Majdnem minden online tevékenységünk kulcsa egy jelszó, amiből valószínűleg többet is használunk egy nap során. Gyakran kényelmetlennek tűnhet minden alkalommal nehezen feltörhető, bonyolult kifejezéseket találni és ezeket biztonságosan kezelni. Szerencsére több módja is van a jelszavaid biztonságos kezelésének, ami lehetőséget ad arra, hogy megvédd magad és az adataidat a hacker támadásoktól.

A jelszavak még mindig a digitális biztonság egyik legfontosabb elemei. Egy civil szervezetnél nemcsak magánfiókokat védenek, hanem e-mail-fiókokat, közösségimédia-oldalakat, felhőtárhelyeket, hírlevélküldő rendszereket, adománygyűjtő felületeket, könyvelési rendszereket és akár banki hozzáféréseket is.

Ha egy jelszó illetéktelenek kezébe kerül, az nemcsak kellemetlenséget okozhat. A támadók hozzáférhetnek személyes adatokhoz, adományozói információkhoz, pénzügyi dokumentumokhoz, vagy akár a szervezet nyilvános kommunikációs felületeihez is. Éppen ezért a jelszavak és hozzáférések védelme minden civil szervezet számára alapvető feladat.

Az alábbi öt tipp segíthet abban, hogy biztonságosabban kezeljük a szervezeti fiókokat.

1. Használjunk jelszókezelőt

A jelszókezelő olyan eszköz, amely segít erős, egyedi jelszavakat létrehozni és biztonságosan tárolni. Így nem kell ugyanazt a jelszót több helyen használni, és nem kell jelszavakat e-mailben, táblázatban, jegyzetfüzetben vagy üzenetküldő alkalmazásban megosztani.

Civil szervezeteknél különösen hasznos lehet a jelszókezelő, mert gyakran több munkatárs, önkéntes vagy külső szolgáltató dolgozik ugyanazokkal a digitális rendszerekkel. Egy megfelelően beállított jelszókezelővel szabályozható, ki melyik belépési adathoz fér hozzá, és könnyebb visszavonni a hozzáférést, ha valaki már nem dolgozik a szervezettel.

Ajánlott jelszókezelők például a Bitwarden, a KeePass, az 1Password, a Dashlane vagy a NordPass. A választásnál érdemes figyelni arra, hogy a megoldás megfelel-e a szervezet méretének, van-e benne biztonságos megosztás, többfaktoros hitelesítés, jogosultságkezelés és helyreállítási lehetőség.

A jelszókezelő különösen akkor hasznos, ha sok fiókot kezelünk: e-mailt, felhőtárhelyet, közösségi médiát, weboldalt, hírlevélküldőt, adománygyűjtő rendszert vagy pénzügyi szolgáltatásokat. Minél több fiókot használ a szervezet, annál fontosabb, hogy ezekhez ne ismétlődő vagy könnyen kitalálható jelszavak tartozzanak.

2. Ne használjuk újra ugyanazt a jelszót

Az egyik leggyakoribb hiba, hogy ugyanazt a jelszót több helyen is használjuk. Ez azért veszélyes, mert ha az egyik szolgáltatásnál kiszivárog a jelszó, a támadók megpróbálhatják ugyanazzal a belépési adattal más oldalakon is elérni a fiókokat.

Ez különösen nagy kockázatot jelenthet civil szervezeteknél, ahol ugyanaz az e-mail-cím szerepelhet több szolgáltatásban is: hírlevélküldőben, közösségimédia-fiókban, felhőtárhelyen, weboldal-adminisztrációban vagy adománygyűjtő rendszerben. Ha ezekhez ugyanaz a jelszó tartozik, egyetlen kiszivárgott adat több rendszerhez is hozzáférést adhat.

Minden fontos fiókhoz használjunk külön, hosszú és egyedi jelszót. Nem az a cél, hogy ezeket fejben tartsuk, hanem hogy a jelszókezelő biztonságosan kezelje őket helyettünk.

Ha kiderül, hogy egy jelszó kiszivárgott, vagy felmerül, hogy illetéktelenek megismerhették, azonnal cseréljük le az érintett fiókban. Ha ugyanazt a jelszót máshol is használtuk, ott is cserélni kell.

3. Védjük külön a mesterjelszót

A jelszókezelőhöz tartozó mesterjelszó különösen fontos, mert ez védi a többi jelszót. Ez legyen hosszú, egyedi, és ne használjuk semmilyen más fiókhoz.

A jó mesterjelszó lehet például több, egymástól független szóból álló jelmondat, amely elég hosszú, de a használója számára még megjegyezhető. Nem kell bonyolult, nehezen begépelhető karakterhalmazt kitalálni, ha emiatt végül papírra írjuk vagy elfelejtjük. A lényeg, hogy hosszú, egyedi és nehezen kitalálható legyen.

A jelszókezelő fiókján is kapcsoljuk be a többfaktoros hitelesítést. Így akkor is van egy további védelmi réteg, ha a mesterjelszó valamilyen módon illetéktelenekhez kerülne.

Fontos az is, hogy legyen átgondolt helyreállítási megoldás. Egy szervezetnél nem jó, ha a teljes jelszókezelő egyetlen emberhez kötődik, és rajta kívül senki nem tud vészhelyzetben hozzáférni a szükséges adatokhoz. Ugyanakkor a helyreállítási lehetőségeket is védeni kell, mert ezek is belépési pontot jelenthetnek.

4. Kapcsoljuk be a többfaktoros hitelesítést

A többfaktoros hitelesítés azt jelenti, hogy a belépéshez nem elég a jelszó: szükség van egy második azonosítási lépésre is. Ez lehet hitelesítő alkalmazás, biztonsági kulcs, biometrikus azonosítás vagy más megbízható megoldás.

Ez az egyik leghasznosabb védelem a fiókátvételekkel szemben. Ha egy támadó megszerzi a jelszót, a többfaktoros hitelesítés még mindig megakadályozhatja, hogy be tudjon lépni.

Legalább a legfontosabb szervezeti fiókoknál kapcsoljuk be: e-mail, banki és pénzügyi hozzáférések, felhőtárhely, weboldal, domain, tárhely, közösségimédia-oldalak, hírlevélküldő és adománygyűjtő rendszer. Az e-mail különösen fontos, mert gyakran ezen keresztül lehet más fiókok jelszavát is visszaállítani.

A hitelesítő alkalmazás vagy biztonsági kulcs általában jobb választás, mint az SMS-ben érkező kód, de az SMS-es megerősítés is több védelmet ad, mint a puszta jelszó. A legfontosabb, hogy a kritikus fiókok ne maradjanak egyetlen jelszóra bízva.

Érdemes azt is rögzíteni, hogy a szervezetnél ki felel a többfaktoros hitelesítés beállításáért, és mi történik, ha valaki telefont cserél, elveszíti az eszközét, vagy távozik a szervezettől.

5. Ahol lehet, használjunk passkey-t

A passkey egy újabb, biztonságosabb belépési mód, amely sok esetben kiválthatja a hagyományos jelszót. A passkey használatakor nem kell jelszót begépelni: a belépést az eszközünkön hagyjuk jóvá, például ujjlenyomattal, arcfelismeréssel, PIN-kóddal vagy biztonsági kulccsal.

A passkey azért biztonságosabb a hagyományos jelszónál, mert nem egy begépelhető titkot használ, amelyet el lehet lopni vagy adathalász oldalon meg lehet szerezni. A passkey a fiókhoz és az adott szolgáltatáshoz kapcsolódik, ezért sokkal jobban véd az adathalászat ellen: egy hamis oldalon nem lehet ugyanúgy „beírni”, mint egy jelszót.

Passkey-t ott lehet használni, ahol az adott szolgáltató támogatja. Egyre több nagy szolgáltatásnál elérhető, például e-mail-, felhő-, közösségimédia- vagy technológiai szolgáltatásoknál. A beállítás általában a fiók biztonsági beállításai között található, például „Passkey”, „Jelkulcs”, „Passwordless sign-in”, „Security key” vagy „Bejelentkezési kulcs” néven.

A beállítás menete szolgáltatásonként eltérhet, de általában így néz ki: belépünk a fiók biztonsági beállításaiba, kiválasztjuk a passkey vagy jelkulcs hozzáadását, majd a rendszer megkéri, hogy erősítsük meg a személyazonosságunkat az eszközünkön. Ez történhet ujjlenyomattal, arcfelismeréssel, PIN-kóddal vagy biztonsági kulccsal. Ezután a következő belépésnél már használható a passkey.

Szervezeti fiókoknál különösen fontos átgondolni, kihez kötődik a passkey, hogyan lehet helyreállítani a hozzáférést, és mi történik akkor, ha valaki távozik a szervezettől vagy elveszíti az eszközét. Ha a szolgáltatás még nem támogat passkey-t, akkor maradjon az erős, egyedi jelszó, jelszókezelő és többfaktoros hitelesítés kombinációja.

Közös szervezeti hozzáférések: ne egyetlen jelszón múljon minden

Civil szervezeteknél gyakori, hogy többen kezelnek egy közös e-mail-fiókot, közösségimédia-oldalt, hírlevélküldő rendszert, felhőtárhelyet vagy weboldalt. Ilyenkor különösen fontos, hogy a hozzáférések ne egyetlen közösen ismert jelszón múljanak.

Ahol lehet, minden munkatársnak, önkéntesnek vagy külső szolgáltatónak saját felhasználói fiókja legyen. Így könnyebb szabályozni, ki mihez fér hozzá, jobban követhető, ki milyen műveletet végzett, és egyszerűbb visszavonni a hozzáférést, ha valaki már nem dolgozik a szervezettel.

Az adminisztrátori jogosultságokat csak azok kapják meg, akiknek valóban szükségük van rá. Egy közösségimédia-oldal, weboldal vagy felhőtárhely esetében nem mindenkinek kell teljes adminisztrátori hozzáférés. A túl széles jogosultság felesleges kockázatot jelent.

Érdemes rendszeresen, például félévente átnézni, kik férnek hozzá a szervezet fontos fiókjaihoz. Távozó munkatársak, lezárult projektek, régi önkéntesek és korábbi szolgáltatók hozzáféréseit vissza kell vonni. Ha közös jelszót használtak, azt is le kell cserélni.

A jelszavak védelme nem csak technikai kérdés. A szervezet működésének része, hogy tudjuk, ki fér hozzá az adatainkhoz, hogyan védjük a fontos fiókokat, és mit teszünk, ha egy hozzáférés már nem indokolt. Néhány tudatos beállítással és rendszeres ellenőrzéssel jelentősen csökkenthető a fiókátvételek és jelszólopások kockázata.

Ha szeretnéd megtanulni, hogyan vigyázhatsz jobban az adatvédelemre és a kiberbiztonságra, regisztrálj a Digitális biztonságról és védelemről szóló ingyenes, önképző tanfolyamunkra.