Hasła i MFA w firmie: jak skutecznie chronić konta pracowników

Większość włamań do firmowych kont nie zaczyna się od zaawansowanego hakowania, tylko od zgadniętego, wykradzionego lub powtórnie użytego hasła. Dobra wiadomość: kilka prostych zmian w polityce haseł i włączenie uwierzytelniania wieloskładnikowego (MFA) zamyka tę furtkę niemal całkowicie.

Dlaczego hasło wciąż jest najsłabszym ogniwem

Pracownik firmy korzysta dziś z kilkunastu, a często kilkudziesięciu kont: poczty, systemu księgowego, bankowości, platform dostawców, portali branżowych. Zapamiętanie tylu unikalnych, silnych haseł jest praktycznie niemożliwe, więc w praktyce dzieje się jedno z trzech:

• to samo hasło trafia do wielu serwisów – gdy wycieknie z jednego z nich (np. sklepu internetowego), przestępcy automatycznie sprawdzają je w poczcie i innych usługach,
• hasła są przewidywalne – nazwa firmy z rokiem, imię dziecka z wykrzyknikiem, „Wiosna2026!”,
• hasła są zapisywane w niebezpiecznych miejscach – na karteczce pod klawiaturą, w pliku „hasla.xlsx” na pulpicie albo w notatkach telefonu.

Do tego dochodzi phishing: fałszywa strona logowania wyglądająca jak Microsoft 365 czy bank potrafi „wyciągnąć” nawet bardzo silne hasło. Dlatego samo hasło – nawet najlepsze – nie wystarcza.

Jak powinna wyglądać rozsądna polityka haseł

Przez lata firmy wymuszały skomplikowane hasła („wielka litera, cyfra, znak specjalny”) i ich zmianę co 30 lub 90 dni. Efekt był odwrotny od zamierzonego: użytkownicy tworzyli hasła typu Firma2026!, a potem Firma2026!!. Zaktualizowane wytyczne amerykańskiego instytutu NIST (SP 800-63B) idą w innym kierunku i dobrze sprawdzają się także w polskich firmach:

• Długość ważniejsza niż złożoność. Hasło złożone z kilku przypadkowych słów, np. szafa-rower-pomarańcza-kompas, jest łatwiejsze do zapamiętania i znacznie trudniejsze do złamania niż krótkie „P@ssw0rd1”.
• Bez wymuszonej okresowej zmiany. Hasło zmieniamy wtedy, gdy jest podejrzenie wycieku – a nie co kwartał „z kalendarza”.
• Sprawdzanie z listami wycieków. System nie powinien pozwalać na hasła, które już krążą w internecie po wyciekach, ani na oczywiste słowa (nazwa firmy, „qwerty”).
• Jedno konto – jedno hasło. Żadnego powielania haseł między usługami, a zwłaszcza między kontem firmowym a prywatnym.

MFA: drugi zamek w drzwiach

Uwierzytelnianie wieloskładnikowe (MFA, nazywane też 2FA) oznacza, że do zalogowania potrzebne jest coś więcej niż hasło: kod z aplikacji w telefonie, potwierdzenie powiadomienia, klucz sprzętowy lub odcisk palca. Nawet jeśli przestępca pozna hasło, bez drugiego składnika nie wejdzie na konto. Microsoft w swoich analizach szacuje, że włączenie MFA blokuje ponad 99% ataków na konta.

Które metody wybrać

• Aplikacja uwierzytelniająca (Microsoft Authenticator, Google Authenticator i podobne) – dobry standard dla większości pracowników.
• Klucze sprzętowe FIDO2 / passkeys – najwyższy poziom ochrony, odporne na phishing. Polecamy je szczególnie dla zarządu, księgowości i administratorów.
• Kody SMS – lepsze niż nic, ale najsłabsza z metod (podatna m.in. na przejęcie karty SIM). Traktujmy je jako rozwiązanie przejściowe.

Od czego zacząć wdrożenie

Nie trzeba włączać MFA wszędzie jednego dnia. W małej i średniej firmie sprawdza się taka kolejność:

1. Poczta firmowa i Microsoft 365 / Google Workspace – to klucz do wszystkiego, bo przez pocztę resetuje się hasła do innych usług.
2. Bankowość i systemy finansowe, w tym programy księgowe dostępne przez internet.
3. Zdalny dostęp – VPN, pulpit zdalny, panele administracyjne serwerów i routerów.
4. Pozostałe usługi chmurowe – CRM, platformy dostawców, media społecznościowe firmy.

Warto też zadbać o kody zapasowe i procedurę na wypadek zgubienia telefonu, żeby MFA nie zablokowało pracy, gdy pracownik zmieni smartfon.

Menedżer haseł – koniec z karteczkami

Firmowy menedżer haseł (np. Bitwarden, 1Password, Keeper) generuje i przechowuje unikalne hasła dla każdej usługi. Pracownik pamięta jedno główne hasło, a resztą zajmuje się program. Wersje biznesowe pozwalają dodatkowo:

• bezpiecznie udostępniać wspólne dostępy (np. do panelu dostawcy) bez wysyłania haseł mailem,
• natychmiast odebrać dostęp osobie, która odchodzi z firmy,
• sprawdzać, czy któreś z haseł nie pojawiło się w znanym wycieku.

Najczęstsze błędy, które widzimy u klientów

• Jedno wspólne konto (i hasło) do poczty lub systemu dla kilku osób.
• Konta byłych pracowników, które nadal są aktywne miesiącami po ich odejściu.
• Domyślne hasła na routerach, drukarkach, rejestratorach kamer i NAS-ach.
• Administrator używający konta z pełnymi uprawnieniami do codziennej pracy.
• MFA włączone dla pracowników, ale wyłączone dla prezesa „bo przeszkadza”.

Plan na najbliższy miesiąc

Jeśli chcesz szybko podnieść poziom bezpieczeństwa, zacznij od tych kroków:

1. Włącz MFA dla poczty firmowej wszystkich pracowników.
2. Wprowadź menedżer haseł i zasadę „jedno konto – jedno hasło”.
3. Przejrzyj listę kont – usuń lub zablokuj konta nieużywane i należące do byłych pracowników.
4. Zmień domyślne hasła na urządzeniach sieciowych i biurowych.
5. Przeprowadź krótkie szkolenie: jak rozpoznać phishing i dlaczego nie podaje się kodów MFA nikomu.

Artykuł przygotował zespół CSIT.pl – firmy informatycznej z Tarnowskich Gór, która od ponad 12 lat zajmuje się obsługą IT, sieciami i bezpieczeństwem w firmach i instytucjach. Treść ma charakter informacyjny i nie stanowi porady prawnej.