Awaria laptopa, uszkodzony dysk, kradzież telefonu albo nagła konieczność pracy na komputerze zastępczym mogą bardzo szybko ujawnić słaby punkt firmowego lub domowego planu awaryjnego: brak dostępu do haseł i kont. Samo zdobycie sprawnego urządzenia nie zawsze wystarczy, aby wrócić do pracy. Trzeba jeszcze zalogować się do poczty, bankowości elektronicznej, panelu administracyjnego strony, chmury, systemu księgowego, komunikatorów i innych usług. Dlatego plan awaryjny powinien obejmować nie tylko kopie plików oraz zapasowy sprzęt, lecz także przemyślany, bezpieczny sposób odzyskiwania dostępów.
Zacznij od spisu najważniejszych kont
Pierwszym krokiem jest przygotowanie listy usług, bez których nie można normalnie funkcjonować. W przypadku osoby prywatnej będą to zwykle poczta elektroniczna, bank, profil zaufany, konto u operatora, chmura z dokumentami, serwisy zakupowe oraz konta związane z pracą lub nauką. W małej firmie lista może obejmować również domenę, hosting, panel sklepu internetowego, media społecznościowe, system fakturowania, program do obsługi klientów, narzędzia do komunikacji i konta dostawców.
Nie chodzi o tworzenie dokumentu zawierającego wszystkie hasła w jednym miejscu bez żadnych zabezpieczeń. Spis powinien przede wszystkim wskazywać, jakie konta istnieją, do czego służą, kto jest ich właścicielem i jak można odzyskać dostęp. Warto odnotować także adres e-mail używany do resetowania hasła, numer telefonu do uwierzytelniania oraz informację, czy konto wymaga dodatkowego kodu lub klucza bezpieczeństwa. Taka mapa dostępów ułatwia działanie pod presją i pozwala szybko ustalić, które usługi trzeba przywrócić w pierwszej kolejności.
Menedżer haseł jako centrum dostępu
Najwygodniejszym rozwiązaniem dla większości użytkowników jest renomowany menedżer haseł. Taka aplikacja przechowuje dane logowania w zaszyfrowanym sejfie, a użytkownik zapamiętuje jedno główne hasło. Menedżer może również generować długie i unikalne hasła, ostrzegać o ich powtarzaniu oraz pomagać w aktualizowaniu danych. Dzięki synchronizacji sejf może być dostępny na kilku wcześniej skonfigurowanych urządzeniach, na przykład na komputerze, telefonie i tablecie.
Wybierając menedżer haseł, należy sprawdzić sposób szyfrowania, możliwość eksportu danych, obsługę uwierzytelniania wieloskładnikowego, procedurę odzyskiwania konta oraz zasady działania w razie utraty głównego urządzenia. Warto korzystać z aplikacji pochodzącej od sprawdzonego dostawcy i pobierać ją wyłącznie z oficjalnego sklepu lub strony producenta. Nie należy instalować przypadkowych rozszerzeń przeglądarki ani zapisywać głównego hasła w notatniku, wiadomości e-mail czy zwykłym pliku tekstowym.
Główne hasło musi być odporne i możliwe do odtworzenia
Bezpieczeństwo całego sejfu zależy od głównego hasła. Powinno być długie, unikalne i niepowiązane z imieniem, nazwą firmy, adresem, numerem telefonu ani łatwym do odgadnięcia wydarzeniem. Praktycznym rozwiązaniem może być zapamiętywalna fraza złożona z kilku niepowiązanych słów, uzupełniona o znaki zgodnie z zasadami konkretnej usługi. Najważniejsze jest to, aby hasło nie było używane nigdzie indziej.
Plan awaryjny powinien określać, co stanie się, gdy właściciel sejfu zachoruje, straci telefon albo czasowo nie będzie mógł zalogować się do menedżera. W firmie można zastosować funkcję awaryjnego dostępu dla zaufanej osoby, o ile dostawca ją oferuje i została prawidłowo skonfigurowana. W domu główne hasło można zapisać na papierze i przechowywać w bezpiecznym, zamkniętym miejscu, z dala od komputera. Taki zapis nie powinien być fotografowany ani przechowywany razem z urządzeniem, którego utrata jest przewidywana w planie awaryjnym.
Uwierzytelnianie wieloskładnikowe wymaga własnego planu
Włączenie uwierzytelniania wieloskładnikowego znacząco ogranicza ryzyko przejęcia konta po wycieku samego hasła, ale tworzy dodatkowy element, który trzeba uwzględnić w procedurze awaryjnej. Kod może być generowany przez aplikację na telefonie, wysyłany wiadomością SMS albo zatwierdzany na urządzeniu zaufanym. Jeżeli jedyny telefon ulegnie uszkodzeniu, samo odzyskanie hasła nie wystarczy.
Podczas konfiguracji usługi należy zapisać kody awaryjne i przechowywać je w bezpiecznym, niezależnym miejscu. Nie powinny znajdować się wyłącznie w pamięci telefonu ani w tym samym sejfie, do którego nie można się dostać bez drugiego składnika. Warto też skonfigurować zapasową metodę uwierzytelniania, na przykład drugi klucz sprzętowy lub dodatkowe urządzenie, jeśli dana usługa na to pozwala. Kody awaryjne należy traktować jak bardzo wrażliwe dane: osoba, która je posiada, może uzyskać dostęp do konta.
Zapasowy sprzęt nie rozwiązuje wszystkich problemów
Komputer zastępczy jest ważnym elementem planu, ale powinien być przygotowany w taki sposób, aby można było bezpiecznie rozpocząć pracę. Samo uruchomienie używanego lub pożyczonego laptopa nie oznacza jeszcze, że jest on gotowy do wpisywania haseł. Należy sprawdzić, czy system operacyjny jest aktualny, czy działa ochrona antywirusowa, czy konto użytkownika nie ma zbędnych uprawnień administratora oraz czy poprzedni użytkownik został całkowicie usunięty.
Dotyczy to również sprzętu poleasingowego. Komputer po zakończonym leasingu może być dobrym rozwiązaniem awaryjnym, pod warunkiem że pochodzi ze sprawdzonego źródła, został wyczyszczony, skonfigurowany i przygotowany do ponownego użytkowania. Sklep sprzedający zweryfikowany sprzęt poleasingowy klientom końcowym powinien jasno informować o stanie urządzenia, zakresie przygotowania oraz warunkach gwarancji. Przed zalogowaniem się do najważniejszych usług warto wykonać własną aktualizację systemu i ustawić osobne konto użytkownika.
Odzyskiwanie kont i adresy kontaktowe
Wiele osób pamięta hasło do poczty, ale zapomina, że poczta często służy do odzyskiwania dostępu do wszystkich pozostałych usług. Jeżeli konto e-mail jest niedostępne, resetowanie innych haseł może okazać się niemożliwe. Dlatego główna skrzynka pocztowa powinna mieć aktualny numer telefonu, zapasowy adres e-mail oraz skonfigurowane metody uwierzytelniania. Dane odzyskiwania trzeba okresowo sprawdzać, ponieważ numery i adresy z czasem się zmieniają.
W przypadku kont firmowych należy unikać sytuacji, w której jedynym administratorem jest były pracownik albo jedna osoba przebywająca na urlopie. Warto utrzymywać co najmniej dwa kontrolowane konta administracyjne, korzystać z indywidualnych loginów i usuwać dostęp osobom, które zakończyły współpracę. Hasła nie powinny być przekazywane przez komunikatory ani wysyłane w jednym e-mailu razem z nazwą konta. Jeżeli usługa udostępnia dziennik logowań lub historię zmian, warto wiedzieć, gdzie sprawdzić podejrzaną aktywność.
Dokument awaryjny powinien być prosty i aktualny
Procedura awaryjna nie musi mieć skomplikowanej formy. Powinna jednak odpowiadać na konkretne pytania: gdzie znajduje się zapasowy sprzęt, jak uzyskać dostęp do menedżera haseł, jakie konta przywrócić najpierw, kto może podjąć decyzję w firmie i gdzie są zapisane kody awaryjne. Dobrze, jeśli dokument zawiera kolejność działań, ale nie ujawnia wszystkich sekretów osobie, która nie powinna ich znać.
Plan należy aktualizować po zmianie telefonu, dostawcy poczty, systemu księgowego, pracownika odpowiedzialnego za administrację lub sposobu logowania. Raz przygotowana lista szybko się dezaktualizuje, dlatego warto przeprowadzać okresowy przegląd. Pomocny jest także krótki test: zalogowanie się z zapasowego urządzenia, sprawdzenie kodów awaryjnych i potwierdzenie, że kopia kontaktów oraz dokumentów jest dostępna. Test powinien odbywać się w kontrolowanych warunkach, bez wylogowywania wszystkich urządzeń naraz.
Najczęstsze błędy przy przechowywaniu dostępów
Jednym z najczęstszych błędów jest używanie tego samego hasła do poczty, banku i wielu serwisów. Wyciek z jednej, mniej ważnej strony może wtedy prowadzić do przejęcia kluczowych kont. Ryzykowne jest również zapisywanie haseł w pliku o nazwie „hasła” na pulpicie, wysyłanie ich sobie w wiadomości lub pozostawianie ich na kartce przy monitorze.
Problemem bywa także brak rozdzielenia dostępu prywatnego i firmowego. Pracownik może korzystać z prywatnego adresu e-mail do obsługi firmowej usługi, a po jego odejściu firma traci kontrolę nad kontem. Nie należy też zakładać, że dostęp zapisany w przeglądarce będzie zawsze dostępny. Awaria profilu, wyczyszczenie urządzenia albo konieczność użycia innego komputera może usunąć zapisane dane lub uniemożliwić ich odszyfrowanie.
Bezpieczne działania po awarii lub utracie urządzenia
Po awarii sprzętu trzeba ocenić, czy urządzenie nadal może zawierać aktywne sesje, zapisane hasła lub pliki z poufnymi danymi. Jeżeli laptop został skradziony albo utracony, należy możliwie szybko wylogować urządzenie z kont zdalnie, unieważnić aktywne sesje i zmienić hasła do najważniejszych usług. W przypadku kont firmowych trzeba poinformować administratora lub osobę odpowiedzialną za bezpieczeństwo.
Na komputerze zastępczym należy logować się wyłącznie przez oficjalne adresy stron i sprawdzać, czy połączenie jest szyfrowane. Nie powinno się zapisywać danych logowania na pożyczonym urządzeniu ani instalować nieznanych programów obiecujących szybkie odzyskanie haseł. Po zakończeniu pracy warto usunąć profil użytkownika, wylogować się ze wszystkich usług i sprawdzić, czy w przeglądarce nie pozostały dane autouzupełniania.
Dobry plan awaryjny łączy więc trzy elementy: bezpieczny menedżer haseł, niezależny dostęp do metod uwierzytelniania oraz przygotowany, zaktualizowany sprzęt zastępczy. Lista kont, kody awaryjne i dane odzyskiwania powinny być regularnie sprawdzane, a uprawnienia w firmie przydzielane konkretnym osobom. Dzięki temu uszkodzenie laptopa lub konieczność szybkiej wymiany komputera nie musi oznaczać wielogodzinnego chaosu. Sprawny sprzęt poleasingowy może pomóc szybko wrócić do pracy, ale dopiero połączenie go z uporządkowanym systemem dostępów tworzy rzeczywiście skuteczne zabezpieczenie.