Logowanie wieloskładnikowe Katowice

Ile logowań ma u Was jedna osoba

Pytanie brzmi dziwnie, dopóki nie zada się go w firmie, której obiekty powstawały w odstępie kilku lat. Kierownik utrzymania ruchu ma wtedy konto w domenie zakładu, drugie w domenie biura, bo tam odbiera pocztę, i trzecie w systemie magazynowym, założone przez integratora przy wdrożeniu. Do tego dochodzi logowanie do panelu urządzenia brzegowego, o którym pamięta wyłącznie osoba, która je zakładała.

Cztery hasła, cztery historie zmian i cztery różne odpowiedzi na pytanie, czy ta osoba ma jeszcze dostęp po odejściu. Drugi składnik nałożony na taki układ zabezpiecza jedno z czterech wejść, a atakujący i tak wybierze to bez ochrony. Dlatego kolejność prac jest odwrotna do oczekiwanej: najpierw porządek w tożsamości, potem zabezpieczenie.

Skąd biorą się osobne środowiska w firmie z kilkoma obiektami

Moment w historii firmy	Co wtedy powstało	Co z tego zostało
Uruchomienie pierwszego zakładu	serwer z domeną i konta załogi	środowisko uznawane dziś za główne
Otwarcie biura handlowego	druga domena, bo tak było szybciej	osobne konta i osobna polityka haseł
Wdrożenie systemu magazynowego	konta zakładane przez integratora	logowania spoza katalogu firmy
Przejęcie mniejszej spółki	całe środowisko przejętej firmy	trzecia domena i własny administrator
Uruchomienie magazynu	konta kopiowane z zakładu	te same nazwy, inne hasła
Przejście poczty do chmury	katalog tożsamości w Entra ID	czwarte miejsce, w którym istnieje pracownik
Praca zdalna po godzinach	dostęp zdalny z własnymi kontami	piąte logowanie, założone doraźnie

Wiersz szósty jest zwykle punktem, od którego zaczynamy scalanie. Katalog tożsamości w chmurze i tak istnieje, bo poczta w firmie musi działać, więc sensowniej uczynić z niego jedno miejsce prawdy niż budować szóste.

Jak scalamy konta, nie zatrzymując przy tym pracy

Zaczynamy od spisu, w którym każdemu logowaniu przypisujemy człowieka i powód istnienia. Ta część odsłania trzy rodzaje pozycji: konta osób pracujących dzisiaj, konta osób, które odeszły, i konta niebędące ludźmi, czyli zadania systemowe uruchomione lata temu na czyimś imiennym loginie.

Trzecia grupa decyduje o tempie. Zadanie kopii, integracja z systemem handlowym albo skrypt eksportujący raporty potrafią pracować na koncie pracownika, który odszedł, i wyłączenie go zatrzymuje coś, czego nikt nie łączył z tą osobą. Dlatego stare logowania wygaszamy dopiero po okresie obserwacji, a nie w dniu uruchomienia nowego.

Sama migracja idzie obiekt po obiekcie, a nie firmą naraz. Zaczynamy od lokalizacji z najmniejszą liczbą systemów branżowych, bo tam ewentualny problem kosztuje najmniej, i dopiero z tym doświadczeniem wchodzimy do zakładu produkcyjnego.

Dlaczego reguły wiążemy z miejscem i sprzętem

Rola mówi, do czego ktoś ma prawo. Kontekst mówi, czy właśnie teraz wygląda to wiarygodnie, i dopiero razem tworzą sensowną zasadę. Pracownik logujący się ze służbowego komputera w sieci zakładu przechodzi bez dodatkowych pytań, bo wszystko się zgadza. Ten sam pracownik na nieznanym urządzeniu poza siecią firmy dostaje pytanie o drugi składnik, a przy dostępie do systemów z danymi kontrahentów pytanie pojawia się zawsze.

W praktyce ustawiamy cztery rzeczy. Blokadę logowań z krajów, w których nikt z firmy nie pracuje. Wymóg urządzenia znanego firmie przy dostępie do danych wrażliwych. Krótszą ważność sesji na sprzęcie prywatnym. Wyłączenie starych protokołów, które drugiego składnika nie obsługują i były najczęstszym obejściem całego mechanizmu.

Konta administracyjne traktujemy osobno. Codzienna praca odbywa się na koncie bez uprawnień, wyższe podnosi się na czas zadania i z zapisem. W firmie z kilkoma obiektami ma to dodatkową zaletę: widać wtedy, w której lokalizacji i po co ktoś sięgał po dostęp.

Co robimy z dostępami firm obsługujących kilka zakładów

Kooperant serwisujący dwie hale ma zwykle jedno poświadczenie, wygodne dla niego i dla Was. Rozdzielamy je na dostępy przypisane do lokalizacji, każdy imienny i każdy otwierany na czas zgłoszenia. Powód jest praktyczny: przy zdarzeniu pierwsze pytanie brzmi, kto i gdzie wchodził, a wspólne konto na tak postawione pytanie nie odpowiada.

Każde wejście zapisujemy w jednym zestawieniu, z zakresem, terminem i wskazaniem obiektu. Wymagania trafiają do umowy przy najbliższym przedłużeniu. Wejścia, z których od dawna nikt nie korzystał, zamykamy, a odzew przychodzi zwykle z jednego miejsca, co samo w sobie mówi wszystko o reszcie.

Gdzie kończy się skuteczność tego wdrożenia

Nie chroni przed osobą mającą legalny dostęp i nadużywającą go świadomie. Nie zastępuje kopii zapasowych ani ochrony komputerów. Nie pomaga, gdy pracownik zatwierdzi powiadomienie bez patrzenia, i ten scenariusz zamyka się zajęciami z zespołem oraz ograniczeniem liczby prób, a nie samą konfiguracją.

Nie obejmuje też systemów, które drugiego składnika nie obsługują. W starszym oprogramowaniu sterującym produkcją zdarza się to często i wtedy zabezpieczamy je inaczej: dostępem wyłącznie ze wskazanych komputerów oraz rejestrowaniem sesji.

Od czego zacząć, pokaże audyt bezpieczeństwa IT. Komputery obejmuje konsolą ochrona stacji roboczych i serwerów, a nawyk sprawdzania nadawcy wypracowuje program szkoleń i testów. Uwierzytelnianie wieloskładnikowe znajduje się w katalogu środków opisanym przy NIS 2. Termin startu ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026