Jak sprawdzić bezpieczeństwo Wi-Fi, VPN i dostępu zdalnego w biurze?
Zweryfikuj sześć warstw: własność i aktualizacje routera lub firewalla, szyfrowanie oraz podział Wi-Fi, sposób uwierzytelnienia użytkowników, zakres dostępu po VPN, zabezpieczenie komputerów zdalnych oraz monitoring i offboarding. Każdy dostęp powinien być imienny, ograniczony do potrzebnych usług i możliwy do unieważnienia bez zmiany hasła całej firmie.
Zacznij od urządzeń brzegowych
Router, firewall i punkty dostępowe powinny mieć znanego właściciela, wspierane oprogramowanie, kopię konfiguracji oraz plan aktualizacji. Domyślne konta i hasła trzeba zmienić, a panel administracyjny ograniczyć do sieci zarządzającej lub bezpiecznego kanału. Jeżeli sprzęt nie otrzymuje poprawek producenta, jego wymiana jest elementem bezpieczeństwa, nie tylko poprawy wydajności.
Przed każdą większą zmianą wykonaj kopię konfiguracji i ustal, jak przywrócić łączność. Aktualizacja firewalla bez planu wycofania może sama spowodować przestój.
Wi-Fi dla pracowników nie powinno być siecią dla wszystkiego
Sieć gościnna powinna być odseparowana od systemów firmy. Drukarki, kamery, telewizory i urządzenia IoT warto umieścić w osobnym segmencie, jeśli nie potrzebują pełnego dostępu do komputerów pracowników. Dla sieci firmowej stosuj WPA3 tam, gdzie wspierają go wszystkie urządzenia, albo poprawnie skonfigurowane WPA2-AES dla starszego środowiska.
Ukrycie nazwy SSID nie zastępuje szyfrowania ani kontroli dostępu. Ważniejsze są unikalne dane dostępowe, segmentacja, aktualizacje i możliwość ustalenia, które urządzenie połączyło się z siecią.
VPN nie może otwierać całej sieci każdemu użytkownikowi
NCSC opisuje VPN jako szyfrowany kanał do usług organizacji, ale samo zestawienie tunelu nie potwierdza, że użytkownik i urządzenie są bezpieczne. Dostęp powinien wymagać MFA, konta imiennego i zgodnego urządzenia. Po połączeniu użytkownik powinien widzieć tylko potrzebne systemy, a nie całą sieć administracyjną.
CISA zwraca uwagę na ryzyko błędnej konfiguracji tradycyjnego VPN i zdalnych narzędzi. W nowych projektach warto porównać VPN z podejściem ZTNA, w którym każda prośba o dostęp jest oceniana według tożsamości, urządzenia i konkretnej usługi.
RDP, narzędzia zdalne i dostęp dostawcy
RDP, SSH, VNC, panele NAS i konsole administracyjne nie powinny być wystawione bezpośrednio do internetu tylko dlatego, że chroni je hasło. Dostęp administracyjny prowadzi się przez kontrolowaną bramę, VPN lub inne rozwiązanie z silnym uwierzytelnieniem, ograniczeniami adresów, rejestrowaniem i blokadą prób.
Dostawca IT powinien korzystać z własnych kont imiennych, a firma wiedzieć, z jakich narzędzi zdalnych korzysta. Stałe konto współdzielone utrudnia audyt i bezpieczne zakończenie współpracy.
Urządzenie zdalne jest częścią ochrony
Szyfrowany tunel nie zabezpieczy firmy, jeśli komputer ma nieaktualny system, brak ochrony, lokalne konto administratora bez kontroli albo zapisane dane na prywatnym profilu. Minimalny standard obejmuje aktualizacje, szyfrowanie dysku, blokadę ekranu, ochronę endpointu, kopię ważnych danych i procedurę zgłoszenia utraty urządzenia.
Po odejściu pracownika trzeba zablokować konto, unieważnić sesje i certyfikaty, odebrać urządzenie oraz sprawdzić narzędzia zdalne. Zmiana wspólnego hasła VPN nie jest dobrym zamiennikiem kont imiennych.
Checklista sieci i dostępu zdalnego
- Router, firewall i punkty dostępowe mają wspierany firmware.
- Domyślne konta są wyłączone lub zabezpieczone, a panel administracyjny ograniczony.
- Istnieją oddzielne sieci dla pracowników, gości i urządzeń technicznych.
- Wi-Fi używa WPA3 lub WPA2-AES i odpowiedniego modelu uwierzytelnienia.
- RDP, SSH i panele administracyjne nie są wystawione bezpośrednio do internetu.
- VPN lub ZTNA wymaga MFA, kont imiennych i ograniczonych uprawnień.
- Urządzenia zdalne są aktualizowane, szyfrowane i monitorowane.
- Logowania i zmiany konfiguracji trafiają do logów oraz alertów.
- Kopia konfiguracji została przetestowana przed aktualizacją.
- Offboarding obejmuje konta, sesje, certyfikaty i narzędzia zdalne.
Powiązane usługi Partnerhosted
- Usługa główna: Serwery i sieć
- Usługa uzupełniająca: Cyberbezpieczeństwo
- Usługa uzupełniająca: Help Desk IT
Najczęstsze pytania
Czy samo użycie VPN zapewnia bezpieczną pracę zdalną?
Nie. VPN szyfruje połączenie, ale nadal potrzebne są MFA, bezpieczne urządzenie, ograniczone uprawnienia, aktualizacje, logi i proces odbierania dostępu.
Czy należy ukrywać nazwę firmowej sieci Wi-Fi?
Ukrycie SSID nie jest istotnym zabezpieczeniem. Priorytetem są szyfrowanie, segmentacja, silne uwierzytelnienie, aktualizacje i kontrola podłączonych urządzeń.
Czy można wystawić RDP do internetu na niestandardowym porcie?
Zmiana portu nie rozwiązuje ryzyka. Dostęp powinien prowadzić przez kontrolowaną bramę, VPN lub ZTNA i wymagać MFA oraz rejestrowania.
Czy goście mogą korzystać z tego samego Wi-Fi co pracownicy?
Najbezpieczniej zapewnić osobną sieć gościnną bez dostępu do zasobów firmowych. Ogranicza to ryzyko związane z obcymi lub niezarządzanymi urządzeniami.
Źródła
- NCSC — Virtual Private Networks: rola VPN w ochronie danych przesyłanych przez niezaufane sieci.
- CISA — Guide to Securing Remote Access Software: ochrona narzędzi zdalnych i odpowiedzialność klientów MSP.
- CISA — Modern Approaches to Network Access Security: ryzyka tradycyjnego VPN oraz podejścia Zero Trust, SSE i SASE.
- NCSC — How to implement ZTNA: ocena każdego dostępu według tożsamości, urządzenia i polityki.
Materiał ma charakter ogólny. Konfigurację techniczną, retencję danych i obowiązki prawne należy ocenić w kontekście konkretnej organizacji.
Chcesz sprawdzić Wi-Fi i dostęp zdalny w biurze?
Możemy przejrzeć konfigurację, konta, aktualizacje, segmentację, VPN i sposób bezpiecznego odbierania dostępu.