Hasło zapisane na kartce pod klawiaturą. Case study ISO/IEC 27001 A.5.17

›Zabezpieczenie A.5.17 załącznika A normy ISO/IEC 27001:2022 wymaga, aby organizacja wdrożyła zasady zarządzania informacjami uwierzytelniającymi oraz aby użytkownicy traktowali swoje hasła jako informacje poufne. Zapisanie hasła na kartce przyklejonej pod klawiaturą, niezależnie od tego, że samo hasło spełnia wymagania dotyczące złożoności, omija istotę zabezpieczenia. Stanowi to niezgodność z A.5.17 i realne ryzyko kompromitacji konta przez każdą osobę mającą fizyczny dostęp do stanowiska pracy.

Co pokazuje komiks

Chochlik Random siedzi przy komputerze z czerwonym komunikatem „Twoje hasło wygasło”. Narzeka na politykę wymuszającą zmianę hasła co 30 dni i na wymagania dotyczące dużych liter, cyfr oraz znaków specjalnych. Krasnal Norman przypomina spokojnie, że trudne hasło to pierwszy mur obronny organizacji.
W drugiej planszy Random zapisuje coś na żółtej karteczce z błyskiem oka. Melduje Normanowi, że zhakował system i znalazł sposób, by nigdy więcej nie zablokować konta. Norman odpowiada z widoczną ostrożnością: „Oby to był menedżer haseł…”.
Nadzieja Normana szybko kończy się na trzeciej planszy. Random pokazuje odwróconą klawiaturę. Na jej spodzie widnieje naklejka z hasłem „Trudn3_H@sl0_Maj!”. „Złożoność zachowana, a żaden haker z internetu tu przecież nie zajrzy!” ogłasza z dumą. W czwartej planszy Norman płacze, a Random trzymając klawiaturę stwierdza bez cienia ironii, że to przecież zabezpieczenie fizyczne. W jednej kartce chochlik zamknął cały mechanizm, który norma ISO/IEC 27001 traktuje jako element podstawowy systemu zarządzania bezpieczeństwem informacji.

Wymaganie ISO/IEC 27001, którego dotyczy scenka

Zabezpieczenie A.5.17. Informacje uwierzytelniające
Zabezpieczenie A.5.17 załącznika A normy ISO/IEC 27001:2022 nakłada na organizację obowiązek właściwego zarządzania informacjami uwierzytelniającymi użytkowników oraz systemów. Wymaganie obejmuje dwa poziomy. Pierwszy poziom to procesy organizacyjne: zasady przydzielania, zmieniania, unieważniania i przechowywania haseł, tokenów, kluczy kryptograficznych oraz pozostałych form uwierzytelniania. Drugi poziom to obowiązek po stronie użytkownika, który ma traktować swoje hasło jako informację poufną i nie udostępniać go nikomu innemu w żadnej formie.
Zabezpieczenie zakłada, że pracownik zna zasady postępowania z hasłem i stosuje je niezależnie od okoliczności. Hasło nie może być widoczne dla osób postronnych ani dostępne w formie zapisanej bez ochrony kryptograficznej. Przyklejenie kartki z hasłem pod klawiaturą narusza tę zasadę wprost, nawet jeżeli hasło zapisane na kartce spełnia wszystkie wymagania dotyczące długości i złożoności.
Zabezpieczenie powiązane A.6.3
Scenka odsłania także lukę w innym zabezpieczeniu. A.6.3 wymaga, aby organizacja zapewniła pracownikom odpowiednie szkolenia i budowała świadomość w zakresie bezpieczeństwa informacji. Random nie rozumie, dlaczego zapisanie hasła pod klawiaturą jest ryzykowne. Dla niego haker zdalny to jedyny model zagrożenia. Model zagrożeń wewnątrz organizacji, obejmujący ekipę sprzątającą, serwisantów, osoby zastępujące pracownika na urlopie czy gości odwiedzających biuro, pozostaje dla niego niewidoczny. Zabezpieczenie A.6.3 adresuje właśnie ten brak świadomości przez program szkoleń i komunikację wewnętrzną.

Dlaczego scena stanowi niezgodność z wymaganiem

Pierwszy element niezgodności dotyczy samego sposobu przechowywania hasła. Hasło zapisane na kartce pod klawiaturą jest dostępne dla każdej osoby, która fizycznie zbliży się do stanowiska pracy. Wieczorna ekipa sprzątająca, pracownik obsługi technicznej, osoba zastępująca Random na urlopie, uczestnik spotkania w sali konferencyjnej. Każdy z nich przy niewielkim wysiłku sprawdzi spód klawiatury. Złożoność hasła przestaje chronić konto.
Drugi element to argumentacja Randoma. Random twierdzi, że zapis fizyczny omija zagrożenia z internetu. Argument jest poprawny w jednym wąskim sensie: zdalne próby odgadnięcia hasła rzeczywiście nie sięgają pod klawiaturę biurka. W szerszym kontekście pozostaje całkowicie błędny. Najczęstszym wektorem kompromitacji kont w organizacjach B2B jest dostęp fizyczny osób z wnętrza organizacji lub z jej otoczenia, nie atak zdalny. Model zagrożeń przyjęty przez Randoma obejmuje tylko jeden scenariusz i pomija wszystkie pozostałe.
Trzeci element to brak rozpoznania dostępnych rozwiązań. Norman wprost sugeruje menedżera haseł jako narzędzie pozwalające zachować złożoność i jednocześnie uniknąć zapamiętywania kilkunastu unikalnych sekretów. Random nie rozważa tej opcji. Decyduje samodzielnie, bez konsultacji z działem IT, bez rozmowy z pełnomocnikiem ds. ISMS i bez znajomości rozwiązań, które w jego organizacji mogły być już dostępne.

Konsekwencje i potencjalne konsekwencje

Konsekwencja pierwsza dotyczy samego konta Randoma. Każda osoba, która sprawdzi spód klawiatury, uzyska pełen dostęp do jego konta wraz ze wszystkimi uprawnieniami przypisanymi do jego roli w organizacji. Potencjalne konsekwencje kumulują się w kilku warstwach.

• Eskalacja uprawnień. Konta użytkowników w organizacjach posiadają zwykle dostęp do skrzynek pocztowych, udziałów sieciowych, systemów CRM, systemów ERP oraz do części aplikacji chmurowych.
• Ruch lateralny w sieci organizacji. Hasło jednego pracownika staje się punktem wyjścia do kolejnych ataków wewnątrz infrastruktury, szczególnie gdy to samo hasło zostało użyte w kilku systemach lub konto ma uprawnienia administracyjne.
• Zablokowanie atrybucji. Działania wykonane z konta Randoma w logach wyglądają jak jego działania. Rozróżnienie, co zrobił Random, a co osoba posługująca się jego hasłem, staje się możliwe tylko przy zaawansowanej analizie behawioralnej.
• Naruszenie ochrony danych osobowych. Gdy konto ma dostęp do danych osobowych klientów lub pracowników, kompromitacja powoduje obowiązek zgłoszenia naruszenia organowi nadzorczemu w ciągu 72 godzin oraz ryzyko kary administracyjnej do 20 mln EUR lub 4% globalnego rocznego obrotu.
• Naruszenie umów z klientami. Klauzule poufności w kontraktach B2B nakładają obowiązek odpowiedniego zabezpieczenia dostępu do danych kontrahenta. Widocznie zapisane hasło narusza standard oczekiwanej staranności umownej.
• Wpływ na certyfikację. W organizacji certyfikowanej na ISO/IEC 27001 audytor podczas rutynowego przeglądu stanowisk pracy wykrywa takie praktyki i wymaga działań korygujących oraz analizy przyczyny systemowej.

Jak prawidłowo spełnić wymaganie A.5.17

W analogicznej sytuacji organizacja może sięgnąć po różne mechanizmy spełnienia wymagania. Żadna z poniższych propozycji nie jest jedyną drogą. W praktyce doradczej Malon Group obserwujemy kilka kierunków, które skutecznie zamykają ten obszar.
Jednym ze sposobów jest wdrożenie korporacyjnego menedżera haseł. Narzędzie przechowuje wszystkie hasła użytkownika w zaszyfrowanej postaci, chronionej jednym silnym hasłem głównym lub uwierzytelnianiem biometrycznym. Użytkownik pamięta jedno hasło zamiast kilkunastu, a dział IT zyskuje centralne zarządzanie dostępem, możliwość wymuszenia rotacji i szybkiego odcięcia konta przy odejściu pracownika.
Możliwym rozwiązaniem uzupełniającym jest wdrożenie uwierzytelniania wieloskładnikowego (MFA, Multi-Factor Authentication). Samo hasło, nawet ujawnione, przestaje wystarczać do przejęcia konta. Atakujący musi dodatkowo dysponować drugim składnikiem, którym najczęściej jest token z aplikacji mobilnej, klucz sprzętowy lub powiadomienie push. MFA znacząco obniża ryzyko kompromitacji konta niezależnie od jakości hasła.
Jedną z opcji pozostaje rewizja samej polityki haseł. Dzisiejsze wytyczne NIST SP 800-63B zalecają rezygnację z wymuszonej rotacji co 30 lub 90 dni na rzecz dłuższych, trudniejszych do zgadnięcia passfraz i wymuszanie zmiany wyłącznie przy podejrzeniu kompromitacji. Polityka, która narzuca częste zmiany krótkich i złożonych haseł, w praktyce wytwarza u użytkowników zachowania podobne do Randoma: skróty, karteczki, zapis w notatniku.
Innym podejściem jest wzmocnienie programu budowania świadomości zgodnie z zabezpieczeniem A.6.3. Regularne szkolenia, komunikacja wewnętrzna oraz testowe kampanie sprawdzające reakcję pracowników na pozostawione kartki z hasłem lub próby phishingu zmieniają sposób postępowania z informacjami uwierzytelniającymi. Szkolenie jednorazowe przy zatrudnieniu nie wystarcza, a polityka haseł bez narzędzi i świadomości użytkowników generuje takie incydenty, jakie pokazuje komiks.

Wsparcie Malon Group

Projektowanie polityki haseł, wdrożenie uwierzytelniania wieloskładnikowego, wybór menedżera haseł oraz program szkoleń zgodny z A.6.3 to obszary, w których Malon Group wspiera organizacje wdrażające i utrzymujące ISMS zgodny z ISO/IEC 27001. Jeżeli chcesz omówić, jak zamknąć ten obszar w swojej firmie, skontaktuj się z nami w sprawie wdrożenia ISO/IEC 27001 lub audytu wewnętrznego systemu zarządzania bezpieczeństwem informacji.

Najczęściej zadawane pytania (FAQ):

Case study opracowany przez zespół Malon Group na podstawie komiksu ilustrującego wymagania ISO/IEC 27001:2022, załącznik A, zabezpieczenie A.5.17. Aktualizacja: kwiecień 2026.

Zapraszamy do korzystania z naszych usług w zakresie systemu zarządzania bezpieczeństwem informacji ISO/IEC 27001

• Wdrażanie systemu ISO/IEC 27001 czytaj więcej …

• Audyty systemów zarządzania czytaj więcej …

• Szkolenie Audytor Wewnętrzny SZBI ISO/IEC 27001 czytaj więcej …

• Nadzorowanie systemów zarządzania (outsourcing Pełnomocnika) czytaj więcej …