Töötaja tuleb tööle, vahetab ametikohta või lahkub. Igal juhul peab keegi otsustama, milliste süsteemidega ta saab liituda ja milliste enam mitte. Kuni ettevõte on väike, tehakse seda sageli mälu järgi: administraator teab, kes kuhu on sisse logitud, ja korrastab vajaduse korral. Meeskonna ja kasutatavate teenuste arvu kasvades lakkab mälu olemast usaldusväärne tööriist.
Ligipääsude haldamine ei ole ainult tehniline küsimus. See on kokkulepe selle kohta, kes teeb otsuse, kes selle täidab ja kuidas kontrollitakse, et kõik on tehtud. Selles artiklis käsitleme, kuidas sellist kokkulepet üles ehitada ilma liigse paberimajanduseta.
Miks ligipääsud „jäävad seisma“ ja mille poolest see on riskantne
Tüüpiline olukord: töötaja lahkus pool aastat tagasi, arvuti on tagastatud, e-posti konto suletud, kuid tema nimel toimib ikka veel sisselogimine raamatupidamisprogrammi, pilvehoidlasse ja kliendi iseteenindusportaali. Keegi ei teinud seda tahtlikult – lihtsalt kellelgi ei olnud täielikku nimekirja.
Sellised kontod tekitavad korraga mitu probleemi. Endine töötaja või tema parooli teadev isik pääseb ligi ettevõtte andmetele. Kasutamata kontode eest makstakse mõnikord jätkuvalt litsentse. Ja kui juhtub intsident, on raske vastata lihtsale küsimusele – kellel oli sel hetkel ligipääs. Sarnane probleem tekib ka ametikoha vahetusel: töötaja saab uued õigused, kuid vanad jäävad alles, mistõttu näeb üks inimene ajapikku rohkem, kui tema töö vajab.
Alustage nimekirjast, mitte tööriistast
Enne ligipääsuhalduse lahenduse valimist tasub vastata küsimusele, mida üldse tuleb hallata. Paljudes ettevõtetes on süsteemide nimekiri pikem, kui esmapilgul tundub: lisaks e-postile ja raamatupidamisprogrammile on olemas pangandus, dokumendihoidla, kliendihaldussüsteem, sotsiaalmeediakontod, tarnijaportaalid, kontoriuste koodid ja printeri administraatori parool.
Praktiline viis on koostada üks tabel, milles iga süsteemi kohta märgitakse, kes on selle omanik ettevõttes, kes tehniliselt loob ja kustutab kontosid ning milline ametikoht saab millise ligipääsutaseme. Tabel ei pea olema täiuslik. Oluline on, et see eksisteeriks, asuks ühes kohas ja et sellel oleks vastutav inimene, kes seda ajakohastab.
Selline ülevaade paljastab sageli süsteemid, millega logitakse sisse ühise parooliga, või kontod, mille omanikku enam keegi ei mäleta. See ei ole etteheide, vaid kasulik lähtepunkt – just neist kohtadest tasub korrastamist alustada.
Kolm hetke, mis vajavad selget korda
Kui nimekiri on olemas, saab kokku leppida, mis toimub kolmel juhul: töötaja tulekul, ametikoha vahetusel ja lahkumisel. Iga juhtumi jaoks piisab lühikesest, kuid konkreetsest järjekorrast.
- Liitumine. Juht või personaliesindaja teatab uuest töötajast, tema ametikohast ja alguskuupäevast. Vastavalt kokkulepitud ametikohtade ja ligipääsude tabelile luuakse kontod, lülitatakse sisse mitmeastmeline autentimine ja sisselogimisandmed edastatakse turvalisel viisil. Tabelis mitte ette nähtud õigused antakse ainult eraldi kinnitusega.
- Ametikoha vahetus. See on kõige sagedamini unustatud juhtum. Uued õigused antakse, vanad vaadatakse üle ja tühistatakse, kui neid enam vaja ei ole. Kui vanu õigusi on vaja üleminekuperioodil, määratakse eelnevalt kuupäev, millal need ära võetakse.
- Lahkumine. Viimasel tööpäeval või kokkulepitud ajal lülitatakse sama nimekirja järgi välja kõik kontod, vahetatakse ühised paroolid, mida töötaja teadis, võetakse üle või suunatakse ümber e-posti kast ja dokumendid. Tehnika tagastatakse ja tehtud toimingud märgitakse.
Igas sammus peab olema selge, kes algatab, kes täidab ja kes kinnitab, et töö on lõpetatud. Kõige sagedasem viga on see, kui kõik arvavad, et selle teeb keegi teine.
Kuidas kontrollida, kas kord toimib
Kokkulepe dokumendis ei tähenda veel, et see toimib iga päev. Seetõttu tasub ette näha perioodiline ülevaatus, mille käigus kontrollitakse koos süsteemide omanikega, kas aktiivsete kontode nimekiri vastab praegustele töötajatele ja nende ametikohtadele. Ülevaatuse sagedust on kõige parem kohandada vastavalt sellele, kui sageli ettevõttes inimesed vahetuvad.
Mõned lihtsad juhised, mis aitavad korda hoida:
- Vältida ühiseid kontosid seal, kus süsteem võimaldab isiklikke. Kui ühine konto on vältimatu, hoitakse selle parooli paroolihaldusprogrammis, mitte ühises dokumendis.
- Anda õigused vastavalt ametikohale, mitte taotluse alusel „nagu kolleegil“. Erandid on võimalikud, kuid need fikseeritakse.
- Administraatoriõigused anda ainult neile, kellel neid on igapäevaselt vaja, mitte kõigile igaks juhuks.
- Kontode loomist ja kustutamist registreerida nii, et hiljem oleks võimalik vastata, millal ja kelle otsusega see tehti.
Kui ligipääsude hooldus on antud üle välisele partnerile, kehtivad samad põhimõtted ka temale: peab olema selge, millised süsteemid on hoolduses, kuidas esitatakse päringud uute või kustutatavate kontode kohta ja kui kiiresti need täidetakse. See, mis ei kuulu kokkulepitud mahu hulka, nimetatakse eraldi, et ei jääks eeldust, nagu hoolitseks selle eest keegi teine.
Ligipääsude kord ei ole ühekordne projekt. See on igapäevane praktika, mis toetub kolmele asjale: ühele nimekirjale, selgetele vastutustele ja regulaarsele kontrollile.
Ükski meede ei kõrvalda riski täielikult, kuid korrastatud ligipääsud aitavad vältida üllatusi, kui meeskond vahetub. Alustada võib väikesest sammust – ühest nimekirjast ja ühest vastutavast rollist.