Kto ma dostęp do panelu hostingu, domeny, poczty i sklepu? Gdzie są hasła? Co się stanie, gdy odejdzie pracownik albo zachoruje osoba, która „wszystko pamięta”? W wielu małych firmach odpowiedzią jest plik, notes albo pamięć jednego człowieka. Porządkuję to tak, żeby dostępy były pod kontrolą i nie zależały od jednej osoby.
Od czego zaczynam: inwentaryzacja
Spisuję konta i systemy, z których korzysta firma: panele hostingu i domen, poczta, sklepy, narzędzia online, serwery, bankowość. Dla każdego ustalam, kto jest właścicielem konta i kto może się zalogować. Sprawdzam też, na jakie adresy e-mail, urządzenia i numery telefonów przychodzą kody jednorazowe, bo zgubiony telefon potrafi zablokować dostęp do panelu, za który płacisz.
Jeśli potrzebna jest także inwentaryzacja sprzętu i oprogramowania, wystarczy, że wyślesz mi raport z darmowego narzędzia diagnostycznego. Nie muszę odwiedzać firmy.
Zespołowy menedżer haseł
Wdrażam menedżer haseł dla całego zespołu, na przykład Bitwarden albo jego lekki odpowiednik do uruchomienia na własnym serwerze, Vaultwarden. Każdy pracownik dostaje własne konto, wtyczkę do przeglądarki i aplikację w telefonie. Narzędzie obsługuje też passkeys, kody TOTP i bezpieczne udostępnianie haseł. Rozwiązania open source, o których piszę w wdrożeniach narzędzi i self-hostingu, pozwalają trzymać dane na Twojej infrastrukturze.
Role i uprawnienia
Hasła porządkuję w kategorie i przypisuję im uprawnienia według ról, na przykład administrator, kadry, księgowość, inżynierowie. Każdy widzi tylko to, czego potrzebuje do pracy. Mniej osób zna hasła do krytycznych systemów, a nadużycie dostępu staje się trudniejsze.
Logowanie dwuskładnikowe
Włączam logowanie dwuskładnikowe tam, gdzie to możliwe: w panelach hostingu i domen, w poczcie, w menedżerze haseł, a w WordPressie dodaję kody TOTP przy logowaniu. Do wyboru są kody w aplikacji, klucze sprzętowe i passkeys. Dbam też o to, żeby kody awaryjne leżały w bezpiecznym miejscu.
Procedura odejścia pracownika
Gdy każdy ma własne konto i rolę, odejście kogoś z zespołu przestaje być operacją na kilkudziesięciu systemach. Wyłączasz jedno konto, zmieniasz hasła współdzielone tylko w kolekcjach, do których dana osoba miała dostęp, i odbierasz dostęp do paneli. Spisuję to w krótką listę kontrolną, którą może wykonać ktoś z firmy bez mojej pomocy.
Szkolenie i dokumentacja
Szkolę kluczowe osoby (administratorów sejfu haseł), a cały zespół dostaje krótkie instrukcje dopasowane do firmy. Porządek da się utrzymać tylko wtedy, gdy wiedzą o nim ludzie, a nie tylko ja.
Przykład
W firmie, w której około 15 osób pracowało na kilkudziesięciu systemach, hasła do bankowości, serwerów i poczty krążyły w pliku Word w wielu wersjach. Po wdrożeniu menedżera haseł były w jednym miejscu, dostępne tylko dla wybranych osób lub ról. Całość opisuję w case study Wdrożenie managera haseł. Więcej o samym podejściu znajdziesz we wpisie Jak bezpiecznie przechowywać hasła w firmie?. To jeden z elementów szerszej usługi opieka i standaryzacja.
Porozmawiajmy o dostępach
Napisz lub zadzwoń. W 15 minut ustalimy, ile kont ma Twoja firma i od czego warto zacząć porządki.