Logowanie wieloskładnikowe Kraków

Dlaczego samo włączenie drugiego składnika niczego tu nie zamyka

Drugi składnik odpowiada na pytanie, czy po drugiej stronie logowania siedzi właściwa osoba. Jest to pytanie ważne i tanie do zamknięcia, tylko w kancelarii oraz w centrum usług wspólnych pada zwykle inne, znacznie trudniejsze. Brzmi ono, do czego ta właściwa osoba ma prawo po zalogowaniu.

Różnica bierze się z natury pracy. Firma handlowa ma jeden zbiór danych i pyta, kto wchodzi do środka. Kancelaria ma tyle zbiorów, ile spraw, a centrum usług tyle, ile obsługiwanych podmiotów, i pyta, który z nich widzi konkretny człowiek. Uwierzytelnienie samo w sobie na to nie odpowiada, bo potwierdza tożsamość, a nie zakres.

Dlatego kolejność prac jest odwrotna do oczekiwanej. Najpierw ustalamy, na jakiej podstawie powstaje wgląd, potem wiążemy go z przypisaniem, a dopiero na końcu dokładamy metodę logowania. Wdrożenie zrobione odwrotnie zabezpiecza wejście do budynku, w którym wszystkie drzwi wewnętrzne stoją otworem.

Skąd bierze się odpowiedź na pytania z przeglądu uprawnień

Pytanie, które pada przy przeglądzie	Skąd bierze się odpowiedź	Co pokazujemy proszącemu
Kto ma wgląd w materiały tej sprawy	uprawnienia dziedziczone z przypisania	lista osób przypisanych wraz z datami
Czy zespół widzi dane innego klienta	rozdzielenie ról w systemie i w przestrzeni plików	wykaz zakresów per obsługiwany podmiot
Kto ma uprawnienia administracyjne	konta wydzielone w katalogu tożsamości	lista kont podnoszonych na czas zadania
Kto z zewnątrz ma wejście do systemów	rejestr dostępów z terminem i zakresem	wykaz podwykonawców i kont serwisowych
Czy dostęp osoby, która odeszła, wygasł	zgłoszenie z kadr i lista kroków	zapis zamknięcia z datą wykonania
Kiedy ostatnio ktoś to sprawdzał	kwartalny przegląd z potwierdzeniem	wykaz podpisany przez prowadzącego zespół
Jak logują się konta bez człowieka	klucz zamiast hasła i zawężone uprawnienia	zestawienie integracji wraz z zapisem użycia

Kolumna trzecia jest tym, czego brakuje najczęściej. Uprawnienia bywają nadane sensownie, tylko nie istnieje dokument, z którego by to wynikało, a wtedy odpowiedź na pytanie klienta powstaje ręcznie w tygodniu, w którym trzeba ją odesłać.

Jak wiążemy uprawnienia z przypisaniem, nie z nazwiskiem

Punkt wyjścia jest prawie zawsze ten sam. Wgląd nadaje się przy zatrudnieniu, poszerza przy pierwszej większej sprawie, dokłada przy przejściu do innego zespołu, a nikt niczego nie odbiera, ponieważ odebranie wymaga wiedzy, czego dana osoba naprawdę używa.

Zaczynamy więc od miesiąca obserwacji. Włączamy zapis operacji na dokumentach i patrzymy, kto faktycznie z czego korzysta. Ten materiał zmienia rozmowę, bo pokazuje, że zawężenie dotknie znacznie mniejszej liczby osób, niż wszyscy zakładali, i że kilka szerokich dostępów nie było używanych ani razu.

Potem budujemy dwie listy. Pierwsza opisuje role, czyli to, co dostaje dana funkcja pierwszego dnia. Druga opisuje przypisania, czyli to, co dokłada się na czas prowadzenia sprawy albo obsługi konkretnego podmiotu. Rola żyje tak długo, jak stanowisko, przypisanie kończy się razem z pracą, której dotyczyło. Ten podział jest całą techniką tego wdrożenia i mieści się zwykle na dwóch stronach.

Która metoda logowania do którego stanowiska

Kod przysyłany wiadomością jest najtańszy i najsłabszy, bo numer da się przenieść do innego operatora, a sam kod przepisać na podstawionej stronie. Stosujemy go wyłącznie tam, gdzie nie ma nic innego, i zapisujemy to jako wyjątek z terminem.

Aplikacja uwierzytelniająca wystarcza większości zespołu i działa bez połączenia z siecią, co ma znaczenie w salach sądowych oraz w miejscach z kiepskim zasięgiem. Klucz sprzętowy trafia do kilku osób, których konto otwiera drogę do reszty, czyli do administratorów, wspólników i osób zatwierdzających płatności. Klucz sprawdza adres strony, na której się loguje, więc nie odpowie witrynie podstawionej przez atakującego, i to jest jedyny powód, dla którego go kupujemy.

Konta administracyjne trzymamy osobno. Praca codzienna toczy się na koncie bez uprawnień, a wyższe włącza się na czas konkretnego zadania i z zapisem. W spółce raportującej do właściciela ma to dodatkową wartość, ponieważ przegląd wewnętrzny pyta zwykle nie o to, ile jest kont administracyjnych, tylko jak często i po co z nich korzystano.

Co robimy z dostępami podwykonawców

Biuro rachunkowe, dostawca systemu dziedzinowego, kancelaria współpracująca i firma prowadząca stronę mają zwykle wejścia założone przy różnych okazjach i nigdy nieprzejrzane. Porządkujemy je w tym samym wdrożeniu, bo są najstarsze i najsłabiej pilnowane.

Każdy podmiot dostaje poświadczenia imienne zamiast konta zespołowego, drugi składnik tam, gdzie system to obsługuje, oraz dostęp otwierany na czas zgłoszenia. Wszystko trafia do jednego zestawienia z zakresem, terminem i wskazaniem osoby odpowiedzialnej po Waszej stronie. Wejścia, z których od dawna nikt nie korzystał, zamykamy, a odzew przychodzi zwykle z jednego miejsca.

Gdzie kończy się skuteczność tego wdrożenia

Nie chroni przed osobą, która ma dziś legalny wgląd i wykorzystuje go wbrew obowiązkom. Zawężenie zakresu zmniejsza skutki takiego działania, a zapis operacji pozwala je później ustalić, natomiast samo w sobie go nie uniemożliwia. Mówimy to wprost, bo jest to w tej branży pytanie zadawane na pierwszym spotkaniu.

Nie zastępuje filtrowania poczty ani kopii zapasowych. Nie pomaga, gdy ktoś zatwierdzi powiadomienie bez patrzenia, a ten scenariusz zamyka się zajęciami z zespołem oraz ograniczeniem liczby prób.

Stan wyjściowy pokazuje audyt bezpieczeństwa IT, korespondencję w obie strony prowadzi ochrona poczty i filtrowanie treści, a odruch zespołu wypracowuje program szkoleń i testów. Uwierzytelnianie wieloskładnikowe stoi w katalogu środków opisanym przy NIS 2. Harmonogram startu ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026