Správce hesel se ve firmě stává společnou infrastrukturou: udržuje dostupné přístupy, přiděluje je oprávněným osobám a musí fungovat i při ztrátě zařízení nebo odchodu pracovníka. Tyto úkoly určují vhodnost cloudu nebo vlastního provozu.
Nejprve vyjasnit odpovědnost, potom vybrat produkt
Představte si podnik s deseti zaměstnanci: účtárna, asistence a vedení potřebují různé dodavatelské a správní přístupy. Při nepřítomnosti musí být možné zastoupení druhou osobou. Rozhodující jsou osobní účty, dohledatelná oprávnění ke sdílení a funkční obnova. Jeden soukromý trezor se společně známým hlavním heslem tyto požadavky nesplňuje.
Ve firmě například se 60 zaměstnanci často přibývá napojení na adresář, skupiny, více správcovských rolí a řízené nástupy a odchody. Tyto velikosti jsou hypotetické příklady, nikoli limity produktů. I malá firma může potřebovat složitá oprávnění. Vhodné řešení vychází z organizace.
Cloud, nebo vlastní provoz: kdo zajišťuje co?
U cloudové služby provozuje centrální platformu poskytovatel. Firma dále spravuje účty, zařízení, role, sdílení a nouzové postupy. Vlastní server navíc přesouvá instalaci, aktualizace, monitoring a obnovení provozu do vlastní odpovědnosti. Zajistit je může interní IT nebo dohodnutá externí podpora.
Vlastní hosting nabízí volnost v umístění serveru a připojení sítě. Bezpečnost nezvyšuje automaticky: zanedbanému serveru ani nepoužitelné záloze vlastní umístění nepomůže. Profesionálně provozovaná cloudová platforma zase nenahrazuje správné přidělování práv. Oba modely potřebují odpovědnou osobu a její zastupování.
Věcně posoudit čtyři poskytovatele
Následující výběr není žebříček. Obnovu, SSO, automatickou správu uživatelů a reporty je nutné ověřit pro konkrétní nabízený tarif. Funkce různých úrovní nejsou uváděny jako součást všech nabídek.
| Řešení | Srovnání provozního modelu | Funkční přístup | Ověřit v konkrétní nabídce |
|---|---|---|---|
| Bitwarden | Cloud nebo oficiální vlastní hosting | Organizace a kolekce pro společné přístupy. | Vhodná licence Enterprise pro firemní vlastní hosting; zásady, SSO a obnova. |
| 1Password | Spravovaná cloudová služba | Sdílené organizační trezory; volba datového regionu. | Oprávnění zvoleného tarifu, postup obnovy a případné napojení identity. |
| Keeper | Spravovaný cloudový trezor | Centrální správa uživatelů, rolí a týmů. | Potřebná rozšíření, převod účtu, role a skutečný datový region; místní doplňkové komponenty odděleně. |
| LastPass | Spravovaná cloudová služba | Firemní správa se skupinami a sdílenými složkami. | Rozdíly tarifů v zásadách, reportech a napojení adresáře; předem otestovat obnovu. |
U oficiálního vlastního provozu Bitwarden je třeba zvlášť řešit licenci. Aktuální návod uvádí organizace Families a Enterprise pro import na vlastní server; pro firmu se ověřuje vhodná smlouva Enterprise. Cloudová licence Teams tedy automaticky neopravňuje k rovnocenné vlastní organizaci. Údržba licencí a případná komunikace s cloudem zůstávají samostatnými provozními úkoly. Bitwarden: vlastní provoz organizací (externí odkaz), Bitwarden: licence (externí odkaz).
Komunitní implementace s podobným protokolem je samostatný projekt. Nelze z ní odvodit oficiální podporu výrobce ani stejné funkce Enterprise. Kdo tuto cestu zvažuje, ověřuje údržbu, kompatibilitu a odpovědnost zvlášť.
Celkové náklady nejsou jen na stránce s cenami
Porovnávejte stejné požadavky za společné období. Zahrňte uživatelské licence, nezbytné doplňky, zavedení, distribuci na zařízení, školení a průběžnou správu. Vlastní provoz přidává serverové prostředky, aktualizace, zálohy, monitoring, testy obnovy a zastupování. Již dostupný hardware tuto práci nečiní bezplatnou.
Spolehlivé srovnání určí také osobu reagující na poruchu a dohodnutou dobu obnovení provozu. Ceny, fakturační období, minimální množství a rozsah podpory se ověřují v konkrétní nabídce. Článek proto neuvádí domněle trvalé ceníkové ceny ani univerzálního vítěze.
Role, MFA a obnova patří do pilotu
Malý pilot má zahrnovat běžné pracoviště, oprávněného zástupce a správcovskou roli. Ověřte společný přístup, změnu oprávnění, ztrátu zařízení a odchod testovacího uživatele. Pro každodenní práci i zvlášť rozsáhlá správcovská oprávnění se zvolí vhodné vícefaktorové metody.
Obnova není jednotná vlastnost produktu: kdo dokáže obnovit přístup ke kterému účtu nebo firemním datům? Musí se funkce předem aktivovat? Jaké nezávislé přístupové prostředky jsou nutné? Nouzová cesta nesmí být uložena pouze v trezoru, který má znovu otevřít. Vlastní servery potřebují i otestovanou obnovu ze zálohy.
Odebraná práva k trezoru neodstraní již zkopírovaná hesla z paměti ani dalších souborů. U společných cílových účtů proto může být nutná změna hesla ve skutečné službě. Pokud služba podporuje osobní účty, individuální identity poskytují lépe dohledatelný základ.
Posoudit také umístění serveru, smlouvy a změnu poskytovatele
Volitelné evropské úložiště je technickým kritériem výběru. Nenahrazuje posouzení smlouvy, subdodavatelů, přístupů podpory a skutečných datových toků. I vlastní server může potřebovat externí služby pro licence, zprávy nebo identity. Z označení „cloud“ či „lokální“ nelze odvodit obecnou záruku ochrany dat.
Scénář ukončení zahrnuje vhodný export, ochranu před nešifrovanými kopiemi a zdokumentovaný přesun společných trezorů. Zkontrolujte také přílohy, sdílení a zařízení. Exportované soubory mohou obsahovat vysoce citlivé údaje a vyžadují omezený chráněný postup.
Smysluplný další krok s DAXS
DAXS pomáhá evidovat existující přístupy, vytvořit zvládnutelný model rolí, porovnat vhodné provozní modely a provést pilot s předáním. Výsledkem je odůvodněná volba a jasná odpovědnost za zavedení a provoz. Rozsah služeb se dohodne pro vaše prostředí.
Zavést bezpečnou správu hesel · Plánovat pracoviště a spolupráci · Průběžná IT podpora · Zohlednit oprávnění také u AI
Časté otázky
Je vlastní server zásadně bezpečnější?
Záleží na architektuře, ochraně, údržbě a obnově. Vlastní provoz rozšiřuje odpovědnost. Doložitelný provozní stav vypovídá více než samotné umístění.
Může správce automaticky číst všechna hesla?
Záleží na produktu, typu trezoru, právech a připravených funkcích obnovy. Správa uživatelů, přístup ke společným datům a obnova účtů se ověřují odděleně.
Nahrazuje SSO správce hesel?
SSO zjednodušuje přihlášení k připojeným službám. Pro další portály a společné údaje může být nadále nutný řádně spravovaný trezor.
Zdroje: 1Password: společné organizační trezory (externí odkaz) · 1Password: datové regiony (externí odkaz) · Keeper: správa, role a týmy (externí odkaz) · LastPass: funkce Business (externí odkaz).
