Firmy často čelí mnoha malým rizikům, jako jsou opakovaně používaná hesla, aktivní účty bývalých zaměstnanců nebo účty ke službám, které už nepoužívají. Samy o sobě nepůsobí nebezpečně, ale postupně se hromadí a vytvářejí prostředí přihlašovacích údajů, kterému se hůře důvěřuje.

Lékem na tento problém jsou pravidelné kontroly síly hesel. Jednorázový audit ukáže, co je v danou chvíli potřeba opravit, ale riziko spojené s hesly se neustále mění, jak zaměstnanci vytvářejí nové účty, týmy začínají používat nový software a online se objevují další úniky informací.

Sledování síly hesel proměňuje zabezpečení přihlašovacích údajů v průběžnou praxi, na kterou se firma může spolehnout. Místo čekání na další roční revizi mohou správci okamžitě sledovat slabé, opakovaně používané, prozrazené i neaktivní přihlašovací údaje v celé firmě a vyřešit nejnaléhavější rizika dřív, než se stanou vstupní branou.

Pro malé a střední firmy (MSP) je tento přehled zvlášť užitečný proto, že lidé často pracují napříč různými obory a odděleními. Mohou sdílet přístup, aby pracovali rychleji, používat stejná hesla, aby si měli méně věcí k zapamatování, nebo nechávat staré účty aktivní, i když je už nikdo nepoužívá. Bez průběžného sledování a spolehlivých postupů ochrany před úniky informací mohou tyto užitečné, ale rizikové návyky zůstat měsíce skryté.

Co je sledování síly hesel?

Sledování síly hesel znamená průběžnou kontrolu firemních přihlašovacích údajů na známky rizika. V moderních firemních správcích hesel funguje jako integrovaná funkce, nikoli jako manuální proces, který by týmy musely provádět samy.

Na rozdíl od jednorázového auditu hesel je sledování průběžné a není omezeno na roční bezpečnostní revizi ani na požadavek související s dodržováním předpisů. Správcům dává pravidelný přehled o stavu přihlašovacích údajů, takže odhalování slabých hesel a reakce na úniky se stanou běžnou a rychlou součástí provozu.

V praxi umožňuje sledování síly hesel správcům vidět problémy s přihlašovacími údaji, dokud jsou ještě zvládnutelné. Slabá a opakovaně používaná hesla, prozrazená přihlášení nebo účty bez jednoznačného vlastníka mohou vypadat jako samostatné problémy. Dohromady ukazují, zda firma drží riziko spojené s přihlašovacími údaji pod kontrolou, nebo jestli se tiše hromadí.

Bezpečný firemní správce hesel, jako je Proton Pass for Business, dává týmům přehled, který potřebují. Průběžně kontroluje sílu hesel, odhaluje jejich opakované použití napříč účty a sleduje dark web, zda se v něm neobjevily kompromitované přihlašovací údaje, takže správci vidí problémy, aniž by museli provádět manuální revize.

Britský Průzkum narušení v kybernetické bezpečnosti 2024(nové okno) zjistil, že polovina britských firem za posledních 12 měsíců nahlásila zjištění narušení bezpečnosti nebo kybernetického útoku. Ne každý incident začíná heslem, ale toto zjištění potvrzuje, že základní bezpečnostní hygienu je nutné udržovat průběžně.

U přihlašovacích údajů to znamená kontrolovat sílu hesel dostatečně často, aby bylo možné odhalit slabé, opakovaně používané, prozrazené, zapomenuté či neaktivní účty dřív, než se stanou součástí většího problému.

Čtyři rozměry síly hesel

Zpráva o síle hesel by měla ukazovat víc než jen to, zda jsou přihlašovací údaje uloženy na správném místě. Trezor na hesla zabrání rozptýlení hesel v chatech a tabulkách (pomocí Proton Pass lze trezory také bezpečně sdílet v rámci týmu), ale jen proto, že je přihlašovací údaj bezpečně uložen, ještě neznamená, že je sám o sobě bezpečný.

Některé z nich mohou být stále příliš slabé, opakovaně používané v různých službách, prozrazené v datech z úniků nebo spojené s účty, které firma už nepotřebuje. Právě sledování těchto signálů proměňuje správu hesel z pasivního trezoru v aktivní bezpečnostní nástroj.

Z tohoto důvodu je nejlepší chápat sílu hesel ve čtyřech oblastech:

  • Síla
  • Jedinečnost
  • Prozrazení únikem
  • Aktivita účtu

Síla hesla

Silné heslo je dlouhé, nepředvídatelné a obtížně uhodnutelné či prolomitelné. Slabá hesla často vznikají ze zvyku: název firmy s rokem, známá fráze s číslem nebo varianta starého hesla, která se zdá snáze zapamatovatelná.

Test síly hesla od Protonu pomáhá lidem pochopit, co dělá heslo silnějším, ale v podnikání je stejně důležité vědět, zda se ve firemní síti nevytvářejí a neukládají slabé přihlašovací údaje.

Pokud se slabá hesla stále objevují, firma může potřebovat přísnější zásady pro hesla, jasnější onboarding nebo lepší vedení zaměstnanců. Proton Pass for Business to usnadňuje: jeho vestavěný generátor hesel vytvoří silné náhodné heslo vždy, když ho zaměstnanec potřebuje, takže dodržení zásad si nevyžádá žádnou dodatečnou námahu.

Jedinečnost hesel

Opakované používání hesel patří mezi nejčastější rizika spojená s přihlašovacími údaji, protože působí prakticky. Snadno se vytvoří účet k nové službě, znovu použije heslo a jde se dál. Problém je v tom, že jedno prozrazené heslo pak může otevřít víc než jedny dveře.

Ve firmě může docházet k opakovanému použití hesel napříč pracovními nástroji, mezi osobními a pracovními účty nebo u sdílených přihlašovacích údajů. Sledování pomáhá správcům vidět, kde se stejné heslo objevuje vícekrát, a které účty je potřeba změnit jako první.

To je zvlášť důležité u portálů pro správce, finančních účtů, e-mailu, systémů CRM, cloudových služeb a jakéhokoli nástroje, který ukládá informace o zákaznících nebo zaměstnancích. Opakovaně používané heslo u nástroje s nízkým rizikem se může stát mnohem vážnějším problémem, pokud totéž heslo chrání také citlivý účet.

Stav úniku

Heslo může být při vytvoření silné a jedinečné, ale později se stát rizikovým, protože se objeví v datech z úniků. Pravidelné sledování hesel pomáhá tento problém odhalit, kdykoli k němu dojde.

Nové úniky se odhalují neustále a prozrazení přihlašovacích údajů není vždy viditelné v okamžiku, kdy k incidentu dojde. Heslo se může ve veřejných datových sadách objevit i o měsíce později, zaměstnanec mohl použít firemní e-mailovou adresu u služby, kterou firma nespravuje, nebo přihlašovací údaj, který byl při poslední revizi označen za bezpečný, už kvůli expozici únikem bezpečný být nemusí.

Observatoř úniků dat od Protonu ukazuje, jak mohou prozrazené přihlašovací údaje vytvářet riziko napříč firmami, týmy i odvětvími. Průběžné sledování zkracuje dobu mezi prozrazením a reakcí. Pomáhá také správcům posoudit naléhavost. Prozrazený přihlašovací údaj ke staré platformě pro newslettery možná bude nutné vyměnit, ale nemá stejnou váhu jako prozrazení spojené s výplatou mezd, cloudovým hostingem, registrátorem domén nebo jakýmkoli účtem s právy správce.

Aktivita účtu

Aktivita účtu se liší od kvality hesla. Heslo může být silné, opakovaně používané nebo prozrazené bez ohledu na to, jak často se účet používá; tento rozměr se zabývá tím, zda je účet sám o sobě stále aktivní, má vlastníka a je potřebný. Neaktivní účet je ten, který se nedávno nepoužíval. Zapomenutý účet je takový, na který si nikdo nedělá nárok, nebo o kterém nikdo ani neví, že existuje.

Oba je snadné přehlédnout. Mohou patřit bývalým zaměstnancům, dočasným dodavatelům, původnímu softwaru nebo nástrojům, které tým přestal používat. I když je už nikdo nepoužívá, mohou stále představovat riziko, pokud přihlašovací údaje zůstávají platné.

Sledování síly hesel může odhalit účty, které dlouho nikdo nepoužíval, ale rozhodnout, co s nimi bude dál, je úkol vedení. Na základě takové revize mohou správci odebrat přihlašovací údaje z trezoru, přiřadit vlastníka, upravit přístup nebo účet zavřít přímo v dané službě. Jiné účty mohou vyžadovat přiřazení vlastníka, revizi přístupu nebo zavření přímo v dané službě.

Neaktivita sama o sobě není vždy nebezpečná. Některé přihlašovací údaje se používají jen zřídka, protože patří k záložním systémům, pohotovostním účtům nebo portálům pro roční obnovování. Pokud ale firma nedokáže vysvětlit, proč daný účet existuje, kdo je jeho vlastník a zda je stále potřeba, zaslouží si tento účet revizi.

Jaké přihlašovací údaje a účty by měly firmy průběžně sledovat

Ne každý problém s hesly představuje stejné riziko. Průběžné sledování má pomoci oddělit naléhavé problémy od uklízení s nižší prioritou.

Praktická kontrola síly hesel by měla sledovat:

  • Slabá hesla pod prahy stanovenými zásadami. Tato hesla je třeba nahradit silnými vygenerovanými hesly, zejména u účtů spojených se zákaznickými daty, financemi, nastavením správce nebo infrastrukturou.
  • Opakovaně používaná hesla napříč více službami. Opakované použití je třeba rychle odstranit, pokud se týká citlivých systémů nebo účtů s širokým přístupem.
  • Přihlašovací údaje spojené s expozicí únikům. Prozrazené přihlašovací údaje je třeba považovat za naléhavé, i když účet působí jako málo rizikový. Totéž heslo mohlo být použito někde jinde.
  • Účty bez aktivovaného MFA. Síla hesel je vyšší, pokud jsou důležité účty chráněny vícefaktorovým ověřením (MFA). Sledování má zdůraznit vysoce hodnotné účty, které stále spoléhají jen na heslo.
  • Neaktivní nebo nejasné účty. Přihlašovací údaje bez jednoznačného vlastníka nebo aktuálního účelu je třeba prověřit, znovu přiřadit, archivovat nebo tam, kde je to vhodné, odebrat.
  • Privilegované přihlašovací údaje. Účty správců, finanční portály, systémy HR, záložní služby a přihlášení do infrastruktury si zaslouží přísnější standard než běžné provozní účty.

V tom pomáhají jasné zásady. Průvodce Protonu k tvorbě zásad pro hesla vysvětluje, jak si firmy mohou definovat pravidla pro vytváření hesel, bezpečné sdílení, MFA a správu přístupu. Sledování je to, co z těchto pravidel dělá průběžnou praxi. Bez něj mohou zásady existovat jen na papíře, zatímco slabá nebo opakovaně používaná hesla se dále objevují v každodenní práci.

Jak nastavit rytmus sledování síly hesel

Průběžné sledování neznamená, že je potřeba každý den prověřovat každý problém. Pro většinu firem je správný rytmus kombinací pravidelných sestav a rychlejší akce v momentě, kdy nastane kritický incident.

Zde je jednoduchý výchozí bod pro rytmus sledování:

  • Kritická upozornění co nejdříve: uniklé přihlašovací údaje, opakovaně použitá hesla u citlivých účtů nebo slabá hesla připojená k systémům pro správce, finance, HR, zákazníky nebo infrastrukturu.
  • Měsíční přehledy síly hesel: celkové skóre, počet slabých hesel, počet opakovaně používaných hesel, uniklé přihlašovací údaje, neaktivní účty, pokrytí MFA a pokrok od předchozího měsíce.
  • Čtvrtletní kompletní revize: podrobnější přezkoumání sdílených přihlašovacích údajů, privilegovaných trezorů, neaktivních účtů a přístupu na úrovni oddělení.
  • Kontroly vázané na události: nástup do zaměstnání, odchod ze zaměstnání, změny rolí, změny dodavatelů, fúze, nasazení nového softwaru nebo oznámení o závažných únicích informací.

Tento rytmus udržuje sílu hesel stále na očích, aniž by z ní byla stálá manuální zátěž. Zároveň vytváří pravidelný režim odpovědnosti. IT vidí, kde riziko narůstá. Vedoucí mohou zkontrolovat přihlašovací údaje svých týmů. Vedení může sledovat, zda se hygiena přihlašovacích údajů zlepšuje, nebo zda se horší.

Co by měl užitečný přehled síly hesel ukazovat

Přehled síly hesel by měl lidem pomoci rozhodnout, co opravit jako první. Pokud zobrazuje jen samotná čísla, snadno se ignoruje. Pokud všem problémům dává stejnou váhu, může týmy nasměrovat špatným směrem.

Nejužitečnější je takový pohled, který kombinuje stav, naléhavost a pokrok. Správci potřebují vidět, kde existují slabé, opakovaně používané, uniklé nebo neaktivní přihlašovací údaje, ale zároveň musí rozumět tomu, které z těchto problémů představují pro firmu největší riziko. Slabé heslo u starého testovacího účtu si pozornost zaslouží, ale nemělo by soupeřit s uniklým přihlašovacím údajem spojeným s mzdami, cloudovým hostingem, e-mailem nebo registrátorem domény.

Správa skupin v Proton Pass for Business takové upřednostňování podporuje. IT může vytvořit skupiny odpovídající oddělením, týmům nebo účtům klientů a přiřadit přístup k trezoru na úrovni skupiny. Když pak někdo do týmu nastoupí nebo ho opustí, jeho přístup k trezoru se aktualizuje automaticky a přehled o síle hesel odráží strukturu, která odpovídá tomu, jak firma skutečně funguje.

Přehled by měl také ukazovat, zda se zabezpečení přihlašovacích údajů zlepšuje. Rostoucí počet opakovaně používaných hesel může naznačovat nedostatečné rozšíření správce hesel. Pomalé odstraňování uniklých přihlašovacích údajů může ukazovat, že není jasné, kdo za ně zodpovídá. Příliš mnoho neaktivních účtů může naznačovat, že procesy odchodu zaměstnanců a přezkoumávání softwaru vyžadují pozornost.

Celkově by síla hesel měla být jasným ukazatelem hygieny přihlašovacích údajů vaší firmy: kde se riziko hromadí, jak rychle týmy reagují a zda zásady pro hesla časem mění chování.

Jak Proton Pass Monitor zpřehledňuje rizika přihlašovacích údajů

Proton Pass for Business je bezpečný podnikový správce hesel, který týmům pomáhá bezpečně ukládat, generovat, automaticky vyplňovat a sdílet přihlašovací údaje. Pro sledování síly hesel mohou firmy použít Pass Monitor.

Pass Monitor dává správcům přehled o slabých, opakovaně používaných a uniklých přihlašovacích údajích v celém týmu. Firmy nemusí čekat na ruční kontrolu a rovnou vidí, která hesla vyžadují pozornost a kde jsou nejzávažnější rizika. Díky tomu je správa síly hesel snazší v rámci každodenních bezpečnostních operací.

Pro firmy s rostoucími týmy je tento přehled důležitý, protože riziko spojené s přihlašovacími údaji se jen zřídka soustředí na jednom místě. Některé problémy pramení ze starých sdílených hesel. Jiné z osobních návyků, uspěchaného nástupu do zaměstnání, opuštěných účtů nebo nástrojů nasazených bez účasti IT. Pass Monitor pomáhá tyto problémy odhalit, aby týmy mohly jednat dříve, než se ze slabého nebo vystaveného přihlašovacího údaje stane větší incident.

Proton Pass for Business dává týmům základy pro lepší správu přihlašovacích údajů: šifrované trezory, bezpečné sdílení, generování silných hesel, automatické vyplňování, vestavěné dvoufázové ověření, přístupové klíče, zásady pro správce, logy, řízení přístupu podle rolí, zřizování SCIM a integraci SSO. IT týmům stránka Proton Pass for IT teams vysvětluje, jak tyto funkce podporují centralizovanou správu přihlašovacích údajů v celé firmě.

Pass Monitor by neměl nahrazovat zásady, školení, MFA ani revize přístupu. Usnadňuje jejich vymáhání, protože správci se už nespoléhají na odhady. Zároveň uzavírá propast mezi zásadami a praxí: pravidla, která by jinak existovala jen na papíře, se stávají měřitelnými a vymahatelnými a přihlašovací údaje roztroušené na desítkách platforem přestávají hromadit neviditelné riziko. Správci vidí, které přihlašovací údaje jsou slabé, opakovaně používané nebo uniklé, a pak tyto informace využijí k vedení nápravy.

Sledujte zdraví přihlašovacích údajů svého týmu průběžně pomocí podnikového správce hesel.