Logowanie wieloskładnikowe Białystok

Ile firm ma dziś klucze do Waszego środowiska?

W podlaskiej firmie bez własnego działu IT odpowiedź prawie nigdy nie brzmi jeden. Dostęp ma zwykle firma od programu magazynowego, integrator, który uruchamiał system kadrowy, serwisant urządzeń pomiarowych, biuro rachunkowe, czasem jeszcze osoba, która stawiała sieć lata temu i nikt nie pamięta, czy jej wejście zostało zamknięte.

Każde z tych wejść powstawało osobno i prawie zawsze w ten sam sposób: ktoś poprosił o dostęp, ktoś inny go dał, a hasło trafiło do wiadomości, która nadal leży w skrzynce. Nikt tego nie kwestionował, bo każde z tych wejść powstawało pod presją terminu, a firma musiała pracować.

Porządkowanie zaczynamy więc nie od pracowników, tylko od tych wejść. Robimy ich listę, ustalamy, które są jeszcze potrzebne, i przerabiamy pozostałe na konta imienne z terminem ważności i drugim składnikiem. Ta jedna praca zmienia sytuację mocniej niż cokolwiek innego, bo konta wykonawców mają zwykle najszersze uprawnienia w całej firmie.

Czym różni się wejście wykonawcy od konta zwykłego pracownika?

Rodzaj wejścia	Czym potwierdza tożsamość	Zakres uprawnień	Co zostaje po sesji
Administrator, my albo inna firma IT	klucz sprzętowy FIDO2	podnoszone na czas zadania	pełny zapis sesji i wykaz zmian
Serwisant systemu branżowego	kod z aplikacji, konto z terminem	tylko jego aplikacja i jej baza	zapis logowania i czasu połączenia
Pracownik biura	kod z aplikacji albo klucz	zasoby przypisane do stanowiska	zapis logowania
Stanowisko zmianowe	klucz przypisany do stanowiska, konto imienne	jeden program i drukarka	zapis logowania z numerem stanowiska
Biuro rachunkowe	kod z aplikacji, dostęp warunkowy	wskazany katalog i eksport danych	zapis logowania i pobrań
Konto awaryjne	klucz w sejfie, bez drugiego składnika	pełne, użycie wyzwala alarm	alert do Was i do nas w tej samej minucie

Ostatni wiersz bywa pomijany, a jest jedynym wejściem, które musi zadziałać nawet wtedy, gdy usługa uwierzytelniania przestaje odpowiadać. Bez niego dobrze zrobione wdrożenie potrafi zamknąć firmę przed nią samą, zwykle w piątek po południu.

Jak przeprowadzić przez tę zmianę ludzi na produkcji i w trasie?

Cała konfiguracja powstaje z konsoli, więc technicznie nie ma tu przeszkody. Trudność leży gdzie indziej: w ludziach, którzy pierwszy raz mają zalogować się inaczej niż dotąd, często stojąc przy taśmie albo siedząc w kabinie na trasie w stronę granicy.

Rozwiązujemy to trzema rzeczami. Po pierwsze, dzielimy firmę na grupy po kilka osób i uruchamiamy zmianę etapami, zaczynając od ludzi, którzy poradzą sobie najłatwiej i pomogą reszcie. Po drugie, na każdy dzień uruchomienia grupy rezerwujemy człowieka po naszej stronie, który odbiera telefon od razu. Po trzecie, instrukcja jest jednostronicowa i ma zrzuty ekranu z Waszego środowiska, a nie z materiałów producenta.

Klucze sprzętowe wysyłamy wcześniej, razem z listą, komu który przypisać. Rejestrację robi każdy sam, my potwierdzamy ją w konsoli. Przy trzydziestu kontach cała operacja zamyka się zwykle w dwa tygodnie, licząc od momentu, w którym klucze dojadą.

Po co Wam zapis naszych własnych sesji?

Bo to jedyny sposób sprawdzenia, co robi w Waszym środowisku dostawca IT, i dotyczy nas dokładnie tak samo jak każdego innego. Umowa i zapewnienia są słabszym dowodem niż wykaz, w którym widać datę, godzinę, konto, źródło połączenia i czas trwania sesji administracyjnej.

Zapis ma też drugie zastosowanie, przydatne przy każdej rozmowie o zgodności. Gdy odbiorca albo ubezpieczyciel pyta, jak kontrolujecie dostawcę IT, macie konkretną odpowiedź z dowodem zamiast zdania o zaufanym partnerze. To samo pytanie zadaje zresztą NIS 2 w części o łańcuchu dostaw.

Nasze konta podlegają tym samym zasadom co reszta: pracujemy na kontach imiennych, konto codzienne nie ma uprawnień administracyjnych, a podniesienie uprawnień jest czasowe i widoczne. Jeśli któraś z tych rzeczy jest u Was niemożliwa z powodu starego systemu, zapisujemy to jako wyjątek z podaną przyczyną, zamiast po cichu obniżać poprzeczkę.

Co robimy z uprawnieniami, gdy ktoś odchodzi z firmy?

Ustalamy jedną listę dostępów przypisaną do stanowiska, nie do osoby, i to jest praca, którą wykonuje się raz, a korzysta z niej latami. Przy przyjęciu nowej osoby uprawnienia nadaje się z listy, przy odejściu odbiera się je tą samą listą, a nikt nie musi zgadywać, do czego dana osoba miała dostęp.

Odejście uruchamia u nas stały zestaw kroków: wyłączenie konta zamiast kasowania, unieważnienie aktywnych sesji i metod logowania, przekazanie skrzynki oraz zmiana haseł do kont wspólnych, jeśli takie jeszcze zostały. Konto zostaje wyłączone przez ustalony czas, bo skasowane od razu potrafi zabrać dostęp do plików, których nikt nie zdążył przenieść.

Raz na kwartał przeglądamy dostępy razem z Wami. Najwięcej znajdujemy zawsze wśród kont wykonawców, bo umowa się skończyła, a wejście zostało. Nikt tego nie zauważy sam z siebie, bo nieużywane wejście nie generuje żadnego zdarzenia, i dlatego wpisujemy ten przegląd w harmonogram, zamiast liczyć na czyjąś czujność.

Czego drugi składnik nie powstrzyma?

Nie powstrzyma sytuacji, w której ktoś sam wykona przelew po rozmowie telefonicznej z fałszywym prezesem, bo tam żadne hasło nie jest łamane. Nie pomoże, gdy komputer użytkownika jest już przejęty, bo napastnik korzysta z otwartej sesji, a nie z logowania. Nie zastąpi też porządku w uprawnieniach: konto z drugim składnikiem i z prawami do wszystkiego dalej otwiera wszystko.

Dlatego to wdrożenie ma sens razem z pozostałymi warstwami. Skrzynkę zabezpiecza ochrona poczty, komputery ochrona stacji i serwerów, a odruch sprawdzania nadawcy buduje program szkoleń. Zakres wdrożenia dla Waszej liczby kont ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026