Logowanie wieloskładnikowe Poznań

Co dzieje się z kontem od pierwszego do ostatniego dnia pracy

Firma handlowa zakłada konta szybko, bo nowa osoba ma pracować od poniedziałku, a szczyt sprzedaży nie czeka. Odbieranie ich idzie znacznie wolniej, bo nikt nie ma tego w zakresie obowiązków i nikomu nie brakuje niczego, gdy konto zostaje aktywne.

Moment	Co dzieje się dziś	Co ustawiamy
Przyjęcie do pracy	konto tworzone doraźnie, uprawnienia kopiowane z kolegi	lista dostępów przypisana do stanowiska
Praca sezonowa	konto bez terminu, jak każde inne	data wygaśnięcia ustawiana przy zakładaniu
Zmiana działu	nowe uprawnienia dochodzą, stare zostają	przypisanie nowego zestawu, odebranie poprzedniego
Zastępstwo na urlop	przekazanie hasła koledze	delegowanie uprawnień na czas określony
Praca dla dostawcy	wspólne hasło całego zespołu serwisu	konta imienne, dostęp na czas zgłoszenia
Koniec umowy sezonowej	konto zostaje, bo nikt nie zgłosił	wygaśnięcie automatyczne, raport dla kadr
Odejście na stałe	odbierany klucz do biura, konto czasem	jedno zadanie z listą kroków, wspólne dla IT i kadr

Wiersz przedostatni jest najczęstszym znaleziskiem, jakie opisujemy w audycie bezpieczeństwa IT. Po dwóch sezonach firma ma kilkadziesiąt aktywnych kont osób, które dawno tam nie pracują, część z dostępem zdalnym, i nikt nie potrafi powiedzieć, które są które.

Od którego systemu zaczynamy

Kolejność wynika z tego, co daje atakującemu najwięcej po przejęciu, a nie z tego, co najłatwiej skonfigurować.

Pierwsza jest poczta, bo przez nią resetuje się hasła do wszystkiego innego. Równolegle dostęp zdalny, czyli tunel i pulpit zdalny, bo to wejście prosto do sieci. Trzecie w tej samej fali są konta administracyjne, bo dają kontrolę nad całym środowiskiem.

W drugiej kolejności idą systemy finansowe i bankowość, potem aplikacje z danymi klientów, a na końcu reszta oprogramowania firmowego. Rozłożenie tego na fale ma znaczenie praktyczne: firma, która włącza wszystko naraz, dostaje w poniedziałek trzydzieści zgłoszeń i opinię, że bezpieczeństwo przeszkadza w pracy, a tę opinię usuwa się potem latami.

Konta zmianowe, czyli miejsce, gdzie drugiego składnika nie da się włączyć

W magazynie i przy stanowiskach pakowania spotykamy konto zmiany: jedno poświadczenie, kilka osób, hasło znane wszystkim, którzy kiedykolwiek na tej zmianie pracowali. Drugiego składnika nie da się do tego dołożyć, bo nie ma komu przypisać telefonu ani klucza.

Rozwiązanie zaczyna się od rozdzielenia kont, a nie od zabezpieczenia istniejącego. Każda osoba dostaje własne poświadczenie, a logowanie na terminalu upraszczamy, żeby nie wydłużać pracy: krótszy identyfikator, dłuższa sesja na urządzeniu stacjonarnym w magazynie, drugi składnik wymagany przy pierwszym logowaniu i przy dostępie spoza sieci firmy.

Efekt jest podwójny. Można włączyć ochronę i można wreszcie odpowiedzieć na pytanie, kto zatwierdził wydanie, przy którym zabrakło towaru.

Co jeszcze wchodzi w to wdrożenie

Dostęp warunkowy, czyli uzależnienie logowania od kontekstu. W praktyce cztery rzeczy: blokada logowań z krajów, w których nikt z firmy nie pracuje, wymóg urządzenia znanego firmie przy dostępie do danych handlowych, krótsza ważność sesji na sprzęcie prywatnym oraz wyłączenie starych protokołów, które drugiego składnika nie obsługują i były najczęstszym obejściem całego mechanizmu.

Druga część to uprawnienia po zalogowaniu. Osoba administrująca pracuje na dwóch osobnych poświadczeniach: zwykłym do poczty i przeglądarki oraz drugim, po które sięga wyłącznie na czas konkretnego zadania. W środowisku Microsoft prowadzimy to w Entra ID, w sieci lokalnej przez osobne konta w Active Directory i unikalne hasła administratora lokalnego na każdej stacji.

Jak uruchamiamy to pod kilkoma adresami

Rejestrację prowadzimy działami i lokalizacjami, nie całą firmą naraz. Centrala pierwsza, bo tam są konta administracyjne i tam najłatwiej o wsparcie na miejscu. Potem oddziały, po jednym na raz, z krótkim spotkaniem przed startem i telefonem dostępnym przez pierwsze dni.

Do magazynów przyjeżdżamy w dniu uruchomienia, wyjeżdżając z biura przy Bnińskiej 44, bo rejestracja osób pracujących zmianowo wymaga złapania obu zmian, a nie jednej. Klucze sprzętowe dla zarządu, księgowości i administratorów wydajemy z ręki, z krótkim instruktażem, zamiast wysyłać je kurierem z instrukcją w kopercie.

Co zostaje do zrobienia po tym wdrożeniu

Drugi składnik nie chroni przed pracownikiem, który ma uprawnienia i świadomie ich nadużywa, ani przed atakiem na stację po zalogowaniu. Nie usuwa też wiadomości, która próbuje o dane logowania poprosić, więc pracuje w parze z ochroną poczty i z programem szkoleń.

Warstwę odtworzenia po udanym ataku opisuje ochrona przed ransomware, a komplet warstw w jednej umowie bezpieczeństwo IT dla firm. Uwierzytelnianie wieloskładnikowe jest też jednym ze środków wymienionych wprost w NIS 2.

Treść sprawdzona i zaktualizowana: 31 lipca 2026