2FA dla całego zespołu włączysz w darmowym planie. Kto się logował i co pobrał — to już najdroższy plan

Klient prosi o wykaz: kto z Twojego zespołu otwierał jego dokumenty w ostatnim kwartale i czy któreś z nich zostały pobrane. Wchodzisz w panel administracyjny narzędzia, w którym te dokumenty leżą, i w miejscu historii zdarzeń widzisz zachętę do kontaktu z działem sprzedaży. Dwuetapowe logowanie masz wymuszone dla wszystkich od pierwszego dnia, za zero złotych. Dowodu, kto co zrobił, nie masz wcale.

To nie przypadek jednego dostawcy. W cennikach narzędzi do pracy zespołowej słowo „bezpieczeństwo” obsługuje trzy różne funkcje, które sprzedają się na trzech różnych poziomach. Jedna jest zwykle darmowa, druga kosztuje tyle, co drugi raz to samo narzędzie, a trzecia bywa w ogóle nieopisana. Wszystkie ceny poniżej pochodzą z cenników producentów sprawdzonych 21 października 2026 r., w dolarach i bez podatku; przeliczenie na złotówki i VAT doliczasz po swojej stronie.

Co dokładnie blokuje plan: wymuszenie 2FA czy dowód, kto się logował?

Rozdziel te pozycje, zanim porównasz cenniki, bo producenci opisują je w jednej sekcji:

• Wymuszenie drugiego składnika (2FA, MFA, weryfikacja dwuetapowa) — administrator włącza wymóg dla wszystkich kont, a nie tylko dla swojego. Funkcja prewencyjna: podnosi koszt przejęcia konta.
• Logowanie jednokrotne (SSO, SAML, OIDC) — konta w narzędziu podpięte pod Twojego dostawcę tożsamości, więc wyłączenie człowieka w jednym miejscu odcina go od wszystkiego. Funkcja operacyjna: skraca czas odcięcia dostępu i likwiduje osobne hasła.
• Log zdarzeń, SCIM i region danych — zapis tego, kto i kiedy się zalogował, co pobrał, komu nadał uprawnienia. Funkcja dowodowa: działa po fakcie i tylko wtedy, jeśli był włączony wcześniej.

Pierwsza chroni przed incydentem. Trzecia jest jedyną, która odpowiada na pytanie klienta z początku tego tekstu. W cennikach rozkładają się odwrotnie do tego, jak rosną konsekwencje ich braku.

Czy wymuszę 2FA dla całego zespołu bez zmiany planu?

W większości sprawdzonych narzędzi tak, i to jest dobra wiadomość, którą warto wykorzystać dziś, nie w kolejnym kwartale. Dokumentacja Atlassiana podaje przy wymuszeniu weryfikacji dwuetapowej przez politykę uwierzytelniania zakres „Atlassian Cloud: All plans”, czyli bez dodatkowej subskrypcji. Slack opisuje obowiązkowe 2FA dla przestrzeni roboczej w artykule oznaczonym planami Free, Pro, Business+ oraz Enterprise i dodaje, że osoby, które nie skonfigurują drugiego składnika w ciągu 24 godzin, zostają wylogowane do czasu konfiguracji. W Microsoft Entra ID zestaw domyślnych zabezpieczeń z wymogiem MFA działa, jak podaje tabela licencji, przy wymaganych licencjach „None” — a dopiero dostęp warunkowy, czyli wyjątki i reguły per sytuacja, wymaga co najmniej licencji Entra ID P1.

Różnica między tymi dwoma trybami w Microsofcie jest w praktyce całą różnicą między „wszyscy mają MFA” i „wszyscy mają MFA, ale konto do skanera w sekretariacie jest wyjęte”. Pierwsze masz za darmo i nie da się tego dostroić. Drugie jest pozycją w cenniku.

Ostatni wiersz jest tu najważniejszy, bo łamie regułę: u jednego producenta zapis zdarzeń kosztuje 4 dolary i jest w planie wejściowym dla firm, u innego nie ma go w żadnym planie z podaną ceną. To znaczy, że „log audytowy bywa drogi” nie jest prawdą o rynku, tylko o konkretnym cenniku, który masz przed sobą.

Ile kosztuje SSO, kiedy jest osobną pozycją w cenniku?

Policzenie tego wymaga jednego ruchu: nie patrz na cenę planu z SSO, tylko na różnicę między nim a planem, który Ci wystarcza do pracy. Poniżej ta różnica przy ośmiu stanowiskach, przy cenach z tabeli wyżej i rozliczeniu miesięcznym.

Ceny GitHuba na stronie cennika mają gwiazdkę i opis „za pierwsze 12 miesięcy”, więc rachunek w drugim roku trzeba potwierdzić przed podpisem — to typowa pułapka w tej kategorii, nie szczegół jednego producenta. Przy Notion dopłata kupuje SAML, ale nie kupuje logu zdarzeń: on jest poziom wyżej, w planie z ceną ustalaną w rozmowie handlowej. Przy Atlassianie dodatek obejmuje jednocześnie wymuszone SSO, automatyczne nadawanie kont przez SCIM i log audytowy organizacji, więc za 4,35 dolara dostajesz wszystkie trzy funkcje z pierwszej sekcji zamiast jednej.

Ta dopłata jest pozycją kosztową usługi, a nie wydatkiem administracyjnym obok niej — jeśli rozliczasz się godzinami, wchodzi do stawki tak samo jak licencje narzędzi, co rozkłada na trzy konstrukcje rozliczenia zestawienie kosztu narzędzi w wycenie projektu.

Rozstrzygające jest to, ile stanowisk faktycznie wejdzie na wyższy plan. Część producentów rozlicza SSO dla całej organizacji, część per konto — przy modelu per konto dopłata rośnie z każdym zatrudnieniem, a przy dodatku liczonym osobno (jak Guard) potrafi być tańsza niż przeskok o cały poziom w narzędziu do notatek.

Który plan daje log zdarzeń i dlaczego cennik tego nie rozstrzyga?

Na stronie cennika Notion widać podział jednoznacznie: SAML w planie Business, a SCIM i log audytowy wyłącznie w Enterprise z ceną na zapytanie. Na cenniku Slacka logi audytowe i ich API są opisane jako dostępne, ale kolumny planów nie przypisują ich do poziomu — strona nie odpowiada na pytanie, czy masz je w planie, który kupujesz; ta sama strona wymienia logowanie jednokrotne SAML na karcie planu darmowego, a w tabeli porównania pokazuje przy nim wyłącznie OAuth z Google, więc jedno z dwóch miejsc jest nieaktualne. W GitHubie SAML dla organizacji jest, zgodnie z dokumentacją, dostępny wyłącznie w GitHub Enterprise Cloud, a Audit Log API występuje na liście funkcji planu Enterprise.

Praktyczny wniosek z tych trzech przypadków: brak informacji w cenniku nie znaczy „jest w każdym planie”. Znaczy, że odpowiedź trzeba mieć na piśmie od dostawcy, zanim przeniesiesz dane klienta do narzędzia. Katalog sso.tax zbiera przypadki, w których logowanie jednokrotne stoi za najwyższym planem — przydaje się jako punkt wyjścia, ale ostatecznym źródłem jest zawsze aktualny cennik i wiadomość od sprzedawcy, bo ceny i podziały funkcji zmieniają się częściej niż zestawienia.

Jak sprawdzić to przed zakupem, a nie po pytaniu klienta?

Kolejność, która zajmuje kwadrans na narzędzie:

• Znajdź funkcję w tabeli porównania planów, nie na stronie marketingowej produktu. Strona główna wymienia funkcje całego produktu, tabela przypisuje je do poziomów.
• Sprawdź, czy wymuszenie 2FA jest polityką administratora, czy tylko możliwością włączenia 2FA przez użytkownika. To dwie różne rzeczy pod jedną nazwą w interfejsie.
• Policz dopłatę, nie cenę: różnica planów razy liczba stanowisk razy dwanaście. Dopiero ta liczba porównuje się z kosztem zmiany narzędzia.
• Zapytaj na czacie sprzedażowym o log zdarzeń i zachowaj odpowiedź. Jeśli funkcji nie ma w cenniku, ta wiadomość jest jedynym dowodem, co kupujesz.
• W okresie próbnym wejdź w panel administratora i wyeksportuj log z ostatnich dni. Obecność zakładki nie znaczy, że eksport działa w Twoim planie.
• Sprawdź, czy log obejmuje pobrania i udostępnienia na zewnątrz, a nie tylko logowania. Przy pytaniu o wyciek dokumentów pierwszy rodzaj zapisu jest bezużyteczny.

Co zrobić, kiedy budżet nie udźwignie planu z logiem?

Są trzy ruchy, które nie wymagają zmiany planu, i jeden, który wymaga zmiany narzędzia.

Pierwszy: zawęź, kto ma dostęp do danych wymagających dowodu. Jeśli dokumenty klienta leżą w narzędziu bez logu, ale pracują na nich trzy osoby, a nie dwanaście, lista podejrzanych przy pytaniu o dostęp jest krótka i da się ją odtworzyć z historii dokumentu. Drugi: rozdziel konta administracyjne od zwykłych i wymuś 2FA dla wszystkich — to funkcja, którą, jak wyżej, masz najczęściej bez dopłaty. Trzeci: tam, gdzie dostawca daje log tylko przez API, odkładaj go po swojej stronie, bo retencja u producenta bywa krótsza niż okres, o który zapyta klient.

Ruch czwarty to przeniesienie konkretnej kategorii danych do narzędzia, które sprzedaje zapis zdarzeń tanio — przykład Bitwardena z logami w planie za 4 dolary pokazuje, że taki wybór istnieje. Jeśli administrowanie dostępami w narzędziach klienta jest częścią Twojej usługi, a nie jednorazowym zadaniem, to osobna kompetencja do nauczenia: podstawy pracy z narzędziami i porządkowania własnego warsztatu zbiera program nauki freelancingu i pracy z AI w GeekWork.

Dla kogo przeskok planu, dla kogo zmiana narzędzia?

Przeskok planu ma sens, gdy narzędzie trzyma dane, za które odpowiadasz wobec klienta na piśmie, a dopłata w skali roku jest mniejsza niż koszt migracji i przyuczenia zespołu. Przy ośmiu osobach to zwykle oznacza granicę w okolicach kilkuset dolarów rocznie na narzędzie — powyżej tej kwoty policz migrację, zamiast zakładać, że jest droższa.

Dodatek zamiast planu ma sens, gdy producent sprzedaje bezpieczeństwo osobno i w jednej pozycji daje SSO, SCIM i log. Wtedy nie płacisz za funkcje produktu, których nie potrzebujesz, tylko za trzy rzeczy, których potrzebujesz.

Zmiana narzędzia ma sens, gdy zapis zdarzeń jest dostępny wyłącznie w planie z ceną na zapytanie, a Ty masz osiem stanowisk. Taki plan jest skonstruowany dla organizacji, które negocjują kontrakty, i rozmowa handlowa przy tej skali kończy się stawką liczoną od poziomu, nie od Twojej liczby kont.

Następny krok jest jeden i da się go zrobić dziś: wypisz narzędzia, w których leżą dane klientów, i przy każdym zaznacz, czy potrafisz z panelu wyeksportować wykaz dostępów za ostatni kwartał. Pozycje bez tego eksportu to lista, z której wybierasz, co przenieść, a co przepiąć na wyższy plan.