Fałszywe wezwanie UODO o monitoring - co zrobić, gdy firma ma kamery
czytaj więcej
Jeśli Twoja firma wymaga od pracowników „cyfry, wielkiej litery i znaku specjalnego” i na tym kończy dbanie o hasła, mam złą wiadomość. Urząd Ochrony Danych Osobowych (UODO) napisał właśnie, że takie reguły mogą dawać fałszywe poczucie bezpieczeństwa. Silne hasło to coś innego.
Pokazuję, co Biuletyn UODO pisze o hasłach, gdzie bezpiecznie sprawdzić ich siłę i dlaczego najważniejszy jest drugi składnik logowania. Zaczynam od kary, która pokazuje, co się dzieje, gdy go brakuje.
Spis treści
Brak drugiego składnika logowania - kara 500 tys. euro dla szpitala
3 września 2026 r. francuski urząd ochrony danych (CNIL) ogłosił karę 500 tys. euro dla prywatnego szpitala Hôpital Privé de la Loire. Do elektronicznej dokumentacji logowali się też użytkownicy spoza szpitala, m.in. lekarze, bez VPN (szyfrowanego połączenia z siecią szpitala) i bez uwierzytelniania wieloskładnikowego, czyli drugiego składnika logowania, np. kodu z telefonu. Atakujący wykorzystał tę lukę i uzyskał dostęp do danych 524 867 pacjentów.
Posługując się danymi logowania jednego konta, dotarł do danych wszystkich pacjentów szpitala, bo uprawnienia nie były ograniczone. CNIL nie podał, w jaki sposób atakujący zdobył dane logowania ani jakie było hasło do tego konta. Ukarał m.in. za brak drugiego składnika, zbyt szerokie uprawnienia i brak wykrywania nietypowej aktywności, uznając to za naruszenie art. 32 RODO, czyli unijnego rozporządzenia o ochronie danych osobowych, które każe stosować zabezpieczenia odpowiednie do ryzyka. Drugim uchybieniem było niezawiadomienie o wycieku 202 246 „osób zaufanych” wskazanych przez pacjentów (art. 34 RODO). Opis sprawy jest w Biuletynie UODO, a pełna historia we wpisie Wyciek danych medycznych: kara dla szpitala we Francji, kary w Polsce i co sprawdzić w przychodni.
W Polsce za takie zaniedbania grozi kara do 10 mln euro albo do 2% rocznego światowego obrotu przedsiębiorstwa, jeśli to więcej (art. 83 ust. 4 RODO).
Cyfra, wielka litera i znak specjalny to za mało - co pisze UODO
W artykule „Prezes UODO promuje testowanie haseł” urząd przypomina popularne wymagania: jedna cyfra, jedna wielka litera, jeden znak specjalny i co najmniej 8, 10 albo 12 znaków. Większość serwisów je wymusza, ale według UODO może to dawać fałszywe poczucie bezpieczeństwa.
Biuletyn podaje przykład: kalkulator siły hasła pokaże ten sam czas dla „TwojeHasło123!” i dla „xB#3Tt!bYak$c2”, bo oba spełniają te same kryteria. Tylko drugie przypomina przypadkowy ciąg znaków, a pierwsze łatwo przewidzieć.
Jak stworzyć silne hasło
Siłę hasła można opisać entropią, czyli liczbą wszystkich kombinacji, jakie może przyjąć. Rośnie z każdym znakiem i z każdym rodzajem znaków. Biuletyn zastrzega, że to górna granica: obowiązuje tylko dla hasła przypadkowego, a hasło ze słów i imion przestępca zgadnie dużo szybciej. Do tego dochodzi kilka zasad:
Jedno hasło do jednego serwisu
Przestępcy korzystają z gotowych list haseł, także z wycieków z kont, na które ktoś dawno przestał się logować. Jeśli to samo hasło działa w innym serwisie, przejmują i tamto konto. Dlatego UODO zaleca, żeby nie używać tego samego hasła na wielu stronach.
Bez imion bliskich i zwierząt
Biuletyn wymienia wprost: unikaj własnego imienia, imion dzieci i zwierząt domowych. Listy, z których korzystają przestępcy, zawierają też popularne słowa z cyframi i podmianami typu „@” zamiast „a”.
Menedżer haseł
Menedżer haseł to program, który tworzy i przechowuje hasła, a Ty pamiętasz tylko jedno hasło główne. Długich, przypadkowych haseł nie da się zapamiętać do każdego serwisu, a według biuletynu menedżery haseł są niezbędne dla zachowania dobrej higieny cyfrowej.
Uwierzytelnianie dwuskładnikowe - drugi składnik logowania
Uwierzytelnianie dwuskładnikowe oznacza, że samo hasło nie wystarcza: trzeba jeszcze potwierdzić logowanie, np. kodem z aplikacji w telefonie. Biuletyn zaleca rozważyć jego włączenie, a w sprawie francuskiego szpitala CNIL uznał brak uwierzytelniania wieloskładnikowego przy dostępie z zewnątrz za uchybienie.
Moim zdaniem to najważniejsza zmiana, jaką firma może zrobić w logowaniu. Długie hasło utrudnia jego odgadnięcie, a drugi składnik daje dodatkową barierę, gdy hasło i tak trafi w niepowołane ręce.
Gdzie sprawdzić siłę hasła, a gdzie go nie wpisywać
UODO promuje aplikację FantomApp, przygotowaną przez CNIL w projekcie finansowanym przez Unię Europejską. Opis i odnośniki są na stronie UODO, a narzędzie działa też w przeglądarce (fantomapp.fr). Jej narzędzie do testowania haseł działa lokalnie, bez wysyłania danych na serwery, a kod źródłowy jest otwarty. Ma też pole „zawiera moje imię, nazwisko lub łatwe do odgadnięcia słowa”: po jego zaznaczeniu czas złamania pokazuje się jako „natychmiastowy”.
Czas wyświetlany przez aplikację opiera się na tabeli firmy Hive Systems (macierz czasów łamania haseł) i zakłada, że hasło jest przypadkowe i nie wyciekło. Biuletyn podaje, że w tej tabeli 14 znaków z literami, cyframi i znakami specjalnymi to „19 bilionów lat”, ale tylko przy tych założeniach. Firma co roku publikuje nową tabelę, bo sprzęt do łamania haseł staje się szybszy, więc liczby się zmieniają.
Nie testuj haseł na przypadkowych stronach. Biuletyn ostrzega, że jeśli nie wiesz, czy strona wysyła hasło na swój serwer, nie masz gwarancji, że nie zostanie wykradzione i sprzedane.
Najczęstsze pytania o silne hasło
Ile znaków powinno mieć silne hasło?+
Biuletyn UODO nie podaje jednej liczby. Wytyczne amerykańskiego instytutu normalizacyjnego NIST (National Institute of Standards and Technology), dokument SP 800-63B, wymagają co najmniej 15 znaków, gdy hasło jest jedynym zabezpieczeniem, i co najmniej 8, gdy działa razem z drugim składnikiem logowania.
Czy trzeba regularnie zmieniać hasła?+
Standard NIST nie pozwala wymagać okresowej zmiany haseł, ale każe wymusić zmianę, gdy są sygnały, że hasło wyciekło. Prezes UODO wymienił jednak w biuletynie z października 2024 r. „odpowiednio częste zmiany hasła” wśród prostych środków ochrony (Biuletyn UODO 10/2024), więc swoją decyzję warto opisać w zasadach firmy.
Czy można sprawdzić, czy moje hasło wyciekło?+
Biuletyn UODO nie wskazuje takiego serwisu i przestrzega przed wpisywaniem haseł na stronach, o których nie wiesz, czy wysyłają je na swój serwer. FantomApp baz z wycieków nie przeszukuje. Biuletyn wskazuje trudności techniczne z ich aktualizowaniem, a także to, że korzystanie z nich mogłoby zostać uznane za przetwarzanie skradzionych danych. Jeśli masz sygnał, że hasło wyciekło, zmień je wszędzie, gdzie go używałeś.
Czy RODO wymaga uwierzytelniania dwuskładnikowego?+
Wprost nie, bo przepis mówi ogólnie o zabezpieczeniach dobranych do ryzyka (art. 32). Francuski organ pokazał jednak, jak to rozumie: brak drugiego składnika przy logowaniu spoza szpitala był jednym z uchybień, za które padła kara.
Hasła w firmie - od czego zacząć
Zacznij od włączenia drugiego składnika na poczcie i w systemach, do których logujesz się spoza biura. Dlaczego odcisk palca nie zastępuje hasła, wyjaśniam we wpisie Czy odcisk palca jest bezpieczny? Jak działa biometria i dlaczego nie zastępuje hasła, a dlaczego firmowa poczta powinna działać u dostawcy, z którym podpiszesz umowę powierzenia, piszę we wpisie Firmowy e-mail a RODO.
Jeśli chcesz sprawdzić logowanie i uprawnienia w swojej firmie, sprawdź, na czym polega audyt bezpieczeństwa systemów IT.
