Pracuję z firmami, które zatrudniają od kilku do kilkudziesięciu osób. Na początku rozmowy o bezpieczeństwie właściciele zwykle mówią, że mają silne hasła. Potem proszę o przykład. Często słyszę nazwę psa albo nazwisko z numerem. To zdarza się częściej, niż by się wydawało.

Kilka miesięcy temu trafiłem do firmy logistycznej. Jeden z pracowników używał tego samego hasła do skrzynki firmowej, konta w banku i panelu magazynowego. Tłumaczył, że tak łatwiej zapamiętać. Nikt nie sprawdził, czy to hasło pojawiło się w wykazie przecieków. Było, od trzech lat. Zamiast tylko zmienić ciąg znaków, zaproponowałem mu inne podejście. Pomocne okazały się narzędzia, które odciążają pamięć, na przykład Haslowo oficjalna strona. Nie po to, żeby wygenerować jeden dziwny ciąg. Po to, żeby każde konto miało osobny klucz, którego nie trzeba trzymać w głowie.

Większość poradników koncentruje się na długości hasła i znakach specjalnych. Autorzy rzadko pytają o to, co hasło faktycznie chroni. Hasło to brama do danych, a nie ozdoba. Gdy ktoś wejdzie na konto pocztowe, często nie musi łamać niczego więcej. Wystarczy kliknąć “przypomnij hasło” w innym serwisie.

Co widzę podczas audytu

Zaczynam od spisu kont. Nie robię tego, żeby udowodnić komuś, że jest w błędzie. Robię to, żeby pokazać skalę. Jedna osoba w firmie ma często trzydzieści albo czterdzieści aktywnych kont. Część to systemy, o których istnieniu już zapomniała. Gdy pytam, kto ma dostęp do głównego hasła od firmowego Facebooka albo od skrzynki, odpowiedzi bywają różne. Raz usłyszałem, że “wszyscy, bo to konto firmowe”.

Nie oceniam ludzi za to, że nie pamiętają haseł. Mózg nie jest do tego stworzony. Człowiek przetwarza tysiące informacji dziennie, a każde konto chce innego ciągu znaków. Zapamiętanie ich wszystkich, zwłaszcza przy wymuszanej zmianie co trzy miesiące, to zadanie ponad ludzkie siły. Dlatego w dobrych rozwiązaniach chodzi o to, żeby zapamiętać jedno hasło główne, a resztę przechować w bezpiecznym miejscu.

Widziałem też sytuację odwrotną. Firma trzymała wszystkie hasła w pliku Excel na wspólnym dysku. Każdy pracownik mógł otworzyć ten plik. Hasła były długie, z wielkimi literami i znakami specjalnymi. Tylko że plik nazywał się “hasła 2024”. Przy takim podejściu nikt nie musi łamać szyfru, wystarczy otworzyć plik.

Błędy, które widuję u klientów

Przez lata zebrałem listę zachowań, które wracają w różnych firmach. To nie są wyłącznie błędy techniczne. Najczęściej chodzi o wygodę i przyzwyczajenie. Poniżej trzy sytuacje, które spotykam najczęściej.

  • Jedno hasło do służbowych i prywatnych kont. Wystarczy jeden przeciek, żeby ktoś spróbował tego samego hasła w banku albo w skrzynce.
  • Zapisywanie haseł w widocznych miejscach. Karteczka pod klawiaturą, notatnik na biurku, zdjęcie w galerii. Ktokolwiek przejdzie obok, może zrobić zdjęcie.
  • Zmiana hasła o jeden znak. “Kowalski2023” staje się “Kowalski2024”. Taka zmiana nikogo nie oszukuje, a daje fałszywe poczucie bezpieczeństwa.

Nie twierdzę, że istnieje jedno idealne rozwiązanie dla każdego. Wszystko zależy od branży i tego, co firma przechowuje. Jedno jednak powtarza się u większości klientów. Gdy ktoś przestaje traktować hasła jak zło konieczne i zaczyna traktować je jak narzędzie, robi się spokojniejszy. Nie potrzebuje wybitnej pamięci ani technicznego wykształcenia. Potrzebuje tylko decyzji, że samemu nie da się tego ogarnąć.

Jeśli prowadzicie firmę albo zajmujecie się domowym budżetem, sprawdźcie, jak działają gotowe narzędzia do przechowywania haseł. Wiele z nich ma wersje próbne. Zróbcie listę kont, zacznijcie od poczty i bankowości. Reszta przyjdzie z czasem. Najważniejszy jest pierwszy krok, czyli decyzja, że hasła nie muszą mieszkać w głowie.