- Střípky z Legal Tech
Jak na správu hesel v advokátní kanceláři
- 14 června, 2023
- Petra Krupičková
Používáte dostatečně silná hesla? Máte na každou aplikaci jiné heslo? Pamatujete si je všechny nebo je máte uložené v rámci Google účtu? Věříte svému vyhledávači s informacemi, u kterých máte povinnost mlčenlivosti? Sdílíte svá hesla se svými spolupracovníky? A sdíleli jste je i se studentem, který u vás pracoval minulé léto? Změnili jste hesla po jeho odchodu?
Bohužel kybernetické útoky se nevyhnou ani právní oblasti. Podle bezpečnostní zprávy America Bar Association z roku 2022 se již 27 % z dotazovaných advokátů stalo obětí kybernetického útoku.
Už měníte všechna hesla?
Jak vytvořit silné heslo
Následující sekce se může zdát jako zcela zbytečná. Všichni víme, že heslo by nemělo být „heslo“, „1234“ ani jméno uživatele.
Jenže společnost NordPass analyzovala údaje o více než 15 milionech narušení kybernetické bezpečnosti u společností z Fortune 500. U mnoha odvětví, i IT, je nejčastějším heslem slovo „password“ a u společností zabývajících se letectvím a kosmonautikou bylo nejčastější „123456“. Přeji příjemný let.
Silné heslo by mělo obsahovat:
- Alespoň šest znaků, ale čím více, tím lépe
- Kombinaci písmen, znaků a číslovek
- Kombinaci velkých a malých písmen
Většina správců hesel obsahuje i funkci generování jedinečných hesel.
Existují ale i skvělé bezplatné generátory náhodných hesel:
Hesla by rovněž měla být rozdílná pro každou používanou aplikaci. Právě s tímto úkolem pomohou nejlépe aplikace na správu hesel.
Rozdíl mezi správcem hesel, dvoufaktorovou autentizací a VPN
Správce hesel obsahuje centrální databázi všech vašich hesel. Klasickým příkladem jsou hesla uložená v rámci Chromu. Bohužel u nich je slabá bezpečnostní ochrana a rozhodně takové řešení nelze doporučit.
S vícefaktorovým ověřováním se všichni setkáváme u přihlašování do bankovních systémů. Ověření jedince je vedle přihlašovacího jména s heslem ověřeno ještě minimálně druhou informací (např. SMS na uvedené číslo nebo biometrickými údaji). Kvalitní správce hesel by měl obsahovat možnost vícefaktorového přihlášení do svého systému.
V souvislosti s kybernetickou bezpečností ale existují i produkty, které centrálně spravují přístup do aplikací a systému skrze vícefaktorové ověření pro všechny zaměstnance (např. JumpCloud, Okta nebo ESET Secure Authentication). Do určených aplikací se centrálně nelze přihlásit jinak. Jedná se o skvělé bezpečností řešení, časové i finanční náklady na implementování jsou nicméně mnohonásobně vyšší než u správce hesel.
VPN je zkratka pro anglický název Virtual Private Network (český překlad je virtuální privátní síť). VPN je používána jako ochrana dat při práci v rámci veřejné sítě Wi-Fi (např. práce v kavárně, hotelu nebo na letišti), nikoliv jako pomocník pro hesla. Skvělý přehled k výhodám a nevýhodám VPN lze nalézt na stránkách Avastu.
- Dávej kyber! (bezplatný online kurz od Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB)
- Základní příručka kybernetické bezpečnosti pro organizace (placená příručka)
- 2023 Law Firm Data Security Guide: How to Keep Your Law Firm Secure
- Small Business Guide: Cyber Security
Na co se zaměřit při výběru správce hesel
Začněme dobrou zprávou. Trh se správci hesel je neuvěřitelně různorodý a má i mnoho bezplatných produktů. Současně hlavní tahouni trhu jsou skutečně kvalitní produkty a záleží tak pouze na vašich preferencích a přáních.
- Uživatelsky přívětivá aplikace – čím těžší práce se správcem hesel, tím víc se bude stávat, že si vy i vaši zaměstnanci začnete ukládat hesla do super uživatelsky přívětivého Googlu Chromu. Ideální správce hesel by měl mít automatické vyplňování uložených hesel, rozšíření pro prohlížeče a správu hesel k aplikacím.
- Bezpečnostní parametry správce hesel – není nezbytné bát se aplikace na správu hesel, ale používat kvalitní. Absolutním základem kvalitního správce hesel by mělo být šifrování AES-256 a vícestupňové ověřování.
- Bezpečné sdílení hesel v rámci společnosti a možnost zaměstnanců ukládat si osobní hesla odděleně.
- Synchronizace hesel mezi více zařízeními – ani advokátní kancelář není nedobytná pevnost, ve které advokáti zasednou ráno ke svým počítačům a večer je zas vypnou. Vše se posouvá do cloudu a práce mimo kancelář je standard. Skvělým pomocníkem mohou být mobilní aplikace.
- Finanční stránka.
Nejlepší správci hesel
Kromě aplikace Keeper mají ostatní aplikace omezenou bezplatnou verzi s následujícími funkcemi/vlastnostmi:
- Vícestupňové ověřování a šifrování pomocí metody AES-256 (s výjimkou NordPass, která využívá modernější šifrovací metodu XChaCha20)
- Zero-knowledge policy, tedy neukládá vaše data ani nezpřístupňuje nikomu jinému.
- Neomezené množství uložených hesel
- Automatické vyplňování uložených hesel
- Rozšíření pro prohlížeče Chrome, Firefox, Edge, Safari
- Mobilní aplikaci pro iOS a Android – ale u některých produktů lze používat v bezplatné verzi pouze jedno zařízení nebo nelze využívat více zařízení ve stejné době.
- Funkci digitální peněženky na uložení čísel karet, účtů, PayPal login.
- Uložiště poznámek pro bezpečné ukládání citlivých údajů nebo kontaktů – uložiště ale může být omezeno prostorem.
- Generátor bezpečných hesel.
Bezplatná verze u Keeper umožňuje přístup k heslům pouze přes mobilní aplikaci a pro advokátní praxi ji považuji za zcela nepoužitelnou. Produkty však do hry vrátila jeho finančně výhodná nabídka pro malé kanceláře.
Střípek jsem začala psát ještě v rámci cestování po Jižní Americe a Dashlane si mě okamžitě získal funkcí VPN. Používání VPN, zejména pokud často pracujete mimo kancelář, je dalším základem pro zvýšení vaší kybernetické bezpečnosti. U Dashlane tak získáte doslova dva produkty v jednom za standardní cenu správce hesel, nemluvě ani o tom, že ceny standardních VPN jsou často mnohem vyšší.
Při detailnějším studiu nicméně Dashlane vyhrál bezkonkurenční možností sdílení hesel s neomezeným množstvím uživatelů už v bezplatné verzi pro jedno zařízení. Dashlane se tím stává jedním z nejlepších produktů pro malé kanceláře a spolupracující advokáty, kteří jen chtějí sdílet některá svá hesla.
Za zcela nevyhovující u bezplatné verze považuji nemožnost používání produktu na dvou a více zařízeních. Bezplatná verze je tak ideální pro advokáty hledající řešení pouze pro práci na počítači. Pokud ale ke svým produktům přistupujete i skrze mobilní telefon, budete si muset připlatit za prémiovou verzi. S velkou lítostí musím rovněž oznámit, že se jedná už o standardní řešení na trhu a používání více zařízení v bezplatném plánu umožňuje z uvedených produktů pouze Bitwarden a omezeně NordPass.
- Neomezená možnost sdílení hesel nebo poznámek s jiným uživatelem, a to už u bezplatné verze.
- VPN u prémiového individuálního plánu a u plánu pro týmy.
- V rámci business plánů lze nastavit admin účet s kontrolou hesel a aktivit uživatelů.
- U business plánů je možnost vytvářet soukromé složky s hesly.
- U prémiového individuálního účtu lze používat neomezené množství zařízení.
- Business plán Starter lze platit měsíčně, stejně tak jako individuální placené plány.
- U placeného plánu Business mohou zaměstnanci vytvořit až devět bezplatných účtů pro své rodinné příslušníky a přátele.
- U bezplatné verze lze používat jen jedno zařízení.
- Umožňuje obnovit master heslo pouze skrze biometriku v rámci aplikace. Pokud účet nemá nastavenou biometriku a aplikaci, pak nelze zapomenuté heslo jinak obnovit.
- U nejlevnějšího business plánu Starter je paušální cena $20 za měsíc a lze jej užívat do deseti uživatelů. Při nižším množstvím uživatelů se produkt již nemusí ekonomicky vyplatit. Post nejvýhodnějšího produktu pro malé kanceláře tak obsadil produkt Keeper s cenou $2 za uživatele/měsíc a minimálním počtem pěti uživatelů, což je klasická velikost malých českých advokátek.
- U Advanced individuálního plánu a u business plánu Starter není možnost bezplatné zkušební verze.
- Omezená bezplatná verze pro jedno zařízení.
- Placené individuální plány se dělí na i) Advanced (bez VPN) s cenou od $3.49/měsíc při měsíční platbě a ii) Premium (Advance s VPN) s cenou od $3.99/měsíc. Pří roční platbě je 20% sleva.
- V rámci business plánů jsou tři možnosti: i) Starter (bez VPN) s flat fee $20/až deset uživatelů, měsíční platba; ii) Team s cenou $5/uživatel/měsíc, lze ale objednat pouze s ročním předplatným; iii) Business s cenou $8/uživatel/měsíc, roční předplatné.
Bezplatná 30denní zkušební verze je dostupná jen pro Premium individuální plán. U business plánů Team a Business je zkušební doba jen 14 dní.
LastPass je dle mého osobního názoru uživatelsky nejpřívětivější správce hesel, který zde uvádím. Bez mučení přiznávám, že já jsem opravdu velký fanoušek tohoto produktu a sama jsem ho používala velmi dlouho.
V bezplatné verzi produkt umožňuje sdílet hesla s jedním uživatelem, čímž se stává zajímavým řešením pro advokáty s jedním zaměstnancem nebo partnerem. Současně LastPass nabízí příjemný program bezplatné aplikace pro rodiny zaměstnanců v rámci firemních balíčků.
Bohužel ale musím přiznat, že placený plán pro malé týmy nebo jednotlivce už začíná zaostávat za zajímavou nabídkou dodatečných funkcí u konkurence (Dashlane obsahuje neomezenou možnost sdílet hesla a VPN u placených verzí, Keeper má navíc KeeperChat). Rovněž business plán patří mezi dražší produkty a poměr cena/výkon pokulhává.
- U bezplatné verze je možnost sdílení hesel s jedním uživatelem.
- Různé možnosti, jak snadno a bezpečně obnovit zapomenuté master heslo (např. biometrika v aplikaci, SMS, jednorázové heslo pro obnovení).
- U týmového účtu si mohou uživatelé zřídit soukromou peněženku pro osobní hesla.
- U firemního účtu jsou již zřízeny samostatné účty pro jednotlivé uživatele.
- V rámci firemního plánu umožňuje LastPass správu přes centrální admin rozhraní.
- U firemního plánu mohou zaměstnanci vytvořit bezplatné účty pro své soukromé účely i rodinné příslušníky.
- U bezplatné verze nelze synchronizovat účet pro více zařízení. Po třech změnách zařízení se účet uzamkne a už se nepřihlásíte na žádném jiném zařízení.
- U bezplatné verze je úložiště pro poznámky omezeno na 50 MB.
- Není možnost měsíčního předplatného. LastPass umožňuje pouze roční předplatné a u business plánu umožňuje pouze 14denní zkušební verzi, což považuji za nedostačující u následného ročního závazku.
- Omezená bezplatná verze pro jednotlivce
- Pro osobní užití vychází prémiová verze na $2.90 za měsíc.
- Plán pro tým do 50 uživatelů – $3.90 za měsíc/uživatel
- Firemní plán je $5.70 za měsíc/uživatel.
Bezplatná zkušební verze je u individuálních placených plánů na 30 dnů a 14 dnů u business plánu.
NordPass je dlouhodobě v technických recenzích oceňován za vysokou úroveň bezpečnosti (viz recenze na cybernews.com nebo na safetydetectives.com). Společnost využívá šifrovací metodu XChaCha20, který je modernější alternativou k šifrování skrze AES-256. I mně osobně byl NordPass před mnoha lety doporučován v útrobách Paralelního Polisu jako nejbezpečnější správce hesel a sama jsem s ním začínala.
Bezpečnostní prvky NordPass nicméně dle mého názoru snižují uživatelskou přívětivost a já osobně je vidím trochu na škodu. Aplikace se po třiceti minutách automaticky vypíná a vyžaduje po mně opakované přihlášení.
NordPass je tak luxusním nástrojem, pokud je pro vás důležitá hlavně bezpečnost a nejste si pořád jisti, zda můžete věřit jedné aplikaci se všemi svými hesly. NordPass je produktem, který dokáže přesvědčit i nejzarytější odpůrce. Pokud ale toužíte i po uživatelsky přívětivém řešení, zkuste i jiné produkty.
- Bezprecedentní důraz na bezpečnost.
- Synchronizace skrze více zařízení, a to už u bezplatné verze. Sice nelze u bezplatné verze používat více zařízení ve stejném čase, na druhou stranu je to možné. Většina produktů na trhu totiž striktně limitují bezplatnou verzi pouze pro jedno zařízení.
- U Enterprise plánu umožňuje NordPass sdílení rozdílných složek s jinými uživateli. Na druhou stranu Enterprise plán je zejména pro velké společnosti nad 250 uživatelů.
- Dle mého osobního názoru slabší uživatelská intuitivnost.
- Produkt nemá ani v business plánu žádné oslnivé dodatečné funkce. Poměr cena/výkon ve srovnání s ostatními produkty už pokulhává.
- Není možnost měsíčního předplatného a u business plánu je zkušební doba rovněž pouze 14 dní.
- U placeného individuálního plánu lze používat jen šest zařízení najednou. U velké většiny konkurence však lze používat neomezené množství zařízení.
- Omezená bezplatná verze pro jednotlivce.
- Individuální tarif Premium (v jednu chvíli lze používat až na 6 zařízeních současně) je €1.99 za měsíc/uživatel při ročním předplatném.
- Business plán (do 250 uživatelů) stojí €3.59 za měsíc/uživatel při ročním předplatném.
- Enterprise plán nemá veřejnou cen
Bezplatná zkušební verze je u individuálních placených plánů na 30 dnů a 14 dnů u business plánu.
Keeper nemá funkční bezplatnou verzi pro advokátní praxi, neboť bezplatná verze je funkční pouze pro mobilní aplikaci. Společnost nicméně nabízí velmi zajímavý placený plán Business Starter do 10 uživatelů (minimum 5 uživatelů) za 2$ uživatel/měsíc. Jelikož klasická velikost malých českých advokátní kanceláří je kolem pěti advokátů a zaměstnanců, Keeper nabízí jedno z nejlevnějších řešení pro malé kanceláře.
Společnost nabízí i pět bezplatných rodinných účtů pro každého uživatele business plánu a už i u nejlevnějšího plánu Business Starter. U konkurenčního LastPass a Dashlane přitom takový benefit je až u nejdražších firemních plánů kolem 8$ uživatel/měsíc.
Jedinečnou funkcí u produktu je KeeperChat, aplikace pro šifrovanou komunikaci. Na druhou stranu lze souhlasit s názorem portálu safetydetectives.com, že konkurenční Dashlane nabízí za trochu dražší předplatné mnohem zajímavější VPN. K tomu KeeperChat pro firemní účely je placený add-on bez veřejné ceny.
Nutnost nákupu dodatečných add-ons pro služby, které jejich konkurence nabízí jako součást svých placených plánů, je základní nevýhoda Keeperu. V rámci těchto add-ons jsou i totiž produkty jako BreachWatch (dark web monitoring), Advanced Reporting and Alerts Module (ARAM) nebo úložný prostor, které jsou u všech konkurentů absolutním standardem placených verzí. Na první pohled levný Keeper se tak může značně prodražit.
- Pro malé kanceláře kolem pěti členů může být Business Starter jedním z nejvýhodnějších řešení.
- KeeperChat – lze službu propojit s aplikací na šifrovanou komunikaci.
- Bezplatná verze je funkční pouze pro mobilní zařízení.
- Úložný prostor, dark web monitoring a další služby je potřeba nakoupit jako dodatečný add-on.
- Není možné zvolit si měsíční platby, pouze roční předplatné a bezplatná zkušební doba je standardních 14 dnů, které osobně vidím jako nešťastné.
- Produkt pro osobní účely stojí $2.92 měsíčně.
- Pro firmy nabízí Keeper tři možnosti: i) Business Starter – $2 uživatel/měsíc pro max. deset uživatelů, minimum pět uživatelů; ii) Business – $3.75 uživatel/měsíc; iii) Enterprise – není veřejná cena.
Bezplatná zkušební verze je u placeného plánu u jednotlivců na 30 dnů a 14 dnů u business plánu.
Bitwarden je velmi bezpečný open source produkt, který je srovnatelný se svými klasickými komerčními konkurenty v top nejlepších produktech. Má vícestupňové ověřování a šifrování pomocí metody AES-256 a rozhodně bych se tohoto produktu nebála.
K tomu Bitwarden nabízí bezkonkurečně nejvýhodnější bezplatnou verzi pro jednotlivce a nejlevnější prémiovou nabídku pro jednotlivce ($10 za rok). Bezplatná verze nabízí mnoho služeb, které si u konkurence musí uživatel koupit, zejména neomezené užívání zařízení, které nabízí jako jediný v mém výběru. K tomu umožňuje v rámci bezplatné verze sdílet hesla s jedním uživatelem. Rovněž tzv. rodinná nabídka do šesti členů je finančně nejvýhodnější z výběru ($40 rok/šest uživatelů).
Velmi se i líbí funkce bezpečného šifrovaného posílání textu nebo dokumentů. Před odesláním lze v aplikaci nastavit expiraci linku, počet jednotlivců, kteří mohou link použít, a heslo. Text lze poslat jako email nebo generovat link, který lze poslat standardními komunikačními kanály. Příjemce zprávy nemusí mít účet u Bitwarden. V bezplatné verzi je možné posílat jen text. V prémiové verzi je už možné posílat i složky do velikosti 500 MB při posílání přes počítač, 100 MB při nahrání z mobilu.
Jako uživatel, který od správce hesel požaduje zejména uživatelsky nejpřívětivější vkládání a automatické vyplnění hesel, nicméně musím přiznat, že Bitwarden neprošel mým testem na jedničku, naopak značně propadl. Bitwarden není uživatelsky přívětivý.
Smrtící ránu ale Bitwarden zasadila jeho nemožnost obnovit zapomenuté master heslo. Neexistuje žádná forma obnovení účtu při ztrátě hesla, což v době různých metod vícestupňového ověření považuji za velmi nešťastné a zbytečné. Nicméně mohu vlastní zkušeností potvrdit, že pokud ztratíte hlavní heslo, tak se do svého účtu už nikdy, opravdu nikdy nepřihlásíte.
- U bezplatné verze je možné synchronizovat hesla u neomezeného množství zařízení.
- Zajímavá funkce šifrovaného posílání textu nebo dokumentů, bez nutnosti účtu u Bitwarden u příjemce zprávy.
- Prémiový účet pro jednotlivce stojí jen $10 za rok.
- U firemních plánů není omezení pro minimální nebo maximální množství uživatelů.
- Neumožňuje obnovit účet při zapomenutí master hesla.
- Uživatelsky není tak přívětivý jako jiné produkty.
- Nejlevnější firemní plán stojí $3 uživatel/měsíc, což je mnohem dražší než Dashlane nebo Keeper, ale nabídka služeb je slabší.
- Neumožňuje měsíční platby, pouze roční předplatné a bezplatná zkušební doba je pouhých 7 dnů, nejkratší z uvedených produktů.
- U prémiového individuálního plánu není žádná bezplatná zkušební doba.
- Produkt nabízí velmi kvalitní bezplatnou verzi pro neomezené množství zařízení.
- Prémiový účet pro jednotlivce stojí $10 za rok.
- Pro firmy existují dva balíčky: i) Team plán – $3 uživatel/měsíc; ii) Enterprise – $5 uživatel/měsíc.
Bezplatná zkušební doba je u firemních plánů pouhých 7 dnů.
Střípky vašich postřehů a zkušeností
V závěru jsem jako vždy zvědavá na vaše zkušenosti a postřehy. Napište mi do komentáře nebo na můj LinkedIn, jaký správce hesel používáte vy a jaké s ním máte zkušenosti.
Krásný zbytek den přeje
Sdílejte.
Je to jen malý klik pro vás, ale velký skok pro tento blog.
Tři produkty, které zpříjemnily květen jedné právničce
Květen je lásky čas, kde borový zaváněl háj a jedna zasněná právnička vám bez dalšího květnatého úvodu přináší výběr třech nejlepších produktů za minulý měsíc:
Tři produkty, které zpříjemnily duben jedné právničce
Duben má být měsícem zábavy, začínající aprílovými vtípky a končící pomyslným pálením studené zimy.
Tři produkty, které zpříjemnily březen jedné právničce
AI poslední měsíce vyskakovalo ze všech koutů LinkedInu, médii, představování produktů i akademických diskusí. I já, když jsem na treku v Patagonii potkala skupinku českých iťáků, nemohla odolat a AI neřešit.