Bezpieczeństwo w małej firmie rzadko zawodzi z powodu wyrafinowanego ataku. Częściej przez rzeczy prozaiczne: to samo hasło w kilku miejscach, dostęp, którego nikt nie odebrał byłemu pracownikowi, zdalny pulpit wystawiony wprost do internetu. Zaczynam od uporządkowania tych rzeczy.
Uwierzytelnianie wieloskładnikowe (MFA)
Zdalny pulpit, VPN, poczta i logowanie na serwery to miejsca, w których hasło jest jedyną przeszkodą — a hasło najłatwiej wychodzi poza firmę: trafia do cudzego formularza, zostaje na kartce, powtarza się w prywatnym serwisie. Wdrażam uwierzytelnianie wieloskładnikowe (MFA): po jego włączeniu samo hasło nie wystarczy, logowanie trzeba jeszcze potwierdzić drugim składnikiem. Zwykle MFA da się uruchomić na tym, co firma już ma. Jestem partnerem Rublona, polskiego producenta systemu MFA.
Jak wygląda logowanie po wdrożeniu. Dla pracownika dochodzi jeden krok, doklejony na końcu tego, co robił dotąd. Konta, hasła i adresy zostają te same.
- Loguje się jak zwykle. Otwiera zdalny pulpit, VPN albo pocztę i podaje swoją nazwę użytkownika oraz hasło.
- Zamiast wejść od razu, dostaje pytanie o drugi składnik. Na ekranie widzi, do czego ktoś próbuje się zalogować, więc wie, czy to jego własna próba.
- Potwierdza na drugim urządzeniu. Przy powiadomieniu w telefonie wybiera „zatwierdź” albo „odrzuć”. Przy kluczu sprzętowym wkłada go do portu i potwierdza dotykiem. Przy kodzie jednorazowym przepisuje go z aplikacji, SMS-a albo listy kodów zapasowych.
- Wchodzi. Sesja otwiera się tak jak wcześniej, bez dodatkowych kroków w środku. Na komputerach firmowych, z których korzysta codziennie, pytanie o drugi składnik można ograniczyć do rzadszych sytuacji — to kwestia ustawienia polityki.
- Pytanie, którego się nie spodziewał, jest sygnałem. Prośba o potwierdzenie, kiedy pracownik wcale się nie loguje, znaczy, że ktoś zna jego hasło. Taką prośbę pracownik odrzuca i zgłasza, a hasło zostaje zmienione. W ten sposób wyciek hasła przestaje być cichy.
Metodę dobieram do tego, jak ludzie w firmie pracują. Przy stanowisku biurowym najwygodniejsze jest powiadomienie w telefonie; tam, gdzie nie wolno wnosić telefonu albo nie ma zasięgu, lepiej sprawdza się klucz sprzętowy lub kod jednorazowy. Warto, żeby każdy miał drugą metodę w zapasie — zgubiony telefon nie może oznaczać dnia bez dostępu do poczty.
Wszystkie metody i różnice między nimi opisuję na stronie Rublon MFA.
Uprawnienia i konta
Porządkuję to, kto ma do czego dostęp. Efektem są odpowiedzi na pytania, które w wielu firmach zostają otwarte: kto może otworzyć które dane, co się dzieje z kontem osoby, która odchodzi, i co zrobić, kiedy pracownikowi zginie laptop.
Zapory i segmentacja sieci
Konfiguruję zapory sieciowe i polityki dostępu — pracuję głównie na Palo Alto. Segmentacja oddziela od siebie części sieci, które nie mają powodu się widzieć: gościnne wi-fi nie sięga serwerów, a stanowisko w produkcji nie widzi księgowości.
Microsoft 365
Konfiguruję bezpieczeństwo tożsamości i poczty firmowej: uwierzytelnianie, reguły dostępu, ochronę skrzynek. To zwykle pierwsze miejsce, przez które ktoś próbuje wejść do firmy.
Jak to wygląda w praktyce
Najpierw sprawdzam stan zastany i mówię, co warto zmienić — w kolejności od rzeczy, które dają najwięcej. Nie zaczynam od wymiany sprzętu, jeśli ten sam efekt da zmiana konfiguracji.