Întrebați o firmă mică unde îi stau parolele și primiți de obicei unul dintre trei răspunsuri. Un tabel „parole” pe discul comun. Un caiet în sertarul directorului. Sau „le știe toată lumea”, adică exact cum funcționează de obicei pagina de Facebook, contul de hosting și portalul furnizorului.
Merge până pleacă cineva. Atunci nimeni nu mai știe sigur ce conturi putea deschide omul acela, ce parole a pus el însuși și dacă cele vechi mai funcționează.
Iar parola e cea mai des folosită cale de intrare. În raportul Verizon despre breșele de date din 2025, datele de autentificare furate sau folosite abuziv au stat la originea a 22% din breșele analizate, mai des decât vulnerabilitățile din programe sau phishingul.
Ce spun regulile acum
Sfatul pe care îl urmează încă multe birouri (opt caractere, o literă mare, un simbol, o parolă nouă la fiecare 90 de zile) a fost abandonat chiar de cei care l-au scris. Ghidul NIST actual, SP 800-63B-4, spune:
- O parolă care e singura protecție a unui cont trebuie să aibă cel puțin 15 caractere.
- Sistemele nu ar trebui să ceară obligatoriu litere mari, cifre și simboluri.
- Sistemele nu ar trebui să forțeze schimbarea parolei la câteva luni, ci doar când există un semn că parola a ajuns la alții.
- Parolele noi trebuie verificate în listele de parole comune și scurse.
- Managerele de parole, completarea automată și lipirea parolei trebuie permise.
Câte 15 caractere pentru fiecare cont, toate diferite: nu le ține minte nimeni. Și nici nu trebuie. Le ține minte managerul de parole.
Pasul 1: faceți lista
Înainte să instalați ceva, scrieți în ce conturi intră firma și cine are cheile. Majoritatea firmelor mici se miră cât de lungă iese lista.
- Emailul, pentru fiecare om și fiecare adresă comună
- Registratorul domeniului și hostingul
- Banca online și sistemele de plată
- Paginile de Facebook, Instagram și altele
- CRM-ul, programul de contabilitate, portalurile fiscale și de facturare
- Portalurile furnizorilor și ale marketplace-urilor, curierul, routerul Wi-Fi
La fiecare rând, notați cine răspunde de cont. Poate fi altcineva decât omul care știe parola. Conturile fără responsabil sunt cele care rămân deschise ani de zile după ce a plecat omul care le-a creat.
Pasul 2: un singur manager de parole pentru echipă
Un manager de parole pentru echipă e un seif pe care fiecare îl deschide cu propria parolă principală. Înăuntru faceți dosare comune pe roluri: contabilitatea vede banca și portalurile fiscale, marketingul vede paginile de pe rețele, directorul vede tot. Nimeni nu trebuie să știe parola ca să intre într-un cont, deci nimeni nu o poate lua cu el când pleacă.
Bitwarden, 1Password și Proton Pass au toate variante pentru echipe. Oricare ați alege, verificați cinci lucruri:
- Dosare comune, cu acces separat pentru fiecare om.
- Când scoateți pe cineva din echipă, pierde dintr-o dată accesul la tot ce era comun.
- Seiful însuși se poate proteja cu 2FA, iar voi îl porniți.
- Puteți exporta tot seiful, ca să nu rămâneți legați de un singur furnizor.
- Are extensie pentru browser și aplicație pe telefon. Altfel oamenii se întorc la tabel.
Apoi mutați parolele în seif, schimbați-le pe fiecare cu una lungă și aleatorie pe parcurs și ștergeți tabelul. Chiar ștergeți-l, inclusiv copia din emailul pe care cineva și l-a trimis singur prin 2021.
Pasul 3: autentificarea cu doi factori, începând cu emailul
Autentificarea cu doi factori (2FA) cere o a doua dovadă după parolă: un cod dintr-o aplicație, o confirmare pe telefon sau o cheie fizică. O parolă furată nu mai ajunge singură. CISA, agenția americană de securitate cibernetică, o spune direct: orice al doilea factor e mai bun decât niciunul.
Porniți-o în ordinea asta, pentru că primele conturi de pe listă le apără pe celelalte:
- Emailul. Cine controlează căsuța poate reseta aproape orice altă parolă.
- Domeniul și hostingul. Dacă le pierdeți, pierdeți și site-ul, și emailul.
- Banca și plățile.
- Paginile firmei pe rețelele sociale.
- Tot restul de pe listă.
Nu toți factorii sunt la fel de buni. O cheie de acces (passkey) sau o cheie fizică sunt cele mai sigure, pentru că pur și simplu nu funcționează pe o pagină de autentificare falsă. O aplicație de autentificare e alegerea firească peste tot unde e disponibilă. Codurile prin SMS sunt varianta cea mai slabă: tot mai bune decât nimic, dar pot fi deturnate printr-un duplicat al cartelei SIM.
Când porniți 2FA, fiecare serviciu vă dă coduri de recuperare. Nu le țineți lângă parole. Tipăriți-le și puneți-le în seif, sau într-un seif digital separat pe care îl deschide doar responsabilul contului.
Când pleacă cineva
Cu lista și managerul de parole la locul lor, plecarea unui coleg se rezolvă în zece minute:
- Scoateți omul din managerul de parole.
- Schimbați parolele conturilor comune pe care le folosea.
- Scoateți telefonul lui din 2FA-ul conturilor firmei.
- Mutați-i căsuța de email pe un alias sau la un coleg, ca mesajele clienților să ajungă în continuare.
O săptămână e de ajuns
Pentru o echipă de cinci până la douăzeci de oameni, e treabă de câteva zile: o zi pentru listă, două zile ca să configurați managerul și să mutați pe toată lumea în el, iar restul pentru 2FA, cont cu cont. Partea grea e lista, și pe ea o poate scrie doar firma.
Configurarea, și întreținerea ei când vin și pleacă oameni, face parte din serviciul nostru de mentenanță și suport. Dacă vreți ajutor cu lista voastră, scrieți-ne.