1. Hasła w firmie, jakie naprawdę są
Kiedy robię audyt bezpieczeństwa u klienta, prędzej czy później pytam o hasła. Odpowiedź prawie zawsze wygląda podobnie. Jest jeden plik Excela na dysku sieciowym, w nim loginy i hasła do wszystkiego, od panelu księgowego po konto na Facebooku firmy. Hasło do WiFi w biurze krąży w grupie na komunikatorze i zna je już dawno więcej osób, niż powinno. Ktoś ma swoje hasło do systemu CRM zapisane w przeglądarce na laptopie, który za rok trafi do kolejnego pracownika bez żadnego czyszczenia.
To nie jest wina ludzi, którzy tak robią. To po prostu naturalny efekt tego, że haseł w firmie robi się z czasem coraz więcej, a nikt nigdy świadomie nie usiadł i nie zaprojektował, jak mają być przechowywane. I właśnie dlatego menedżer haseł nie jest gadżetem dla entuzjastów IT, tylko podstawowym elementem porządku w firmie, obok backupu i antywirusa.
2. Dlaczego arkusz Excel i karteczki to więcej niż niewygoda
Największy problem z arkuszem albo karteczką nie jest taki, że ktoś może go zgubić, chociaż to też się zdarza. Problem jest głębszy. Skoro hasła leżą w jednym miejscu bez szyfrowania, ludzie zaczynają je też upraszczać i powtarzać, bo łatwiej zapamiętać jedno hasło niż dwadzieścia. Z badania Google i Harris Poll wynika, że około 65 procent internautów używa tego samego hasła w wielu serwisach, a tylko około jedna czwarta korzysta z jakiegokolwiek menedżera haseł. W skali firmy to oznacza, że wyciek jednego, pozornie mało istotnego konta (np. do jakiegoś darmowego narzędzia) może otworzyć drzwi do systemu księgowego, jeśli ktoś użył tam tego samego hasła.
Jest jeszcze jeden scenariusz, o którym mało kto myśli, dopóki nie zrobi mu się audytu. Amerykańskie badanie Beyond Identity z 2022 roku (próba ponad tysiąca pracowników i liderów biznesu) pokazało, że 83 procent byłych pracowników zachowało dostęp do kont po odejściu z firmy, a 56 procent przyznało się do wykorzystania tego dostępu na szkodę byłego pracodawcy. To dane z rynku amerykańskiego i sprzed kilku lat, więc nie przenoszę ich wprost na polskie realia, ale mechanizm jest uniwersalny. Jeśli hasło do wspólnego konta w systemie znają wszyscy, to po odejściu jednej osoby zmiana tego hasła prawie nigdy nie następuje, bo nikt nawet nie pamięta, gdzie to hasło jest zapisane.
Dokładnie to sprawdzam podczas audytu bezpieczeństwa, bo to jeden z tych obszarów, które teoretycznie każdy zna, a w praktyce prawie nigdy nie jest domknięty.
3. Co realnie zmienia menedżer haseł
Menedżer haseł rozwiązuje ten problem od strony technicznej, nie tylko organizacyjnej. Generuje unikalne, losowe hasło do każdego konta, więc wyciek jednego serwisu przestaje mieć znaczenie dla pozostałych. Pozwala udostępnić dostęp do konkretnego konta konkretnej osobie bez wysyłania hasła na czacie, a przy odejściu pracownika administrator odbiera dostęp jednym kliknięciem, zamiast pamiętać, do ilu systemów trzeba ręcznie zmienić hasło. Wszystko trafia do jednego, zaszyfrowanego miejsca, zamiast rozjeżdżać się po karteczkach, plikach i pamięci poszczególnych osób.
To zresztą kierunek, w którym od lat idą oficjalne zalecenia dotyczące haseł. Amerykański instytut standaryzacyjny NIST w swoich najnowszych wytycznych dotyczących haseł wprost wymaga, żeby systemy dopuszczały korzystanie z menedżerów haseł i autouzupełniania, bo to one realnie zwiększają szansę, że użytkownik wybierze mocniejsze hasło. Polski CERT Polska (NASK) w swoich zaleceniach z 2025 roku poszedł podobną drogą. Rekomendowana minimalna długość hasła to 14 znaków, a wymuszanie okresowej zmiany hasła czy sztucznej złożoności (obowiązkowe znaki specjalne, cyfry, wielkie litery) zostało uznane za nieskuteczne. Liczy się długość i to, żeby hasło było unikalne, a to jest dokładnie to, w czym menedżer haseł jest dobry.
Uporządkowanie haseł to zresztą jeden z elementów, które wprost wchodzą w zakres outsourcingu IT, obok backupu i monitoringu antywirusowego. To nie jest dodatek, tylko jeden z fundamentów.
4. Który menedżer haseł wybrać
Dla małej firmy nie potrzeba rozbudowanego, korporacyjnego rozwiązania, wystarczy jeden z kilku sprawdzonych menedżerów z planem zespołowym. Trzy, które najczęściej polecam do rozmowy na start:
- Bitwarden, plan Teams w cenie około 4 dolarów na użytkownika miesięcznie (rozliczenie roczne), z bezpiecznym udostępnianiem danych logowania w zespole i logami zdarzeń. W Polsce działa oficjalny dystrybutor (EMS Partner), więc da się to kupić z polską fakturą.
- 1Password Business, w cenie około 8,99 dolara na użytkownika miesięcznie, z podziałem na role i sejfy oraz udostępnianiem dostępu z datą wygaśnięcia, co przydaje się przy współpracy z podwykonawcami na czas określonego projektu.
- Keeper Business, trzecia sensowna opcja w podobnym, przystępnym przedziale cenowym, z udostępnianiem rekordów i folderów zespołowych. Cenniki tych narzędzi zmieniają się dość często, więc aktualną stawkę zawsze warto sprawdzić bezpośrednio u dostawcy tuż przed decyzją, zamiast opierać się na liczbie sprzed kilku miesięcy.
Różnice między nimi są w szczegółach interfejsu i integracjach, nie w podstawowym mechanizmie działania. Ważniejsze niż wybór konkretnej marki jest to, żeby w ogóle taki system zacząć stosować.
Sam akurat postawiłem na Bitwarden i w ramach stałej współpracy z Ralkom mam go wliczonego w każdy pakiet outsourcingu IT, dostęp dla każdego pracownika klienta jest w cenie, bez osobnej opłaty za licencję.
5. Menedżer haseł to nie wszystko
Tu muszę być szczery, bo lubię, kiedy klienci traktują to jako jeden krok, a nie całe rozwiązanie problemu. Menedżer haseł nie zabezpiecza konta, jeśli ktoś przejmie hasło główne do samego menedżera, dlatego CERT Polska konsekwentnie zaleca włączenie uwierzytelniania dwuskładnikowego wszędzie tam, gdzie to możliwe, w tym do samego menedżera haseł. Nie zastąpi też przemyślanych uprawnień, bo jeśli każdy pracownik ma dostęp do wszystkiego “na wszelki wypadek”, to menedżer haseł tylko wygodniej przechowa problem, którego wcześniej nie było widać.
Traktuję to jako fundament, na którym dopiero buduje się resztę higieny bezpieczeństwa, nie jako gotowe rozwiązanie po jednorazowym wdrożeniu.
6. Podsumowanie
Nie trzeba od razu przepisywać wszystkich haseł w firmie w jeden weekend. Wystarczy zacząć od kont, których wyciek bolałby najbardziej, czyli poczty firmowej, systemu księgowego i paneli administracyjnych, przenieść je do wspólnego, zaszyfrowanego miejsca i stamtąd rozszerzać dalej. Jeśli nie wiesz, od czego zacząć albo podejrzewasz, że w Twojej firmie hasła wyglądają dokładnie tak, jak opisałem na początku, odezwij się, chętnie pomogę to poukładać.