Logowanie wieloskładnikowe Gdańsk

Ile Waszych logowań prowadzi poza firmę

Pytanie wygląda niewinnie, a odpowiedź zwykle zaskakuje. W firmie biurowej większość dostępów kończy się na własnych systemach, więc lista jest krótka i cała leży w jednym katalogu tożsamości. W firmie obsługującej ładunki jest inaczej. Osoba prowadząca odprawy loguje się w ciągu dnia do platformy urzędowej, do portalu armatora, do systemu operatora terminala, do panelu przewoźnika i do kilku serwisów kontrahentów zagranicznych.

Żadne z tych miejsc nie należy do Was. Nie decydujecie, jakie metody logowania tam działają, jak długo żyje sesja ani czy w ogóle istnieje historia zmian. Możecie decydować wyłącznie o tym, kto po Waszej stronie ma tam wejście, na jakich zasadach i jak długo.

Dlatego wdrożenie zaczynamy od podziału listy na dwie części. Pierwsza to konta, w których wolno nam wszystko. Druga to konta, w których wolno nam mniej, ale akurat tam zwykle nikt dotąd nie robił nic.

Które konta możecie zabezpieczyć sami, a które nie

Logowanie	Kto ustala zasady	Co da się z tym zrobić
Katalog tożsamości i poczta	wy	drugi składnik, reguły kontekstowe, osobne konta administracyjne
Dostęp zdalny do sieci biura	wy	klucz sprzętowy i wymóg urządzenia znanego firmie
System spedycyjny u producenta	dostawca	drugi składnik, jeśli go ma, inaczej wejście tylko ze wskazanych stacji
Platforma urzędowa	urząd	konto imienne dla każdej osoby, bez żadnego współdzielenia
Portal armatora lub przewoźnika	kontrahent	rozbicie konta działowego, rejestr uprawnionych, rytm zmiany hasła
Konto techniczne w integracji	wy, ale bez człowieka	klucz zamiast hasła, zawężone uprawnienia, zapis użycia
Bankowość firmowa	bank	rozdzielone uprawnienia i osobne narzędzie potwierdzające

Wiersze czwarty i piąty są w tej branży najciekawsze, bo nie ma w nich żadnej konfiguracji do zmiany. Cała praca sprowadza się do decyzji organizacyjnych: kto ma tam wejście, czy jest ono imienne, kto je odbiera przy odejściu i gdzie zapisano, że ta osoba je miała.

Wiersz szósty bywa pomijany, ponieważ nikt się na tym koncie nie loguje ręcznie. Właśnie dlatego żyje ono najdłużej i najczęściej ma uprawnienia szersze, niż potrzebuje.

Jak pisać reguły dostępu w firmie, której ludzie naprawdę jeżdżą za granicę

Standardowa rada brzmi: zablokować logowania spoza Polski. W biurze rachunkowym działa to bez zastrzeżeń. W spedycji obsługującej ładunki morskie kończy się telefonem z Hamburga w środę o siódmej rano, kiedy nikt nie może zalogować się do zgłoszenia, a kontener czeka.

Robimy więc odwrotnie. Zaczynamy od pytania, do których krajów Wasi ludzie jeżdżą w normalnym rytmie pracy i skąd faktycznie logują się w ostatnim półroczu. Ta lista bywa krótsza, niż wszyscy zakładają, i to ona staje się podstawą reguły. Kierunki spoza niej blokujemy, a wyjazd poza nią zgłasza się wcześniej, najczęściej jednym zdaniem do zespołu wsparcia.

Do tego dokładamy trzy ustawienia, które nie przeszkadzają nikomu, a zamykają najczęstsze obejścia. Krótszą ważność sesji na sprzęcie prywatnym. Wymóg urządzenia znanego firmie przy dostępie do archiwum dokumentów. Wyłączenie starych protokołów poczty, które drugiego składnika nie obsługują i przez lata były najprostszą drogą dookoła całego mechanizmu.

Co robimy z kontami, którym nie da się dołożyć drugiego składnika

Takich pozycji w tej branży zostaje zawsze kilka i udawanie, że jest inaczej, byłoby najgorszym możliwym wynikiem wdrożenia. Zamiast tego opisujemy je osobno i obudowujemy tym, co jest w naszym zasięgu.

Konto dostaje właściciela z imienia, a nie nazwę działu. Hasło jest unikalne i nie powtarza się w żadnym innym miejscu, także prywatnym. Dostęp do niego prowadzi przez sejf haseł z zapisem użycia, więc wiadomo, kto sięgał i kiedy. Rytm zmiany hasła jest ustalony i wpisany do kalendarza, a przy odejściu pracownika zmiana następuje tego samego dnia.

Na koniec zapisujemy taką pozycję na liście ryzyk przyjętych świadomie, z jednym zdaniem uzasadnienia. Ten dokument przydaje się później dwa razy: przy rozmowie z kontrahentem, który pyta o kontrolę dostępu, i przy każdej kolejnej zmianie dostawcy, bo pokazuje, czego od nowego wykonawcy wymagać.

Jak wygląda uruchomienie w firmie pracującej w kilku miejscach naraz

Idziemy grupami, zaczynając od zespołu, który najczęściej siedzi przy biurku, bo tam pytania są najłatwiejsze do obsłużenia. Osoby jeżdżące w teren bierzemy w drugiej kolejności i zawsze z zapasowym kluczem wydanym od razu, ponieważ odzyskiwanie dostępu w podróży jest najgorszym momentem na naukę procedury.

Konfiguracja to jeden dzień pracy, reszta harmonogramu to rejestracja i asysta. Startu nie wyznaczamy na poniedziałek ani na pierwszy dzień po dłuższej nieobecności, bo wtedy kolejka zgłoszeń powstaje z zupełnie innych powodów i zmiana dostaje winę za cudze problemy.

Gdzie kończy się skuteczność tego wdrożenia

Nie chroni przed osobą, która ma legalny dostęp i nadużywa go świadomie. Nie zastępuje filtrowania poczty, bo utrudnia wejście na konto, a nie usuwa wiadomości, która o to konto prosi. Nie pomaga, gdy ktoś zatwierdzi powiadomienie bez patrzenia, i ten scenariusz zamyka się zajęciami z zespołem oraz ograniczeniem liczby prób.

Nie zmienia też zasad w systemach, których nie prowadzicie. Możemy uporządkować to, kto i jak z nich korzysta, ale sama metoda logowania zostaje decyzją ich właściciela i tak to opisujemy w dokumentacji.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, warstwę po stronie skrzynki prowadzi ochrona poczty i filtrowanie treści, a odruch sprawdzania nadawcy wypracowuje program szkoleń i testów. Harmonogram uruchomienia ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026