Zarządzanie hasłami - tak uchronisz się przed hakerami!

Znaczenie silnych haseł

Hasła są często pierwszą linią obrony przed nieautoryzowanym dostępem – im silniejsze hasło, tym bardziej chronione będą wrażliwe dane. Zapewniając, że tylko właściwa osoba z odpowiednimi poświadczeniami może uzyskać dostęp do tych informacji, można znacznie zmniejszyć ryzyko cyberataku lub naruszenia danych. Silne zasady dotyczące haseł mogą również pomóc w spełnieniu zgodności z przepisami prawa, jak RODO czy NIS2.

Po lekturze naszego artykułu poznasz znaczenie odpowiedniego zarządzania hasłami, w tym ich szyfrowania, stosowania odpowiedniej długości i złożoności, oraz wdrażania skutecznych środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa danych osobowych.

Szkolenia RODO - najczęstsze błędy. Sprawdź, jak uniknąć kar!

Dlaczego właściwe zarządzanie hasłami jest tak ważne?

Skutki nieodpowiedniego zarządzania hasłami, braku polityki i edukacji personelu w tym obszarze mogą być katastrofalne dla firmy:

• zwiększone ryzyko włamania - słabe hasła są łatwe do złamania, a brak uwierzytelniania dwuskładnikowego ułatwia nieautoryzowany dostęp
• utrata danych - w wyniku włamania może dojść do wycieku poufnych informacji firmowych
• straty finansowe - zarówno bezpośrednie (np. kradzież środków) jak i pośrednie (koszty naprawy szkód)
• zakłócenia w działalności - ataki mogą prowadzić do przestojów w pracy i utraty produktywności
• utrata reputacji - incydenty bezpieczeństwa mogą negatywnie wpłynąć na wizerunek firmy
• naruszenie prywatności - wyciek danych osobowych pracowników lub klientów może prowadzić do poważnych konsekwencji prawnych i roszczeń cywilnych
• sankcje prawne - nieprzestrzeganie wymogów bezpieczeństwa może skutkować karami finansowymi - kara pieniężna, która może dotknąć organizację przy stwierdzeniu naruszeń RODO - do 20 mln EUR lub 4% rocznego obrotu.

Zarządzanie hasłami - najczęstsze błędy

Przechowywanie haseł w formie niezaszyfrowanej

Pracownicy często zapisują hasła na kartkach przyklejonych do monitorów lub w niezaszyfrowanych plikach tekstowych. Przykładem jest przypadek Meta (Facebook), gdzie setki milionów haseł użytkowników były przechowywane w niezaszyfrowanej formie na wewnętrznych serwerach firmy. Za to naruszenie Meta została ukarana grzywną w wysokości 91 milionów euro przez irlandzką Komisję Ochrony Danych.

Używanie słabych haseł

Pracownicy często używają prostych, łatwych do odgadnięcia haseł, takich jak "123456", "password" czy "qwerty". To znacząco zwiększa ryzyko nieautoryzowanego dostępu do systemów.

Nieaktywne uwierzytelnianie dwuskładnikowe

Wiele firm nie wymaga lub nie zachęca do korzystania z uwierzytelniania dwuskładnikowego lub wieloskładnikowego, co znacznie zwiększyłoby bezpieczeństwo kont.

Brak regularnej zmiany haseł

Chociaż nie zawsze jest konieczna regularna zmiana haseł, wiele firm nie wymaga od pracowników aktualizacji haseł nawet w przypadku podejrzenia naruszenia bezpieczeństwa.

Korzystanie z tych samych haseł

Pracownicy często używają tego samego hasła do wielu różnych kont i systemów. W przypadku naruszenia jednego konta, wszystkie pozostałe stają się zagrożone.

Udostępnianie haseł

Dzielenie się hasłami między pracownikami, nawet w obrębie zespołu, zwiększa ryzyko nieautoryzowanego dostępu.

Niewystarczające zabezpieczenia techniczne

Firmy czasem nie wdrażają odpowiednich środków technicznych do ochrony haseł, takich jak szyfrowanie, haszowanie czy solenie (techniki kryptograficzne).

Niewystarczające szkolenia z zakresu bezpieczeństwa

Wiele firm nie zapewnia pracownikom odpowiednich szkoleń na temat tworzenia i zarządzania bezpiecznymi hasłami.

Aby przeciwdziałać tym naruszeniom, organizacje powinny wdrażać kompleksowe polityki bezpieczeństwa haseł, zapewniać regularne szkolenia dla pracowników, stosować zaawansowane metody szyfrowania i zachęcać do korzystania z menedżerów haseł oraz uwierzytelniania wieloskładnikowego.

UODO kontroluje niezależność IOD – sprawdź wytyczne i uniknij kar!

Zabezpiecz konta i e-maile. Inaczej ryzykujesz karą

Zaniedbania z zakresu ochrony prywatności mogą wiązać się z surową karą. Dla zobrazowania problemu przytaczamy dwie decyzje Prezesa Urzędu Ochrony Danych Osobowych. Dotyczą innego obszaru obowiązków, ale każda związana jest ze skutecznym przełamaniem zabezpieczeń systemu informatycznego:

Decyzja wobec drobnego przedsiębiorcy prowadzącego działalność jednoosobową

Dotyczyła naruszenia ochrony danych osobowych polegającego na niezgłoszeniu Prezesowi Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia oraz niezawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osób, których dane dotyczą.

W wyniku przełamania zabezpieczeń systemu doszło do kradzieży dokumentów z laptopa. Dokumenty przechowywane na pulpicie zawierały dane klientów: imię, nazwisko, adresy zamieszkania, adresy e-mail, nr telefonów, nr PESEL. Nałożono karę pieniężną 11 790 PLN.

Prowadzisz małą firmę i potrzebujesz dokumentów RODO? Sprawdź nasze pakiety!

Decyzja wobec American Heart of Poland SA

Organ stwierdził naruszenie polegające na niewdrożeniu:

1. odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych w systemach informatycznych oraz ochronę praw osób, których dane dotyczą, na podstawie przeprowadzonej analizy ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych,
2. odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo danych osobowych przetwarzanych w systemach informatycznych, w szczególności w zakresie podatności, błędów oraz ich możliwych skutków dla tych systemów oraz podjętych działań minimalizujących ryzyko ich wystąpienia.

skutkującym naruszeniem zasady integralności i poufności oraz zasady rozliczalności.

Jak podaje UODO, zdarzenie polegało na przełamaniu zabezpieczeń systemu informatycznego spółki, w wyniku czego nieuprawnione osoby uzyskały dostęp do danych pacjentów i pracowników. Zdarzenie objęło szeroki zakres danych, w tym nazwiska, imiona rodziców, daty urodzenia, dane finansowe, dane dotyczące zdrowia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer PESEL, serię i numer dowodu osobistego, numer telefonu oraz adres e-mail. O wycieku danych spółka dowiedziała się od hakerów, którzy zażądali 3 mln dolarów okupu za nieujawnienie przechwyconych danych.

Spółka nie wdrożyła wszystkich niezbędnych środków służących ochronie przetwarzanych przez nią danych, a ponadto nie była w stanie ustalić przyczyny wycieku. Wśród licznych zarzutów padły też te, iż Spółka niewłaściwie chroniła się przed atakami „phishingowymi”, polegającymi na podszywaniu się osoby atakującej system pod inny podmiot (osobę). Według ustaleń Prezesa UODO, z dużym prawdopodobieństwem właśnie w taki sposób hakerzy dostali się do systemu informatycznego. Spółka założyła, że poziom bezpieczeństwa przetwarzanych przez nią danych jest właściwy jedynie na podstawie wewnętrznego audytu, którego celem było przedłużenie ważności certyfikatu ISO/IEC 27001:2013, działała w błędnym przeświadczeniu, że ww. ryzyka są na poziomie jedynie małym lub, co najwyżej, średnim. Nałożono karę pieniężną 1 440 549,00 PLN, ale spółka odwołała się od decyzji.

Incydent RODO w dzień wolny od pracy? Nie panikuj i sprawdź nasz poradnik

Jak wdrożyć skuteczną politykę zarządzania hasłami?

Jeśli stoisz przed zadaniem wdrożenia polityki zarządzania hasłami, dopasuj ją do infrastruktury i charakteru danej organizacji. Cały proces można podzielić na dwie części.

Pierwszą częścią polityki ochrony haseł powinno być ich wzmocnienie:

Uaktualnij do silniejszych, złożonych haseł: Zastąp stare, słabe hasła nowymi, solidnymi. Używaj kombinacji wielkich i małych liter, cyfr i symboli. Hasła powinny składać się z co najmniej 19 znaków, aby utrudnić atakującym ich złamanie za pomocą ataków siłowych. Unikaj popularnych słów lub fraz, które są łatwe do odgadnięcia.

Unikaj danych osobowych: Unikaj używania łatwych do odgadnięcia informacji, takich jak data urodzin, pseudonim lub adres. Choć dane te są łatwe do zapamiętania, hakerzy często wykorzystują je do łamania haseł.

Frazy zamiast haseł: Rozważ używanie fraz haseł zamiast tradycyjnych haseł. Są to dłuższe kombinacje słów, które są łatwiejsze do zapamiętania i trudniejsze do złamania (na przykład zamiast "Paryż98" użyj "ByłemwParyżuw_19_98_nawakacjachzmamą"

Porzuć ponownie używane hasła: Oprzyj się pokusie ponownego używania haseł na wielu kontach, zwłaszcza osobistych i służbowych. Każde konto powinno mieć własne hasło; jeśli ponownie użyjesz hasła, a cyberprzestępca je odgadnie, będzie mógł uzyskać dostęp do wszystkich kont. Nie używaj też ponownie hasła z tylko jednym zmienionym znakiem – możesz w ten sposób oszukać firmowy system, ale hakera już nie.

Regularnie zmieniaj hasła: Zmieniaj hasła co najmniej co 90 dni, aby zminimalizować ryzyko nieautoryzowanego dostępu. Regularne zmiany utrudniają hakerom złamanie danych uwierzytelniających. Powinieneś także zmienić hasła, jeśli podejrzewasz jakikolwiek rodzaj naruszenia. Z drugiej strony należy unikać zbyt częstych zmian, ponieważ mogą one skłaniać użytkowników do wybierania słabszych haseł lub uciekania się do możliwych do odgadnięcia wzorców.

Korzystaj z menedżerów haseł: Przeciętna osoba ma ponad 100 kont online z hasłami, więc zapamiętanie ich wszystkich może być trudne. Nie wolno przechowywać haseł na swoich urządzeniach w postaci czystego tekstu lub w jakiejkolwiek odwracalnej formie ani ich zapisywać. Zamiast tego skorzystaj z narzędzi do zarządzania hasłami, aby bezpiecznie przechowywać i generować złożone hasła. Oferują one wygodę, zapewniając jednocześnie silną higienę haseł. Po zapisaniu hasła w menedżerze, nie musisz go pamiętać – wystarczy, że zapamiętasz hasło główne do menedżera, czyli aplikacji zarządzającej wszystkimi hasłami.

II część polityki ochrony haseł powinna koncentrować się na ulepszeniu środków bezpieczeństwa:

Wdrożenie uwierzytelniania wieloskładnikowego (MFA): W miarę możliwości włącz MFA, aby dodać dodatkową warstwę zabezpieczeń. Ten środek bezpieczeństwa wymaga od użytkowników podania dwóch lub więcej form identyfikacji przed uzyskaniem dostępu do konta. Znacznie zmniejsza to prawdopodobieństwo nieautoryzowanego dostępu, nawet jeśli hasła zostaną naruszone.

Wyloguj się po każdej sesji: Zawsze wylogowuj się z programów i kont po zakończeniu korzystania z nich, zwłaszcza na urządzeniach współdzielonych lub publicznych. Zapobiega to nieautoryzowanemu dostępowi do kont.

Regularne audyty i monitorowanie: Wdrażaj procedury regularnego audytu kont użytkowników pod kątem słabych haseł, podejrzanej aktywności i prób nieautoryzowanego dostępu. Monitoruj próby logowania i wymuszaj blokady kont po wielu nieudanych próbach logowania, aby udaremnić ataki typu brute-force.

Edukuj użytkowników: Biorąc pod uwagę, że błąd ludzki przyczynia się do 95% wszystkich naruszeń, edukowanie użytkowników na temat znaczenia silnych haseł, ryzyka związanego z udostępnianiem haseł i taktyk stosowanych przez cyberprzestępców może pomóc zmniejszyć ryzyko naruszenia danych. Istotne jest umożliwienie użytkownikom szybkiego rozpoznawania i zgłaszania podejrzanych działań. Skuteczny program szkoleń powinien być regularny i opierać się na praktycznych warsztatach tworzenia i zarządzania hasłami, symulacji ataków (w szczególności phishingowych), stosowaniu elementów rywalizacji i nagradzania za bezpieczne zachowania, demonstrowania konsekwencji najlepiej na przykładach innych organizacji.

Edukacja cyfrowa o osobistym charakterze: Warto odwołać się również do osobistej motywacji i wspomnianej codziennej higieny cyfrowej, która uwzględnia stosowanie bezpieczeństwa haseł również w życiu prywatnym. Stosowanie zasad bezpiecznego logowania i cyfrowej higieny przynosi pracownikom korzyści również w życiu prywatnym, zwłaszcza pod kątem bezpieczeństwa finansów i ochrony przed kradzieżą tożsamości.

Plan kontroli sektorowych UODO na 2025 rok - pełna rozpiska

Podsumowanie: kluczowe zasady tworzenia haseł

Dla wygody streściliśmy artykuł do formy prostej listy. Poniżej znajdziesz kluczowe zalecenia, które warto wykorzystać konstruując politykę haseł w organizacji.

Podstawowe zasady

• Długość - hasło powinno mieć co najmniej 12 znaków
• Złożoność - używaj kombinacji małych i wielkich liter, cyfr oraz znaków specjalnych
• Unikalność - każde konto powinno mieć inne hasło
• Unikaj oczywistości - nie używaj dat urodzenia, imion czy popularnych słów.

Blokuj słabe hasła

Zakaż używania haseł znajdujących się na listach popularnych lub skompromitowanych haseł. Blokuj takie, które zawierają przewidywalne elementy (np. nazwa firmy).

Korzystaj z menedżerów haseł, które:

• Generują silne, unikalne hasła
• Przechowują hasła w zaszyfrowanej formie
• Pozwalają na automatyczne wypełnianie formularzy logowania
• Synchronizują hasła między urządzeniami.

Dodatkowe zabezpieczenia

1. Stosuj uwierzytelnianie wieloskładnikowe (MFA). To dodatkowa warstwa zabezpieczeń, która wymaga podania drugiego czynnika (np. kodu z aplikacji lub SMS) oprócz hasła. Włączenie 2FA znacząco zwiększa bezpieczeństwo konta
2. Zaimplementuj mechanizmy blokady konta po nieudanych próbach logowania
3. Zastosuj opóźnienia między kolejnymi próbami logowania (throttling).

Praktyczne wskazówki

• Zachęcaj do używania długich fraz zamiast skomplikowanych haseł
• Umożliw wklejania haseł w polach logowania
• Wyświetl wskaźnik siły hasła podczas jego tworzenia.

Specjalne przypadki

1. Stosuj bardziej rygorystyczne zasady dla kont administracyjnych i zdalnego dostępu
2. Dostosuj politykę haseł do konkretnych scenariuszy użycia (np. poprzez różne wymagania dla haseł używanych z dodatkowym czynnikiem uwierzytelniającym).

Zadbaj o bezpieczeństwo

Pamiętaj: bezpieczeństwo Twojej firmy jest tak silne, jak najsłabsze hasło używane przez Twoich pracowników.

Właściwe zarządzanie hasłami to nie koszt, a inwestycja w bezpieczeństwo firmy. Według najnowszych badań, firmy które wdrożyły kompleksową politykę zarządzania hasłami, odnotowują o 70% mniej incydentów bezpieczeństwa i oszczędzają średnio 23% kosztów związanych z cyberbezpieczeństwem.

Cyberbezpieczeństwo to klucz do wiarygodnego biznesu. Czy Twoja organizacja na pewno jest chroniona? Umów się na bezpłatną konsultację, a odpowiemy na wszystkie Twoje pytania.