Menedżer haseł dla firmy: dlaczego warto i jak go wdrożyć w zespole

Karteczka pod klawiaturą, plik „hasla.xlsx” na pulpicie, to samo hasło do poczty, banku i sklepu internetowego. W wielu biurach tak wygląda zarządzanie dostępami, bo pracownik musi pamiętać kilkadziesiąt loginów, a nikt nie dał mu lepszego narzędzia. Menedżer haseł dla firmy przechowuje hasła w zaszyfrowanym sejfie, generuje mocne i unikalne, a dostępy w zespole udostępnia się przez niego bez ryzyka.

Co firma zyskuje na menedżerze haseł

Korzyści widać w codziennej pracy:

• Każde konto ma inne hasło, więc wyciek z jednego serwisu nie otwiera dostępu do poczty firmowej.
• Hasło do panelu kuriera czy portalu dostawcy trafia do zespołu przez sejf, a nie mailem lub na komunikatorze.
• Gdy pracownik odchodzi, widać, do jakich wspólnych dostępów miał wgląd, i wiadomo, które hasła zmienić.
• Menedżer podpowiada hasło tylko na właściwej domenie. Jeśli na „znajomej” stronie milczy, to sygnał ostrzegawczy przed phishingiem.
• Jest mniej zgłoszeń o zapomniane hasła, co odciąża osobę odpowiedzialną za IT.

Menedżer firmowy a menedżer w przeglądarce

Przeglądarki też zapamiętują hasła i do użytku prywatnego to bywa wystarczające. W firmie brakuje im jednak centralnego zarządzania, sejfów współdzielonych z uprawnieniami, możliwości odebrania dostępu po odejściu pracownika i raportów o słabych lub powtórzonych hasłach. Hasła zapisane w prywatnym profilu przeglądarki pracownika praktycznie wymykają się spod kontroli firmy.

Na co patrzeć przy wyborze

1. Szyfrowanie po stronie użytkownika. Dostawca nie powinien mieć możliwości odczytania haseł. Sprawdź dokumentację techniczną modelu bezpieczeństwa.
2. Sejfy współdzielone z uprawnieniami na poziomie zespołów, na przykład osobny dla księgowości, sprzedaży i IT.
3. Integracja z kontami firmowymi. Logowanie przez Microsoft 365 lub innego dostawcę tożsamości ułatwia zakładanie i blokowanie kont.
4. Wymaganie MFA do sejfu i możliwość wymuszenia go przez administratora.
5. Odzyskiwanie dostępu. Co się dzieje, gdy pracownik zapomni hasła głównego? Rozwiązania firmowe zwykle mają procedurę odzyskiwania kontrolowaną przez administratora. Przetestuj ją w trakcie pilotażu.
6. Raporty i dziennik zdarzeń, czyli kto, kiedy i do jakich haseł miał dostęp.
7. Wygoda. Wtyczki do przeglądarek, aplikacje mobilne z autouzupełnianiem. Dostęp z telefonu powinien być chroniony biometrią lub kodem i podlegać tym samym zasadom co komputer. Jeśli narzędzie jest niewygodne, ludzie wrócą do karteczek.

Wdrożenie w zespole w czterech etapach

Etap 1: zespół pilotażowy

Zacznij od kilku osób, najlepiej z IT, administracji i jednego działu, który korzysta z wielu wspólnych dostępów. Sprawdźcie, jak działa autouzupełnianie w używanych systemach, jak organizować foldery i sejfy i o co pytają użytkownicy.

Etap 2: porządek we wspólnych dostępach

Zbierz hasła, które dziś krążą w arkuszach i wiadomościach: portale dostawców, panele kurierów, konta w mediach społecznościowych, dostępy do urzędowych platform. Przenieś je do sejfów zespołowych i przy okazji zmień, bo stare wersje mogły trafić w niepowołane ręce. Arkusz z hasłami po przeniesieniu usuń.

Etap 3: wdrożenie dla wszystkich

Krótkie szkolenie, najlepiej praktyczne: instalacja wtyczki, zapisanie pierwszego hasła, wygenerowanie nowego, skorzystanie z sejfu zespołu. Wyjaśnij zasadę hasła głównego. Ma być długie i łatwe do zapamiętania, służyć wyłącznie do menedżera i nie być nigdzie zapisane.

Etap 4: zasady i procedury

Dopisz do polityki bezpieczeństwa kilka prostych reguł: hasła firmowe tylko w menedżerze, wspólne dostępy wyłącznie przez sejfy zespołowe, obowiązkowe MFA na koncie menedżera. Dodaj menedżer do procedury dla nowych pracowników i do procesu, który opisujemy w tekście o odbieraniu dostępów po odejściu pracownika.

Jak zorganizować sejfy, żeby nie zrobił się bałagan

Po kilku miesiącach menedżer potrafi zamienić się w drugi chaotyczny arkusz, tyle że zaszyfrowany. Ustal więc na starcie prostą strukturę:

• sejf osobisty każdego pracownika na jego firmowe dostępy,
• sejfy zespołowe według działów, na przykład księgowość, sprzedaż, logistyka,
• osobny sejf administracyjny z kontami uprzywilejowanymi, dostępny tylko dla wskazanych osób,
• sejf awaryjny z dostępami potrzebnymi do odtworzenia firmy po awarii, z kontrolowanym dostępem zarządu.

Przyjmij też konwencję nazw wpisów, na przykład nazwa systemu i rola konta. Kto szuka dostępu do panelu kuriera, nie powinien przeglądać pięciu podobnych pozycji o różnych nazwach. Raz na kwartał przejrzyj sejfy zespołowe i usuń nieaktualne wpisy.

Jak ocenić, czy wdrożenie się udało

Po kilku tygodniach sprawdź w raportach narzędzia, ilu pracowników aktywnie korzysta z menedżera, ile haseł jest słabych lub powtórzonych i czy w firmie nadal krążą arkusze z dostępami. Zapytaj też kilka osób z różnych działów, co im przeszkadza. Drobna zmiana, na przykład lepsza organizacja folderów lub dodatkowa instrukcja, często decyduje o tym, czy narzędzie zostanie w codziennym użyciu.

Typowe obawy pracowników

„Wszystkie hasła w jednym miejscu to jeden cel dla hakera”. Ten argument pada często. Sejf jest jednak zaszyfrowany, chroniony hasłem głównym i drugim składnikiem logowania. Ryzyko jest znacznie mniejsze niż przy powtarzaniu jednego hasła w wielu serwisach.

„Nie chcę, żeby firma widziała moje prywatne hasła”. I nie powinna. Dobrze ustawione wdrożenie oddziela sejf firmowy od prywatnego, a administrator nie ma wglądu w prywatne wpisy.

Biuro rachunkowe i hasła klientów w arkuszach

Weźmy biuro rachunkowe, w którym dostępy do platform urzędowych i bankowości klientów leżą w kilku arkuszach na wspólnym dysku. Po wdrożeniu menedżera haseł każdy zespół obsługujący określonych klientów dostaje swój sejf. Gdy odchodzi jedna z pracownic, w ciągu godziny wiadomo, do których dostępów miała wgląd, i można je zmienić. Bez menedżera ta sama analiza oznacza przeglądanie historii plików i wypytywanie kolegów.

Menedżer haseł to połowa ochrony kont. Nie zastępuje MFA: dba o to, by hasła były silne i unikalne, a uwierzytelnianie wieloskładnikowe zatrzymuje atakującego nawet po wycieku hasła. Oba elementy dobrze jest opisać w jednym dokumencie, takim jak polityka bezpieczeństwa IT w małej firmie.

Pomagamy dobrać narzędzie i wdrożyć je tak, żeby zespół naprawdę z niego korzystał. Napisz, jak dziś wygląda obsługa IT w Twojej firmie.