Codziennie logujesz się do poczty, otwierasz dokumenty i korzystasz z firmowych systemów. Hasło wpisujesz niemal automatycznie. Warto jednak zatrzymać się na chwilę: czy każde Twoje konto ma inne hasło? Czy ktoś mógłby je odgadnąć, znając Twoje imię, miejsce pracy albo ulubiony klub?
Bezpieczne hasło powinno być długie, trudne do przewidzenia i używane tylko do jednego konta.
tym zapamiętywać kilkudziesięciu skomplikowanych ciągów znaków. Pomagają w tym proste zasady i odpowiednie narzędzia.
Jak stworzyć bezpieczne hasło?
Zacznij od długości. CERT Polska zaleca minimum 14 znaków oraz korzystanie z kombinacji kilku słów. Dłuższe hasło daje więcej możliwości, ale nadal musi być trudne do przewidzenia. Samo wielokrotne powtórzenie jednego słowa nie wystarczy. Zalecenia CERT Polska.
Jeśli hasło musisz pamiętać, możesz zbudować je z kilku losowo dobranych, niezwiązanych ze sobą słów. Unikaj znanych cytatów, tekstów piosenek, imion bliskich i informacji dostępnych w Twoich mediach społecznościowych. Zamiana litery „a” na „@” również nie sprawia automatycznie, że przewidywalne słowo staje się mocnym hasłem. Wskazówki brytyjskiego NCSC.
W przypadku pozostałych kont wygodnym rozwiązaniem jest generator w menedżerze haseł. Utworzy długie, losowe hasło, którego nie trzeba samodzielnie wymyślać.
Dlaczego każde konto powinno mieć inne hasło?
Wyobraź sobie, że używasz tego samego hasła do firmowej poczty i sklepu internetowego. Jeśli dane logowania wyciekną ze sklepu, przestępca może spróbować wykorzystać je również do poczty.
Nie musi wtedy odgadywać Twojego hasła. Sprawdza, czy znane mu dane pasują do kolejnych usług.
Dlatego nie używaj haseł służbowych na prywatnych kontach. Dla każdej usługi twórz osobne hasło. Zmiana jednej cyfry na końcu nie daje takiej ochrony jak całkowicie inne hasło. CERT Polska szczególnie podkreśla znaczenie unikalnych haseł do poczty, bankowości i mediów społecznościowych. Zasady bezpiecznego logowania.
Menedżer haseł – mniej zapamiętywania, więcej porządku
Menedżer haseł pomaga generować, przechowywać i uzupełniać dane logowania. Dzięki temu korzystanie z różnych haseł staje się znacznie wygodniejsze. Wsparcie dla takich narzędzi i automatycznego uzupełniania uwzględniają również wytyczne NIST. Wytyczne NIST dotyczące haseł.
W pracy korzystaj z rozwiązania zatwierdzonego przez organizację. Jeśli firma jeszcze go nie wskazała, zapytaj osobę odpowiedzialną za IT. Nie przenoś samodzielnie służbowych haseł do prywatnego narzędzia.
Warto ustalić w zespole także prostą zasadę: gdy ktoś potrzebuje dostępu do systemu, otrzymuje własne uprawnienia zgodnie z firmową procedurą. Wysyłanie hasła w wiadomości nie powinno zastępować zarządzania dostępem.
Włącz dodatkowe potwierdzenie logowania
Weryfikacja dwuetapowa dokłada kolejne zabezpieczenie: oprócz hasła potrzebujesz na przykład potwierdzenia w aplikacji lub klucza bezpieczeństwa. CERT Polska zaleca jej włączenie tam, gdzie jest dostępna. Jak zabezpieczyć logowanie.
Nie zatwierdzaj powiadomień o logowaniu, którego nie rozpoczynasz. Nie przekazuj też kodów osobie, która kontaktuje się z Tobą i przedstawia jako pracownik pomocy technicznej.
Nawet mocne hasło można wyłudzić
Przychodzi wiadomość: „Twoja skrzynka zostanie zablokowana. Potwierdź konto”. Otwierasz link i widzisz znajomy ekran logowania.
Problem w tym, że strona może należeć do oszusta. Jeśli wpiszesz tam dane, długość hasła nie zapobiegnie ich przekazaniu. To przykład phishingu, czyli próby wyłudzenia informacji przez podszywanie się pod zaufaną osobę lub organizację.
Gdy nieoczekiwana wiadomość wymaga logowania, otwórz usługę przez znaną zakładkę lub firmowy portal. Wątpliwą prośbę potwierdź innym, znanym kanałem kontaktu. Samo logo i profesjonalny wygląd strony nie potwierdzają jej autentyczności. Jak rozpoznać phishing – CERT Polska.
Na szkoleniu z cyberbezpieczeństwa dla pracowników tłumaczę takie sytuacje prostym językiem. Pokazuję, na co zwrócić uwagę podczas codziennej pracy z pocztą i jak reagować na podejrzane prośby. Bez technicznego żargonu, na przykładach zrozumiałych dla osób spoza IT.
Czy trzeba zmieniać hasło co miesiąc?
Nie ma potrzeby zmieniania dobrego, unikalnego hasła wyłącznie dlatego, że minął kolejny miesiąc. Wytyczne NIST odradzają wymuszanie okresowych zmian bez oznak naruszenia bezpieczeństwa. Zmiana jest potrzebna, gdy hasło zostało ujawnione lub istnieją dowody przejęcia danych logowania. Zalecenia NIST.
W firmie postępuj zgodnie z obowiązującą polityką bezpieczeństwa. Jeśli podejrzewasz ujawnienie służbowego hasła, nie czekaj na termin jego zmiany — zgłoś sytuację osobie odpowiedzialnej za IT i zastosuj firmową procedurę.
Chcesz nauczyć pracowników bezpiecznego korzystania z kont?
Zasady łatwiej stosować, kiedy wiadomo, po co istnieją i jak wykorzystać je w zwykłym dniu pracy.
Prowadzę szkolenia z cyberbezpieczeństwa dla pracowników biurowych, administracyjnych i innych osób nietechnicznych. Wyjaśniam zagrożenia w prosty sposób, doradzam i dojeżdżam do klientów w całej Polsce.
Dyskusja
Komentarze są zamknięte.