Polish
English
Najwięcej poważnych incydentów w firmach zaczyna się od przejęcia konta, a nie od wyrafinowanego włamania. Ustawa o KSC i unijne rozporządzenie 2024/2690 wymagają dziś kontroli dostępu, uwierzytelniania wieloskładnikowego i szczególnej ochrony administratorów. Wyjaśniamy, które zabezpieczenia dają największy efekt i dlaczego samo MFA już nie wystarcza.
W firmie, która nie buduje etatu, tę rolę pełni CISO as a Service.
Wtorek, 9:15. Księgowa dostaje maila z informacją, że udostępniono jej dokument w OneDrive. Klika, loguje się na stronie łudząco podobnej do Microsoftu, wpisuje kod z SMS-a. Po czterdziestu minutach z jej skrzynki wychodzi do trzech kontrahentów prośba o aktualizację numeru rachunku.
Nikt tu niczego nie złamał. Przestępca po prostu się zalogował, bo dostał hasło i kod od samej ofiary.
Nie każde MFA jest równie dobre
Uwierzytelnianie wieloskładnikowe, czyli wymóg potwierdzenia logowania drugim składnikiem, pozostaje najtańszym i najskuteczniejszym zabezpieczeniem kont. Ale scena z otwarcia pokazuje jego słabość. Kod SMS czy powiadomienie „zatwierdź logowanie” można przechwycić przez fałszywą stronę pośredniczącą w logowaniu. Można też wymusić zmęczeniem: przestępca wysyła trzydzieści próśb o zatwierdzenie o drugiej w nocy i czeka, aż ktoś w końcu kliknie.
Dlatego rekomenduję dwa poziomy. Wszyscy pracownicy dostają aplikację uwierzytelniającą, która każe przepisać numer wyświetlony na ekranie logowania. Administratorzy, zarząd, księgowość i kadry dostają metody odporne na phishing, czyli klucze sprzętowe FIDO2 lub passkeys. Działają tylko z prawdziwą stroną logowania, więc fałszywa strona nie ma czego przechwycić. Koszt klucza sprzętowego to kilkaset złotych. Koszt jednego udanego oszustwa na fałszywy rachunek bywa sześciocyfrowy.
Kontekst logowania ma znaczenie
MFA odpowiada na pytanie, kto się loguje. Nie odpowiada na pytanie, skąd i z jakiego urządzenia. W środowiskach takich jak Microsoft 365 można ustawić polityki dostępu warunkowego. System finansowy otwiera się wtedy tylko na firmowym laptopie, a z prywatnego telefonu da się czytać pocztę, ale nie pobierać załączników. Logowanie z kraju, w którym firma nie ma pracowników, jest blokowane.
Takie reguły sprawiają, że przechwycone hasło i kod często okazują się dla przestępcy bezużyteczne.
Administrator na co dzień to administrator do przejęcia
W wielu firmach administrator ma jedno konto do wszystkiego. Czyta na nim pocztę, przegląda internet i zarządza kontrolerem domeny. Jedno kliknięcie w złośliwy załącznik oznacza wtedy przejęcie całej infrastruktury.
Standard, którego oczekuje audytor, jest prosty do opisania. Administrator ma osobne konto do codziennej pracy i osobne do zadań administracyjnych. Konta najwyższego poziomu nie logują się na zwykłe komputery. Uprawnienia administracyjne są nadawane na czas konkretnego zadania, a nie na stałe. Hasła lokalnych administratorów są na każdym komputerze inne i zmieniane automatycznie. Dochodzą do tego jedno lub dwa konta awaryjne, chronione szczególnie i monitorowane na wypadek awarii systemu logowania.
Rozporządzenie 2024/2690, bezpośrednio stosowane u dostawców usług zarządzanych i chmurowych, wymaga osobnej ochrony kont uprzywilejowanych. Dla pozostałych firm to najlepsza wskazówka, czego szukać podczas kontroli.
Przykład: przegląd kont w jeden dzień
Przykład ilustracyjny, zbudowany na typowym scenariuszu. Firma i liczby nie dotyczą konkretnego klienta.
Stały nadzór daje wirtualny CISO, nie jednorazowy projekt.
Spółka dystrybucyjna, 95 osób, Microsoft 365 od sześciu lat. Przegląd kont zajął jeden dzień i dał taki wynik: siedem kont z rolą globalnego administratora, w tym dwa należące do firmy wdrożeniowej, z którą umowa wygasła trzy lata wcześniej. Czternaście aktywnych kont osób, które już nie pracowały w firmie. MFA włączone dla 71% użytkowników, bez zarządu, „bo prezes podróżuje i nie chce kodów”.
Najciekawsze było konto „serwis@”. Korzystał z niego dostawca systemu ERP. Hasło nie zmieniło się od wdrożenia, a znało je według dostawcy „kilku techników”. Konto miało pełny dostęp do skrzynek całej firmy.
Uporządkowanie zajęło dwa tygodnie: klucze sprzętowe dla zarządu i księgowości, imienne konta dla dostawcy z dostępem włączanym na czas prac, dwa konta globalnego administratora zamiast siedmiu. Prezes po miesiącu przyznał, że passkey w telefonie jest szybszy niż wpisywanie hasła.
Konta żyją dłużej niż umowy o pracę
Podczas przeglądów uprawnień regularnie znajdujemy konta osób zwolnionych pół roku wcześniej, stażystów z uprawnieniami administratora i konta techniczne z hasłem ustawionym przy instalacji systemu. Nie wynika to ze złej woli. Wynika z braku procesu.
Rozwiązanie polega na powiązaniu zarządzania kontami z kadrami. Zatrudnienie, zmiana stanowiska i odejście automatycznie uruchamiają nadanie, zmianę albo odebranie dostępu. Raz na kwartał przegląda się konta uprzywilejowane, raz w roku wszystkie pozostałe. Przełożony potwierdza wtedy, że jego ludzie nadal potrzebują tego, do czego mają dostęp.
Osobny temat to dostawcy. Konto „serwis” z hasłem znanym od lat kilku osobom w firmie zewnętrznej to jedna z najczęstszych dróg ataku przez łańcuch dostaw. Konta dostawców powinny być imienne, objęte MFA i aktywne tylko na czas prac.
„Zarząd nie będzie nosił kluczy na breloku”
Słyszę to często i odpowiadam zawsze tak samo. Zarząd to najbardziej atrakcyjny cel oszustwa, bo jego polecenie przelewu rzadko ktoś kwestionuje. Wyjątki dla kadry kierowniczej to pierwsza rzecz, której szukają przestępcy, i pierwsza, o którą zapyta audytor. Passkey w telefonie jest dziś równie wygodny jak odblokowanie ekranu odciskiem palca. Wygoda nie jest już argumentem.
Jedna rzecz na dziś
Proszę poprosić dział IT o raport pokrycia MFA z podziałem na grupy, a osobno o listę wszystkich kont z uprawnieniami administratora. Jeśli pokrycie nie wynosi 100% albo na liście administratorów są osoby, których nie da się od razu wskazać z imienia i funkcji, wiadomo, od czego zacząć.
Taki przegląd kont robimy w NG Solutions zwykle jako pierwszy krok przed wdrożeniem polityk dostępu. W większości firm jego wynik zaskakuje samych administratorów.
To jest zewnętrzny CISO: ktoś odpowiada za program bezpieczeństwa od dnia umowy.
Źródła: Ustawa o KSC po nowelizacji (Dz.U. 2026 poz. 252); rozporządzenie wykonawcze Komisji (UE) 2024/2690, załącznik, sekcja 11 (kontrola dostępu).
O autorze: Nikodem Zdzieborski – prezes zarządu NG Solutions Sp. z o.o. z Warszawy, firmy zajmującej się infrastrukturą IT, cyberbezpieczeństwem i ochroną danych. Łączy praktykę administratora systemów z doradztwem dla zarządów.