Pracownik odszedł z firmy, ale jego konto pocztowe nadal działa. Były współpracownik wciąż widzi folder z ofertami handlowymi, a do firmowego systemu loguje się kilka osób na jednym, wspólnym haśle. Tak zwykle zaczyna się problem, który przez długi czas pozostaje niewidoczny. Ten przewodnik po zarządzaniu dostępami użytkowników pokazuje, jak zaprowadzić porządek bez zamieniania codziennej pracy w serię uciążliwych formalności.
Dostęp do danych nie jest wyłącznie sprawą działu IT. Dotyczy finansów, sprzedaży, kadr, produkcji i każdego pracownika korzystającego z poczty, plików w chmurze, programu księgowego czy systemu zdalnej pracy. Źle przydzielone uprawnienia mogą prowadzić do wycieku danych, zatrzymania pracy po ataku ransomware, problemów z rozliczalnością działań, a także naruszeń zasad ochrony danych osobowych.
Dlaczego dostęp użytkownika to element bezpieczeństwa
W wielu małych i średnich firmach uprawnienia są nadawane „na szybko”. Nowa osoba potrzebuje dostępu do plików, więc otrzymuje dostęp do całego dysku. Księgowość prosi o możliwość pracy z domu, więc ktoś przekazuje hasło do komputera lub uruchamia zdalny pulpit bez dodatkowych zabezpieczeń. Każda decyzja z osobna może wydawać się praktyczna. Razem tworzą środowisko, nad którym trudno zachować kontrolę.
Zarządzanie dostępami odpowiada na trzy proste pytania: kto ma dostęp, do czego i z jakiego powodu. Czwarty element, często pomijany, brzmi: jak długo ten dostęp ma obowiązywać. To właśnie brak daty końcowej powoduje, że konta byłych pracowników, zewnętrznych księgowych lub wykonawców pozostają aktywne miesiącami.
Dobrze ustawiony system uprawnień nie wynika z braku zaufania do zespołu. Chroni uczciwych pracowników przed przypadkowymi błędami, a firmę przed skutkami przejętego konta. Jeżeli wiadomo, które konto wykonało daną operację, łatwiej szybko zareagować i ustalić, czy doszło do incydentu.
Przewodnik po zarządzaniu dostępami użytkowników krok po kroku
Najlepszym punktem wyjścia jest inwentaryzacja, a nie zakup kolejnego narzędzia. Warto spisać wszystkie systemy, w których firma przechowuje dane lub realizuje istotne procesy. Obejmuje to nie tylko komputery i serwery, lecz także pocztę, dyski chmurowe, programy księgowe i kadrowe, CRM, platformy do wideokonferencji, systemy monitoringu, rejestratory, usługi zdalnego dostępu oraz panele dostawców.
Przy każdym systemie należy ustalić właściciela biznesowego – osobę, która rozumie, po co system jest używany i kto powinien z niego korzystać. Administrator techniczny może nadać uprawnienie, ale nie powinien samodzielnie decydować, czy pracownik sprzedaży potrzebuje wglądu do danych płacowych. Taki podział odpowiedzialności porządkuje decyzje i ogranicza nieporozumienia.
Nadajemy role, nie przypadkowe uprawnienia
Najbezpieczniejsza zasada brzmi: użytkownik otrzymuje tylko taki dostęp, jaki jest niezbędny do wykonania jego obowiązków. Nazywa się ją zasadą minimalnych uprawnień. W praktyce oznacza to, że handlowiec widzi klientów przypisanych do swojej pracy, pracownik działu kadr obsługuje dane kadrowe, a osoba z zewnątrz ma dostęp wyłącznie do konkretnego zadania.
Zamiast ustawiać prawa osobno dla każdej osoby, warto stworzyć role, na przykład: księgowość, dział handlowy, kierownik projektu, pracownik magazynu czy administrator IT. Nowo zatrudniona osoba otrzymuje zestaw uprawnień wynikający z roli, a nie kopię konta poprzednika. To ważna różnica. Kopiowanie kont często przenosi dostępy, które kiedyś były potrzebne, ale od dawna nie mają uzasadnienia.
Szczególnej ochrony wymagają konta administracyjne. Nie powinny służyć do zwykłego odbierania poczty, przeglądania internetu ani pracy na dokumentach. Administrator powinien mieć oddzielne konto codzienne i oddzielne konto podwyższonych uprawnień. Jeżeli konto zwykłe zostanie przejęte przez phishing, szkody będą znacznie mniejsze.
Proces dla zatrudnienia, zmiany stanowiska i odejścia
Najwięcej błędów pojawia się podczas zmian kadrowych. Dlatego firma potrzebuje prostego procesu, który uruchamia się w trzech sytuacjach: zatrudnienie, zmiana roli i zakończenie współpracy. Nie musi to być rozbudowany regulamin na kilkadziesiąt stron. Wystarczy jasna ścieżka zgłoszenia i wskazanie osób odpowiedzialnych za akceptację.
Przed pierwszym dniem pracy należy przygotować indywidualne konto użytkownika, właściwą rolę i bezpieczny sposób przekazania danych logowania. Wspólne konta utrudniają rozliczalność, dlatego powinny być wyjątkiem, a nie standardem. Jeżeli ich użycie jest konieczne, trzeba ograniczyć je do jasno określonych urządzeń lub usług oraz regularnie zmieniać hasła po zmianach w zespole.
Przy zmianie stanowiska nie wystarczy dodać nowych praw. Trzeba również odebrać te, które przestały być potrzebne. Z kolei w dniu odejścia pracownika należy zablokować logowanie, unieważnić aktywne sesje, odebrać dostęp zdalny, przekierować lub zabezpieczyć pocztę zgodnie z polityką firmy i sprawdzić przekazanie firmowego sprzętu. Usunięcie konta od razu nie zawsze jest właściwym wyborem – czasem trzeba zachować skrzynkę lub dokumenty ze względów operacyjnych i prawnych. Konto powinno jednak przestać umożliwiać logowanie.
Silne logowanie bez paraliżowania pracy
Samo hasło nie zapewnia dziś wystarczającej ochrony, zwłaszcza gdy pracownicy korzystają z poczty i aplikacji spoza biura. Wieloskładnikowe uwierzytelnianie, czyli dodatkowe potwierdzenie logowania w aplikacji, kodem lub kluczem sprzętowym, znacząco utrudnia przejęcie konta po wyłudzeniu hasła.
Wdrożenie MFA wymaga jednak rozsądnego przygotowania. Pracownicy powinni wiedzieć, że nie wolno zatwierdzać nieoczekiwanych powiadomień logowania. Oszuści stosują tzw. zmęczenie powiadomieniami – wysyłają wiele próśb o akceptację, licząc, że ktoś kliknie „zatwierdź”, aby odzyskać spokój. Krótkie szkolenie i procedura zgłaszania podejrzanych komunikatów są równie potrzebne jak sama technologia.
Warto także ustalić zasady odzyskiwania kont. Jeśli jedyna osoba mająca uprawnienia administratora zachoruje lub straci telefon, firma nie może zostać odcięta od systemów. Z drugiej strony dane awaryjnego dostępu nie powinny leżeć w nieopisanej szufladzie ani w pliku nazwanym „hasła_finalne.xlsx”. Bezpiecznym rozwiązaniem jest kontrolowany sejf haseł i jasno określona procedura użycia.
Regularny przegląd wykrywa dostęp, o którym wszyscy zapomnieli
Nawet najlepszy proces z czasem wymaga kontroli. W małej firmie przegląd kluczowych uprawnień można przeprowadzać co kwartał lub co pół roku. Częstotliwość zależy od skali organizacji, rotacji pracowników oraz rodzaju przetwarzanych danych. Firma obsługująca dane medyczne, finansowe lub dużą liczbę danych osobowych powinna robić to częściej.
Przegląd nie musi oznaczać ręcznego sprawdzania każdego folderu. Najpierw warto skupić się na kontach administratorów, poczcie, systemach finansowo-kadrowych, chmurze, dostępie zdalnym i usługach zawierających dane klientów. Osoba odpowiedzialna za dany obszar powinna potwierdzić, że wskazani użytkownicy nadal potrzebują dostępu. Brak odpowiedzi nie powinien automatycznie oznaczać zgody.
Dobrą praktyką jest również sprawdzanie kont nieaktywnych, kont współdzielonych oraz kont technicznych używanych przez aplikacje i urządzenia. Te ostatnie często są pomijane, bo nie należą do konkretnego pracownika. Tymczasem mogą mieć szerokie uprawnienia i hasła, których nikt nie zmieniał od lat.
Technologia pomaga, ale nie zastąpi odpowiedzialności
System zarządzania tożsamością, menedżer haseł, narzędzia do zarządzania urządzeniami i centralne logowanie mogą znacząco ułatwić kontrolę. W firmach korzystających z pracy zdalnej szczególnie przydatne jest ograniczenie dostępu według roli, urządzenia, lokalizacji lub dodatkowego potwierdzenia tożsamości. Nie każda organizacja potrzebuje jednak od razu rozbudowanej platformy klasy korporacyjnej.
Najpierw warto uporządkować zasady, konta i odpowiedzialność. Dopiero potem dobierać narzędzia do realnych potrzeb. Zbyt skomplikowane rozwiązanie, którego nikt nie administruje, daje pozorne bezpieczeństwo. Z kolei prosty, regularnie stosowany proces może skutecznie ograniczyć ryzyko w firmie liczącej kilkanaście czy kilkadziesiąt osób.
Ceprobi pomaga firmom ocenić stan istniejących kont, dostępu zdalnego i zabezpieczeń, a następnie ułożyć praktyczny model dopasowany do sposobu pracy zespołu. Celem nie jest mnożenie procedur, lecz ograniczenie sytuacji, w której pojedyncze przejęte hasło daje dostęp do całej organizacji.
Porządek w dostępach warto potraktować jak okresową kontrolę zamków w firmie: nie dlatego, że zakładamy złą wolę każdego pracownika, lecz dlatego, że niepotrzebnie pozostawione otwarte drzwi prędzej czy później ktoś zauważy.