Polityka haseł w firmie
Klasyczne zasady (“hasło co 30 dni, wielka litera, cyfra, znak specjalny”) od dawna są uznawane przez ekspertów bezpieczeństwa za mniej skuteczne niż się powszechnie wydaje i często prowadzą do gorszych, nie lepszych haseł.
Dlaczego stare zasady nie działają
Wymuszanie częstej zmiany hasła sprawia, że ludzie wybierają przewidywalne wzorce (np. “Firma2024!” zmieniane na “Firma2025!”), łatwiejsze do odgadnięcia niż jedno mocne, rzadko zmieniane hasło.
Wymóg znaków specjalnych bez wymogu długości też nie pomaga, krótkie hasło ze znakiem specjalnym bywa łamane szybciej niż długa, łatwa do zapamiętania fraza bez żadnych “udziwnień”.
- częsta wymuszona zmiana hasła prowadzi do przewidywalnych wzorców
- znaki specjalne bez wymogu długości nie gwarantują realnej siły hasła
- długość hasła ma większe znaczenie niż jego “skomplikowanie”
Jak wygląda nowoczesne podejście
Aktualne rekomendacje (m.in. NIST) kładą nacisk na długość hasła (14+ znaków, najlepiej jako fraza z kilku słów) zamiast wymuszonej złożoności, oraz na sprawdzanie haseł względem baz znanych wycieków zamiast okresowej, wymuszonej zmiany bez powodu.
MFA jest traktowane jako ważniejsza warstwa ochrony niż sama złożoność hasła, dobra polityka haseł dziś to hasło długie i unikalne plus MFA, a nie hasło skomplikowane, ale zmieniane co miesiąc.
- priorytet: długość hasła (14+ znaków) zamiast wymuszonej złożoności
- zmiana hasła po realnym incydencie, nie automatycznie co 30 dni
- MFA jako kluczowa warstwa ochrony uzupełniająca hasło
Jak zbudować politykę haseł dla małej firmy
Ustal minimalną długość hasła (np. 14 znaków) zamiast wymogu znaków specjalnych, wprowadź menedżer haseł, żeby każde hasło było unikalne i wystarczająco długie bez wysiłku zapamiętywania, oraz wdroż MFA wszędzie, gdzie to możliwe.
Zmieniaj hasła po konkretnym powodzie (podejrzenie wycieku, odejście pracownika ze wspólnym dostępem), a nie automatycznie w stałych odstępach czasu bez związku z realnym ryzykiem.
- ustal minimalną długość hasła zamiast wymogu znaków specjalnych
- wdroż menedżer haseł, żeby ułatwić stosowanie długich, unikalnych haseł
- zmieniaj hasła po realnym powodzie, nie automatycznie co miesiąc
Powiązane artykuły
Najczęściej zadawane pytania
Czy hasło trzeba zmieniać co 30 dni?
Współczesne rekomendacje (m.in. NIST) odchodzą od tej zasady, częsta, wymuszona zmiana prowadzi do przewidywalnych, słabszych haseł. Lepsza jest zmiana po realnym powodzie.
Co jest ważniejsze: długość czy złożoność hasła?
Długość: hasło złożone ze znaków specjalnych, ale krótkie, bywa łamane szybciej niż długa fraza złożona z kilku zwykłych słów.
Czy MFA zastępuje potrzebę dobrej polityki haseł?
Nie zastępuje, ale znacząco ją uzupełnia: nawet przy dobrej polityce haseł MFA blokuje większość ataków opartych na przejętym lub odgadniętym haśle.
Jak wymusić dobrą politykę haseł w małej firmie bez działu IT?
Wdrożenie menedżera haseł dla całego zespołu w praktyce wymusza długie, unikalne hasła bez potrzeby ręcznego nadzoru nad każdym kontem.
Chcesz sprawdzić, jak to wygląda w Twojej firmie?
Krótki audyt pokazuje, które elementy warto poprawić najpierw, żeby ograniczyć ryzyko i nie przepalać budżetu.