Osobne Wi-Fi dla gości i pracowników: dlaczego to ważne w firmowej sieci

Klient czeka w sali konferencyjnej i prosi o hasło do Wi-Fi. Recepcjonistka podaje to samo hasło, którego używają wszyscy pracownicy, bo innego nie ma. Laptop gościa trafia właśnie do sieci, w której stoi serwer z bazą księgową, drukarka z historią wydruków i rejestrator monitoringu. Tak wygląda codzienność wielu biur. A to jeden z najprostszych do usunięcia problemów z bezpieczeństwem: osobne Wi-Fi dla gości i pracowników jest podstawą porządnie zorganizowanej sieci firmowej.

Dlaczego jedna sieć Wi-Fi dla wszystkich to ryzyko

Urządzenie podłączone do sieci lokalnej zwykle „widzi” inne urządzenia w tej sieci. Nie ma do nich od razu dostępu, ale może je wyszukać, próbować się logować i szukać ich słabych punktów.

• Zainfekowany laptop gościa może rozprzestrzeniać złośliwe oprogramowanie na komputery w firmie.
• Hasło krąży latami. Znają je byli pracownicy, kurierzy, serwisanci i poprzedni najemcy sali.
• Drukarki, kamery, telewizory w salach i rejestratory czasu pracy często mają przestarzałe oprogramowanie i domyślne hasła.
• Przy jednym wspólnym haśle nie wiesz, kto i kiedy korzystał z sieci.

Z perspektywy RODO to także kwestia odpowiednich środków technicznych. Jeśli w sieci przetwarzane są dane osobowe, a dostęp ma do niej każdy, kto przeczyta hasło z kartki na recepcji, trudno mówić o właściwym zabezpieczeniu. Szerzej piszemy o tym w artykule o obowiązkach RODO w dziale IT.

Jak podzielić sieć firmową: minimum i wariant docelowy

Podział sieci na segmenty nazywa się segmentacją. Najczęściej robi się ją przez sieci VLAN i osobne nazwy sieci Wi-Fi (SSID) przypisane do każdego segmentu. Ruch między segmentami kontroluje zapora.

Minimum dla małego biura

• Sieć pracowników: komputery firmowe, dostęp do serwera i drukarek.
• Sieć gości: wyłącznie internet, z izolacją klientów, czyli bez możliwości komunikowania się urządzeń gości między sobą.

Wiele routerów i punktów dostępowych klasy biznesowej ma gotową funkcję sieci gościnnej. Trzeba ją świadomie włączyć i sprawdzić, czy faktycznie odcina dostęp do sieci wewnętrznej.

Wariant docelowy dla średniej firmy

• sieć pracowników na komputerach firmowych,
• sieć serwerowa, w której użytkownicy mają dostęp tylko do potrzebnych usług,
• sieć urządzeń: drukarki, kamery, kontrola dostępu, automatyka,
• sieć dla prywatnych telefonów pracowników, z dostępem tylko do internetu,
• sieć gości z ograniczeniem przepustowości.

Typowa sytuacja wygląda tak: po rozdzieleniu sieci w firmie usługowej wychodzi na jaw, że telewizor w sali konferencyjnej od lat wisiał w tej samej sieci co serwer plików, z fabrycznym hasłem do panelu administracyjnego. Przeniesienie go do sieci urządzeń usuwa ryzyko, a użytkownicy nie zauważają żadnej różnicy w działaniu.

Checklista konfiguracji Wi-Fi dla gości i pracowników

Przy wdrożeniu lub przeglądzie sieci przejdź przez poniższe punkty.

1. Sieć gości ma osobną nazwę i osobne hasło, zmieniane regularnie, np. raz na kwartał.
2. W sieci gości włączona jest izolacja klientów.
3. Zapora blokuje ruch z sieci gości do wszystkich sieci wewnętrznych.
4. Sieć pracowników korzysta z aktualnego szyfrowania, co najmniej WPA2, a jeśli sprzęt to obsługuje, WPA3.
5. W większych firmach pracownicy logują się do Wi-Fi indywidualnymi danymi lub certyfikatami, a nie wspólnym hasłem.
6. Panel administracyjny routera i punktów dostępowych nie jest dostępny z sieci gości ani z internetu.
7. Domyślne hasła administratora są zmienione na wszystkich urządzeniach sieciowych.
8. Oprogramowanie routerów i punktów dostępowych jest aktualizowane.
9. Prywatne telefony pracowników nie trafiają do sieci firmowej.
10. Istnieje aktualny schemat sieci z opisem segmentów i reguł zapory.

Sprzęt: czy wystarczy router od operatora

Zwykle nie. Router dostarczony przez operatora internetu ma ograniczone możliwości konfiguracji, a aktualizacje dostaje rzadko, więc do sieci z kilkoma segmentami się nie nadaje. W biurze na kilkanaście osób lub więcej rozważ:

• zaporę sieciową klasy biznesowej,
• przełącznik zarządzalny obsługujący VLAN,
• punkty dostępowe zarządzane centralnie, z obsługą wielu sieci SSID.

Centralne zarządzanie przydaje się też przy rozbudowie biura. Nowy punkt dostępowy sam przejmuje konfigurację i nikt nie musi go ustawiać ręcznie, ryzykując pomyłkę.

Jak przeprowadzić zmianę bez przerywania pracy

Podział sieci w działającym biurze wymaga planu, bo przy zmianie adresacji łatwo odciąć drukarkę, skaner albo terminal płatniczy. Bezpieczna kolejność wygląda zwykle tak:

1. Spisz wszystkie urządzenia podłączone do sieci i przypisz je do docelowych segmentów.
2. Uruchom najpierw sieć gości. Nie wpływa ona na pracę zespołu.
3. Utwórz segment urządzeń i przenoś je pojedynczo. Po każdym kroku sprawdź, czy działają usługi, które z nich korzystają.
4. Na końcu zmień hasło lub sposób logowania do sieci pracowników i uprzedź o tym zespół.
5. Przez kilka dni obserwuj dzienniki zapory, żeby wychwycić zablokowane połączenia, które są potrzebne.

Prace, które mogą przerwać łączność, zaplanuj poza godzinami pracy. Zapisz też poprzednią konfigurację, żeby w razie problemu dało się ją szybko przywrócić.

Błędy, które widujemy przy rozdzielaniu sieci

• Sieć gości ma osobną nazwę, ale tę samą pulę adresów co sieć firmowa, więc izolacji faktycznie nie ma.
• Drukarka „dla wszystkich”: żeby goście mogli drukować, ktoś otwiera dostęp do całej sieci wewnętrznej. Lepiej przygotować osobne rozwiązanie, np. wydruk przez pracownika albo drukarkę w sieci gości.
• Hasło do sieci gości nie zmieniało się od lat. Ta sieć też wymaga dyscypliny.
• Brak dokumentacji. Po roku nikt nie wie, po co istnieje dana reguła zapory.
• Wyjątki „na chwilę”: reguła otwarta dla serwisanta na jeden dzień zostaje na zawsze. Każdy wyjątek powinien mieć właściciela i datę wygaśnięcia.
• Zbyt silny sygnał sieci gości. Jeśli łapie się ją z parkingu czy klatki schodowej, zachęca do korzystania osoby spoza firmy. Pomaga ograniczenie zasięgu lub godzin działania.

Zasady podziału sieci dobrze jest zapisać w firmowej polityce bezpieczeństwa IT. Jeśli nie wiesz, jak Twoja sieć wygląda dziś, zacznij od audytu IT. Pokaże, jakie urządzenia są podłączone i kto ma do czego dostęp.

Oddzielenie gości od systemów firmowych da się przeprowadzić bez przestoju w pracy biura. Porozmawiajmy o obsłudze IT Twojej firmy.