Bezpieczne hasła w firmie: jak stworzyć silne hasło i jakie zasady dać pracownikom

Jak stworzyć bezpieczne hasło? Połącz kilka losowych, niepowiązanych ze sobą słów w jedną frazę o długości co najmniej 14 znaków, bo takie minimum zaleca dziś CERT Polska. Każde konto powinno mieć własne hasło, wszystkie przechowuj w menedżerze haseł, a tam, gdzie się da, włącz weryfikację dwuetapową. Poniżej znajdziesz wyjaśnienie, skąd biorą się różne liczby w polskich poradnikach, co zapisać w firmowej polityce haseł i jak przećwiczyć to z zespołem w pół godziny.

Jak stworzyć silne hasło krok po kroku

Silne hasło to takie, którego nie da się odgadnąć ani znaleźć na liście haseł z wycieków, a które wciąż jesteś w stanie zapamiętać, jeśli musisz. Najprościej osiągnąć to frazą złożoną z kilku przypadkowych słów.

Brytyjskie NCSC promuje metodę „trzech losowych słów”, a NASK w zaleceniach z grudnia 2024 r. pisał o haśle-zdaniu z co najmniej pięciu słów. Obie rady prowadzą do tego samego: długość robi więcej niż wymyślne znaki. NCSC zwraca też uwagę, że podmiana liter na cyfry, np. „o” na zero, niewiele daje, bo atakujący znają te sztuczki, a Ty łatwiej zapominasz takie hasło.

Jak to zrobić w praktyce:

1. Wybierz 4–5 słów, które nie mają związku ze sobą ani z Tobą. Pomaga otwarcie książki lub słownika na przypadkowych stronach albo generator w menedżerze haseł.
2. Nie bierz cytatów, tytułów piosenek, nazw drużyn, imion dzieci ani zwierząt, dat i nazwy firmy. To pierwsze, co sprawdza atakujący, a część tych informacji leży w mediach społecznościowych.
3. Połącz słowa w jeden ciąg. Możesz je oddzielić spacją lub myślnikiem albo zacząć każde wielką literą, jeśli tak łatwiej Ci je czytać.
4. Policz znaki. Jeśli wychodzi mniej niż 14, dodaj kolejne słowo zamiast cyfry na końcu.

Przykład konstrukcji, nie hasła do skopiowania: [przedmiot z kuchni] + [zjawisko pogodowe] + [zawód] + [nazwa rośliny]. Każde słowo wybierasz samodzielnie i losowo. Hasło z artykułu, nawet bardzo długie, przestaje być bezpieczne w chwili publikacji.

Na pamięć musisz znać tylko kilka haseł: do komputera, do poczty i do menedżera haseł. Resztę może wygenerować menedżer jako losowy ciąg, którego nie musisz znać na pamięć.

Bezpieczne hasło: ile znaków?

Tu polskie poradniki się różnią i stąd bierze się zamieszanie. Różnice wynikają głównie z dat publikacji: zalecenia z czasem idą w stronę dłuższych haseł.

14 znaków

minimalna długość hasła według CERT Polska, podniesiona z 12 znaków w czerwcu 2025 r.

CERT Polska, Rekomendacje techniczne dla systemów uwierzytelniania

ok. 1 mln

najpopularniejszych haseł z wycieków w polskim słowniku haseł opublikowanym przez CERT Polska

CERT Polska, Co wycieki danych mówią o hasłach

13%

znanych wektorów wejścia w naruszeniach to nadużycie danych logowania, rok wcześniej najczęstszy wektor

Verizon, DBIR 2026

Co z tego wynika dla firmy? Przyjmij 14 znaków jako minimum, bo tyle zalecają dziś zarówno CERT Polska, jak i NASK. Jeśli jakiś system przyjmuje logowanie samym hasłem, bez drugiego składnika, amerykański NIST idzie o krok dalej i wymaga 15 znaków. Starsze materiały z 8 czy 12 znakami nie są błędne w intencji, po prostu zostały wyprzedzone.

Dlaczego jedno hasło do wielu kont to największy problem

Nawet bardzo długie hasło nic nie da, jeśli to samo hasło działa w poczcie służbowej, w sklepie internetowym i w aplikacji do zamawiania jedzenia. Gdy wycieknie baza któregoś z tych serwisów, przestępcy automatycznie próbują tej samej pary login i hasło w setkach innych miejsc. Ten atak nazywa się credential stuffing.

CERT Polska opisuje to wprost: jeśli ktoś użył takiego samego lub podobnego hasła w innym serwisie, z którego hasła wyciekły, atakujący łatwo przygotuje krótką listę haseł do sprawdzenia. Co dzieje się z hasłami po wycieku i jak bronią się przed tym administratorzy, opisujemy w artykule o credential stuffingu. Drugą drogą wycieku jest złośliwe oprogramowanie kradnące hasła z przeglądarki, o którym piszemy w tekście jak działa infostealer.

Dla pracownika wniosek jest prosty: hasło do konta firmowego nigdy nie trafia nigdzie indziej, nawet w lekko zmienionej wersji z inną cyfrą na końcu.

Menedżer haseł w firmie

Kilkadziesiąt unikalnych, długich haseł to za dużo dla ludzkiej pamięci, więc potrzebne jest narzędzie. NASK opisuje menedżer haseł jako miejsce, które przechowuje dane logowania i generuje silne hasła, a Ty pamiętasz tylko jedno hasło główne. CERT Polska dodaje, że dobrze sprawdzają się też menedżery wbudowane w przeglądarki i telefony.

W firmie lepiej, żeby wybór nie należał do każdego z osobna. Dział IT wskazuje jedno narzędzie, a pracownicy wiedzą, gdzie trzymać hasła służbowe. Ustal kilka zasad:

• Hasło główne do menedżera to najdłuższa fraza, jaką znasz, i jedyne hasło, którego nie zapisujesz nigdzie indziej.
• Menedżer musi być chroniony drugim składnikiem logowania. Więcej o rodzajach drugiego składnika piszemy w artykule o weryfikacji dwuetapowej.
• Konta współdzielone, np. do profilu firmy w mediach społecznościowych, udostępnia się przez menedżer, a nie mailem, czatem czy kartką.
• Hasła służbowe nie lądują w prywatnym menedżerze ani w przeglądarce na prywatnym komputerze.

W artykule o cyberhigienie w firmie proponujemy 20-minutowy warsztat instalacji menedżera. Ten tekst idzie krok dalej: chodzi o to, żeby po warsztacie zostały spisane zasady, a nie tylko zainstalowana aplikacja.

Czy zmieniać hasła co 30 albo 90 dni?

Nie, jeśli nie ma powodu. Wymuszona zmiana co miesiąc lub co kwartał była przez lata standardem, ale dziś odradzają ją wszystkie trzy główne źródła.

NIST SP 800-63B-4 wprost zakazuje wymagania okresowej zmiany haseł i nakazuje wymusić zmianę tylko wtedy, gdy są dowody, że hasło zostało skompromitowane. CERT Polska w rekomendacjach dla administratorów pisze, że system nie powinien wymuszać okresowej zmiany. NASK w zaleceniach z grudnia 2024 r. tłumaczy dlaczego: częsta zmiana prowadzi do coraz prostszych haseł. W praktyce wygląda to tak, że „Wiosna2026” zmienia się w „Lato2026”.

Hasło zmieniasz natychmiast w trzech sytuacjach: gdy podejrzewasz, że ktoś je poznał, gdy serwis poinformował o wycieku albo gdy wpisano je na stronie, która okazała się fałszywa.

Polityka haseł w firmie: co w niej zapisać

Polityka haseł nie musi mieć dziesięciu stron. Pracownik powinien przeczytać ją w pięć minut, a administrator wdrożyć bez zgadywania, o co chodzi. Niezależnie od tego, z jakich systemów korzystacie, warto zawrzeć w niej te punkty:

• Długość: minimum 14 znaków dla haseł pracowniczych, możliwość ustawienia hasła o długości co najmniej 64 znaków.
• Złożoność: brak obowiązku używania cyfr, wielkich liter i znaków specjalnych. Zachęta do haseł z kilku słów.
• Blokada słabych haseł: system odrzuca hasła z listy popularnych i wyciekłych haseł. CERT Polska udostępnia w tym celu polski słownik około miliona najczęstszych haseł z wycieków. Do listy dopisz nazwę firmy i jej produktów.
• Zmiana hasła: bez wymuszonej okresowej zmiany, obowiązkowa zmiana przy podejrzeniu wycieku.
• Unikalność: zakaz używania hasła służbowego w jakimkolwiek innym serwisie.
• Przechowywanie: jeden firmowy menedżer haseł, zakaz trzymania haseł w plikach, notatkach i na kartkach przy monitorze. System pozwala wklejać hasło, żeby menedżer działał.
• MFA: obowiązkowa w poczcie, zdalnym dostępie, systemach chmurowych i menedżerze haseł.
• Udostępnianie: nikt, także „dział IT” przez telefon, nie prosi o Twoje hasło. Konta współdzielone tylko przez menedżer.
• Wyciek: komu i jak zgłosić podejrzenie, w jakim czasie.

Ostatni punkt jest najczęściej pomijany, a to on decyduje, czy pracownik zgłosi problem w ciągu godziny, czy po tygodniu.

Co zrobić, gdy hasło wyciekło

Pracownik nie musi rozumieć, jak działa rynek wykradzionych danych. Musi znać kolejność kroków:

1. Zmień hasło do konta, którego dotyczy wyciek, i do każdego innego, w którym działa to samo lub podobne hasło.
2. Włącz weryfikację dwuetapową, jeśli jeszcze jej nie masz. CERT Polska zbiera instrukcje dla popularnych serwisów pod adresem cert.pl/2etapy.
3. Zgłoś sprawę w firmie, nawet jeśli wyciek dotyczy konta prywatnego, a hasło było podobne do służbowego. Zespół IT sprawdzi, czy ktoś nie próbował się logować.
4. Jeśli doszło do oszustwa lub ataku, incydent można zgłosić do CERT Polska przez stronę incydent.cert.pl.

Istnieją serwisy, w których sprawdzisz, czy Twój adres e-mail pojawił się w znanych wyciekach, ale obejmują one tylko część publicznie dostępnych baz. Firma, która chce wiedzieć o wyciekach danych logowania pracowników zanim zrobią z nich użytek przestępcy, potrzebuje stałego monitoringu. Piszemy o tym w artykule o monitorowaniu wycieków danych.

Pamiętaj też, że hasło często wycieka nie z bazy serwisu, ale prosto od pracownika: przez fałszywą stronę logowania albo telefon od rzekomego konsultanta. Jak działają takie manipulacje, wyjaśniamy w tekście o socjotechnice.

Jak przećwiczyć bezpieczne hasła w zespole

Zasady same się nie przyjmą. Wystarczy jedno spotkanie na 30 minut, podzielone na trzy części.

Po spotkaniu wyślij zespołowi jedną stronę z polityką haseł. Po miesiącu zadaj w krótkim quizie dwa pytania: ile znaków ma mieć hasło i co robisz, gdy serwis informuje o wycieku. Szybki test poziomu wiedzy możesz też zrobić naszym quizem.

Jak to wygląda w Akademii ZeroLayer

Akademia ZeroLayer uczy nawyków, a nie zarządza hasłami: nie sprawdza haseł pracowników i nie monitoruje wycieków, to zadanie działu IT i narzędzi technicznych. Zajmuje się tym, co po stronie człowieka. Temat haseł i logowania omawiają mikrolekcje wideo, gry i quizy, a symulacje phishingu pokazują w praktyce, jak wygląda fałszywa strona logowania, na której hasło najczęściej trafia do przestępców.

Nowi pracownicy przechodzą podstawy w ścieżce onboardingowej, a ścieżki dla ról pozwalają dodać więcej treści osobom z dostępem do systemów administracyjnych. Automatyczne przypomnienia pilnują terminów, każdy uczestnik dostaje certyfikat z numerem, a panel dyrektora pokazuje postępy zespołów i generuje raporty ze szkoleń. Listę tematów znajdziesz w sekcji tematy szkoleń, a możliwość bezpłatnego pilotażu dla jednego działu na 30 dni w sekcji Warianty.

Najczęściej zadawane pytania

Jak stworzyć bezpieczne hasło, które łatwo zapamiętać?

Połącz cztery lub pięć losowych, niezwiązanych ze sobą słów w jedną frazę o długości co najmniej 14 znaków. Unikaj cytatów, imion, dat i nazwy firmy, a podmiana liter na cyfry niewiele dodaje. Takie hasło zapamiętasz łatwiej niż krótki ciąg znaków specjalnych, a pozostałe hasła niech wygeneruje i przechowuje menedżer haseł.

Ile znaków powinno mieć silne hasło?

CERT Polska i NASK zalecają dziś co najmniej 14 znaków. Starsze materiały mówią o 8 lub 12 znakach, bo powstały wcześniej: CERT Polska podniósł swoje minimum z 12 do 14 znaków w czerwcu 2025 r. Amerykański NIST wymaga 15 znaków, gdy hasło jest jedynym zabezpieczeniem konta.

Czy hasło musi zawierać znaki specjalne i cyfry?

Nie musi. CERT Polska w rekomendacjach dla administratorów odradza wymaganie znaków specjalnych, cyfr i wielkich liter, a NIST zakazuje takich reguł złożoności. Długość ma większe znaczenie niż skomplikowanie, więc lepiej dodać kolejne słowo niż wykrzyknik na końcu.

Jak często zmieniać hasło w firmie?

Tylko wtedy, gdy jest powód: podejrzenie, że ktoś poznał hasło, informacja o wycieku albo wpisanie hasła na fałszywej stronie. CERT Polska, NASK i NIST odradzają wymuszanie okresowej zmiany co 30 czy 90 dni, bo prowadzi to do przewidywalnych, coraz prostszych haseł.

Czy menedżer haseł jest bezpieczny?

CERT Polska i NASK zalecają menedżery haseł, bo pozwalają mieć osobne, długie hasło do każdego konta. Warunkiem jest mocne hasło główne i włączona weryfikacja dwuetapowa do samego menedżera. W firmie najlepiej, gdy dział IT wskaże jedno narzędzie dla wszystkich pracowników.

Źródła

• Zadbaj o bezpieczne hasła i logowanie — CERT Polska, stan na październik 2026
• Rekomendacje techniczne CERT Polska dla systemów uwierzytelniania — CERT Polska, 10 stycznia 2022, aktualizacja czerwiec 2025
• Co wycieki danych mówią o hasłach — CERT Polska, 10 stycznia 2022
• Silne hasło to podstawa. Sprawdź, czy dobrze je wybierasz — NASK, 2 października 2026
• Jak teraz tworzyć bezpieczne hasła. Nowe zalecenia — NASK, 31 grudnia 2024
• Jak utworzyć bezpieczne hasło – wskazówki — Baza wiedzy, gov.pl, bez daty
• SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management — NIST, lipiec 2025
• Three random words — NCSC (Wielka Brytania), 21 grudnia 2021
• 2026 Data Breach Investigations Report: Executive Summary — Verizon Business, 2026