Odpověď hned: Sdílená tabulka hesel nebo zpráva v Teams selže při první personální změně — nikdo neumí říct, kdo si co stihl zkopírovat, takže se musí přepsat všechno. Firemní správce hesel je drží v šifrovaném trezoru a přístup přiděluje skupinám lidí, ne rozesláním do schránky. Pro malou firmu bez vlastního IT jsou v praxi tři rozumné volby: Bitwarden (otevřený zdrojový kód, jde provozovat na vlastním serveru), 1Password (obnova zapomenutého hesla administrátorem) a Keeper (podrobná pravidla rolí a převod trezoru po odchodu člověka). Zavedení v malé firmě je otázka odpoledne na nastavení a několika týdnů, než si na to lidé zvyknou.
Proč sdílená tabulka hesel jednou vystřelí
Ve většině malých firem to vypadá podobně: soubor hesla.xlsx na společném disku, případně poznámka v OneNote nebo připnutá zpráva v týmovém chatu. Funguje to roky — dokud se nestane jedna ze čtyř věcí.
Někdo odejde. V tu chvíli nezjistíte, co všechno ten člověk znal. Tabulku měl otevřenou stokrát, mohl si ji zkopírovat, vyfotit telefonem, poslat domů. Jediná poctivá reakce je přepsat všechna hesla ve firmě, což u několika desítek služeb znamená den práce a skoro jistě i výpadek, protože se zapomene na účet, který používá fakturační program. Když už jste v téhle situaci, projděte si postup v článku odešel vám ajťák — jak převzít firemní IT; tenhle text je o tom, jak se do ní příště nedostat.
Nikdo neví, kdo co zná. Tabulka nevede evidenci. Nezjistíte, kdo ji kdy otevřel, jestli si účetní opsala i přístup do administrace webu a kdo předal heslo k e-shopu externímu grafikovi. Bez toho nedokážete po incidentu určit rozsah — a rozsah je první věc, kterou po vás bude chtít pojišťovna.
Jedno heslo je všude. Tabulka vede lidi k tomu, aby si hesla pamatovali, a tím pádem k tomu, aby byla krátká a opakovaná. Jedno prolomené heslo z úniku u nesouvisející služby pak otevírá firemní e-mail, banku i účetnictví — a jak takový incident pokračuje, popisuje článek ransomware ve firmě: prvních 24 hodin.
Soubor se rozmnoží. Zkopíruje se na plochu, přiloží k e-mailu, uloží do stahování. Po pár letech existuje několik verzí na několika místech a některé pořád obsahují platná hesla. A i když soubor zamknete heslem, to heslo znají všichni, kdo do něj mají vidět.
Jak správce hesel funguje
Princip je jednoduchý a stojí za to mu rozumět dřív, než začnete vybírat.
Trezor je šifrovaný u vás, ne u poskytovatele. Data se šifrují na vašem počítači ještě před odesláním. Bitwarden to v bezpečnostní dokumentaci popisuje jako end-to-end šifrování AES-256 s odvozením klíče z hlavního hesla pomocí PBKDF2 nebo Argon2id, přičemž hlavní heslo ani klíče se na servery neposílají. Stejný model — v žargonu „zero knowledge” — používají i 1Password a Keeper. Prakticky: kdo ukradne data ze serverů poskytovatele, dostane šifrovaný balík, ne hesla.
Vstup je jedno hlavní heslo plus druhý faktor. Hlavní heslo (master password) je jediné, které si musíte pamatovat — proto má být dlouhé, spíš věta než slovo. K němu patří druhý faktor: aplikace v telefonu, hardwarový klíč, případně přihlášení firemním účtem.
Rozšíření v prohlížeči vyplňuje jen na správné doméně. Bitwarden má u každého záznamu uloženou adresu a výchozí režim porovnávání je „základní doména”: heslo uložené pro google.com nabídne na accounts.google.com, ale nenabídne na google.net. Na podvodné stránce, která vypadá jako přihlášení do banky, ale běží na jiné doméně, rozšíření mlčí — ne proto, že by podvod rozpoznalo, ale protože doména nesedí. To ticho je signál: nenabídnuté heslo tam, kde se vždycky nabízelo, není porucha, ale varování.
Sdílení není rozesílání. Heslo se nedává člověku do zprávy, ale do skupiny záznamů, ke které mají přístup určití lidé. Změní-li se heslo, změní se pro všechny naráz.
Bitwarden vs. 1Password vs. Keeper
Všechny tři jsou zavedené nástroje s firemními plány a všechny tři se platí za uživatele měsíčně. Ceníky se mění, ověřte si je vždy na webu výrobce; níže je srovnání vlastností, které ceníkem neotočíte.
| Vlastnost | Bitwarden | 1Password | Keeper |
|---|---|---|---|
| Zdrojový kód, provoz | Kód na GitHubu, volně k prohlédnutí; lze provozovat na vlastním serveru, placené funkce odemyká licence navázaná na aktivní předplatné | Uzavřený kód, cloudová služba výrobce | Uzavřený kód, cloudová služba výrobce |
| Jak se člení přístupy | Organizace → kolekce; přiřazují se jednotlivci i skupiny, zanořování jen kvůli přehlednosti (práva se nedědí) | Trezory (vaults) + vlastní skupiny podle projektu, oddělení nebo lokality | Sdílené složky + týmy + role |
| Úrovně oprávnění | Na kolekci (čtení, úpravy a další podle role) | Na trezoru: View, Create, Edit, Archive a Delete Items | Can Manage Users / Can Manage Records / obojí / žádné, k tomu enforcement policies pro tvorbu a sdílení |
| Přihlášení firemním účtem (SSO) | Login with SSO, SAML 2.0 i OIDC, plán Enterprise; k tomu SCIM provisioning | Unlock with SSO, jen plán Business (Entra ID, Okta, Google Workspace, JumpCloud, Duo, OneLogin, Ping, Auth0); členové skupiny Owners přes SSO odemykat nemohou, aby se nemohli uzamknout ven | Keeper SSO Connect, SAML 2.0 — AD FS, Entra ID, Okta, Google Workspace, Ping, JumpCloud a další |
| Audit a reporty | Organizační reporty: vystavená, znovupoužitá a slabá hesla, weby bez šifrování, nezapnuté dvoufaktorové ověření, Member Access | Auditní log s historií 365 dní (skupiny, položky, sdílení, změny MFA), reporty o týmu a zařízeních, Watchtower | Advanced Reporting & Alerts — logují se přístupy, úpravy, sdílení i mazání ve sdílených složkách |
| Odchod zaměstnance | Odebrání nebo pozastavení člena ukončí přístup ke kolekcím | Vyřazení ze skupin a trezorů | Odebrání z týmu automaticky ruší přístup ke složce; Account Transfer Policy převede celý trezor jinému uživateli |
| Zapomenuté hlavní heslo | Admin resetuje údaje, ale jen členům zapsaným do programu obnovy předem | Obnovu spustí vlastník, správce nebo skupina s právem Recover Accounts; uživatel dostane nový Secret Key | 24slovná obnovovací fráze (BIP39) z okamžiku zřízení účtu; Keeper k ní přístup nemá a s obnovou nepomůže |
Jak se mezi nimi rozhodnout
Bitwarden dává smysl, když chcete vidět do kódu nebo držet data na vlastním serveru. Self-hosting je zdarma, ale placené funkce si vyžádají licenci navázanou na aktivní předplatné — a je to server, který musí někdo aktualizovat a zálohovat. Pokud takový člověk ve firmě není, provozujte ho v cloudu výrobce a otevřený kód berte jako záruku prohlédnutelnosti.
1Password je volba tam, kde je potřeba počítat s tím, že lidé hesla zapomínají. Obnova účtu administrátorem nevyžaduje, aby si uživatel předem něco zapisoval; vyžaduje ale, aby právo obnovy měli aspoň dva lidé — dokumentace na to výslovně upozorňuje, protože jinak se firma uzamkne ven, jakmile o přístup přijde jediný správce.
Keeper dává smysl tam, kde je hodně rolí a je potřeba přesně nastavit, kdo smí co vytvářet, sdílet a přeposílat dál. Politika převodu účtu je nejblíž tomu, co si majitelé představují pod „chci jistotu, že se k tomu po odchodu člověka dostanu” — musí ale být zapnutá dopředu a účet se po převodu smaže.
Firemní funkce, kvůli kterým to zavádíte
Od osobní verze se firemní plán liší třemi věcmi, které rozhodují.
Sdílené kolekce podle týmů. Účetní vidí banku a účetní software, obchod CRM a e-shop, marketing sociální sítě a analytiku. Nikdo kromě správců nevidí všechno. Rozdělení podle rolí není byrokracie — je to způsob, jak zmenšit škodu, když se jeden účet dostane do nesprávných rukou.
Odebrání přístupu jedním úkonem. Odchod se vyřídí odebráním z organizace nebo z týmu, hesla se přepisovat nemusí. To je právě ten rozdíl proti tabulce, kde se přepsat musí všechna.
Reporty slabých a znovupoužitých hesel. Bitwarden i 1Password umí projet trezor a ukázat, kde je stejné heslo použité na víc službách, kde je krátké a která hesla se objevila v únicích dat. Po zavedení ten report jednou spusťte — z importu z prohlížečů vyleze překvapivě dlouhý seznam.
Pokud vaše firma spadá pod zákon o kybernetické bezpečnosti a NIS2, evidence přístupů a jejich odebírání patří k tomu, co budete muset doložit. Správce hesel sám soulad nezajistí, ale bez něj se tahle část doložit nedá vůbec.
Co ukázal únik u LastPassu
Je férové zmínit, že správce hesel je také cíl. LastPass zveřejnil 22. prosince 2022 aktualizaci k incidentu, který začal v srpnu 2022 ve vývojovém prostředí a pokračoval v listopadu v cloudovém úložišti. Útočník podle firmy zkopíroval zálohu zákaznických dat včetně zálohy trezorů. V ní byly nešifrované adresy webů, zatímco uživatelská jména, hesla, bezpečnostní poznámky a data z formulářů byly šifrované AES-256. Hlavní heslo podle LastPassu firma nezná ani neuchovává.
Závěry platí bez ohledu na vybraný nástroj. Hlavní heslo musí být dlouhé a nikde jinde nepoužité — jeho síla je to jediné, co po úniku zálohy stojí mezi útočníkem a obsahem. A i metadata jsou informace: seznam adres prozradí, jaké služby firma používá, což stačí na cílený phishing.
Migrace: jak to proběhne
Postup, který se nám osvědčil ve firmách do padesáti lidí.
1. Sesbírejte, co máte. Seznam služeb: e-mail, banka, účetnictví, e-shop, CRM, doména, hosting, sociální sítě, VPN, kamery, tiskárny. Bývá jich víc, než kdo tipuje. U každé si poznamenejte, kdo ji používá.
2. Vyexportujte hesla z prohlížečů. V Chromu vede cesta přes chrome://password-manager/settings a volbu stažení souboru; výsledkem je CSV, které se naimportuje do trezoru. Ten soubor je čitelný text. Dokumentace Bitwardenu výslovně nařizuje smazat ho po importu, včetně vysypání koše — a neposílejte ho e-mailem ani chatem.
3. Postavte strukturu kolekcí dřív, než pozvete lidi. Pojmenujte je podle agend, ne podle lidí. „Účetnictví”, „Web a e-shop”, „Infrastruktura” přežije personální změny; „Petrova hesla” nepřežije nic.
4. Zavádějte po týmech. Začněte tam, kde je nejvíc sdílených přístupů — obvykle správa webu a účetnictví. Jeden tým, jeden týden, připomínky, pak druhý. Spuštění pro celou firmu v jeden den končívá dvěma evidencemi místo jedné.
5. Vypněte ukládání hesel v prohlížeči. Jinak tam budou hesla dál přibývat a trezor zastarávat. Po dokončeném importu je z prohlížeče smažte.
6. Vyřešte hlavní heslo dřív, než ho někdo zapomene. Krok, který se nejčastěji přeskočí a nejvíc bolí. U Bitwardenu musí být členové předem zapsáni do programu obnovy — bez zápisu jim admin heslo neresetuje. U 1Passwordu má mít právo obnovy aspoň dva lidi. U Keeperu dostane uživatel při zřízení 24slovnou obnovovací frázi; při její ztrátě spolu se zapomenutým heslem nepomůže ani podpora výrobce. Vytiskněte a uložte k dokumentům firmy.
7. Nastavte odchodový proces písemně. Koho odebrat, z jakých kolekcí, kdo to kontroluje a do kdy. Bez toho zůstane bývalý zaměstnanec v organizaci měsíce.
8. Za měsíc spusťte reporty. Slabá, opakovaná a uniklá hesla; co report najde, přepište. Zároveň se ukáže, jestli lidé nástroj skutečně používají.
Dvě chyby na závěr. Sdílení jednoho účtu více lidmi (typicky „kancelar@”) ruší smysl evidence, protože z logu nepoznáte, kdo co dělal — kde to jde, dejte každému vlastní účet. A správce hesel není záloha: chrání přístupy, ne data. Co která úroveň správy IT obsahuje, rozebírá článek kolik stojí správa IT pro malou firmu.
Potřebujete s tím pomoct
ITHOPE (Brno) firmám vybírá a zavádí správce hesel podle toho, kolik mají lidí a jakých agend: postavíme strukturu kolekcí, naimportujeme hesla z prohlížečů a starých tabulek, nastavíme obnovu hlavního hesla tak, aby se firma nemohla uzamknout ven, a sepíšeme odchodový proces, který se dá dodržet. Navazujeme na běžnou správu IT a zálohování; ostatní služby jsou v sekci IT pro firmy. Ozvěte se — projdeme, co ve firmě používáte, a řekneme, jestli stačí základní plán, nebo dává smysl SSO.