Wzór polityki haseł i dostępów
Wzór wymaga wskazania właścicieli i zatwierdzenia. Publikacja sama nie wymusza ustawień w systemach.
LCPD / DATPOL · aktualizacja: 24.10.2026 · materiał do dopasowania do procedur organizacji.
Konta i hasła
Każda osoba ma własne konto; administracja jest oddzielona od zwykłej pracy. Dostęp zatwierdza właściciel zasobu. Proponujemy minimum 16 znaków, unikatowość i menedżer; konta techniczne preferują klucze, certyfikaty lub dłuższe losowe sekrety. System odrzuca hasła z wycieków i ogranicza próby logowania.
MFA i odzyskiwanie
MFA w pierwszej kolejności obejmuje pocztę, zdalny dostęp, administratorów i systemy wrażliwe; preferowane są metody odporne na phishing. Reset wymaga niezależnego potwierdzenia tożsamości. Pomoc nie wysyła hasła na numer właśnie podany przez rozmówcę. Konta awaryjne są ewidencjonowane, a ich użycie kontrolowane.
Zmiany i wyjątki
Zmieniaj po podejrzeniu ujawnienia oraz hasła fabryczne i tymczasowe. Nie narzucaj arbitralnego kalendarza zmian wszystkim kontom. Rotację sekretów serwisowych planuj z zależnościami i testem, aby nie przerwać integracji. Wyjątek ma właściciela, uzasadnienie ryzyka, zabezpieczenie zastępcze, termin i akceptację.
Nadzór i dowody
Monitoruj logowania i zmiany uprawnień bez jawnych haseł. Właściciele przeglądają dostępy według ryzyka i reagują na zmianę roli lub odejście. Przetestuj reset, utratę MFA i odwołanie sesji; samo istnienie dokumentu nie wystarcza.
Sprawdź w praktyce
- Wskazano właściciela i kontakt do IT.
- Uzgodniono MFA i wyjątki.
- Odejście odwołuje także tokeny i sesje.
- Zasady opublikowano i przećwiczono.
Sytuacja z pracy
Po odejściu administratora odbierz nie tylko login, ale VPN, klucze SSH, certyfikaty i tokeny, które posiadał.