Handlowiec trzyma na pulpicie plik „Hasła_2024_final_OSTATECZNY.xlsx”. Księgowa loguje się do banku hasłem, którego używa też do prywatnej poczty i konta w sklepie internetowym. Marketing współdzieli dostęp do firmowego Facebooka przez hasło wysłane kiedyś na Messengerze i nikt już nie pamięta komu. A kiedy ktoś odchodzi z firmy, nikt nie jest w stanie powiedzieć, do ilu systemów wciąż ma dostęp.

To nie jest opis wyjątkowo niefrasobliwej organizacji. To codzienność większości polskich firm, w których hasła „jakoś się ogarnia”. Problem w tym, że przestępcy doskonale o tym wiedzą. Według raportu Verizon DBIR 2025 skradzione dane logowania to najczęstszy punkt wejścia do firmowych systemów: odpowiadają za 22% wszystkich naruszeń, a w atakach na aplikacje webowe wykorzystywane są w 88% przypadków. Nikt nie musi „hakować” Twojej firmy, skoro może się po prostu zalogować.

Dobra wiadomość: rozwiązanie tego problemu jest jednym z najtańszych i najszybszych wdrożeń bezpieczeństwa, jakie firma może zrobić. Nazywa się menedżer haseł.

Menedżer haseł: co to jest i jak działa?

Menedżer haseł to aplikacja, która przechowuje wszystkie loginy i hasła w zaszyfrowanym sejfie, a użytkownik musi pamiętać tylko jedno hasło główne, które ten sejf otwiera. W praktyce działa jak cyfrowy skarbiec: generuje długie, losowe hasła, zapisuje je automatycznie i uzupełnia formularze logowania na komputerze oraz w telefonie.

Kluczowy element to szyfrowanie typu end-to-end w modelu zero-knowledge. Zawartość sejfu jest szyfrowana lokalnie, na urządzeniu użytkownika, jeszcze zanim trafi na serwery dostawcy. Oznacza to, że nawet sam producent menedżera nie jest w stanie odczytać przechowywanych haseł. Nie zna hasła głównego i nie przechowuje go w żadnej formie. Dane wędrują do chmury wyłącznie jako kryptograficzny „szum”, bezużyteczny bez klucza, który istnieje tylko w głowie użytkownika.

Silne hasło to za mało, jeśli jest jedno

W teorii wszyscy wiemy, jak wygląda bezpieczne hasło: długie, unikalne, bez imienia psa i daty urodzenia. W praktyce badania z tegorocznego raportu Verizon pokazują, że u typowego użytkownika tylko mniej więcej połowa haseł do różnych usług faktycznie się od siebie różni. Reszta to warianty tego samego ciągu znaków.

I właśnie recykling haseł, a nie ich „słabość”, jest głównym problemem. Wystarczy, że jedno z powtarzanych haseł wycieknie z dowolnego serwisu (forum, sklepu, aplikacji sprzed lat), a przestępcy automatycznie sprawdzą je na setkach innych stron, w tym na firmowej poczcie i w systemach klienta. Ten typ ataku (credential stuffing) odpowiada, według analiz logów dostawców logowania, za blisko jedną piątą wszystkich prób uwierzytelnienia w internecie. Menedżer haseł rozwiązuje problem u źródła: skoro nie musisz pamiętać haseł, każde może być inne i mieć 30 losowych znaków.

Czy menedżer haseł jest bezpieczny?

To pytanie pada zawsze i słusznie, bo brzmi jak paradoks: „mam włożyć wszystkie jajka do jednego koszyka?”. Odpowiedź brzmi: tak, pod warunkiem że to koszyk pancerny, a alternatywą jest trzymanie jajek na parapecie.

Po pierwsze, architektura zero-knowledge sprawia, że nawet włamanie na serwery dostawcy nie daje przestępcom dostępu do haseł. Branża miała już takie incydenty i wnioski z nich są spójne: sejfy zaszyfrowane silnym hasłem głównym pozostały bezpieczne, a problem dotknął głównie tych użytkowników, którzy ustawili hasło główne krótkie lub wcześniej ujawnione. Po drugie, renomowani dostawcy przechodzą regularne, niezależne audyty bezpieczeństwa, a rozwiązania open source (jak Bitwarden) są dodatkowo prześwietlane przez społeczność.

Dla porównania: arkusz kalkulacyjny z hasłami nie ma żadnej z tych warstw. Notes również. A hasła zapamiętane luzem w przeglądarce na prywatnym laptopie są dokładnie tak bezpieczne, jak ten laptop.

Warto tylko pamiętać o dwóch zasadach. Hasło główne musi być naprawdę mocne, najlepiej w formie długiej frazy złożonej z kilku słów, bo to jedyny klucz do sejfu. Do samego menedżera należy też włączyć uwierzytelnianie wieloskładnikowe (MFA), żeby nawet wyłudzone hasło główne nie wystarczyło do zalogowania.

Menedżer haseł Google i ten w przeglądarce: czy to wystarczy?

Menedżer haseł Google to najpopularniejsze tego typu narzędzie w Polsce, głównie dlatego, że jest darmowe, wbudowane w Chrome i Androida, i „samo się włącza”. Dla osoby prywatnej to rozsądne minimum: zdecydowanie lepsze niż powtarzanie jednego hasła wszędzie.

Dla firmy to jednak za mało, z kilku konkretnych powodów:

Hasła są przypięte do konta Google, często prywatnego. Pracownik zapisuje firmowe dostępy na swoim osobistym koncie i zabiera je ze sobą, gdy odchodzi. Firma nie ma nad tym żadnej kontroli. Pisaliśmy o tym szerzej w artykule o offboardingu pracownika z perspektywy IT.

Nie ma bezpiecznego współdzielenia zespołowego. W firmie hasła do wspólnych narzędzi (hosting, media społecznościowe, systemy klientów) muszą krążyć między ludźmi. Bez menedżera firmowego krążą mailem, na czacie i w notatkach, czyli w miejscach, z których najczęściej wyciekają, podobnie jak opisywane przez nas klucze API i tokeny.

Brak administracji i audytu. Nie sprawdzisz, kto ma dostęp do czego, nie wymusisz polityki haseł, nie odbierzesz uprawnień jednym kliknięciem, nie zobaczysz logu zdarzeń dla ubezpieczyciela czy audytora.

Ochrona jest tak silna, jak blokada urządzenia. Menadżer haseł w Chrome czy na Androidzie bywa dostępny dla każdego, kto odblokuje komputer lub telefon. Dedykowane aplikacje wymagają osobnego odblokowania sejfu.

Wniosek: menedżer haseł Google jest lepszy niż nic, ale w środowisku firmowym pełni co najwyżej rolę pomostu do rozwiązania właściwego. To zresztą częsty przypadek zjawiska, które opisywaliśmy jako shadow IT: pracownicy sami organizują sobie narzędzia, których dział IT nie widzi i nie kontroluje.

Najlepszy menedżer haseł dla firmy: porównanie

Nie ma jednego „najlepszego menedżera haseł” dla wszystkich. Jest najlepszy dla konkretnej firmy. Poniżej cztery rozwiązania, które najczęściej wdrażamy lub spotykamy u klientów, plus jedno darmowe (ceny katalogowe producentów, netto, przy rozliczeniu rocznym; warto je zweryfikować przed zakupem, bo potrafią się zmieniać):

Na co patrzeć przy wyborze? Po pierwsze na współdzielenie i uprawnienia: czy da się zbudować sejfy per zespół (marketing, księgowość, IT) i nadawać dostęp rolami, a nie „wszystkim do wszystkiego”. Po drugie na integrację z tym, co już macie. Jeśli firma pracuje na Microsoft 365 albo Google Workspace, logowanie SSO i automatyczne zakładanie kont oszczędzają mnóstwo pracy. Po trzecie na odzyskiwanie dostępu: co się dzieje, gdy pracownik zapomni hasła głównego albo nagle odejdzie. Plan biznesowy powinien przewidywać awaryjne odzyskanie sejfu przez administratora, bez łamania modelu zero-knowledge.

Darmowy menedżer haseł: kiedy wystarczy, a kiedy to fałszywa oszczędność

Darmowy menedżer haseł (np. bezpłatny plan Bitwarden czy Proton Pass) to świetny wybór dla osoby prywatnej i całkiem sensowny dla jednoosobowej działalności. Problem zaczyna się tam, gdzie pojawia się drugi pracownik: darmowe plany nie mają zespołowych sejfów, centralnej administracji ani logów zdarzeń.

Policzmy fałszywą oszczędność na konkretach. Dziesięcioosobowa firma zapłaci za Bitwarden Teams około 480 USD rocznie, czyli mniej więcej 2 000 zł. Średni koszt obsługi jednego poważnego incydentu z przejęciem konta (przestój, odzyskiwanie dostępów, komunikacja z klientami, potencjalne kary) liczy się w dziesiątkach tysięcy złotych. A jak pisaliśmy przy okazji ubezpieczeń cyber, ubezpieczyciele coraz częściej sprawdzają zarządzanie dostępami i MFA, zanim w ogóle wypłacą odszkodowanie.

Zarządzanie hasłami w firmie: wdrożenie krok po kroku

Samo kupienie licencji to 20% sukcesu. Reszta to wdrożenie, które w typowej firmie do 50 osób wygląda tak:

1. Polityka haseł. Krótki, zrozumiały dokument: minimalna długość haseł (dziś rekomenduje się długość ponad złożoność), zakaz powtarzania haseł między systemami, obowiązek przechowywania firmowych dostępów wyłącznie w menedżerze, MFA na kontach krytycznych. Bez polityki narzędzie będzie używane „po uważaniu”.

2. Struktura sejfów i uprawnień. Osobne kolekcje dla działów i projektów, dostęp według zasady minimalnych uprawnień. Hasła współdzielone (media społecznościowe, panele klientów, hosting) trafiają do sejfów zespołowych, nigdy na konta prywatne.

3. Migracja. Import haseł z przeglądarek i plików, a następnie krok, o którym wszyscy zapominają: wyczyszczenie starych miejsc przechowywania i wyłączenie zapamiętywania haseł w przeglądarkach polityką centralną.

4. Szkolenie zespołu. Godzina wystarczy: jak działa sejf, jak ustawić mocne hasło główne, jak włączyć MFA, jak współdzielić dostęp poprawnie. Warto połączyć je z tematem rozpoznawania phishingu, bo to phishing jest dziś główną metodą wykradania danych logowania.

5. Higiena po starcie. Raporty słabych i powtórzonych haseł (mają je wszystkie narzędzia biznesowe), stopniowa wymiana najgorszych, przegląd uprawnień co kwartał.

Menedżer haseł a onboarding i offboarding pracownika

Największy zysk operacyjny widać przy rotacji ludzi. Podczas onboardingu nowy pracownik pierwszego dnia dostaje konto w menedżerze i od razu ma dostęp do wszystkich narzędzi swojego zespołu, bez wysyłania haseł mailem. Przy offboardingu administrator jednym ruchem dezaktywuje konto, a hasła współdzielone, do których odchodzący miał dostęp, rotuje według listy z raportu. Bez menedżera ten proces w praktyce nie istnieje i dlatego byli pracownicy miesiącami logują się do firmowych narzędzi.

Passkeys: co dalej po hasłach?

Branża zmierza w stronę kluczy dostępu (passkeys), czyli logowania kryptograficznego bez hasła, odpornego na phishing i opartego o biometrię urządzenia. To realna przyszłość, ale przejściowa rzeczywistość będzie hybrydowa jeszcze przez lata: większość systemów biznesowych, z których korzystają polskie firmy, wciąż wymaga klasycznych haseł. Nowoczesne menedżery haseł obsługują już passkeys równolegle z hasłami, więc wdrażając je dziś, firma przygotowuje się też na jutro.

Od Excela z hasłami do kontrolowanych dostępów: od czego zacząć?

Jeśli po lekturze tego tekstu podejrzewasz, że w Twojej firmie hasła żyją własnym życiem (w przeglądarkach, arkuszach i na czatach), to dobry moment na uporządkowanie tematu, zanim zrobi to za Ciebie incydent. W Dataone wdrażamy menedżery haseł w ramach obsługi informatycznej: od doboru narzędzia i struktury sejfów, przez migrację oraz szkolenie zespołu, po bieżącą administrację dostępami. Zaczynamy zwykle od audytu bezpieczeństwa IT, który pokazuje, gdzie dziś naprawdę są Wasze hasła. Skontaktuj się z nami. Pierwsza rozmowa nic nie kosztuje, a potrafi oszczędzić bardzo dużo.

Zobacz też: Offboarding | Onboarding