Hasła w firmie 2026: polityka haseł, menedżery i 2FA krok po kroku

Hasła w firmie 2026: dlaczego temat wraca jak bumerang

W 2026 roku większość firm działa w modelu SaaS - poczta i kalendarze w chmurze, dokumenty w dyskach online, CRM, system fakturowania, narzędzia marketingowe, panele e-commerce, dostęp do banku i operatorów płatności. To oznacza jedno: konto i logowanie stały się kluczowym zasobem. Jeśli ktoś przejmie dostęp do skrzynki e-mail lub konta administratora, konsekwencje mogą być droższe niż awaria sprzętu.

Hasło nadal jest najczęściej używanym mechanizmem logowania, ale samo hasło przestało wystarczać. Dziś standardem jest podejście warstwowe: polityka haseł + menedżer haseł + uwierzytelnianie dwuskładnikowe (2FA) + klucze FIDO2. Ten artykuł pokazuje, jak zrobić to praktycznie, z kosztami, porównaniami i krokami wdrożenia w realiach polskich firm.

Jeśli budujesz szerszy program bezpieczeństwa, zajrzyj też do poradnika: Bezpieczeństwo IT w małej firmie 2026 oraz do materiałów o atakach: phishing w firmie i cyberataki na firmę w 2026.

Co mówią dane: wycieki i incydenty w Polsce

W praktyce większość incydentów zaczyna się od jednego z trzech scenariuszy:

• wyciek bazy haseł z zewnętrznej usługi (a pracownik używał tego samego hasła w firmie),
• phishing i przejęcie skrzynki e-mail,
• złośliwe oprogramowanie kradnące sesje i hasła zapisane w przeglądarce.

Dlatego polityka haseł nie może być dokumentem do szuflady. Powinna wynikać z realnego obrazu zagrożeń. Warto śledzić komunikaty i raporty CERT Polska, które regularnie opisują kampanie phishingowe, naruszenia i trendy. W wielu raportach i zestawieniach CERT przewija się stały problem: ponowne używanie haseł oraz brak 2FA w krytycznych usługach (poczta, panele administracyjne, narzędzia księgowe, bankowość).

Z perspektywy zarządu i właściciela firmy najważniejsze jest to, że nawet pojedynczy incydent może uruchomić koszty prawne i operacyjne: obowiązki informacyjne, analizę naruszenia, przestoje, odzyskiwanie kont, resetowanie haseł, a w przypadku danych osobowych - konsultacje zgodne z wytycznymi UODO. W praktyce prosta inwestycja w 2FA i menedżer haseł potrafi zredukować ryzyko najbardziej typowych przejęć kont.

Hasła firma 2FA - fundamenty, zanim kupisz narzędzie

Zanim wybierzesz Bitwarden, 1Password czy inne rozwiązanie, warto ustalić podstawy. W 2026 roku dobre praktyki są dość stabilne i wynikają z zaleceń branżowych oraz standardów bezpieczeństwa. Dobrym punktem odniesienia są również organizacje takie jak ENISA oraz praktyki aplikacyjne, np. listy ryzyk z OWASP Top Ten.

1) Unikalność haseł - zasada, która robi największą różnicę

Jedno konto = jedno hasło. To brzmi banalnie, ale w firmach wciąż spotyka się ten sam zestaw: hasło do poczty używane w CRM, w panelu hostingu, w narzędziu do faktur i w mediach społecznościowych. Wystarczy jeden wyciek z zewnętrznego serwisu i gotowa lista haseł zaczyna działać w atakach typu credential stuffing.

2) Długość i jakość hasła - mniej „wymyślaj”, więcej „generuj”

W 2026 standardem jest generowanie haseł w menedżerze. Rekomendacja praktyczna:

• dla kont użytkowników: co najmniej 14-16 znaków (losowe),
• dla kont administracyjnych: 20+ znaków,
• dla haseł do szyfrowanych archiwów/backupów: passphrase 4-6 słów lub długie losowe, zależnie od narzędzia.

Polityka „hasło co 30 dni” bez 2FA często przynosi odwrotny efekt: ludzie tworzą przewidywalne warianty (HasloMaj2026!, HasloCzerwiec2026!). Zamiast tego: długie, unikalne hasła + 2FA, a zmiana hasła głównie w reakcji na ryzyko (wyciek, podejrzenie phishingu, odejście pracownika z dostępem).

3) 2FA jako standard, nie wyjątek

Fraza hasła firma 2FA jest dziś praktycznie nierozłączna. 2FA zmniejsza skuteczność wielu ataków, bo samo hasło nie wystarcza. Minimalny standard w firmie:

• 2FA obowiązkowe dla: poczty, chmury (Google Workspace/Microsoft 365), CRM, narzędzi księgowych, panelu domen/hostingu, bankowości, kont reklamowych, Git/CI/CD, VPN.
• preferowane metody: aplikacje TOTP (Authenticator) lub klucze FIDO2.
• unikać, gdzie to możliwe: 2FA przez SMS (podatne na przejęcie numeru, socjotechnikę, przekierowania).

4) Minimalizacja dostępu i rozdzielenie ról

Nawet najlepsze hasła nie pomogą, jeśli każdy ma uprawnienia admina. Dobre praktyki:

• oddziel konta administracyjne od zwykłych (osobne loginy do paneli admina),
• nadawaj dostęp „na czas” do konkretnych zadań (np. marketing ma dostęp do Meta/Google Ads, ale nie do panelu domen),
• stosuj zasadę najmniejszych uprawnień, szczególnie w chmurze i narzędziach finansowych.

Polityka haseł w firmie - gotowy szkielet do wdrożenia

Polityka haseł powinna być krótka i wdrażalna. Dokument na 20 stron, którego nikt nie czyta, nie działa. Poniżej szkielet, który możesz skopiować do firmowego wiki lub regulaminu IT.

Zakres i cele

• Polityka dotyczy wszystkich pracowników, współpracowników B2B oraz dostawców z dostępem do systemów.
• Celem jest ograniczenie ryzyka przejęcia kont i utraty danych oraz spełnienie wymagań bezpieczeństwa i zgodności (w tym RODO).

Wymagania dla haseł

• Zakaz ponownego używania haseł między usługami (w tym prywatnymi).
• Hasła generowane w menedżerze haseł: minimum 16 znaków dla kont standardowych, 20+ dla adminów.
• Zakaz zapisywania haseł w przeglądarce, plikach tekstowych, notatkach bez szyfrowania.
• Zakaz wysyłania haseł e-mailem i komunikatorami bez szyfrowania oraz bez mechanizmu jednorazowego linku.

Uwierzytelnianie dwuskładnikowe (2FA)

• 2FA obowiązkowe dla systemów krytycznych (lista systemów w załączniku lub w rejestrze aplikacji).
• Dopuszczalne metody: TOTP, FIDO2/WebAuthn, klucze sprzętowe.
• SMS tylko wyjątkowo, po ocenie ryzyka.

Reset i odzyskiwanie dostępu

• Reset hasła realizowany przez procedurę (zgłoszenie do IT/administratora + weryfikacja tożsamości).
• Wymagane są kody zapasowe lub drugi składnik (drugi klucz FIDO2, zapasowa aplikacja) dla kont krytycznych.
• Po odejściu pracownika natychmiastowa blokada konta i rotacja dostępów współdzielonych.

Kontrola i audyt

• Raz na kwartał przegląd uprawnień i kont z dostępem administracyjnym.
• Raz na pół roku przegląd narzędzi z włączonym 2FA i weryfikacja, czy jest wymuszane.

Jeśli temat polityk łączy się u Ciebie z ochroną danych, przydatny będzie też wpis: RODO w firmie 2026 - obowiązki i wdrożenie.

Menedżer haseł w firmie - po co, skoro jest „zapamiętaj hasło” w przeglądarce

Wbudowane menedżery w przeglądarkach są wygodne, ale w firmie zwykle przegrywają w trzech obszarach: kontrola, współdzielenie i audyt. Firmowy menedżer haseł pozwala:

• wymusić zasady (długość, generowanie, blokada eksportu),
• bezpiecznie udostępniać loginy do kont wspólnych (np. hosting, Allegro, narzędzia reklamowe),
• odebrać dostęp jednym kliknięciem, gdy kończy się współpraca,
• utrzymać porządek: kto ma dostęp do czego i dlaczego,
• korzystać z 2FA i kluczy FIDO2 w jednym ekosystemie.

To również wygoda operacyjna - mniej resetów haseł i mniej „wąskich gardeł” w osobie, która „ma wszystko zapisane”.

Bitwarden vs 1Password - porównanie dla polskiej firmy

Poniżej praktyczne porównanie dwóch popularnych rozwiązań. Oba działają dobrze, ale pasują do nieco innych scenariuszy.

Bitwarden - mocny wybór kosztowo i dla zespołów technicznych

Bitwarden bywa wybierany przez firmy, które chcą dobrego stosunku ceny do funkcji oraz możliwości elastycznego wdrożenia. Typowe plusy:

• rozbudowane opcje organizacji i kolekcji (współdzielone sejfy),
• czytelne zarządzanie dostępami i grupami,
• często atrakcyjniejszy koszt na użytkownika,
• dobry ekosystem aplikacji (desktop, mobile, przeglądarki),
• możliwość podejścia bardziej „IT-friendly” do konfiguracji.

W praktyce Bitwarden często dobrze sprawdza się w software house, agencji marketingowej, e-commerce i wszędzie tam, gdzie jest wiele narzędzi i częste rotacje dostępów.

1Password - świetny UX i wygoda wdrożenia w biznesie

1Password jest chętnie wybierany przez firmy, które stawiają na maksymalną prostotę dla użytkowników i szybkie „wejście w nawyk”. Typowe plusy:

• bardzo dopracowana ergonomia aplikacji (łatwiej przekonać nietechnicznych),
• spójne działanie na wszystkich platformach,
• dobre mechanizmy współdzielenia i zarządzania zespołem,
• czytelne elementy bezpieczeństwa dla użytkownika (ostrzeżenia, higiena haseł).

W polskich realiach 1Password często wybierają spółki usługowe i firmy handlowe, gdzie priorytetem jest szybkie przyjęcie procedur w całym zespole, a nie maksymalna „konfigurowalność”.

Porównanie w tabeli (skrót decyzyjny)

• Łatwość wdrożenia dla nietechnicznych: częściej wygrywa 1Password.
• Elastyczność i koszt w przeliczeniu na zespół: często wygrywa Bitwarden.
• Współdzielenie dostępów: oba rozwiązania dają dobre możliwości, kluczowe są procesy w firmie.
• Bezpieczeństwo: oba są dojrzałe - różnice częściej wynikają z konfiguracji, 2FA i zarządzania kontami admin.

Wniosek praktyczny: jeśli wiesz, że największym ryzykiem jest „opór użytkowników” i chaos w loginach - wybieraj narzędzie, które będzie najłatwiejsze w codziennym użyciu. Jeśli ryzykiem są koszty i chcesz wdrażać to szeroko - Bitwarden bywa bardziej ekonomiczny. W obu przypadkach kluczowe jest wymuszenie 2FA i procedury odejść.

Klucze FIDO2 i passkeys - co to jest i kiedy mają sens

FIDO2/WebAuthn to standard uwierzytelniania, który eliminuje wiele słabości haseł i kodów SMS. Klucz bezpieczeństwa (USB/NFC) lub wbudowany moduł w urządzeniu (np. platform authenticator) potrafi potwierdzić logowanie w sposób odporny na phishing w klasycznym wydaniu (bo uwierzytelnianie jest związane z konkretną domeną).

W praktyce w firmie spotkasz dwa podejścia:

• klucze sprzętowe FIDO2 (np. USB-C + NFC) dla administratorów i osób z dostępem do finansów,
• passkeys na urządzeniach użytkowników (tam, gdzie usługi wspierają to stabilnie i gdzie masz kontrolę nad urządzeniami/MDM).

Kiedy wdrożyć klucze FIDO2 w polskiej firmie

• gdy masz realne ryzyko phishingu (sprzedaż, finanse, kadry, marketing z kontami reklamowymi),
• gdy korzystasz z Microsoft 365/Google Workspace i chcesz podnieść poziom ochrony logowań,
• gdy masz konta admin w panelach e-commerce, domen, serwerów, Git, CI/CD,
• gdy chcesz ograniczyć „zmęczenie 2FA” (zatwierdzanie powiadomień) i uprościć logowanie.

Dobre praktyki: dwa klucze na osobę i procedura awaryjna

Jeśli klucz FIDO2 ma zabezpieczać konto krytyczne, sensowny standard to:

• 2 klucze na osobę (główny i zapasowy),
• zapasowy przechowywany w sejfie firmowym lub w bezpiecznym miejscu z kontrolą dostępu,
• zdefiniowana procedura awaryjna (kto i jak wydaje zapasowy, jak dokumentujesz zdarzenie).

2FA w firmie: TOTP, push, SMS, FIDO2 - co wybrać

Nie każda metoda 2FA jest równie dobra. Wybór zależy od ryzyka, krytyczności konta i dojrzałości zespołu.

TOTP (kody w aplikacji) - rozsądne minimum

To popularne aplikacje typu authenticator. Plusy: działa offline, jest tanie i łatwe do wdrożenia. Minusy: podatne na phishing w scenariuszach, gdzie użytkownik przepisze kod na fałszywej stronie.

Push (zatwierdzanie logowania) - wygodne, ale wymaga dyscypliny

Powiadomienia push są szybkie, ale w praktyce firmy wpadają w pułapkę „akceptuj, żeby zniknęło”. Warto wprowadzić zasadę: nigdy nie zatwierdzaj prośby, której nie inicjowałeś i rozważyć mechanizmy odporne na nadużycia (np. liczby do przepisania).

SMS - tylko gdy nie masz alternatywy

SMS bywa lepszy niż brak 2FA, ale w 2026 roku jest traktowany jako metoda awaryjna. Tam, gdzie to możliwe, przechodź na TOTP lub FIDO2.

FIDO2 - najlepsza ochrona dla kont krytycznych

FIDO2 jest szczególnie wartościowe w ochronie poczty i kont administratorów, bo redukuje ryzyko przejęcia przez klasyczny phishing. Jeśli możesz wdrożyć tylko jedno wzmocnienie - zacznij od FIDO2 dla adminów i TOTP dla reszty.

Przykłady z polskiego rynku: gdzie najczęściej „boli”

Poniższe scenariusze są typowe dla małych i średnich firm w Polsce - i dobrze pokazują, gdzie wdrożenie hasła + 2FA daje najszybszy zwrot.

1) Biuro rachunkowe i obieg dokumentów

Współdzielenie dostępów do systemów księgowych, dysków i poczty bywa chaotyczne. Dobre podejście:

• oddzielne konta imienne dla każdego użytkownika,
• menedżer haseł do współdzielonych dostępów (np. panel klienta, integracje),
• 2FA w poczcie i w chmurze bez wyjątków.

2) E-commerce i marketplace

Panel sklepu, Allegro, integratory płatności, logistyka, reklamy - to „złote” konta. Rekomendacja:

• konto admin sklepu chronione FIDO2,
• 2FA w Google Ads/Meta i ograniczenie ról,
• współdzielenie dostępów tylko przez menedżer, bez wysyłania haseł.

Jeśli działasz w e-commerce, obok zabezpieczeń logowania przyda się też temat sieci i pracy zdalnej: VPN dla firmy 2026.

3) Agencja marketingowa

Najczęstszy błąd: jedno wspólne konto do narzędzia, hasło krąży w zespole i u podwykonawców. Lepszy standard:

• kontenery dostępu per klient (kolekcje/sejfy w menedżerze),
• uprawnienia ograniczone do projektów,
• 2FA wymagane przy dodaniu nowej osoby do kont klienta.

Koszty: ile kosztuje polityka haseł, menedżer i 2FA

Koszty w 2026 roku zwykle dzielą się na trzy koszyki: licencje, sprzęt (klucze) i czas wdrożenia.

1) Licencje menedżera haseł

W większości firm licencjonowanie jest „per użytkownik per miesiąc”. Rzeczywisty koszt zależy od planu i funkcji (SSO, integracje, dzienniki zdarzeń, wymagania compliance). Dla planowania budżetu przyjmij:

• mała firma 5-15 osób: koszt miesięczny to zwykle równowartość jednej - dwóch godzin pracy specjalisty IT,
• firma 20-50 osób: koszt rośnie liniowo, ale oszczędności w czasie (mniej resetów, mniej chaosu) też rosną.

Najważniejsze: nie oszczędzaj na planie, który nie pozwala wymusić polityk i 2FA. „Tani” plan bez kontroli bywa droższy po pierwszym incydencie.

2) Klucze FIDO2

Klucze FIDO2 to koszt jednorazowy. Sensowny model budżetowy w firmie:

• minimum 2 klucze dla każdej osoby z dostępem krytycznym (IT, finanse, właściciel, administrator e-commerce),
• 1-2 klucze awaryjne „firmowe” do kont serwisowych (przechowywane w kontrolowanym miejscu).

W praktyce większość firm zaczyna od zabezpieczenia 3-8 osób, a dopiero później rozszerza program.

3) Czas i wdrożenie (ukryty koszt, ale najważniejszy)

Największym kosztem bywa nie licencja, tylko wdrożenie nawyków:

• inwentaryzacja kont i usług (co mamy, kto jest właścicielem),
• porządkowanie wspólnych dostępów,
• szkolenie anty-phishingowe i zasady 2FA.

Ten element mocno łączy się z odpornością na phishing. Jeśli chcesz to domknąć procesowo, przeczytaj: Phishing w firmie - jak rozpoznać.

Wdrożenie krok po kroku (plan na 30 dni)

Poniższy plan jest praktyczny dla małej i średniej firmy. Kluczem jest zaczęcie od systemów, które dają największą dźwignię ryzyka: e-mail, chmura, domeny/hosting, finanse.

Dni 1-3: inwentaryzacja i priorytety

• Spisz wszystkie używane usługi (poczta, chmura, bank, księgowość, CRM, e-commerce, reklamy, hosting, domeny).
• Oznacz konta krytyczne (admin, finanse, e-mail).
• Ustal właścicieli biznesowych usług (kto odpowiada za dane konto).

Dni 4-10: wybór menedżera i konfiguracja organizacji

• Wybierz narzędzie (Bitwarden lub 1Password) i załóż organizację firmową.
• Utwórz grupy i sejfy/kolekcje (np. IT, Finanse, Marketing, Sprzedaż, Projekty klient A/B).
• Włącz wymuszenie 2FA dla kont menedżera haseł.

Dni 11-20: migracja haseł i porządkowanie współdzielenia

• Przenieś hasła z plików/notatek do menedżera.
• Zamień hasła współdzielone na zarządzane przez sejfy zespołowe.
• Wprowadź zasadę: żadnych haseł wysyłanych e-mailem.
• Włącz generowanie losowych haseł i zmień hasła w kontach krytycznych.

Dni 21-30: wymuszenie 2FA i pilotaż FIDO2

• Włącz 2FA w poczcie i chmurze dla wszystkich.
• Wdrażaj klucze FIDO2 dla administratorów i finansów.
• Przygotuj procedurę odzyskiwania dostępu (kody zapasowe, drugi klucz, kontakt awaryjny).
• Krótki test phishingowy i przypomnienie zasad.

Praktyczne zasady na co dzień (bez lania wody)

Nie udostępniaj haseł - udostępniaj dostęp

W menedżerze haseł udostępniasz rekord lub dostęp do sejfu. Gdy ktoś odchodzi, odbierasz dostęp i problem znika. Nie musisz pamiętać, komu wysłałeś hasło pół roku temu.

Zablokuj „szybkie obejścia”

• Zakaz trzymania haseł w arkuszach i dokumentach.
• Zakaz zdjęć haseł na telefonie.
• Zakaz wspólnej skrzynki e-mail jako „konto do wszystkiego”.

Zadbaj o skrzynkę e-mail - to klucz do resetów

Jeśli ktoś przejmie e-mail, może resetować hasła w większości usług. Dlatego e-mail powinien mieć:

• 2FA obowiązkowo,
• preferowane FIDO2 dla adminów,
• monitoring logowań i alerty o nowych urządzeniach,
• zasady przekazywania skrzynki (np. delegacje zamiast dzielenia hasła).

Checklisty do skopiowania (polityka, wdrożenie, audyt)

Checklist - polityka haseł i 2FA

• Czy każdy pracownik ma konto imienne w kluczowych systemach?
• Czy hasła są unikalne i generowane (min. 16 znaków)?
• Czy menedżer haseł jest obowiązkowy w firmie?
• Czy 2FA jest wymagane dla poczty, chmury, domen/hostingu, banku, księgowości, CRM, reklam?
• Czy SMS jako 2FA jest ograniczony tylko do wyjątków?
• Czy jest procedura resetu i odzyskiwania dostępu?
• Czy są kody zapasowe/alternatywne metody dla kont krytycznych?

Checklist - wdrożenie menedżera (Bitwarden/1Password)

• Utworzona organizacja firmowa i role (admin, owner, użytkownik).
• Struktura sejfów/kolekcji odzwierciedla działy/projekty.
• Włączone 2FA do samego menedżera haseł.
• Zasady udostępniania: kto może dodawać/edytować rekordy?
• Wdrożony proces offboardingu: odebranie dostępu jednym krokiem.
• Zakaz przechowywania haseł w przeglądarce (polityka i edukacja).

Checklist - klucze FIDO2

• Lista kont krytycznych, gdzie FIDO2 ma być wymagane.
• Zakup min. 2 kluczy na osobę w grupie wysokiego ryzyka.
• Rejestr wydania kluczy i odpowiedzialności.
• Procedura zgubienia klucza (co robimy w 30 minut?).
• Zapasowe metody logowania w sejfie awaryjnym (kody, zapasowy klucz).

Checklist - audyt kwartalny

• Przegląd kont admin i uprawnień w chmurze.
• Weryfikacja, czy 2FA jest wymuszane (nie tylko „włączone”).
• Przegląd dostępu podwykonawców i kont B2B.
• Rotacja haseł w kontach współdzielonych po zmianach personalnych.
• Sprawdzenie alertów logowań i podejrzanych sesji.

Najczęstsze błędy firm i jak ich uniknąć

Błąd 1: „Mamy 2FA, ale tylko dla części osób”

Atakujący wybierze najsłabsze ogniwo. Jeśli 2FA ma być standardem, nie rób wyjątków dla wygody.

Błąd 2: Jedno wspólne konto do narzędzia

Wspólne konto utrudnia audyt i rozliczalność. Lepiej mieć konta imienne + role, a dostęp współdzielony trzymać w sejfie.

Błąd 3: Kody zapasowe zapisane „gdzieś w mailu”

Kody awaryjne trzymaj w menedżerze haseł (w odpowiednio ograniczonym sejfie) albo w kontrolowanym miejscu offline. Mail to zwykle pierwsza rzecz, którą przejmuje atakujący.

Błąd 4: Brak procedury offboardingu

Odejście pracownika bez odebrania dostępów to klasyk. W firmie proces odejścia powinien automatycznie uruchamiać listę: blokada kont, odebranie dostępu do sejfów, rotacja haseł współdzielonych.

Jak „sprzedać” wdrożenie zespołowi: argumenty biznesowe

Najczęstszy opór jest prosty: „to spowolni pracę”. Warto więc mówić językiem biznesu:

• mniej przestojów - mniej resetów haseł i mniej „kto ma dostęp?”
• mniej ryzyk finansowych - konta reklamowe i bankowe są realnym celem
• lepsza współpraca - udostępnianie dostępu zamiast przesyłania haseł
• zgodność - łatwiejsze wykazanie należytej staranności przy incydencie (ważne przy RODO)

Naturalne rozszerzenie: chmura, VPN i zarządzanie urządzeniami

Polityka haseł i 2FA daje największy efekt, gdy łączysz ją z podstawami infrastruktury:

• jeśli pracujesz w chmurze, zobacz: Chmura dla firmy 2026 - porównanie
• jeśli masz pracę zdalną i zasoby wewnętrzne: VPN dla firmy 2026
• jeśli budujesz pełen obraz zagrożeń: Cyberataki na firmę 2026

Podsumowanie: standard na 2026, który realnie działa

Jeśli masz zapamiętać jedno zdanie: hasła w firmie muszą być unikalne, trzymane w menedżerze i wsparte 2FA. Dla kont krytycznych dołóż klucze FIDO2 i procedury awaryjne. To nie jest „projekt IT” - to element ciągłości działania firmy.

Najbardziej praktyczna ścieżka dla większości organizacji w Polsce:

• wdrożenie menedżera (Bitwarden lub 1Password),
• wymuszenie 2FA w poczcie i chmurze,
• FIDO2 dla administratorów i finansów,
• regularny audyt dostępów i szybki offboarding.

W razie wątpliwości warto śledzić ostrzeżenia i materiały edukacyjne CERT Polska, a w obszarze ochrony danych - komunikaty UODO. Dla szerokiego kontekstu bezpieczeństwa pomocne są też zasoby ENISA oraz ryzyka aplikacyjne opisane przez OWASP Top Ten.