Pracownik dostaje komunikat: „Twoje hasło wygasa za 3 dni”. Zmienia Lato2026! na Lato2026!!, a po kolejnych dziewięćdziesięciu dniach na Jesien2026!. Polityka bezpieczeństwa jest spełniona, a firma nie jest bezpieczniejsza ani o jotę. Takie zasady wciąż działają w wielu małych firmach, bo ktoś kiedyś je ustawił i nikt do nich nie wrócił.
Tymczasem organizacje, które ustalają standardy bezpieczeństwa, od kilku lat idą w przeciwną stronę. Pokazujemy, co dokładnie piszą w swoich dokumentach, i jak z tego zbudować politykę haseł, którą da się wdrożyć w firmie bez działu IT.
1. Skąd wziął się zwyczaj zmiany hasła co 90 dni
Zasada „zmieniaj hasło co 30, 60 lub 90 dni” wygląda rozsądnie: skoro hasło mogło wyciec, lepiej je co jakiś czas wymienić. Problem w tym, że w praktyce działa to inaczej niż w teorii.
Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) opisuje to bez owijania w bawełnę. W swoim poradniku dla organizacji pisze, że regularna zmiana haseł szkodzi bezpieczeństwu zamiast je poprawiać. Podaje pięć powodów, dla których wymuszone wygasanie nie daje realnej korzyści:
- użytkownik wybierze nowe hasło, które jest tylko drobną wariacją starego,
- skradzione hasła zwykle wykorzystuje się natychmiast, więc zmiana „po 90 dniach” przychodzi za późno,
- reset hasła nie mówi nic o tym, czy do włamania faktycznie doszło,
- atakujący z dostępem do konta najpewniej dostanie też prośbę o zmianę hasła,
- jeśli hasło wyciekło z niebezpiecznego miejsca przechowywania (kartka, plik), nowe hasło trafi dokładnie tam samo.
Regularne zmienianie haseł szkodzi, a nie poprawia bezpieczeństwa. Wymuszanie zmian co 30, 60 czy 90 dni to obciążenie dla użytkowników i koszty odzyskiwania kont. — NCSC (Wielka Brytania), poradnik „Updating your approach” dotyczący haseł, tłumaczenie własne
Do tego dochodzi czynnik ludzki. Człowiek, który ma pamiętać nowe hasło co kwartał, zapisze je na karteczce albo doda do starego cyfrę. Cel polityki (hasła trudne do odgadnięcia) przegrywa z jej skutkiem ubocznym (hasła przewidywalne).
2. Co mówi NIST — aktualny standard z lipca 2025
NIST to amerykański Narodowy Instytut Standardów i Technologii, instytucja rządowa. Jego dokument o tożsamości cyfrowej (oznaczony SP 800-63B) opisuje, jak systemy mają sprawdzać, kim jest logujący się użytkownik. Ważne zastrzeżenie: dokument powstał dla systemów administracji federalnej USA, więc nie jest przepisem obowiązującym polską firmę. Traktujemy go jako punkt odniesienia i źródło uzasadnień, nie jako obowiązek.
W lipcu 2025 roku NIST opublikował wersję 4 tego dokumentu (SP 800-63B-4), która zastępuje poprzednią. Zapisy dotyczące haseł wyglądają tak:
| Temat | Co mówi NIST (SP 800-63B-4, lipiec 2025) |
|---|---|
| Minimalna długość hasła, gdy jest jedynym zabezpieczeniem | co najmniej 15 znaków |
| Minimalna długość hasła, gdy jest tylko jednym z elementów logowania wieloskładnikowego | co najmniej 8 znaków |
| Maksymalna długość | system powinien dopuszczać co najmniej 64 znaki |
| Wymagania „wielka litera, cyfra, znak specjalny” | zakazane — nie wolno narzucać dodatkowych reguł składu hasła |
| Okresowa zmiana hasła | zakazana — zmianę trzeba wymusić tylko, gdy są dowody, że hasło wyciekło |
| Lista zakazanych haseł | obowiązkowe sprawdzanie nowego hasła z listą haseł popularnych i znanych z wycieków |
| Podpowiedzi do hasła i pytania typu „imię pierwszego zwierzaka” | zakazane |
Dwie rzeczy w tej tabeli zaskakują właścicieli firm najbardziej. Po pierwsze, dokument wprost zakazuje okresowej zmiany haseł. Po drugie, zakazuje też wymagań co do „skomplikowania” hasła.
Uzasadnienie znajduje się w załączniku dokumentu. NIST pisze, że użytkownicy reagują na reguły składu w bardzo przewidywalny sposób: ktoś, kto wybrałby „password”, po wprowadzeniu wymogu wielkiej litery i cyfry wybierze „Password1”, a po dodaniu wymogu znaku specjalnego — „Password1!“. Atakujący znają te schematy.
Ludzie wybierają hasła w sposób przewidywalny. Kto wybrałby „password”, dostawszy wymóg wielkiej litery i cyfry, wpisze „Password1”, a przy wymogu symbolu — „Password1!“. — NIST, SP 800-63B-4, załącznik A (Siła haseł), tłumaczenie własne
Jest tu też ważne zdanie o tym, czego długie hasło nie załatwi. NIST przypomina, że podsłuchanie klawiatury, wyłudzenie hasła fałszywą stroną (phishing) i oszustwa socjotechniczne działają równie dobrze na hasła długie i skomplikowane, jak na proste. Samo hasło, niezależnie od jakości, nie jest odporne na wyłudzenie. Dokument stwierdza to wprost: hasła nie są odporne na phishing.
Lista zakazanych haseł zamiast reguł składu
NIST wskazuje inny mechanizm niż „wielka litera i cyfra”. Przy zakładaniu lub zmianie hasła system porównuje je z listą haseł zakazanych. Na liście mogą być hasła znane z wcześniejszych wycieków, słowa ze słownika oraz słowa związane z kontekstem: nazwa usługi, nazwa użytkownika i ich pochodne. Porównuje się całe hasło, a nie jego fragmenty. Jeśli hasło jest na liście, system odrzuca je i podaje użytkownikowi powód.
Dla właściciela firmy oznacza to konkret: dobry system logowania odmawia hasła „NazwaFirmy2026”, zanim pracownik w ogóle zdąży je zapisać.
NIST dodaje przy tym ważną uwagę praktyczną: lista nie musi być gigantyczna. Dokument zauważa, że bardzo duże listy zakazanych haseł dają niewiele dodatkowej ochrony, bo służą do obrony przed zgadywaniem przez internet, a to i tak ogranicza limit prób logowania. Lista powinna być na tyle duża, żeby odsiać hasła, które atakujący zdążyliby zgadnąć, zanim system zablokuje kolejne próby. Brytyjskie NCSC podpowiada podobnie, że listę można oprzeć na publikowanych zestawieniach popularnych haseł albo dopasować do własnej organizacji.
3. Czym NCSC zastępuje wymuszanie zmian
Samo skreślenie punktu „zmiana co 90 dni” z regulaminu niczego nie poprawia. Zasada ma sens tylko wtedy, gdy w jej miejsce wchodzą mechanizmy, które realnie wykrywają i ograniczają przejęcie konta. NCSC wymienia je wprost: zamiast wymuszać wygasanie haseł, firma powinna
- mieć sprawny proces dla osób odchodzących i zmieniających stanowisko,
- automatycznie blokować konta nieużywane od dłuższego czasu,
- monitorować logowania pod kątem podejrzanych zdarzeń (nietypowe godziny, logowanie z nowych urządzeń),
- zachęcać pracowników do zgłaszania podejrzanych sytuacji.
Dodatkowo NCSC zaleca logowanie wieloskładnikowe (MFA), czyli takie, w którym oprócz hasła potrzebny jest drugi element, na przykład kod z aplikacji. Wtedy samo przejęte hasło jest dla atakującego dużo mniej warte. Zasada zmiany hasła pozostaje w mocy w jednej sytuacji: gdy wiesz lub podejrzewasz, że hasło wyciekło, zmiana jest konieczna. W tym samym duchu NIST każe wymusić zmianę hasła, gdy są dowody jego przejęcia.
Ograniczanie liczby prób zamiast skomplikowanych haseł
Obrona przed zgadywaniem hasła nie musi opierać się na tym, że hasło jest „wyszukane”. NCSC opisuje dwa sposoby ograniczania prób. Pierwszy to rosnące opóźnienie między kolejnymi nieudanymi próbami logowania (system „zwalnia” atakującego, a zapominalski pracownik ma kilka szans). Drugi to blokada konta po określonej liczbie błędów. NCSC preferuje pierwszy, bo blokada może zostać wykorzystana do zablokowania komuś dostępu na złość. Jeśli firma stosuje blokadę, brytyjskie zalecenie to pozwolić na 5 do 10 prób, zanim konto zostanie zamrożone.
Trzy losowe słowa
Co ma zastąpić „Lato2026!“? NCSC proponuje technikę „trzech losowych słów”: hasło złożone z trzech niepowiązanych ze sobą wyrazów jest długie, a jednocześnie łatwe do zapamiętania. Zamiast prosić ludzi o wymyślanie skomplikowanych znaków, daje się im prostą metodę na długie hasło. NCSC dodaje do tego rozsądne zastrzeżenie: wymagaj minimalnej długości, ale nie narzucaj górnego limitu.
4. Jak ustawić politykę haseł w firmie — pięć kroków
Poniżej propozycja polityki dla firmy, która nie ma etatowego informatyka. Opieramy ją wyłącznie na zapisach opisanych wyżej. To nie jest gotowy dokument prawny, tylko szkielet do dopasowania do własnych systemów.
1. Ustal minimalną długość i zrezygnuj z reguł składu
Jeśli hasło jest jedynym zabezpieczeniem konta, NIST wskazuje minimum 15 znaków. Jeśli konto chroni jeszcze drugi składnik (MFA), minimum 8 znaków jest akceptowalne, ale nic nie stoi na przeszkodzie, żeby wymagać więcej. Nie dopisuj „musi zawierać wielką literę, cyfrę i symbol” — NIST tego zakazuje, a NCSC odradza.
Rozwiązanie: wpisz do polityki: „hasło ma mieć co najmniej 15 znaków, dowolnych, w tym spacje” i pozwól na frazy.
2. Zrezygnuj z okresowej zmiany, wprowadź zmianę „na zdarzenie”
Usuń z polityki zapis o wymianie haseł co 90 dni. Zastąp go listą zdarzeń, które wymuszają zmianę: podejrzenie wycieku, utrata urządzenia, odejście osoby, która znała wspólne hasło, komunikat od dostawcy usługi o naruszeniu.
Rozwiązanie: przypisz jedną osobę, która ogłasza taką zmianę i sprawdza, że została wykonana.
3. Włącz logowanie wieloskładnikowe tam, gdzie jest najwięcej do stracenia
Zacznij od poczty, kont administracyjnych, bankowości i systemu księgowego. NIST wymaga od systemów o wyższych wymaganiach, żeby oferowały przynajmniej jedną metodę odporną na phishing. Jeśli chcesz pójść w tym kierunku, zajrzyj do naszego opisu passkeys i bezhasłowego logowania, czyli właśnie metody odpornej na wyłudzenie.
Rozwiązanie: sprawdź w panelu poczty firmowej i w panelu banku, czy MFA jest dostępne w abonamencie, który masz. Jeśli nie, to argument przy kolejnej rozmowie z dostawcą.
4. Daj ludziom narzędzie do przechowywania haseł
NCSC zaleca menedżery haseł jako bezpieczne miejsce na hasła i generator unikalnych, losowych haseł. Jeśli firma musi współdzielić jakieś konto, menedżer pozwala robić to kontrolowanie, a NCSC zaleca w pierwszej kolejności delegowanie uprawnień zamiast dzielenia się jednym hasłem. Wybór konkretnego programu opisaliśmy w osobnym tekście o menedżerach haseł dla firmy.
Ostrzeżenie: wspólne konto, do którego hasło zna kilka osób, niszczy możliwość ustalenia, kto co zrobił. NCSC zwraca uwagę, że przy współdzielonych hasłach znika możliwość audytu działań konkretnego użytkownika. Gdy ktoś traci prawo dostępu, hasło trzeba zmienić.
Rozwiązanie: spisz, które konta w firmie są dziś współdzielone, i dla każdego wybierz: delegowanie uprawnień, osobne konta albo menedżer z kontrolą dostępu.
5. Zmień hasła domyślne i przejrzyj dostęp po odejściach
NCSC przypomina, że każde fabryczne hasło producenta (routery, drukarki, kamery, panele administracyjne) trzeba zmienić przed uruchomieniem urządzenia. Równie ważny jest proces odejść: gdy pracownik opuszcza firmę, konta, do których miał dostęp, trzeba zamknąć lub przepiąć. Ten krok zastępuje wymuszoną zmianę haseł, bo właśnie na takie ryzyko odpowiada. Szerszy obraz zagrożeń (phishing, ransomware) opisujemy w tekście o cyberbezpieczeństwie w codziennej pracy MŚP.
Rozwiązanie: zrób listę „wszystkie systemy, do których ma dostęp pracownik” i trzymaj ją aktualną. Bez niej proces odejść nie działa.
5. Pułapki wdrożenia: Microsoft 365 i reakcja zespołu
Ustawienia domyślne w Microsoft 365
Jeśli firma korzysta z Microsoft 365, hasła użytkowników obsługuje system Microsoft Entra ID. Dokumentacja Microsoftu opisuje dwie rzeczy, które warto sprawdzić.
Po pierwsze, wygasanie haseł. Wg dokumentacji Microsoft Learn domyślnie hasła nie wygasają. Wyjątek dotyczy firmowych środowisk założonych przed 2021 rokiem, gdzie domyślnie obowiązuje wygasanie po 90 dniach. Jeśli konto Microsoft w Twojej firmie powstało dawno temu, wartość mogła zostać ze starych czasów. Sprawdza ją administrator, a zmienia się ją poleceniem w PowerShell, więc to zadanie dla osoby technicznej lub Twojego dostawcy IT.
Po drugie, reguły składu hasła. Ta sama dokumentacja podaje, że Microsoft wymaga od haseł co najmniej 8 znaków oraz znaków z trzech z czterech grup (małe litery, wielkie litery, cyfry, symbole), a większości tych ustawień nie da się zmienić. Oznacza to, że nie wszystkie zalecenia NIST da się wdrożyć jednym kliknięciem w każdym systemie. To dobry argument za tym, żeby ciężar bezpieczeństwa przenieść z samego hasła na logowanie wieloskładnikowe i monitorowanie.
Ostrzeżenie: nie ustawiaj w polityce wymagań, których firmowy system nie potrafi egzekwować, ani nie obiecuj pracownikom „zniesienia reguł”, jeśli panel dostawcy ich nie pozwala wyłączyć. Najpierw sprawdź, co faktycznie da się skonfigurować.
Jak przedstawić zmianę zespołowi
Zmiana polityki haseł bywa trudniejsza do wprowadzenia od samej technologii, bo pracownicy są przyzwyczajeni do dotychczasowych zasad. Trzy rzeczy ułatwiają sprawę:
- Powiedz, dlaczego. Jedno zdanie o tym, że organizacje takie jak NIST i NCSC wprost odradzają okresową zmianę haseł, zdejmuje z ludzi poczucie, że „dziwna zmiana” jest czyimś widzimisię.
- Nie wymuszaj zmiany wszystkich haseł naraz. Hasła, które dziś są słabe (krótkie, popularne, powtarzane w kilku serwisach), warto wymienić w pierwszej kolejności. Pozostałych nie trzeba ruszać tylko dlatego, że „minął kwartał”.
- Pokaż jedną prostą metodę. Technika trzech losowych słów albo generator w menedżerze haseł to konkretne narzędzia, a nie ogólne „wymyśl dobre hasło”.
- Zlikwiduj pytania pomocnicze i podpowiedzi. Pytania w stylu „imię pierwszego zwierzaka” oraz zapisane podpowiedzi do hasła NIST wprost wyklucza. Jeśli któryś z Waszych systemów je oferuje, wyłącz je albo wybierz taką opcję odzyskiwania konta, która ich nie wymaga.
Po wdrożeniu nowych zasad wróć do tematu po miesiącu i sprawdź jedną rzecz: czy ktokolwiek nadal trzyma hasła na karteczkach lub w niezabezpieczonym pliku. NCSC zwraca uwagę, że hasło zapisane w niebezpiecznym miejscu pozostaje zagrożone bez względu na to, jak często je zmieniasz. To lepszy wskaźnik jakości polityki niż liczba wymuszonych zmian.
Podsumowanie
- Okresowa zmiana haseł (co 30, 60 czy 90 dni) nie jest już zalecana. NIST (lipiec 2025) jej zakazuje, a NCSC mówi wprost, że szkodzi.
- Reguły składu („wielka litera, cyfra, symbol”) też są odradzane. Użytkownicy odpowiadają na nie przewidywalnymi wariacjami typu „Password1!“.
- Liczy się długość: NIST wskazuje co najmniej 15 znaków dla hasła, które jest jedynym zabezpieczeniem, i dopuszczanie co najmniej 64.
- Zmianę hasła wymuszaj wtedy, gdy pojawia się dowód lub podejrzenie wycieku, albo gdy ktoś traci dostęp.
- Zamiast wygasania haseł wdróż: proces odejść, blokadę kont nieużywanych, monitorowanie logowań i logowanie wieloskładnikowe.
- Sprawdź ustawienia Microsoft 365 i innych systemów: starsze środowiska mogą wciąż wymuszać 90 dni, a niektórych reguł nie da się wyłączyć.
Wskazówka: zacznij od jednej rzeczy, która da największy efekt przy najmniejszym nakładzie, czyli od włączenia logowania wieloskładnikowego na poczcie firmowej i koncie administratora. Reszta polityki może poczekać do przyszłego tygodnia.