Proč nesdílet v týmu jedno heslo a čím ho nahradit

Společné heslo k firemnímu účtu vypadá pohodlně, dokud se někdo nepřihlásí a nikdo nevysvětlí, kdo to byl. Stačí odchod jednoho kolegy a firma nemůže zjistit, kdo všechno ještě přístup má. Sdílení jednoho hesla má jedno hlavní riziko: nemáte žádnou stopu a žádnou kontrolu. Řešení nevyžaduje drahý software, spíš pár pravidel a čas na jejich nastavení. Následující otázky vás provedou od problému k praktickým krokům.

Co se stane, když heslo zná celý tým?

Nejprve ztratíte přehled. Pokud někdo změní nastavení nebo smaže soubor, nepoznáte kdo. Na společném účtu zůstane jen jméno firmy, ne konkrétní člověk.

Druhým problémem je šíření. Heslo se píše do zpráv, na papírky a do sdílených tabulek, odkud se dostane k lidem, kteří ho znát neměli. Čím víc lidí heslo zná, tím vyšší je šance, že unikne.

Třetí nevýhodou je, že heslo nelze snadno změnit. Každá změna znamená vyrozumět všechny a opravit uložené přihlášení v několika zařízeních. Proto se hesla mění zřídka, často až po incidentu.

Kdo zruší přístup, když člověk odejde?

V malé firmě nikdo, pokud to není napsáno. Odcházející kolega pak má dál přístup k účtu s e-maily zákazníků, fakturací nebo sociálními sítěmi. Z poctivého člověka se po rozchodu stane riziko, i bez zlého úmyslu.

Zaveďte jednoduchý odchodový seznam. Obsahuje účty, zařízení, sdílená úložiště i telefonní čísla, která kolega používal. Odškrtáváte jej v den ukončení spolupráce.

Totéž platí pro externisty a brigádníky. Dejte jim přístup jen na dobu zakázky a po jejím skončení jej zrušte. Pokud ho zapomenete, zůstane aktivní měsíce.

Komu dát jaká práva?

Zásada je prostá: každý má jen to, co potřebuje k práci. Účetní nepotřebuje měnit web a grafik nepotřebuje číst fakturaci. Většina služeb umí vytvořit samostatné uživatele s různými oprávněními.

Správce účtu, tedy člověk s plnými právy, by měly být nanejvýš dvě osoby. Jedna je majitel a druhá záloha pro případ nemoci nebo dovolené. Ostatní pracují s omezenými oprávněními.

Uvažujte i o dělbě rizikových úkonů. Odeslání platby nebo změna bankovních údajů by měla vyžadovat druhý podpis. Takové dvojí potvrzení zastaví řadu chyb i podvodů.

Kdy je sdílení účtu nevyhnutelné?

Některé služby nenabízejí více uživatelů. Pak je rozumné společné přihlašovací údaje uložit do správce hesel s možností sdílení, ne do tabulky. V takovém nástroji vidíte, kdo má přístup, a můžete jej odebrat jedním krokem.

Heslo k takovému účtu pak nezná nikdo zpaměti. Člověk se přihlásí přes nástroj a po odchodu mu přístup zmizí. Heslo následně změníte, takže starý odchozí kolega už nic neotevře.

Pokud i to selže, vedete aspoň papírový záznam, kdo a kdy účet používal. Není to ideální, ale lepší než nic. Z dlouhodobého hlediska hledejte službu s víceuživatelským režimem.

Jak poznat, kdo co udělal?

Dobrý nástroj vede záznam aktivit. Zjistíte, kdo se kdy přihlásil, co změnil a z jakého zařízení. Stačí pravidelně jednou měsíčně projít, zda záznam neobsahuje nic zvláštního.

Na tento záznam spoléhejte i při řešení sporů. Pokud zákazník tvrdí, že mu někdo poslal chybnou zprávu, dohledáte původce. Bez záznamu zbývají domněnky.

Zapněte upozornění na přihlášení z nového zařízení nebo neobvyklého místa. Majitel dostane zprávu hned a může zasáhnout. Podezřelé přihlášení tak odhalíte dříve než škodu.

Co zavést tento týden

Sepište seznam všech služeb, které firma používá, a k nim jména lidí, kteří mají přístup. Už tento krok většinou odhalí zapomenuté účty. Zrušte ty, které nikdo nepoužívá.

Pak u každé služby nastavte osobní přihlášení, kde je to možné. Aktivujte dvoufázové ověření aspoň u e-mailu, bankovnictví a fakturace. Hesla, která už zná víc lidí, změňte.

Nakonec napište jednostránkové pravidlo, kdo smí přidělovat přístupy a kdo je ruší. Ukažte jej všem a zařaďte do zaškolení nováčků. Za rok jej zkontrolujte, protože se mění nástroje i lidé.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost
• Úřad pro ochranu osobních údajů