Bezpieczeństwo profili firmowych – weryfikacja dwuetapowa i uprawnienia w social media

Uprawnienia zamiast udostępniania haseł

W wielu małych sklepach hasło do Instagrama zna kilka osób: właściciel, pracownik, freelancer od grafik, agencja. To wygodne, ale bardzo ryzykowne. Nie wiadomo, kto co zrobił na koncie, kody weryfikacyjne trafiają do jednej osoby, a po zakończeniu współpracy trzeba zmieniać hasło i liczyć na to, że nikt go nie zapisał.

Wykres – porównanie dostępu przez uprawnienia i udostępniania hasła. [#chart:sm81b]

Facebook i Instagram pozwalają nadawać dostęp konkretnym osobom, które logują się na własne konta. Na stronie na Facebooku możesz przyznać pełną kontrolę albo częściowy dostęp do wybranych zadań, a profil na Instagramie połączony z portfolio biznesowym może być obsługiwany przez osoby z odpowiednimi uprawnieniami. Nazwy ról i zakres zadań bywają aktualizowane przez Meta, dlatego przy nadawaniu dostępu zawsze sprawdzaj opisy w panelu.

Zasada jest prosta: każdy dostaje tylko taki dostęp, jakiego potrzebuje do swojej pracy, i tylko na czas współpracy. Szczegółowo omawiamy to przy kontach reklamowych w artykule o bezpiecznym nadawaniu dostępu agencji. Jeśli zastanawiasz się, jak zorganizować współpracę z zewnętrznym zespołem, przeczytaj też porównanie, czy prowadzić social media samodzielnie, czy z agencją.

Własność zasobów w portfolio biznesowym Meta

Częsty problem w małych firmach to sytuacja, w której strona na Facebooku czy konto reklamowe są „przypięte” do prywatnego konta jednej osoby – byłego pracownika, znajomego, który kiedyś pomagał, albo agencji. Gdy ta osoba zniknie lub straci konto, sklep traci kontrolę nad własnymi zasobami.

Rozwiązaniem jest portfolio biznesowe Meta (dawniej Business Manager), w którym zasoby należą do firmy, a nie do konkretnej osoby. Do portfolio przypisujesz stronę na Facebooku, konto na Instagramie, konto reklamowe, katalog i piksel, a osobom nadajesz dostęp. Jak to zrobić krok po kroku, opisujemy w artykule o portfolio biznesowym Meta. Podstawy konfiguracji samych profili znajdziesz w poradnikach o fanpage’u sklepu na Facebooku i koncie firmowym na Instagramie.

[#uwaga] Zawsze miej co najmniej dwie zaufane osoby z pełną kontrolą nad portfolio biznesowym. Jeśli jedyny administrator straci dostęp do swojego konta, odzyskanie kontroli nad zasobami firmy może być bardzo trudne. Drugi administrator to proste zabezpieczenie na wypadek choroby, urlopu czy przejęcia konta.

Poczta e-mail – klucz do wszystkich kont

Adres e-mail przypisany do kont w social mediach to w praktyce klucz do nich wszystkich – przez niego resetuje się hasła i otrzymuje powiadomienia o zmianach. Jeśli ktoś przejmie pocztę, może przejąć też profile. Dlatego skrzynka powiązana z kontami firmowymi powinna być zabezpieczona co najmniej tak dobrze jak same profile.

• Osobny adres – najlepiej firmowy, używany tylko do kont w serwisach, a nie do codziennej korespondencji z klientami.

• Weryfikacja dwuetapowa – także na skrzynce pocztowej.

• Unikalne hasło – inne niż do jakiegokolwiek innego serwisu.

• Kontrola przekierowań – przejmujący czasem ustawiają ukryte przekierowanie wiadomości; warto to sprawdzać.

Hasła i menedżer haseł

Jedno hasło używane w kilku serwisach to jedna z najczęstszych przyczyn przejęć. Gdy wycieknie z mniej zabezpieczonej strony, przestępcy próbują go w innych miejscach. Menedżer haseł pozwala mieć długie, unikalne hasła do każdego konta bez konieczności ich zapamiętywania. W zespole umożliwia też bezpieczne współdzielenie dostępu do narzędzi, które nie oferują systemu uprawnień.

Przy wyborze hasła stawiaj na długość, a nie na skomplikowane zamienniki liter. Długa fraza złożona z kilku przypadkowych słów jest trudniejsza do złamania niż krótkie hasło z cyframi i znakami specjalnymi, a menedżer haseł i tak zapamięta ją za Ciebie. Nigdy nie używaj w hasłach nazwy sklepu, roku założenia firmy czy imion, które łatwo znaleźć w sieci.

Aplikacje i narzędzia zewnętrzne

Narzędzia do planowania postów, analityki czy obsługi wiadomości często wymagają połączenia z kontem na Facebooku lub Instagramie. To wygodne, ale każda taka integracja to kolejne miejsce, przez które można uzyskać dostęp do profilu. Łącz konta tylko z narzędziami, których faktycznie używasz i które pochodzą od znanych dostawców. Raz na jakiś czas przejrzyj listę połączonych aplikacji w ustawieniach i odłącz te, z których już nie korzystasz.

Telefon jako element bezpieczeństwa

Telefon to dziś często jednocześnie urządzenie do publikowania, skrzynka z kodami weryfikacyjnymi i miejsce, w którym jesteś stale zalogowany do kont firmy. Jego utrata lub kradzież może oznaczać problem z dostępem albo ryzyko, że ktoś przejmie zalogowane sesje. Zabezpiecz telefon blokadą ekranu, włącz funkcję lokalizowania i zdalnego czyszczenia urządzenia, a w razie utraty od razu wyloguj aktywne sesje z innego urządzenia i skorzystaj z kodów zapasowych.

Jeśli w firmie kilka osób publikuje z prywatnych telefonów, ustalcie minimalne zasady: blokada ekranu, aktualny system, brak zapisanych haseł w notatkach. To niewielkie wymagania, które znacząco ograniczają ryzyko.

Nawyki zespołu – ochrona przed phishingiem

Nawet najlepsze zabezpieczenia techniczne nie pomogą, jeśli ktoś w zespole poda dane logowania na fałszywej stronie. Phishing w social mediach przybiera różne formy: wiadomości o rzekomym naruszeniu zasad, fałszywe propozycje współpracy, obietnice weryfikacji konta czy prośby o przesłanie kodu SMS.

• Nie loguj się przez linki z wiadomości – status konta sprawdzaj w ustawieniach aplikacji.

• Nie przekazuj nikomu kodów weryfikacyjnych, nawet „znajomym”.

• Sprawdzaj adres strony przed wpisaniem hasła.

• Zgłaszaj podejrzane wiadomości osobie odpowiedzialnej za bezpieczeństwo.

• Przy wdrażaniu nowej osoby omów krótko te zasady.

[#przyklad] Sklep z artykułami sportowymi współpracował z kilkoma freelancerami, którym przez lata przekazywał hasło do Instagrama. Przy porządkowaniu dostępu okazało się, że hasło znało sześć osób, w tym dwie, z którymi współpraca skończyła się dawno temu. Sklep zmienił hasło, włączył weryfikację dwuetapową przez aplikację, przypisał profil do portfolio biznesowego i nadał aktualnym współpracownikom osobne uprawnienia. Od tej pory po zakończeniu współpracy wystarcza jedno kliknięcie, by odebrać dostęp.

Kwartalny przegląd bezpieczeństwa

Bezpieczeństwo to nie jednorazowe zadanie. Raz na kwartał warto przejść krótką listę kontrolną – zajmuje to kilkanaście minut, a pozwala wychwycić problemy, zanim staną się poważne.

1. Przejrzyj listę osób z dostępem do strony, profilu na Instagramie, portfolio biznesowego i konta reklamowego.

2. Usuń osoby i partnerów, z którymi nie współpracujesz.

3. Sprawdź, czy wszyscy mają włączoną weryfikację dwuetapową.

4. Przejrzyj aktywne sesje i nieznane urządzenia.

5. Odłącz nieużywane aplikacje i integracje.

6. Sprawdź adres e-mail i numer telefonu przypisane do kont.

7. Upewnij się, że kody zapasowe są aktualne i bezpiecznie przechowywane.

Jeśli mimo zabezpieczeń dojdzie do przejęcia, skorzystaj z poradnika o tym, co zrobić, gdy firmowy Instagram zostanie zhakowany, a w przypadku konta reklamowego – z artykułu o zabezpieczeniu portfolio po przejęciu konta reklamowego. Komunikację z klientami w takiej sytuacji ułatwi plan działania w kryzysie.

[#checklista] Weryfikacja dwuetapowa dla każdej osoby z dostępem; aplikacja uwierzytelniająca i kody zapasowe; zabezpieczona poczta; unikalne hasła w menedżerze haseł; dostęp przez uprawnienia, nie przez hasło; zasoby w portfolio biznesowym; dwóch administratorów; kwartalny przegląd dostępu; szkolenie zespołu z rozpoznawania phishingu.

Najczęściej zadawane pytania

Jak zabezpieczyć konto firmowe na Facebooku?

Włącz weryfikację dwuetapową na koncie każdej osoby z dostępem, używaj unikalnych haseł, zabezpiecz pocztę e-mail, nadawaj dostęp przez uprawnienia zamiast udostępniać hasło i przypisz stronę do portfolio biznesowego Meta z co najmniej dwoma administratorami.

Która metoda weryfikacji dwuetapowej jest najlepsza?

Dla kont firmowych zwykle najlepsza jest aplikacja uwierzytelniająca, uzupełniona o kody zapasowe. SMS jest wygodny, ale bardziej podatny na wyłudzenie kodu lub przejęcie numeru telefonu.

Czy mogę dać agencji hasło do Instagrama?

Lepiej tego unikać. Bezpieczniej jest nadać agencji dostęp przez uprawnienia lub jako partnerowi w portfolio biznesowym. Dzięki temu każdy loguje się na własne konto, a dostęp można w każdej chwili odebrać.

Co zrobić, gdy pracownik odchodzi z firmy?

Odbierz mu dostęp do strony, profilu, portfolio biznesowego i konta reklamowego tego samego dnia. Jeśli wcześniej znał jakiekolwiek hasła, zmień je i sprawdź, czy przypisane adresy e-mail i numery telefonu należą do firmy.

Ile osób powinno mieć pełną kontrolę nad portfolio biznesowym?

Co najmniej dwie zaufane osoby, ale nie więcej, niż to konieczne. Drugi administrator chroni przed utratą kontroli, gdy główny straci dostęp do konta, a mała liczba osób z pełną kontrolą ogranicza ryzyko.

Jak często sprawdzać ustawienia bezpieczeństwa?

Dobrą praktyką jest kwartalny przegląd oraz dodatkowa kontrola przy każdej zmianie w zespole lub zakończeniu współpracy z agencją czy freelancerem.

Czy weryfikacja dwuetapowa utrudnia pracę agencji?

Nie, jeśli dostęp jest nadany przez uprawnienia. Każda osoba z agencji loguje się na własne konto z własną weryfikacją dwuetapową, więc nie musi prosić sklepu o kody. Problem pojawia się tylko wtedy, gdy wiele osób korzysta z jednego, wspólnego konta.

Podsumowanie

Bezpieczeństwo firmowych profili w social mediach opiera się na kilku warstwach: zabezpieczonych kontach osobistych z weryfikacją dwuetapową, chronionej poczcie, uprawnieniach zamiast udostępniania haseł, zasobach przypisanych do portfolio biznesowego i dobrych nawykach zespołu. Kilkanaście minut kwartalnego przeglądu to niewielki koszt w porównaniu ze stratami, jakie może przynieść przejęcie konta.

Jako Meta Business Partner prowadzimy profile marek na Facebooku i Instagramie, pracując zawsze na uprawnieniach, a nie na udostępnionych hasłach. Jeśli chcesz oddać prowadzenie profili zespołowi, który dba o bezpieczeństwo, sprawdź naszą usługę prowadzenia social mediów dla e-commerce.