Polityka haseł w firmie – założenia a praktyka

Dlaczego częsta zmiana haseł nie działa?

W teorii regularna rotacja haseł ma ograniczać ryzyko ich przejęcia. W praktyce efekt jest często odwrotny. Postaramy się pokazać dlaczego tak jest.

Najczęstsze problemy to:

• przewidywalne schematy (np. Haslo2024 → Haslo2025);
• zapisywanie haseł w notatkach lub na kartkach;
• powielanie tych samych haseł w wielu systemach;
• przeciążenie działu IT resetami.

To zjawisko określa się jako password fatigue – zmęczenie użytkowników polityką bezpieczeństwa. Założenia z pozoru były dobre ale jak się okazało mało praktyczne, co spowodowało powyższe problemy.

Gdy procedura staje się zagrożeniem

Zbyt restrykcyjne zasady często prowadzą do obchodzenia systemu zamiast jego wzmacniania. Użytkownik, który musi zapamiętać wiele skomplikowanych i często zmienianych haseł:

• upraszcza je;
• zapisuje w niebezpieczny sposób;
• używa jednego hasła w wielu miejscach.

W efekcie jedna luka może prowadzić do poważnego incydentu w całej organizacji.

Co mówią aktualne standardy bezpieczeństwa?

Aktualne podejście, coraz częściej wskazuje na to, że hasła powinny być zmieniane tylko wtedy, gdy istnieje realne ryzyko ich kompromitacji, czyli:

• po wycieku danych;
• po incydencie bezpieczeństwa;
• gdy istnieje podejrzenie naruszenia.

Nie dlatego, że np. minęło 30 dni. To ogormna zmiana podyktowana doświadczeniem, gdyż teoria nie zawsze idzie w parze z praktyką.

Co działa lepiej niż rotacja haseł?

Zamiast częstych zmian, nowoczesne organizacje wdrażają kilka kluczowych elementów.

Długie hasła (passphrase zamiast hasła)

Zamiast skomplikowanych kombinacji znaków:

• lepiej stosować: długie, łatwe do zapamiętania frazy, np. „KawaZSamegoRanaJestNajlepsza!”

Są one:

• trudniejsze do złamania;
• łatwiejsze do zapamiętania;
• mniej podatne na błędy użytkownika.

MFA – uwierzytelnianie wieloskładnikowe

Dziś standardem jest dwuetapowe logowanie, gdyż nawet jeśli hasło wycieknie to drugi składnik (np. aplikacja mobilna, SMS, klucz sprzętowy), skutecznie blokuje dostęp. Oczywiście podobnie jak z regularną zmianą haseł, to również dla niektórych użytkowników jest męczące, czas pokaże czy w tym przypadku wpłynie to na jakieś nieprzewidziane luki.

Menedżery haseł

Człowiek nie jest dobrym „magazynem” na hasła, dlatego coraz więcej firm wdraża: menedżery haseł, centralne zarządzanie dostępami. To eliminuje problem powielania i zapisywania haseł w niebezpieczny sposób.

Przyszłość: świat bez haseł?

Najwięksi gracze technologiczni już zmieniają podejście do uwierzytelniania, wdrażają tzw. passkeys, czyli logowanie bez hasła. Zamiast wpisywania hasła: używasz biometrii (odcisk palca, Face ID) lub PIN-u urządzenia.

Najważniejszy wniosek dla firm

Bezpieczeństwo, którego użytkownicy nie są w stanie stosować w praktyce lub jest bardzo uciążliwe, nie działa właściwie albo może spowodować większy problem niż pożytek. Zbyt skomplikowane procedury: zwiększają frustrację, prowadzą do obchodzenia zasad, tworzą nowe ryzyka. Czasem największą luką w systemie nie jest technologia – tylko źle zaprojektowana polityka.

Jak podejść do polityki haseł w firmie?

W praktyce warto postawić na:

• brak wymuszonej rotacji haseł bez powodu;
• długie i unikalne hasła (passphrase);
• obowiązkowe MFA;
• wdrożenie menedżera haseł;
• edukację użytkowników.

Przynajmniej taki stan rzeczy zaczyna obowiązywać, a czas pokaże czy się sprawdził.

Zmiana hasła co 30 dni = większe bezpieczeństwo? Niekoniecznie.

W wielu firmach taka polityka wciąż obowiązuje… ale w praktyce często przynosi odwrotny efekt:

• przewidywalne hasła;
• zapisywanie ich „na kartce”;
• powielanie w wielu systemach.

Nowoczesne podejście wygląda zupełnie inaczej:

• długie hasła (passphrase);
• MFA jako standard;
• odchodzenie od haseł na rzecz passkeys.

Chcesz uporządkować politykę haseł i zwiększyć bezpieczeństwo w organizacji?

Dobrze zaprojektowana polityka dostępu, zawiera m.in.:

• wdrożenie MFA;
• uporządkowanie dostępów do systemów;
• dobranie rozwiązania dopasowanego do firmy.

to jeden z najprostszych sposobów na zwiększenie bezpieczeństwa organizacji.