Jak przechowywać hasła w firmie, gdy dziś są w arkuszu

Jak przechowywać hasła w firmie, żeby należały do firmy, a nie do ludzi: kto dostaje menedżer haseł, jak dzielić sejfy i jak zamknąć arkusz z hasłami.

W firmie od kilkunastu osób hasła do banku, sklepu, kuriera, kont reklamowych i domeny zwykle leżą w trzech miejscach: w arkuszu na dysku, w mailach i w głowach kilku ludzi. To działa do dnia, w którym ktoś odchodzi albo księgowa dostaje maila „od prezesa” z prośbą o pilny przelew. Ten wpis pokazuje, jak przechowywać hasła w firmie, żeby należały do firmy, a nie do ludzi. Opisujemy, komu dać menedżera haseł, jak podzielić sejfy, jak bezpiecznie zamknąć stary arkusz i jak odciąć byłego pracownika w 10 minut. Piszemy z praktyki: 1Password używamy na co dzień we własnym zespole i wdrażamy go w firmach z produkcją, magazynem i sprzedażą internetową.

Skąd bierze się problem

Narzędzi przybywa szybciej niż zasad. Najpierw jest jedno konto w banku i jeden sklep, potem marketplace, kurier, system magazynowy, telefonia, panel strony i konta reklamowe. Każde nowe hasło trafia tam, gdzie akurat było wygodnie. Po kilku latach widać objawy, które pewnie rozpoznasz:

• Arkusz „hasła” jest udostępniony każdemu w domenie, kto ma link.
• Do banku i sklepu loguje się kilka osób na jedno konto.
• Hasło idzie mailem albo na czacie i zostaje tam na zawsze, u nadawcy i u odbiorcy.
• Odszedł handlowiec i nikt nie wie, które hasła znał.
• Konto reklamowe albo domena są założone na prywatny mail byłego pracownika.
• Kody do logowania dwuetapowego są na prywatnym telefonie jednej osoby.

To nie jest niczyje zaniedbanie. Tak wygląda każda firma, w której nikt nie zdecydował, gdzie mają leżeć hasła. Kłopot ujawnia się przy pierwszym odejściu: nie ma listy, co ta osoba znała, więc nikt niczego nie zmienia.

Gdzie firmy dziś trzymają hasła i co z tego wynika

W firmach, z którymi rozmawiamy, hasła leżą najczęściej w czterech miejscach. Każde z nich ma swój powód i swoją cenę:

Menedżer haseł to jedyne z tych miejsc, w którym hasło należy do firmy. Samo narzędzie jest proste. Trudne są zasady. Poniżej pięć zasad, które sprawdziły się w praktyce. Przykłady są z 1Password, ale te same zasady obowiązują w każdym menedżerze haseł dla zespołów.

Zasada 1. Menedżer haseł nie dla każdego, drugi składnik dla wszystkich

Kryterium jest proste. Menedżera haseł dostaje każdy, kto ma choć jedno firmowe hasło inne niż do własnego konta Google albo Microsoft: bank, sklep, marketplace, system ERP, telefonia, panel strony, konto reklamowe albo hasło wspólne. Kto loguje się wyłącznie kontem firmowym, dostaje weryfikację dwuetapową w Google lub Microsoft i to mu wystarcza.

W firmie handlowo-produkcyjnej zatrudniającej ponad 50 osób to kryterium wyłączyło z licencji mniej więcej co czwartą osobę, głównie z produkcji i magazynu. Koszt roczny spadł, a nikt nie stracił dostępu do niczego, czego potrzebował.

Nie zaczynaj od wszystkich naraz. Pierwszy krąg to właściciel, administrator systemów, osoba od finansów i liderzy działów. Kolejne osoby dodajesz kilkoma kliknięciami, gdy ich dział ma już swój sejf.

Zasada 2. Sejfy według działów, nie według ludzi

Hasła nie leżą u ludzi, tylko w sejfach. Podział, który się sprawdza:

• Jeden sejf na dział i osobny sejf na rzeczy najbardziej wrażliwe: bank, karty, domenę, konta administratorów poczty.
• Hasło trafia do sejfu działu, który korzysta z systemu na co dzień, a nie do tego, który za niego płaci. Systemy wspólne (poczta, CRM, domeny, hosting) trafiają do sejfu administratora.
• Każdy sejf ma gospodarza, czyli lidera działu. Pilnuje, żeby w sejfie nie było haseł do nieużywanych systemów i żeby skład sejfu zgadzał się ze składem działu.
• Administrator systemów nie musi widzieć sejfu finansów. To rozdzielenie jest celowe: nikt nie ma kluczy do wszystkiego.
• Hasła firmowe nigdy w sejfie prywatnym. W 1Password sejf prywatny pracownika nie jest dostępny dla reszty zespołu, więc to, co ktoś trzyma „na sobie”, firma traci razem z tą osobą.

Osobno trzymaj też to, czego używają różne grupy osób. Karty płatnicze i klucze do automatyzacji nie powinny leżeć w jednym sejfie. Sprawdza się podział na cztery sejfy firmowe: wrażliwe (właściciele), integracje (administratorzy), ogólne (cały zespół) i archiwum na narzędzia wygaszone.

Ustal też, kto pilnuje samego menedżera. Konto powinno mieć dwóch właścicieli, a nie jednego. Każdy z nich drukuje Emergency Kit z kluczem do konta i odkłada go w bezpieczne miejsce. Raz w roku sprawdzasz, czy wydruki są na miejscu i czy są aktualne.

Jak przenieść hasła z arkusza do menedżera haseł

Arkusz z hasłami zamyka się w siedmiu krokach. Kolejność ma znaczenie.

1. Zamknij udostępnianie. Zmień „każdy, kto ma link” na dostęp ograniczony. Usuń konta prywatne i osoby z zewnątrz. Zajmuje to pięć minut i nie czeka na nic innego.
2. Zrób spis bez haseł. Dopisz w arkuszu kolumny: sejf docelowy, czy system jest w użyciu, kto znał hasło (także osoby, które odeszły). Kolumny z hasłem nie ruszasz.
3. Zaimportuj resztę. Eksportujesz arkusz do CSV na komputerze służbowym, importujesz go do tymczasowego sejfu, a zaraz potem usuwasz plik z „Pobranych” i opróżniasz kosz. CSV nie trafia na dysk, do maila ani na czat.
4. Rozdziel hasła do sejfów działów. Bank i kadry przenosi osoba od finansów, nie administrator.
5. Zmień hasła, zaczynając od najgroźniejszych. Każde hasło z arkusza znało zbyt wiele osób. Najpierw bank i księgowość, konta administratorów, domena i hosting. Potem hasła znane osobom, które odeszły, i skrzynki wspólne. Resztę zmieniasz przy pierwszym użyciu.
6. Odczekaj tydzień. Sprawdź z liderami działów, że nikt nie musiał zajrzeć do arkusza.
7. Usuń cały plik i opróżnij kosz. Wyczyszczenie kolumny z hasłami nie wystarczy, bo historia wersji Arkuszy Google przechowuje poprzednie wartości. Na koniec wyszukaj na dysku słowa „hasła”, „loginy” i „dostępy”. Prawie zawsze znajdzie się jakaś kopia.

Jeśli chcesz sprawdzić, gdzie u Ciebie leżą hasła i kto zna te do banku i domeny, umów bezpłatną rozmowę (30 minut). Nie potrzebujemy do tego żadnego hasła.

Zasada 3. Drugi składnik wymuszaj w kolejności

Weryfikacja dwuetapowa chroni najlepiej, ale źle wymuszona potrafi zablokować pół firmy. Dlatego:

• najpierw włączają ją właściciele i administratorzy, potem reszta zespołu;
• kody zapasowe trafiają do sejfu administracyjnego, a nie do szuflady;
• przed wymuszeniem sprawdzasz, co robi narzędzie z osobą bez drugiego składnika.

To ostatnie łatwo przeoczyć. Google Workspace po wymuszeniu weryfikacji dwuetapowej nie wpuści osoby, która jej nie skonfigurowała. Dlatego warto ustawić okres rejestracji dla nowych użytkowników. GitHub idzie dalej: po włączeniu wymogu w organizacji usuwa z niej współpracowników zewnętrznych, którzy nie mają drugiego składnika. Takie zachowania wypisujesz przed wymuszeniem, narzędzie po narzędziu.

Kody dwuetapowe w menedżerze haseł zamiast w aplikacji na prywatnym telefonie usuwają najczęstszy powód oporu: „nie będę instalować firmowych rzeczy na swoim telefonie”.

Zasada 4. Odejście pracownika w dwóch etapach

W wielu firmach konta byłych pracowników są aktywne tygodniami, bo czeka się z ich zamknięciem na decyzję, co zrobić z pocztą. Tymczasem to dwie różne sprawy.

Etap 1, w dniu odejścia: odcięcie. Najpierw schodzą role administratora. Potem reset hasła, wylogowanie ze wszystkich sesji i odebranie dostępu aplikacjom zewnętrznym. Osobę usuwasz z menedżera haseł, a hasła z sejfów, do których miała dostęp, wpisujesz na listę do zmiany. Przekazujesz własność plików i projektów, zanim zniknie konto. Na koniec zawieszasz konto.

Etap 2, po decyzji: zamknięcie. Kopia poczty według ustaleń, usunięcie konta i adres jako alias następcy albo grupy.

Zawieszone konto nie traci poczty ani plików, więc decyzja o archiwum nie musi blokować odcięcia. Przy menedżerze haseł z sejfami działów cały etap 1 zajmuje około 10 minut.

Zasada 5. Konto wspólne to nie login człowieka

Adresy typu admin@ czy biuro@ zwykle mają hasło znane kilku osobom i są właścicielem połowy narzędzi w firmie. Gdy takie konto wygaszasz, narzędzia potrafią zniknąć razem z nim. Zasada jest prosta: każde narzędzie ma nazwanego właściciela i zastępcę, a skrzynki wspólne zamieniasz na grupy, do których dodajesz konkretne osoby. Wtedy odejście jednej osoby nie zmusza do zmiany hasła wszystkim.

Jak podchodzimy do tego my

Licencję menedżera haseł możesz kupić sam i czasem to polecamy. Sama licencja to jednak mała część pracy. Samodzielne wdrożenia często kończą się sejfem prezesa i połową zespołu, która nigdy się nie zalogowała. Dlatego nie sprzedajemy programu, tylko stan po wdrożeniu: hasła wspólne w sejfach działów, drugi składnik tam, gdzie narzędzie na to pozwala, i byli pracownicy odcięci.

Zaczynamy od diagnozy dostępów w stałej cenie 2 900 zł netto dla firm do 100 osób. Trwa pięć dni roboczych i nie wymaga poznania żadnego hasła: pytamy, gdzie hasła są, a nie jakie są. Potem jest wdrożenie, czyli menedżer haseł dla firm z sejfami działów. Robimy je na 1Password, a gdy zespół nie zna angielskiego, na Bitwardenie z polskim interfejsem. Wdrożenie kończy się 30 dniami pilnowania, aż zespół naprawdę zacznie korzystać z menedżera. Administratorem konta jest Twoja firma, a po wdrożeniu nie mamy dostępu do sejfów.

Jeśli pracujecie na Google Workspace, przy okazji zwykle wychodzą konta byłych pracowników i pliki udostępnione na zewnątrz. To osobny porządek w Google Workspace. A gdy arkusz z hasłami nie jest jedynym arkuszem, który trzyma firmę w ryzach, przeczytaj, kiedy warto przejść na aplikację do zarządzania firmą zamiast Excela.

Najczęstsze pytania

Czy w firmie wystarczy menedżer haseł w przeglądarce?

Dla prywatnych haseł jednej osoby tak, dla haseł wspólnych nie. Hasło zapisane w Chrome czy Safari jest przypisane do człowieka. Nie podzielisz go według działów i nie odbierzesz go, gdy ta osoba odejdzie.

Ile kosztuje menedżer haseł dla firmy?

Licencje kupujesz bezpośrednio u producenta, zwykle w opłacie miesięcznej za osobę, a dla małych zespołów są pakiety ze stałą ceną. Aktualny cennik sprawdź na stronie producenta. Najwięcej oszczędza kryterium z zasady 1: licencję dostaje tylko ten, kto ma firmowe hasła poza własnym kontem.

Co, jeśli ktoś zgubi telefon albo zapomni hasła głównego?

Administrator odzyskuje konto zwykłego członka zespołu, a konto właściciela odzyskuje drugi właściciel. Dlatego właścicieli powinno być dwóch. Kody zapasowe do pozostałych narzędzi leżą w sejfie administracyjnym.

Czy menedżer haseł załatwia wymagania NIS2?

Nie w całości. Zarządzanie dostępem i uwierzytelnianie wieloskładnikowe to jeden z obszarów, których wymagają przepisy o cyberbezpieczeństwie, i menedżer haseł z dobrze wymuszonym drugim składnikiem ten obszar porządkuje. Pełną zgodność z ustawą ocenia audytor albo prawnik.

Chcesz wiedzieć, kto u Ciebie zna hasło do banku, domeny i sklepu? Umów bezpłatną rozmowę (30 minut). Powiemy wprost, czy diagnoza ma u Was sens.

Źródła

• Google Workspace, Wdrażanie weryfikacji dwuetapowej (okres rejestracji nowego użytkownika).
• GitHub Docs, Requiring two-factor authentication in your organization.
• Pomoc Edytorów Dokumentów Google, Sprawdzanie, co się zmieniło w pliku (historia wersji).
• 1Password Support, Get to know your Emergency Kit, About your Employee vault, Recover accounts for family or team members, Move your data from other applications to 1Password.