Polityka Haseł i MFA: Fundament Tożsamości Cyfrowej
Większość włamań nie polega na "łamaniu" systemów, ale na logowaniu się skradzionymi poświadczeniami. MFA to tarcza, która zatrzymuje 99.9% takich prób.
Koniec ery samego hasła
Tradycyjne hasła stały się mechanizmem niewystarczającym. Użytkownicy, zmuszani do pamiętania dziesiątek kodów, popełniają grzechy główne bezpieczeństwa:
- Używają tego samego hasła w wielu serwisach (Reuse).
- Tworzą proste wzory (np. "Firma2024!").
- Zapisują hasła na karteczkach lub w nieszyfrowanych plikach.
W dobie wycieków baz danych z popularnych serwisów, Twoje firmowe hasło prawdopodobnie już jest w rękach przestępców.
Statystyki zagrożeń
- Czas łamania hasła 8-znakowego:Natychmiast
- Incydenty z użyciem skradzionych haseł:81% wszystkich włamań
- Skuteczność MFA wg Microsoft:99.9% zablokowanych ataków
Czym jest Uwierzytelnianie Wieloskładnikowe (MFA)?
MFA (Multi-Factor Authentication) wymaga przedstawienia dwóch lub więcej niezależnych dowodów tożsamości przy logowaniu. Nawet jeśli haker zna Twoje hasło, nie zaloguje się bez drugiego składnika.
Coś, co wiesz
Tradycyjne hasło lub PIN. To pierwszy, podstawowy poziom, który sam w sobie jest już niewystarczający.
Coś, co masz
Telefon z aplikacją (Microsoft Authenticator), token sprzętowy lub klucz U2F/FIDO2 (YubiKey). Haker nie ma fizycznie tego przedmiotu.
Coś, czym jesteś
Biometria: odcisk palca (TouchID) lub skan twarzy (FaceID). Najwygodniejsza forma potwierdzenia tożsamości.
Nowoczesna Polityka Haseł (wg wytycznych NIST i CERT)
Tego już nie robimy:
- × Wymuszanie zmiany hasła co 30/90 dni (powoduje zapisywanie haseł na kartkach).
- × Skomplikowane wymagania znakowe (np. 2 duże litery, 2 cyfry - to prowadzi do schematów typu "Lato2024!").
- × Podpowiedzi do haseł.
To wdrażamy:
- Długość jest kluczem: Minimalnie 12-14 znaków.
- Passphrases: Hasła zdaniowe, np. "ZielonySamochodJezdziSzybko". Łatwe do zapamiętania, trudne do złamania.
- Brak wygasania: Zmiana hasła tylko w przypadku podejrzenia wycieku.
- Obowiązkowe MFA: Wszędzie tam, gdzie to możliwe.
Jak wygląda proces wdrożenia?
- 1
Audyt obecnych zabezpieczeń
Weryfikujemy, gdzie obecnie stosowane są tylko hasła i jakie systemy wspierają MFA.
- 2
Opracowanie nowej polityki
Tworzymy dokumentację zgodną z KRI i NIST, dostosowaną do specyfiki organizacji.
- 3
Konfiguracja techniczna i szkolenia
Wdrażamy MFA (Microsoft 365, Google, VPN). Kluczowe jest przeszkolenie pracowników, by rozumieli zmianę i nie bali się jej.