Pracownik odchodzący z firmy nadal może znać hasło do wspólnej skrzynki, mieć aktywne konto w chmurze albo dostęp do danych klientów przez telefon. To nie jest drobne niedopatrzenie administracyjne, lecz realne ryzyko biznesowe. Pytanie, jak zarządzać uprawnieniami pracowników, dotyczy więc nie tylko działu IT. Dotyczy ciągłości pracy, ochrony danych, relacji z klientami i odpowiedzialności zarządu.
W małej lub średniej firmie problem często narasta powoli. Kolejne osoby dostają dostęp „na chwilę”, wspólne konta ułatwiają pracę, a pilne wdrożenie nowego narzędzia odbywa się bez ustalenia właściciela systemu. Dopiero po incydencie, kontroli lub zmianie kadrowej okazuje się, że nikt nie ma pełnego obrazu: kto ma dostęp, do czego i z jakiego powodu.
Uprawnienia to nie tylko login i hasło
Uprawnienie oznacza możliwość wykonania konkretnej czynności w systemie, aplikacji, na pliku, urządzeniu lub w fizycznej lokalizacji. Może to być odczyt dokumentu, zatwierdzenie przelewu, eksport bazy klientów, zmiana ustawień monitoringu CCTV albo administracja skrzynkami pocztowymi.
Najgroźniejsze nie zawsze są celowe nadużycia. Częściej problemem bywa pomyłka, konto przejęte w ataku phishingowym albo pracownik, który przypadkowo udostępnia wrażliwy folder niewłaściwej osobie. Im szerszy dostęp ma użytkownik, tym większa skala potencjalnych szkód.
Dobrze ustawione uprawnienia nie mają utrudniać pracy dla samej zasady. Ich celem jest umożliwienie pracownikowi realizacji obowiązków bez przekazywania mu kluczy do całej firmy. To różnica pomiędzy dostępem do własnego katalogu projektowego a prawem do usuwania danych wszystkich klientów.
Zacznij od zasady minimalnych uprawnień
Najprostsza reguła brzmi: każdy powinien mieć tylko taki dostęp, jaki jest potrzebny na jego stanowisku i w aktualnym zakresie obowiązków. Ta zasada jest znana jako minimalne uprawnienia. Nie oznacza braku zaufania do zespołu. Jest formą ochrony zarówno firmy, jak i samych pracowników.
Przykładowo handlowiec może potrzebować dostępu do CRM, poczty oraz dokumentów ofertowych, ale nie do pełnej księgowości. Osoba z działu finansowego może mieć wgląd do faktur i płatności, ale nie musi zarządzać kontami użytkowników w systemie IT. Administrator natomiast potrzebuje szerszych kompetencji, lecz jego codzienne konto nie powinno automatycznie mieć pełnych praw administracyjnych do każdego zasobu.
W praktyce warto rozdzielić zwykłe konto użytkownika od konta administracyjnego. Dzięki temu otwarcie załącznika z fałszywej wiadomości nie daje cyberprzestępcy od razu najwyższych uprawnień w środowisku firmowym.
Zrób mapę dostępów, zanim zaczniesz je porządkować
Nie da się skutecznie zabezpieczyć czegoś, czego nie widać. Pierwszym krokiem powinno być przygotowanie aktualnej listy systemów, kont i zasobów wykorzystywanych w firmie. Nie chodzi wyłącznie o serwer plików czy domenę Windows. Trzeba uwzględnić również pocztę, dyski chmurowe, system księgowy, CRM, platformy do pracy zdalnej, narzędzia do podpisu elektronicznego, systemy kadrowe, monitoring oraz konta w usługach zewnętrznych.
Przy każdym systemie dobrze jest wskazać jego właściciela biznesowego. To osoba, która rozumie, kto w organizacji rzeczywiście potrzebuje dostępu do danych i funkcji danej aplikacji. IT wdraża oraz kontroluje rozwiązanie techniczne, ale nie powinno samodzielnie decydować, czy konkretny pracownik ma prawo zobaczyć dane płacowe, bazę kontrahentów lub dokumentację projektową.
Taka mapa często ujawnia konta współdzielone, nieużywane licencje i dostępy nadane byłym pracownikom. Pokazuje też, gdzie firma jest uzależniona od jednej osoby znającej hasła lub sposób obsługi krytycznego systemu. To cenna informacja operacyjna, nie tylko element cyberbezpieczeństwa.
Zarządzanie uprawnieniami pracowników przez role
W firmie liczącej kilka osób można ręcznie przypisać dostęp każdemu użytkownikowi. Gdy organizacja rośnie, takie podejście szybko prowadzi do chaosu. Znacznie bezpieczniejsze jest zarządzanie oparte na rolach.
Zamiast nadawać pojedyncze uprawnienia od zera, tworzy się role odpowiadające stanowiskom lub funkcjom, na przykład: sprzedaż, księgowość, obsługa klienta, kierownik projektu czy administrator IT. Nowy pracownik otrzymuje zestaw dostępów właściwy dla swojej roli, a nie przypadkową kopię uprawnień po poprzedniku.
Role trzeba jednak projektować rozsądnie. Zbyt ogólna rola „biuro” może dać dostęp do danych, których część zespołu nie powinna widzieć. Z kolei tworzenie osobnej roli dla każdej osoby sprawia, że system przestaje być czytelny. Najlepiej zacząć od kilku podstawowych ról i rozwijać je tylko wtedy, gdy wymagają tego rzeczywiste procesy.
Szczególną uwagę należy poświęcić danym osobowym, finansowym i handlowym. Dostęp do nich powinien być ograniczony do osób, które mają uzasadnioną potrzebę biznesową. W przypadku dokumentów zawierających dane pracowników lub klientów trzeba również pamiętać o zasadzie poufności wynikającej z RODO.
Dopilnuj całego cyklu życia pracownika
Uprawnienia nie są ustawieniem jednorazowym. Powinny zmieniać się razem z rolą pracownika w firmie. Najwięcej błędów pojawia się przy zatrudnieniu, zmianie stanowiska i zakończeniu współpracy.
Przy wdrożeniu nowej osoby warto stosować prosty, powtarzalny proces. Przełożony zgłasza potrzebę dostępu, określa rolę pracownika, a osoba odpowiedzialna za IT tworzy konto, przypisuje wymagane grupy i konfiguruje zabezpieczenia, w tym uwierzytelnianie wieloskładnikowe. Dzięki temu firma unika sytuacji, w której nowa osoba korzysta z konta kolegi „do czasu”. Takie tymczasowe rozwiązania mają wyjątkową zdolność pozostawania w firmie na stałe.
Przy zmianie stanowiska nie wystarczy dodać nowych uprawnień. Należy także odebrać stare, jeśli przestają być potrzebne. Pracownik awansujący z działu sprzedaży do finansów nie powinien automatycznie zachować każdego dostępu z poprzedniej roli.
Po odejściu pracownika konto należy niezwłocznie zablokować, odebrać dostęp do aplikacji, poczty, VPN, urządzeń i fizycznych kart dostępu. W zależności od sytuacji trzeba też zabezpieczyć korespondencję oraz przekazać właścicielstwo plików i projektów. Usunięcie konta od razu nie zawsze jest najlepszym rozwiązaniem, ponieważ może utrudnić odzyskanie potrzebnych danych. Najpierw blokada i archiwizacja, potem decyzja zgodna z polityką firmy oraz wymaganiami prawnymi.
Wprowadź dodatkową ochronę dla dostępu zdalnego
Praca z domu, u klienta i w podróży zwiększa wygodę, ale rozszerza również powierzchnię ryzyka. Dostęp do firmowych systemów nie powinien zależeć tylko od hasła, zwłaszcza gdy użytkownik łączy się z sieci domowej lub prywatnego urządzenia.
Podstawą jest uwierzytelnianie wieloskładnikowe. Nawet jeśli hasło wycieknie w wyniku phishingu, osoba atakująca napotka dodatkową barierę. Warto też określić, z jakich urządzeń można korzystać z danych firmowych, czy urządzenia muszą mieć aktualne zabezpieczenia oraz czy możliwe jest zdalne wymazanie danych po ich utracie.
W wielu firmach sprawdza się bezpieczny dostęp zdalny do aplikacji działających na firmowym serwerze. Pozwala to ograniczyć kopiowanie danych na prywatne komputery. Dobór rozwiązania zależy jednak od rodzaju pracy, używanych programów i poziomu wrażliwości danych. Nie każda firma potrzebuje identycznego modelu.
Regularnie sprawdzaj, kto nadal potrzebuje dostępu
Nawet dobrze zaprojektowany system traci wartość, jeśli nikt go nie przegląda. Przegląd uprawnień warto wykonywać cyklicznie, na przykład co kwartał lub co pół roku. W obszarach szczególnie wrażliwych, takich jak finanse, administracja IT czy dane kadrowe, kontrola może być częstsza.
Podczas przeglądu właściciel systemu powinien potwierdzić, że przypisane osoby nadal potrzebują danego dostępu. Nie wystarczy sprawdzić listy aktywnych kont. Trzeba zadać konkretne pytanie: czy ten pracownik nadal realizuje zadania, które uzasadniają taki poziom uprawnień?
Dobrą praktyką jest dokumentowanie decyzji. Nie chodzi o tworzenie biurokracji dla samej biurokracji, ale o możliwość wykazania, kto zatwierdził dostęp i dlaczego. Ma to znaczenie przy audycie, obsłudze incydentu oraz w rozmowie z klientem, którego dane firma przetwarza.
Błędy, które otwierają drzwi do problemów
Pierwszym błędem są konta wspólne. Utrudniają ustalenie, kto wykonał daną operację, a po zmianie w zespole wymagają wymiany hasła u wszystkich użytkowników. Drugim jest przyznawanie każdemu lokalnych praw administratora „bo program się nie uruchamia”. Taki problem należy rozwiązać właściwą konfiguracją aplikacji, a nie podniesieniem uprawnień całej organizacji.
Ryzykowne jest też przechowywanie haseł w arkuszu kalkulacyjnym, przesyłanie ich przez komunikator lub udostępnianie jednego hasła do wielu usług. Firmowy menedżer haseł i indywidualne konta są znacznie bezpieczniejsze oraz łatwiejsze do kontrolowania.
Kolejna pułapka to traktowanie IT jako jedynego właściciela problemu. Dział lub partner IT może wdrożyć mechanizmy ochronne, lecz decyzja o dostępie do danych powinna być powiązana z procesem biznesowym. Przełożeni muszą wiedzieć, jakie informacje widzą ich zespoły i zatwierdzać istotne zmiany.
Gdy pojawi się podejrzenie nadużycia
Jeżeli firma podejrzewa przejęcie konta lub nieuprawniony dostęp, liczy się szybka, uporządkowana reakcja. Należy zablokować lub ograniczyć konto, zmienić hasło, zakończyć aktywne sesje i sprawdzić logi systemowe. Nie warto samodzielnie usuwać śladów ani kasować korespondencji, zanim zostanie oceniony zakres zdarzenia.
Trzeba też ustalić, do jakich danych miał dostęp użytkownik oraz czy doszło do ich pobrania, zmiany lub przekazania poza firmę. W przypadku danych osobowych może być potrzebna ocena naruszenia i dalsze działania wynikające z RODO. Zewnętrzne wsparcie IT pomaga wtedy nie tylko przywrócić działanie systemów, ale też uporządkować dowody i ograniczyć ryzyko powtórzenia zdarzenia.
Porządek w uprawnieniach najlepiej budować zanim pojawi się problem. Jedna aktualna lista dostępów, jasne role i sprawny proces odbierania kont potrafią ochronić firmę skuteczniej niż kosztowne działania podejmowane po incydencie.