Menedżer haseł dla firmy: wdrożenie i zasady użycia

Gdzie dziś leżą hasła i czym to grozi

W małych firmach spotykam cztery sytuacje, z których żadna nie daje kontroli nad tym, kto zna hasło:

Arkusz lub dokument. Każdy z dostępem do pliku widzi wszystko, a kopie krążą w poczcie.
Komunikator. Hasło wysłane raz zostaje w historii rozmowy na zawsze.
Karteczka przy monitorze. Widzi ją każdy, kto wejdzie do biura.
Jedno konto dla wszystkich. Nie wiadomo, kto się zalogował, a po odejściu osoby trzeba zmieniać hasło dla całego zespołu.

Do tego dochodzi powtarzanie tych samych haseł, bo nikt nie zapamięta kilkudziesięciu różnych. Menedżer rozwiązuje oba kłopoty naraz, bo generuje i pamięta długie, losowe hasła.

Wdrożenie w pięciu krokach

Spisuję konta firmy: kto korzysta z jakiej usługi i kto jest jej właścicielem.
Wybieramy narzędzie według tego, czy wolisz usługę w chmurze, czy własny serwer, oraz czy potrzebne są sejfy zespołowe i dziennik zdarzeń. Nie wskazuję jednej marki jako jedynej słusznej.
Zakładam strukturę sejfów: wspólny dla biura oraz osobne dla księgowości, sprzedaży i administracji.
Włączam drugi składnik logowania do samego menedżera, bo sejf zabezpieczony samym hasłem to jedna klamka do wszystkich drzwi.
Importuję istniejące hasła, szkolę zespół i ustalam datę, po której arkusz z hasłami znika.

Sposób włączenia drugiego składnika opisuję na stronie uwierzytelnianie dwuskładnikowe w firmie.

Jak dzielić hasła w zespole

Sejf wspólny

Hasła potrzebne całemu biuru, na przykład do drukarki, Wi-Fi i narzędzi używanych przez wszystkich.

Sejf działu

Dostęp do banku mają tylko osoby z księgowości, do panelu sklepu tylko te, które go obsługują.

Sejf osobisty

Prywatne hasła pracownika, których firma nie widzi. Oddzielenie ich od firmowych ułatwia późniejsze rozstanie.

Dostęp na czas projektu

Dla zewnętrznego wykonawcy zakładam osobny sejf i usuwam go po zakończeniu pracy, zamiast przekazywać hasło do głównego konta.

Gdy pracownik odchodzi

Wtedy menedżer haseł zwraca się najszybciej. Konto osoby jest zamykane, a lista haseł, do których miała dostęp, jest widoczna od razu. Hasła do tych usług zmieniam w pierwszej kolejności, zaczynając od poczty, banku i paneli administracyjnych. Pełną kolejność prac opisuję w poradniku onboarding i offboarding IT pracownika.

Hasło główne i zasady, które spisuję

hasło główne jest długim zdaniem, które pracownik zapamiętuje, a nie zapisuje, i zmieniamy je po podejrzeniu wycieku, nie według kalendarza,
osoba odpowiedzialna za sejf ma kod awaryjny przechowywany osobno, w zamkniętym miejscu,
nowe konto nie dostaje hasła mailem ani w komunikatorze, tylko zaproszenie do sejfu,
raz na jakiś czas przeglądam raport słabych i powtórzonych haseł i porządkuję je razem z zespołem.

Zasady omawiam z zespołem na szkoleniu z cyberbezpieczeństwa. Szersze zabezpieczenia firmy opisuje poradnik bezpieczeństwo danych w małej firmie.

Najczęstsze pytania

Czy menedżer haseł nie jest jednym punktem awarii?

Jest ważnym punktem, dlatego zabezpiecza się go długim hasłem głównym i drugim składnikiem, a kopię sejfu i kod awaryjny przechowuje osobno. Ryzyko jest mniejsze niż przy hasłach powtarzanych w kilkudziesięciu usługach.

Co z hasłami zapisanymi już w przeglądarkach?

Przy imporcie przenoszę je do sejfu i wyłączam zapisywanie haseł firmowych w przeglądarkach na komputerach firmy. Dzięki temu po zamknięciu konta nie zostają kopie w prywatnych profilach.

Czy to musi być usługa w chmurze?

Nie. Są rozwiązania w chmurze i takie, które stawia się na własnym serwerze. Wybór zależy od tego, kto ma pilnować aktualizacji i kopii, więc omawiam to przed decyzją.

Czy ktoś widzi wszystkie hasła w firmie?

Zależy od ustawień. Właściciel sejfu i administrator mają szersze uprawnienia, więc ograniczam ich liczbę do niezbędnego minimum, a działania administratora są widoczne w dzienniku, jeśli narzędzie go prowadzi.

Menedżer haseł dla firmy: jeden sejf zamiast haseł w arkuszu