Menedżer haseł w małej firmie: wybór i odejście pracownika

Hasło do poczty firmowej na karteczce przy monitorze, arkusz „Hasła.xlsx” na wspólnym dysku, to samo hasło do trzech serwisów. Znasz to? W małej firmie to codzienność, a kończy się to zwykle jednym: ktoś odchodzi, a Ty nie wiesz, do czego miał dostęp.

W tej poradzie pokazuję, jak wybrać menedżer haseł, wdrożyć go w jeden wieczór i co zrobić, gdy pracownik odchodzi. Piszę ogólnie, bez tabel z cenami, bo plany producentów często się zmieniają.

Dlaczego nie arkusz i nie karteczki

Arkusz wygląda na rozsądne rozwiązanie, ale ma kilka wad, które wychodzą dopiero w kryzysie:

• Nie ma pełnej historii. Zwykle nie zobaczysz, kto otworzył plik i kto skopiował hasła.
• Nie ma odbierania dostępu do pojedynczego hasła. Albo ktoś widzi cały plik, albo nic.
• Plik wędruje. Trafia do maili, na pendrive’y, do prywatnych telefonów i do kopii zapasowych.
• Hasła są jawne. Każdy, kto otworzy plik, widzi wszystko, a gdy plik jest otwarty, także klient zaglądający przez ramię.
• Zachęca do prostych haseł. Gdy trzeba je wpisywać ręcznie, ludzie wybierają krótkie i powtarzalne.

Karteczka przy monitorze ma jedną zaletę: nie przejmie jej atak z internetu. Ale widzi ją każdy klient i każda osoba sprzątająca, a po zgubieniu lub sfotografowaniu nie ma jak jej unieważnić.

Co robi menedżer haseł

Menedżer to zaszyfrowany sejf. Zapamiętujesz jedno długie hasło główne, a on generuje i wpisuje resztę. Dla małej firmy liczą się trzy rzeczy:

1. Unikalne, losowe hasło do każdego konta, bez wymyślania i bez powtarzania.
2. Wspólne sejfy dla zespołu: dostęp do konta firmowego bez przesyłania hasła mailem.
3. Kontrola dostępów: dodajesz i odbierasz ludzi jednym kliknięciem.

Menedżer nie zastąpi rozsądku. Jeśli ktoś wpisze hasło na fałszywej stronie, sejf nie pomoże. Dobry menedżer ma jednak tę zaletę, że nie podpowie hasła na stronie z innym adresem, co samo w sobie zatrzymuje część prób wyłudzenia.

Jak wybrać: Bitwarden, 1Password czy menedżer z konta

Nie ma jednego najlepszego narzędzia. Wybór zależy od liczby osób i tego, czy potrzebujesz wspólnych sejfów.

Moja praktyczna zasada: jedna osoba, kilka kont to menedżer wbudowany w konto, który już masz. Dwie osoby i więcej, wspólna poczta, reklamy, domena to osobny menedżer dla firm, taki jak Bitwarden czy 1Password. Wybierz jeden i nie mieszaj: gdy połowa zespołu używa Google, a połowa Apple, nikt nie wie, gdzie jest które hasło.

Hasło główne i 2FA: dwa zabezpieczenia sejfu

Sejf jest tak bezpieczny, jak jego klucz. Dlatego:

• Hasło główne ma być długie, najlepiej jako 4–5 losowych słów. Nie używaj go nigdzie indziej.
• Nie zapisuj go w telefonie ani w mailu. Zapisz na kartce i schowaj w domu albo w sejfie fizycznym. To jedyny dobry powód, by użyć kartki.
• Włącz drugi składnik (2FA) na koncie menedżera: aplikacja uwierzytelniająca albo klucz sprzętowy. SMS jest lepszy niż nic, ale słabszy.
• Włącz 2FA też na najważniejszych kontach: poczta, domena, hosting, bank, konto reklamowe.
• Jeśli menedżer oferuje klucze dostępu (passkeys), używaj ich tam, gdzie serwis je obsługuje.

Wdrożenie w jeden wieczór

Plan, który wdrożysz bez informatyka:

1. Wybierz narzędzie i załóż konto właściciela. Ustaw hasło główne i 2FA.
2. Utwórz sejfy (kolekcje) według działów, np. „Poczta i domena”, „Reklamy i social media”, „Finanse”, „Sklep i hosting”.
3. Spisz konta firmowe: poczta, domena, hosting, panel strony, Google (Analytics, Profil Firmy, Ads), Meta, bank, księgowość, programy.
4. Zmień hasła na wygenerowane. Zacznij od poczty i domeny, bo przez pocztę resetuje się resztę.
5. Zaproś pracowników i daj im dostęp tylko do sejfów, których potrzebują.
6. Usuń arkusz i karteczki. Dopiero gdy wszystko przeniesiesz.
7. Ustaw drugiego administratora albo dostęp awaryjny (patrz niżej).

Ta sama zasada obowiązuje przy domenie i hostingu: konto ma być założone na firmę, a nie na prywatny adres pracownika. Piszę o tym w poradzie o odzyskiwaniu dostępu do strony od agencji.

Wspólne sejfy: kto co widzi

Wspólny sejf rozwiązuje problem „hasło do Facebooka ma tylko Kasia”. Kilka zasad:

• Dawaj minimum dostępu. Handlowiec nie potrzebuje bankowości, a księgowa konta reklamowego.
• Rozdziel role. Administrator zarządza ludźmi, zwykły użytkownik korzysta z haseł. Tam, gdzie to możliwe, daj dostęp tylko do odczytu.
• Nie wysyłaj haseł mailem ani komunikatorem. Udostępnij wpis w sejfie.
• Konta firmowe, nie prywatne. Jeśli narzędzie pozwala dodać drugiego użytkownika (np. w Google Ads czy Meta), dodaj osobę zamiast dzielić jedno hasło. Wtedy wiadomo, kto co zrobił.

W kontach, które nie mają osobnych użytkowników, wspólne hasło w sejfie jest dobrym wyjściem, ale pamiętaj o 2FA: kod trafia wtedy do jednej osoby. Część menedżerów potrafi przechowywać kody jednorazowe razem z hasłem, co ułatwia pracę zespołu, ale warto to świadomie ocenić.

Dostęp awaryjny: gdy właściciel jest nieosiągalny

Wypadek, choroba, urlop bez zasięgu. Jeśli jedyna osoba z hasłem głównym jest nieosiągalna, firma traci dostęp do wszystkiego. Dlatego:

• Ustaw drugiego administratora w organizacji, najlepiej osobę, której ufasz i która ma własne 2FA.
• Skorzystaj z dostępu awaryjnego, jeśli narzędzie go oferuje: zaufana osoba może poprosić o dostęp, a po ustalonym czasie bez Twojego sprzeciwu go dostanie.
• Zapisz instrukcję odzyskiwania w zamkniętej kopercie u zaufanej osoby albo w sejfie.
• Sprawdź to raz w roku: czy drugi administrator naprawdę się zaloguje.

Odejście pracownika: lista kroków

To najważniejsza część. Zrób to w dniu odejścia, a przy konflikcie jeszcze przed rozmową.

1. Odbierz dostęp do sejfu i usuń użytkownika z organizacji.
2. Zmień hasła do kont, które znał, od najważniejszych: poczta firmowa, domena, hosting, bank, konta reklamowe, social media, panel strony. Usunięcie konta z menedżera nie zmienia haseł, które ktoś już widział lub skopiował.
3. Zresetuj 2FA na kontach współdzielonych, jeśli kody trafiały na jego telefon.
4. Usuń go z kont, które mają osobnych użytkowników: Google, Meta, hosting, system sklepowy, księgowość.
5. Przekieruj jego pocztę do osoby odpowiedzialnej i wyłącz logowanie na jego konto.
6. Sprawdź zalogowane urządzenia i aktywne sesje na ważnych kontach.
7. Odbierz sprzęt i zdalnie wyloguj jego telefon z firmowych aplikacji.
8. Zapisz datę i zakres zmian w jednej notatce. Przyda się przy sporze i przy audycie.

Jeśli hasła do strony czy sklepu zmieniasz po odejściu osoby, która miała dostęp do panelu, sprawdź też listę administratorów i wtyczek. Podobnie postępuję przy zhakowanym WordPressie.

Czego nie robić

• Nie trzymaj kodów odzyskiwania w tym samym sejfie co hasło główne.
• Nie używaj jednego konta menedżera dla całej firmy. Każdy ma własne.
• Nie zapisuj haseł w przeglądarce prywatnego komputera pracownika, jeśli sprzęt nie jest firmowy.
• Nie udostępniaj całego sejfu „dla wygody”.
• Nie odkładaj zmiany haseł po odejściu pracownika „na później”.

Podsumowanie

Menedżer haseł to jedna z tańszych i skuteczniejszych zmian w małej firmie: unikalne hasła, wspólne sejfy i porządek przy odejściu pracownika. Zacznij od poczty i domeny, włącz 2FA i ustaw dostęp awaryjny.

Jeśli chcesz sprawdzić, czy Twoja strona i formularze są odporne na zgadywanie haseł i boty, zamów audyt bezpieczeństwa albo napisz do mnie. Na start możesz też użyć darmowego narzędzia Zbadaj stronę, które sprawdza m.in. bezpieczeństwo i ustawienia domeny.