Menedżer haseł dla firmy: dlaczego wspólny arkusz to nie system

Hasła to klucze do całego biznesu naraz: do poczty, banku, kasy fiskalnej, księgowości, strony i mediów społecznościowych. Tym dziwniejsze, jak niedbale zwykle się je przechowuje. Jedno hasło — na karteczce pod klawiaturą. Drugie „zapamiętała przeglądarka". Trzecie żyje we wspólnym arkuszu na dysku, do którego dostęp ma pół biura. Czwarte zna tylko jedna osoba, i dopóki jest na urlopie, nikt z niego nie skorzysta.

Każdy z tych sposobów wydaje się wygodny dokładnie do pierwszego razu, gdy zawodzi. Wyjaśnimy, dlaczego tak nie warto — i jak wygląda porządny menedżer haseł dla zespołu, gdy za sekrety odpowiadamy my.

Wspólny arkusz to dziura, nie sejf

Najczęstszy „menedżer haseł" w małej firmie to plik z kolumnami „usługa · login · hasło" gdzieś na wspólnym dysku. Problem nie w tym, że to niewygodne. Problem w tym, że to dziura naraz z kilku stron.

Takiego pliku nie da się odebrać z powrotem. Dałeś dostęp księgowej — widzi wszystkie hasła, także te, które jej nie dotyczą. Odszedł menedżer — a kopia arkusza została u niego w poczcie albo w pobranych i nawet się o tym nie dowiesz. Nie ma dziennika: kto, kiedy i jakie hasło oglądał — nie wiadomo. Nie ma historii: ktoś przypadkiem skasował wiersz — i hasło znika na zawsze.

Hasła w przeglądarce nie są dużo lepsze. Są przypisane do jednego konta, synchronizują się przez chmurę, której nie kontrolujesz, i trafiają w ręce każdego, kto na sekundę usiądzie przy odblokowanym komputerze. Wygodnie — owszem. Ale ta wygoda działa tu przeciwko tobie.

Każdy klient ma własny, osobny sejf

Robimy inaczej. Każdy klient dostaje własny menedżer haseł — osobny, odizolowany od wszystkich innych, na serwerze pod naszą opieką, ulokowanym w Europie. Nie wspólne konto „dla wszystkich", gdzie Twoje sekrety leżą obok cudzych, ale Twoja własna przestrzeń, do której klucze masz Ty.

W środku sekrety są poukładane w foldery i zespoły: księgowość widzi swoje, magazyn — swoje, dyrektor — wszystko. Każdy pracownik ma własne wejście, a nie jedno hasło „do arkusza" na całe biuro. I każdy dostęp zostawia ślad: widać, kto i kiedy z czego korzystał.

Technicznie to otwarty Vaultwarden — ten sam silnik, który stoi za Bitwardenem, z którym współpracują znane aplikacje na telefonie, w przeglądarce i na komputerze. Nie trzeba uczyć się nowego interfejsu: wygląda i działa jak menedżer haseł, z którego być może korzystałeś już kiedyś w domu — tylko pod Twoją kontrolą, a nie w cudzej chmurze. A sam sejf jest zaszyfrowany i ma kopie zapasowe — jak wszystkie dane, za które odpowiadamy.

Drugi zamek — w środku, nie obok

Hasło to dopiero pierwszy zamek. Drugi to kody jednorazowe (nazywa się je 2FA albo TOTP): te sześciocyfrowe liczby, które odświeżają się co pół minuty. Często trzyma się je w osobnej aplikacji na telefonie jednej osoby — a gdy ten telefon zginie albo rozładuje się w złym momencie, do ważnej usługi nie wejdzie nikt.

Trzymamy te kody obok haseł, w tym samym zabezpieczonym sejfie — to świadomy kompromis: kto złamie sejf, dostaje od razu oba czynniki, ale w zamian nikt nie zostaje odcięty przez rozładowany telefon. Wtedy dostęp nie wisi na jednym urządzeniu jednej osoby: w razie potrzeby zastąpi ją kolega z odpowiednimi uprawnieniami — bez paniki i bez „gdzie teraz szukać tego telefonu".

Jak wygląda wdrożenie

Uruchomienie nie jest dramatyczne ani długie:

• najpierw zbieramy w jedno miejsce wszystkie sekrety porozrzucane po arkuszach, przeglądarkach i karteczkach;
• porządkujemy je według działów i ustalamy, kto co ma widzieć;
• zakładamy każdemu pracownikowi własne wejście i tam, gdzie trzeba, włączamy kody jednorazowe;
• pokazujemy zespołowi, jak z tego korzystać — to piętnaście minut, a nie całodniowe szkolenie;
• przekazujemy Ci klucze administracyjne, żeby główny dostęp był właśnie u Ciebie, a nie „gdzieś u wykonawcy".

Potem stary arkusz z hasłami zostaje usunięty — nie schowany do archiwum, ale usunięty, bo nie jest już potrzebny, a jego pozostawienie jest niebezpieczne.

Najlepszy test to moment, gdy ktoś odchodzi

Prawdziwą wartość takiego sejfu widać nie na co dzień, ale w dniu, gdy ktoś się zwalnia. W świecie wspólnego arkusza odejście to gorączkowa zmiana kilkunastu haseł na oślep, z nadzieją, że żadnego nie pominięto. W świecie porządnego menedżera to jeden spokojny krok: odbierasz osobie dostęp — i wszystkie sekrety są natychmiast poza jej zasięgiem, bez masowego przepisywania czegokolwiek.

Hasło, które zna tylko jedna osoba, to nie bezpieczeństwo. To zakładnik.

Tego samego narzędzia, swoją drogą, używamy do własnych sekretów. Nie polecamy klientom tego, z czego sami nie korzystamy.

Trzy pytania do swojego IT

Nie trzeba współpracować z nami, żeby zaprowadzić porządek w hasłach. Wystarczy zadać trzy pytania temu, kto odpowiada za Twoje IT:

1. Gdzie dokładnie leżą hasła do naszych usług — i czy nie we wspólnym arkuszu, który można po cichu skopiować?
2. Co stanie się z dostępami, gdy jutro zwolni się kluczowy pracownik?
3. Czy widać, kto i kiedy korzystał z konkretnego hasła?

Jeśli odpowiedzi są spokojne i konkretne — świetnie. Jeśli nie — zacznij od bezpłatnego audytu: zobaczymy razem, gdzie teraz leżą klucze do Twojego biznesu, i powiemy uczciwie, co warto zmienić. Zarządzanie sekretami to część naszej „Tarczy", ale porządek można tu zaprowadzić też osobno.