to hasło administratora lokalnego na komputerach. W większości firm jest jedno i to samo na wszystkich maszynach, co oznacza, że przejęcie jednego komputera otwiera każdy kolejny. Ustawiamy je unikalne dla każdego sprzętu, z automatyczną zmianą i zapisem w jednym miejscu.

Ile to kosztuje pracownika w codziennej pracy?

Największy opór nie dotyczy bezpieczeństwa, tylko wygody, i jest to obawa uzasadniona, gdy konfigurację zrobi się byle jak. Dobrze ustawione środowisko pyta o drugi składnik raz na kilkanaście dni na znanym firmie komputerze, a nie przy każdym otwarciu poczty. Przy logowaniu z nowego sprzętu albo z nietypowego miejsca pyta od razu i o to dokładnie chodzi.

Drugi element to przygotowanie. Wysyłamy jednostronicową instrukcję ze zrzutami ekranu, rejestrujemy ludzi partiami i przez dwa tygodnie odbieramy telefony od osób, którym coś nie wyszło. Przy większych grupach przyjeżdżamy na miejsce z Gorzowa drogą 151 i robimy rejestrację przy jednym stole, bo w firmie produkcyjnej jest to szybsze niż tłumaczenie przez telefon.

Czego to wdrożenie nie załatwia?

Nie chroni przed pracownikiem, który ma uprawnienia i świadomie ich nadużywa, ani przed atakiem na komputer już po zalogowaniu. Nie zastępuje filtrowania poczty, bo drugi składnik utrudnia wejście na konto, lecz nie usuwa wiadomości, która o to konto prosi. Nie zastępuje też kopii zapasowych.

Warstwę na skrzynce opisuje ochrona poczty, odruch po stronie ludzi budują szkolenia i testy phishingowe, a wymagania regulacyjne dla tego obszaru rozpisuje strona o NIS 2. Zarządzanie samymi urządzeniami firmowymi to wdrożenie Intune.

Treść sprawdzona i zaktualizowana: 1 sierpnia 2026