W większości firm 10–50-osobowych konta administracyjne wyglądają tak: jedno hasło, sześć osób, żadnego audytu. Kiedy przychodzi incydent, nikt nie wie, kto co robił i co teraz zmienić.
Nie mówimy o wielkich systemach PAM za kilkadziesiąt tysięcy złotych. Mówimy o kilku prostych zasadach, które można wprowadzić w tydzień i które ratują skórę, gdy phisher trafi w ten jeden zły klik.
Konta admin to nie są konta „mocniejsze". To są konta z uprawnieniami, które pozwalają skasować firmę w kwadrans. I dopóki traktujesz je jak zwykłe loginy, jeden zły dzień wystarczy, żeby udowodnić, że nie były zwykłe.
Problem, o którym nikt nie mówi głośno
W jednym z projektów audytowych spotkaliśmy 24-osobową firmę produkcyjną z branży opakowań kartonowych. ERP: Comarch Optima. Jedno konto o nazwie Administrator na serwerze bazy danych. Hasło znało: właściciel, dwóch pracowników wewnętrznego IT, zewnętrzny konsultant od ERP, główna księgowa i handlowiec „od API" (kiedyś pisał makro do wysyłania zamówień).
Sześć osób z pełnym dostępem do wszystkiego. Hasło nie było zmieniane od trzech lat. MFA nie było. Kiedy jeden z pracowników IT odszedł, nikt nie zmienił hasła, bo „to zajmie tydzień poinformować wszystkich, żeby się dopasowali". Trzy miesiące później konsultant zewnętrzny stracił laptopa. Hasła nie zmieniono, bo nie wiedziano, na co ten laptop miał dostęp.
Rozpisywanie problemu nie jest tu potrzebne. Każdy owner MŚP, który to czyta, prawdopodobnie właśnie widzi swoją firmę.
Zasada 1 — Konto admin nie jest do codziennej pracy
To jest fundament. Każda osoba, która potrzebuje uprawnień administratora, powinna mieć dwa konta: jedno zwykłe, do codziennej roboty, poczty, przeglądania internetu, i drugie — administracyjne — używane tylko wtedy, gdy trzeba coś zmienić w systemie.
Dlaczego to takie ważne? Bo phishing i złośliwe załączniki lądują w skrzynce zwykłego użytkownika. Jeśli ten użytkownik jest zalogowany na koncie admin, malware ma od razu klucze do królestwa. Jeśli na koncie zwykłym — atakujący dostał uprawnienia jednej osoby, nie całej firmy.
- Każda osoba z uprawnieniami admin dostaje oddzielny login (typu
jan.kowalski.adm). - Konto admin nie ma skrzynki pocztowej ani dostępu do internetu poza tym, co niezbędne.
- Konto admin nie loguje się na standardową stację roboczą — używa się go z osobnej sesji, np. przez RDP na serwer zarządzania.
- Konto zwykłe używane jest zawsze, gdy nie robi się nic administracyjnego (czyli 95% czasu).
W naszej 24-osobowej firmie od opakowań wprowadzenie tego zajęło jeden dzień pracy konsultanta plus godzinę szkolenia dla każdej z 4 osób z uprawnieniami. Sześciu użytkowników wspólnego konta zamieniło się na cztery osobne konta osobowe. Dwie osoby (handlowiec od API i główna księgowa) straciły dostęp — bo się okazało, że wcale go do administrowania nie potrzebowali; potrzebowali tylko konkretnych uprawnień w Optimie, które można było im nadać przez zwykłe role.
Zasada 2 — MFA na każdym koncie admin. Bez wyjątków
MFA na koncie użytkownika to dobra praktyka. MFA na koncie admin to warunek konieczny do tego, żeby w ogóle nazwać firmę zabezpieczoną. Nie ma dyskusji, nie ma „ale u nas by to nie zadziałało".
Jeśli konto admin daje pełny dostęp do serwera z Comarch Optima, do Active Directory, do infrastruktury sieciowej albo do konsoli chmurowej — pojedyncze hasło jest za mało. Zawsze. Nawet skomplikowane. Nawet często zmieniane.
Klucz sprzętowy (YubiKey, Feitian) albo aplikacja typu Microsoft Authenticator to koszt kilkuset złotych na osobę. Wobec tego, co zabezpiecza — koszt śmiechu wart. W naszym projekcie z branży opakowań zdecydowano się na kombinację: YubiKey dla konta admin domenowego + Microsoft Authenticator dla logowań do Optima i M365.
Zasada 3 — Break-glass: awaryjny kluczyk w sejfie
Break-glass to konto, którego używa się tylko wtedy, gdy wszystkie inne przestały działać. Ktoś zablokował sobie konto, MFA nie działa, cały zespół IT jest na urlopie — a coś trzeba naprawić natychmiast.
To konto:
- Ma bardzo długie, unikalne hasło (30+ znaków, wygenerowane losowo).
- Nie ma MFA (bo to jest właśnie awaryjne).
- Hasło jest wydrukowane na kartce, w zaklejonej kopercie, w sejfie firmy.
- Używane raz na kilka miesięcy, głównie do testu, czy jeszcze działa.
- Każde jego użycie musi być zalogowane i przejrzane przez właściciela / zarząd.
To brzmi paranoicznie, ale to jest ta jedna rzecz, która oddziela „mieliśmy trudny dzień" od „przez trzy dni nie mogliśmy zafakturować sprzedaży". W audycie zawsze pytamy — i w 8 na 10 firm break-glass nie istnieje.
Zasada 4 — Konta zewnętrznych z terminem ważności
Konsultant od ERP, freelancer od strony WWW, wdrożeniowiec Comarcha — każda taka osoba dostaje konto z datą wygaśnięcia. Domyślnie 30 dni. Jeśli nadal jest potrzebne, przedłużasz. Jeśli zapomniałeś przedłużyć — konto samo się blokuje i nikt się o tym nie dowie, chyba że rzeczywiście z niego korzystał.
To jest banalne. W AD to jest jeden checkbox. W chmurze Microsoft — jedna opcja przy tworzeniu użytkownika. A eliminuje 90% klasycznego problemu „kto miał do tego dostęp trzy lata temu". Bo za trzy lata to konto od dawna nie żyje.
Kiedy w firmie od opakowań konsultant zewnętrzny stracił laptopa (ten pierwszy incydent, od którego zaczął się cały projekt), nie było paniki. Jego konto miało datę ważności 15 dni w przód, więc i tak wygasłoby samo. Reset wykonano dla świętego spokoju, ale nikt nie musiał gonić za listą „gdzie ten człowiek jeszcze się loguje".
Zasada 5 — Przegląd kwartalny. Krótki, ale prawdziwy
Raz na kwartał — 30 minut. Ktoś siada z listą kont uprzywilejowanych i sprawdza:
- Czy każde konto admin nadal jest potrzebne?
- Czy osoba nadal pracuje w firmie / dla firmy?
- Czy MFA jest aktywne?
- Czy hasło do konta break-glass było testowane?
- Czy log użycia kont admin nie zawiera niczego dziwnego?
To nie musi być dokument na 50 stron. Może być tabelka w Excelu z pięcioma kolumnami. Ważne, żeby ktoś to naprawdę zrobił, a nie „wrzucił do zaległości".
Efekt w firmie od opakowań
Wprowadzenie tych pięciu zasad w opisanej wcześniej 24-osobowej firmie zajęło 2 dni pracy konsultanta plus 4 godziny szkolenia zespołu. Koszt: mniej niż jeden średni firewall, mniej niż roczna licencja na antywirusa dla całej firmy.
Efekt? Cztery miesiące później zdarzył się kolejny incydent — pracownik z księgowości kliknął w załącznik z fakturą, który okazał się złośliwym oprogramowaniem. Atakujący dostali dostęp do jej konta zwykłego użytkownika. Nie do niczego więcej. Nie do Optimy pod administratorem, nie do serwera plików pod uprawnieniami root, nie do konsoli Microsoft 365 pod globalnym administratorem. Konto zwykłego użytkownika zostało wyłączone, hasło zresetowane, sprawa zamknięta w 3 godziny.
Rok wcześniej ten sam scenariusz zakończyłby się prawdopodobnie zaszyfrowaniem serwera z Comarch Optima i tygodniem odtwarzania. Różnica: kilka prostych zasad, dwa dni pracy, cztery godziny szkolenia.
Od czego zacząć u siebie
Zrób w tym tygodniu jedną rzecz: usiądź na 15 minut i zapisz na kartce kto ma jakie konto admin w Twojej firmie. Serwer plików, ERP, poczta, konsola chmurowa, panel operatora telefonicznego, panel dostawcy internetu, konto do bankowości elektronicznej z uprawnieniami do przelewów.
Jeśli po tych 15 minutach masz na kartce więcej niż jedno konto wspólne albo mniej niż jedno konto break-glass — masz punkt startowy. Nie musisz wdrażać wszystkiego naraz. Pierwsza rzecz do zrobienia to zawsze rozdzielić konta admin od kont zwykłych i włączyć MFA. To już zamyka 80% ryzyka.
Reszta jest kwestią kilku tygodni pracy w tle. Ale te 80% powinieneś mieć w tym miesiącu.
Konto admin nie jest kontem „mocniejszym". Jest kontem, z którym jeden zły klik oznacza koniec firmy.