Polityka haseł w firmie: krótka odpowiedź
Dobra polityka haseł w firmie opiera się dziś na czterech zasadach: hasło ma być długie (my przyjmujemy minimum 14 znaków, najlepiej fraza z kilku słów), unikalne dla każdego serwisu, przechowywane w menedżerze haseł i zawsze wsparte drugim składnikiem logowania. Wymuszanie okresowej zmiany i skomplikowanych reguł znakowych przestało być dobrą praktyką. Wytyczne NIST (dokument SP 800-63B) od lat odradzają oba mechanizmy, a Microsoft nie ustawia już domyślnie wygasania haseł w Microsoft 365.
Brzmi jak rewolucja, ale dla pracowników to ulga: jedno długie hasło do zapamiętania zamiast kilkunastu, które zmieniają się co miesiąc.
Dlaczego stare zasady nie działają
Wymóg „wielka litera, cyfra, znak specjalny, zmiana co 30 dni” wygląda rygorystycznie. W praktyce produkuje hasła w rodzaju Krakow2026!, potem Krakow2026@, potem Luty2026!. Atakujący znają te schematy, a ich słowniki zawierają je od dawna. Częsta zmiana sprawia, że użytkownik modyfikuje tylko końcówkę albo zapisuje nowe hasło na karteczce przyklejonej do monitora.
Prawdziwe zagrożenie leży gdzie indziej: w haśle użytym ponownie. Pracownik zakłada konto w sklepie internetowym albo na forum tym samym hasłem, którego używa do poczty firmowej. Po wycieku bazy tego sklepu para „adres i hasło” trafia na listy, które automaty sprawdzają potem na Microsoft 365, VPN i panelach logowania. Tego ataku nie powstrzyma ani znak specjalny, ani zmiana co kwartał, jeśli hasło w obu miejscach jest takie samo.
Co wpisać do polityki
- Minimalna długość: 14 znaków dla użytkowników, 20 dla kont administracyjnych i serwisowych. Bez wymogu konkretnych rodzajów znaków.
- Frazy zamiast haseł: trzy lub cztery przypadkowe słowa, na przykład „szafa-rower-pomidor-lipiec”, łatwiejsze do zapamiętania niż „K7#mq!2p” i trudniejsze do złamania.
- Unikalność: hasło do systemów firmowych nie może być używane nigdzie indziej, zwłaszcza w serwisach prywatnych.
- Zmiana tylko z powodu: po podejrzeniu wycieku, po odejściu osoby znającej hasło, po incydencie. Nie według kalendarza.
- Lista zakazanych haseł: nazwa firmy, miasto, nazwy produktów, pory roku z rokiem. Microsoft Entra ID ma do tego wbudowaną ochronę haseł z listą słów, którą możesz uzupełnić.
- MFA obowiązkowe dla poczty, VPN, systemów księgowych i wszystkich kont administracyjnych.
- Menedżer haseł jako jedyne dopuszczalne miejsce przechowywania haseł firmowych.
- Blokada konta lub rosnące opóźnienie po kilku nieudanych próbach logowania.
Menedżer haseł: jaki wybrać i jak wdrożyć
Menedżer rozwiązuje problem, którego żadna polityka na papierze nie rozwiąże: człowiek nie zapamięta 60 różnych haseł. W firmie sprawdzają się rozwiązania z panelem administracyjnym i współdzielonymi sejfami, a nie prywatne aplikacje każdego pracownika.
| Narzędzie | Dla kogo | Na co zwrócić uwagę |
|---|---|---|
| Bitwarden Teams lub Enterprise | firmy ceniące otwarty kod i rozsądną cenę | możliwość własnego hostingu, prosty panel |
| 1Password Business | zespoły, które chcą wygodnych aplikacji | wygodne współdzielenie sejfów, raport słabych haseł |
| Keeper Business | firmy potrzebujące rozbudowanych raportów | część modułów płatna osobno |
| KeePassXC | pojedyncze osoby, bardzo małe zespoły | brak centralnego zarządzania, plik trzeba kopiować samemu |
Wdrożenie w firmie liczącej 10-30 osób zajmuje zwykle tydzień: założenie sejfów (np. „Księgowość”, „Sklep”, „Administracja”), import haseł z przeglądarek, krótka sesja online dla pracowników i, co najważniejsze, usunięcie haseł zapisanych w przeglądarkach i plikach Excela. Hasło główne do menedżera musi być długą frazą, a samo konto chronione przez MFA.
Czego w firmie zakazać
- zapisywania haseł w plikach typu „hasla.xlsx”, w notatkach w telefonie i na karteczkach,
- przesyłania haseł mailem, SMS-em i na komunikatorach - do tego służy funkcja udostępniania w menedżerze,
- wspólnych kont dla kilku osób tam, gdzie system pozwala założyć konta osobne,
- zakładania prywatnych kont na firmowy adres e-mail,
- podawania hasła komukolwiek, także osobie przedstawiającej się jako informatyk - prawdziwy administrator go nie potrzebuje,
- zapamiętywania haseł w przeglądarce na komputerach, z których korzysta kilka osób.
Konta wspólne, serwisowe i „awaryjne”
Polityka zwykle skupia się na pracownikach, a najsłabsze hasła siedzą gdzie indziej. Konto skanera, który wysyła dokumenty mailem, konto usługi kopii zapasowych, login do panelu hostingu założony przez agencję sprzed pięciu lat, hasło do Wi-Fi dla gości niezmienione od otwarcia biura. Takie dostępy rzadko mają MFA i niemal nigdy nie są zmieniane po odejściu osoby, która je zna.
Dlatego w polityce warto osobno opisać: kto jest właścicielem każdego konta technicznego, gdzie w menedżerze leży jego hasło i kiedy trzeba je zmienić. Dla kont administracyjnych dodaj jeszcze jedną zasadę - dwa zapasowe konta awaryjne z bardzo długim hasłem, przechowywanym w zapieczętowanej kopercie lub w sejfie, na wypadek gdyby MFA przestało działać.
Przykład: biuro rachunkowe zatrudniające 16 osób
Wyobraź sobie biuro rachunkowe w środku sezonu rozliczeń rocznych. Polityka haseł formalnie istnieje: 8 znaków, zmiana co 30 dni. W praktyce połowa zespołu ma hasła według schematu „nazwa miesiąca plus rok”, a dostępy do bankowości klientów i portali urzędowych leżą w arkuszu na dysku sieciowym, otwartym dla wszystkich.
Jedna z księgowych używa tego samego hasła do poczty i do prywatnego konta w sklepie internetowym, z którego wycieka baza klientów. Kilka dni później ktoś loguje się na jej skrzynkę z zagranicy. MFA nie ma, bo „w sezonie nie ma czasu na nowości”. W najlepszym razie kończy się na próbie wysłania fałszywego wezwania do zapłaty, którą ktoś w porę zauważy. W najgorszym przestępca dostaje się do arkusza z dostępami do rachunków klientów.
Rozsądny plan naprawczy dla takiego biura mieści się w dwóch tygodniach: menedżer haseł z osobnym sejfem dla każdego zespołu, MFA dla wszystkich kont Microsoft 365, lista zakazanych haseł i nowa, jednostronicowa polityka. Arkusz trzeba usunąć, a wszystkie zapisane w nim dostępy zmienić. Najwięcej pytań zwykle wywołuje zniesienie comiesięcznej zmiany hasła, bo zespół odbiera to jako krok wstecz.
Polityka haseł, której nikt nie przestrzega, jest gorsza niż jej brak, bo daje fałszywe poczucie bezpieczeństwa. Zasady mają być krótkie, sprawdzalne technicznie i wsparte narzędziem, które ułatwia pracownikom życie, a nie je utrudnia.
Jak sprawdzić, czy polityka działa
Dokument to połowa sprawy. Druga połowa to ustawienia, które wymuszają zasady tam, gdzie się da: minimalna długość i lista zakazanych haseł w Entra ID lub Active Directory, zasady dostępu warunkowego wymagające MFA, raporty z menedżera haseł o hasłach słabych i powtórzonych. Raz na kwartał warto sprawdzić, czy firmowe adresy nie pojawiły się w znanych wyciekach, i porównać listę kont z aktualną listą pracowników.
Od czego zacząć
Jeśli Twoja polityka haseł ma więcej niż trzy lata, najpewniej wymaga przepisania. Pomagamy przygotować ją razem z pozostałymi dokumentami w ramach usługi polityki bezpieczeństwa i dokumentacja, a potem zdalnie wdrażamy techniczne wymuszenie zasad, MFA i menedżer haseł w ramach kontroli dostępu. Jeśli MFA wciąż przed Tobą, zajrzyj też do naszego poradnika o logowaniu dwuetapowym w Microsoft 365.
Redakcja Apply
Cyberbezpieczeństwo