W bezpieczeństwie IT obowiązuje zasada Pareto jak mało gdzie: 20% wysiłku daje 80% efektu. I jeśli mielibyśmy wskazać to przysłowiowe 20%, byłyby to dwie rzeczy: uwierzytelnianie dwuskładnikowe (MFA) i menedżer haseł. Tanie, szybkie do wdrożenia, a zatrzymują ogromną część realnych ataków.
Większość włamań do firm nie zaczyna się od genialnego hakera, tylko od przejętego hasła – wyłudzonego phishingiem albo odzyskanego z wycieku. MFA i menedżer haseł uderzają dokładnie w ten scenariusz.
Dlaczego samo hasło to za mało
- Wycieki – miliardy haseł krążą w sieci. Jeśli ktoś używa tego samego hasła w kilku miejscach, jeden wyciek otwiera wiele drzwi.
- Phishing – pracownik w dobrej wierze wpisuje hasło na podrobionej stronie.
- Słabe hasła – „Firma2024!” łamie się szybciej, niż myślisz.
To te same wektory, którymi wchodzi większość incydentów i przez które najczęściej rozprzestrzenia się ransomware.
MFA – drugi składnik, który zmienia wszystko
MFA (lub 2FA) wymaga przy logowaniu czegoś więcej niż hasła – najczęściej kodu z aplikacji lub potwierdzenia na telefonie. Nawet jeśli ktoś zna Twoje hasło, bez drugiego składnika się nie zaloguje.
Rodzaje MFA – od najsłabszego do najmocniejszego
- Kod SMS – lepszy niż nic, ale podatny na przejęcie numeru. Ostateczność.
- Aplikacja TOTP (Google Authenticator, Aegis, Microsoft Authenticator) – darmowe, dobre dla większości firm. Rekomendowany start.
- Klucz sprzętowy FIDO2/WebAuthn (np. YubiKey) – najsilniejsza ochrona, odporna na phishing. Dla kont krytycznych i administratorów.
Gdzie włączyć MFA w pierwszej kolejności
- ✅ Poczta firmowa (przejęcie skrzynki to klucz do reszty)
- ✅ Panele administracyjne i VPN – w tym Proxmox, który natywnie wspiera 2FA
- ✅ Bankowość i systemy finansowe
- ✅ Konta w chmurze i u dostawców
Menedżer haseł – koniec karteczek i powtarzanych haseł
Człowiek nie jest w stanie zapamiętać kilkudziesięciu unikalnych, mocnych haseł – więc ich nie tworzy. Menedżer haseł rozwiązuje to za nas: generuje i przechowuje silne, różne hasła, a użytkownik pamięta tylko jedno hasło główne.
- Każda usługa = inne, losowe hasło – jeden wyciek nie kompromituje reszty.
- Autouzupełnianie – wygodne i odporniejsze na phishing (menedżer nie wpisze hasła na fałszywej domenie).
- Bezpieczne współdzielenie – koniec wysyłania haseł mailem czy na czacie.
Chmura czy self-hosted?
Są dobre rozwiązania komercyjne (np. Bitwarden, 1Password), ale jeśli zależy Ci na trzymaniu wszystkiego u siebie, Bitwarden/Vaultwarden można uruchomić samodzielnie – choćby w kontenerze na Twoim Proxmoksie (LXC). Pełna kontrola nad danymi, koszt bliski zera.
Wdrożenie w małej firmie – plan na tydzień
- Dzień 1-2: wybierz menedżer haseł, załóż organizację, przeszkol zespół na jednym krótkim spotkaniu.
- Dzień 3-4: przenieście hasła do menedżera, przy okazji zmieniając te słabe i powtarzane.
- Dzień 5: włącz MFA na najważniejszych kontach (poczta, VPN, panele).
- Później: dołóż klucze sprzętowe dla administratorów i wymuś MFA tam, gdzie się da.
To także krok w stronę zgodności
Kontrola dostępu i silne uwierzytelnianie to wprost środki oczekiwane przez NIS2 i RODO – pisaliśmy o ich częściach wspólnych w checkliście NIS2. Wdrażając MFA i menedżer haseł, „odhaczasz” realny fragment wymagań przy minimalnym koszcie.
Co dalej w tym cyklu
W kolejnym wpisie zajmiemy się bezpieczeństwem łańcucha dostaw – bo nawet najlepsze hasła nie pomogą, jeśli słabym ogniwem okaże się Twój dostawca. Domkniemy też cykl praktycznym case study wdrożenia.
Chcesz wdrożyć MFA i menedżer haseł w swojej firmie sprawnie i bez oporu zespołu? Napisz do nas – pomożemy dobrać narzędzia, skonfigurować je i przeszkolić pracowników, łącznie z wariantem self-hosted na Twojej infrastrukturze.