Konto administratora daje kontrolę nad całym komputerem: instalacją, ustawieniami bezpieczeństwa i kontami innych osób. Jego ochrona zaczyna się od ograniczenia używania tych praw. Długie hasło nie pomoże, jeśli każdy domownik zna je i zatwierdza nim każdą prośbę instalatora.
W domowym Windows warto oddzielić codzienne korzystanie od administracji. Nie chodzi o mnożenie kont bez potrzeby, lecz o to, żeby przeglądanie internetu i otwieranie zwykłych dokumentów nie odbywało się zawsze z możliwością szerokich zmian.
Sprawdź, kto jest administratorem
Otwórz ustawienia kont i listę użytkowników urządzenia. Sprawdź typ własnego konta oraz kont pozostałych domowników. Jeśli nie pamiętasz, po co nadano pełne prawa dawnemu kontu testowemu, ustal, czy jest nadal potrzebne.
Każda osoba powinna mieć własne konto do pracy, z osobnymi ustawieniami i dostępem. Udostępnianie jednego administratora utrudnia kontrolę zmian i sprzyja ujawnieniu hasła. Dziecko nie potrzebuje pełnego dostępu tylko dlatego, że czasem chce zainstalować program.
Zanim odbierzesz prawa swojemu obecnemu kontu, przygotuj i przetestuj innego działającego administratora. Nie zamieniaj jedynego dostępnego konta administracyjnego na standardowe bez potwierdzenia sposobu powrotu. Sam wpis na liście użytkowników nie dowodzi, że pamiętasz dane i możesz wykonać podwyższone zadanie.
Pracuj na koncie standardowym
Konto standardowe wystarcza do wielu codziennych czynności. Gdy instalacja wymaga podwyższenia uprawnień, świadomie podaj dane administratora w prawdziwym oknie systemu. Osoba używająca komputera nie musi na stałe dostać pełnych praw.
Przetestuj normalne programy po zmianie typu konta. Jeśli starsza aplikacja próbuje zapisywać dane w chronionej lokalizacji, sprawdź jej aktualizację i właściwą konfigurację. Nadanie pełnego dostępu do całego systemu jest szerokim obejściem pojedynczego problemu.
Takie rozdzielenie ogranicza część możliwych zmian, ale nie tworzy bezpiecznej piaskownicy dla każdego pliku. Złośliwy program nadal może uszkodzić dokumenty dostępne użytkownikowi. Dlatego konto standardowe powinno działać razem z aktualizacjami, ochroną i kopią.
Chroń hasło, logowanie i odzyskiwanie
Użyj unikalnego hasła administratora. Nie powtarzaj go w sklepie, forum ani usłudze, która nie potrzebuje dostępu do komputera. Do przechowywania można wykorzystać menedżer haseł, z przygotowaną niezależną drogą odzyskania sejfu.
Jeżeli administrator korzysta z konta Microsoft, zabezpiecz również to konto i jego pocztę odzyskiwania. PIN Windows Hello jest związany z logowaniem na urządzeniu i nie należy utożsamiać go z hasłem konta używanym w innych sytuacjach. Sprawdź wymagane metody, zamiast zakładać, że zapamiętany PIN rozwiąże każdy problem dostępu.
Przy koncie lokalnym przygotuj obsługiwany sposób odzyskiwania, np. dysk resetowania hasła, jeśli ma zastosowanie. Przechowuj go bezpiecznie. Nie zapisuj hasła na kartce przy monitorze i nie umieszczaj odpowiedzi odzyskiwania w publicznym profilu.
Pozostaw UAC i sprawdzaj każdą prośbę
Kontrola konta użytkownika pokazuje, kiedy program prosi o zmianę wymagającą większych uprawnień. Pozostaw ją aktywną. Jeśli wiele komunikatów przeszkadza, ustal, które programy je wywołują; wyłączenie całego mechanizmu usuwa kontrolę także dla następnych instalacji.
Przed zatwierdzeniem sprawdź, czy sam rozpocząłeś tę czynność, jaki program ją zgłasza i skąd pochodzi plik. Rozpoznany wydawca jest przydatną informacją, ale nie zastępuje oceny celu. Nie zatwierdzaj niespodziewanego okna podczas samego czytania strony.
Nie twórz dla wygody zadania z najwyższymi uprawnieniami, które uruchamia dowolny plik podmieniany przez zwykłego użytkownika. Taka konfiguracja może zniweczyć rozdzielenie kont. Program stale wymagający administratora trzeba ocenić osobno, z jego dokumentacją.
Uwzględnij fizyczny dostęp do urządzenia
Blokuj sesję, kiedy odchodzisz, i sprawdź zachowanie po uśpieniu. Zalogowany administrator pozostawiony przy wspólnym komputerze jest dostępem dla osoby, która podejdzie do klawiatury. Samo wygaszenie ekranu nie zawsze jest blokadą.
Hasło logowania nie zastępuje szyfrowania danych przy utracie urządzenia. Sprawdź dostępność i stan odpowiedniego szyfrowania oraz zabezpiecz klucz odzyskiwania poza tym komputerem. Nie włączaj funkcji bez ustalenia, jak wrócisz do plików po awarii.
Zrób próbę bez ryzykowania odcięcia dostępu
Z konta standardowego wykonaj zwykłe zadanie i potwierdź, że uprawnienia administratora można świadomie podnieść. Sprawdź też, czy potrzebne dane pozostają dostępne w codziennym profilu. Nie usuwaj starego konta, dopóki nie masz kopii jego plików i działającej nowej konfiguracji.
Do przygotowania drugiego użytkownika wykorzystaj tworzenie lokalnego konta Windows 11. Całość uzupełnij o ochronę plików i kopii przed ransomware. Bezpieczny administrator ma jasno określony cel, chronione dane dostępu i sprawdzoną możliwość odzyskania, zamiast służyć jako wspólna przepustka do każdej czynności.
