Darbinieks sāk darbu, maina amatu vai aiziet. Katrā gadījumā kādam jāizlemj, kurām sistēmām viņš var pieslēgties, un kurām – vairs ne. Kamēr uzņēmums ir neliels, to bieži dara no atmiņas: administrators zina, kas kur ir pieslēdzies, un sakārto, kad nepieciešams. Augot komandai un izmantoto pakalpojumu skaitam, atmiņa vairs nav uzticams rīks.
Piekļuvju pārvaldība nav tikai tehnisks jautājums. Tā ir vienošanās par to, kas pieņem lēmumu, kas to izpilda un kā pārbauda, vai viss ir izdarīts. Šajā rakstā aplūkojam, kā šādu vienošanos izveidot bez liekas birokrātijas.
Kāpēc piekļuves „apsēžas” un kāpēc tas ir riskanti
Tipiska situācija: darbinieks aizgāja pirms pusgada, dators atgriezts, e-pasta konts atslēgts, taču viņa vārdā joprojām darbojas pieslēgums grāmatvedības programmai, mākoņkrātuvei un klientu pašapkalpošanās portālam. Neviens to nedarīja apzināti – vienkārši nevienam nebija pilna saraksta.
Šādi konti rada vairākas problēmas vienlaikus. Bijušais darbinieks vai persona, kas zina viņa paroli, var piekļūt uzņēmuma datiem. Par neizmantotiem kontiem dažkārt turpina maksāt licences. Un, kad notiek incidents, grūti atbildēt uz vienkāršu jautājumu – kam tajā brīdī bija piekļuve. Līdzīga problēma rodas, mainoties amatam: darbinieks saņem jaunas tiesības, bet vecās paliek, tāpēc ilgtermiņā viens cilvēks redz vairāk, nekā nepieciešams viņa darbam.
Sāciet ar sarakstu, nevis ar rīku
Pirms izvēlēties piekļuvju pārvaldības risinājumu, vērts atbildēt uz jautājumu, kas vispār jāpārvalda. Daudzos uzņēmumos sistēmu saraksts ir garāks, nekā šķiet no pirmā acu uzmetiena: papildus e-pastam un grāmatvedības programmai ir banka, dokumentu krātuve, klientu vadības sistēma, sociālo tīklu konti, piegādātāju portāli, biroja durvju kodi un printera administratora parole.
Praktisks veids – izveidot vienu tabulu, kurā katrai sistēmai norādīts, kas ir tās īpašnieks uzņēmumā, kas tehniski izveido un dzēš kontus un kādas amata vietas kādu piekļuves līmeni saņem. Tabulai nav obligāti jābūt ideālai. Svarīgi, lai tā pastāvētu, atrastos vienā vietā un tai būtu atbildīgs cilvēks, kas to atjaunina.
Šāds apskats bieži atklāj sistēmas, kurām pieslēdzas ar kopīgu paroli, vai kontus, kuru īpašnieku vairs neviens neatceras. Tas nav pārmetums, bet noderīgs atskaites punkts – tieši no šīm vietām vērts sākt sakārtošanu.
Trīs brīži, kuriem nepieciešama skaidra kārtība
Kad saraksts ir izveidots, var vienoties, kas notiek trīs gadījumos: darbiniekam sākot darbu, mainot amatu un aizejot. Katram gadījumam pietiek ar īsu, bet konkrētu secību.
- Pieslēgšana. Vadītājs vai personāla pārstāvis paziņo par jaunu darbinieku, viņa amatu un sākuma datumu. Pēc saskaņotās amatu un piekļuvju tabulas tiek izveidoti konti, ieslēgta daudzfaktoru autentifikācija, un pieslēgšanās dati tiek nodoti drošā veidā. Tabulā neparedzētas tiesības tiek piešķirtas tikai ar atsevišķu apstiprinājumu.
- Amata maiņa. Šis ir visbiežāk aizmirstais gadījums. Tiek piešķirtas jaunas tiesības, bet vecās tiek pārskatītas un, ja vairs nav vajadzīgas, atceltas. Ja vecās tiesības nepieciešamas pārejas periodā, iepriekš tiek noteikts datums, kad tās tiks atņemtas.
- Aiziešana. Pēdējā darba dienā vai saskaņotā laikā pēc tā paša saraksta tiek atslēgti visi konti, mainītas kopīgās paroles, kuras darbinieks zināja, pārņemta vai novirzīta e-pasta pastkaste un dokumenti. Tehnika tiek atgriezta, un veiktās darbības tiek atzīmētas.
Katrā solī jābūt skaidram, kas ierosina, kas izpilda un kas apstiprina, ka darbs pabeigts. Biežākā kļūda – kad visi domā, ka to izdarīs kāds cits.
Kā pārbaudīt, vai kārtība darbojas
Vienošanās dokumentā vēl nenozīmē, ka tā darbojas ikdienā. Tāpēc vērts paredzēt periodisku pārskatīšanu, kuras laikā kopā ar sistēmu īpašniekiem tiek pārbaudīts, vai aktīvo kontu saraksts atbilst pašreizējiem darbiniekiem un viņu amatiem. Pārskatīšanas biežumu vislabāk saskaņot ar to, cik bieži uzņēmumā mainās cilvēki.
Vairākas vienkāršas vadlīnijas, kas palīdz uzturēt kārtību:
- Izvairīties no kopīgiem kontiem tur, kur sistēma ļauj izmantot personīgus. Kad kopīgs konts ir neizbēgams, tā parole tiek glabāta paroļu pārvaldniekā, nevis kopīgā dokumentā.
- Tiesības piešķirt pēc amata, nevis pēc pieprasījuma „tāpat kā kolēģim”. Izņēmumi ir iespējami, bet tie tiek fiksēti.
- Administratora tiesības piešķirt tikai tiem, kam tās nepieciešamas ikdienā, nevis visiem gadījumam, ja vajadzēs.
- Kontu izveidi un dzēšanu reģistrēt tā, lai vēlāk varētu atbildēt, kad un ar kā lēmumu tas veikts.
Ja piekļuvju uzturēšana nodota ārējam partnerim, tie paši principi attiecas arī uz to: jābūt skaidram, kādas sistēmas iekļautas uzturēšanā, kā tiek iesniegti pieprasījumi par jauniem vai dzēšamiem kontiem un cik ilgā laikā tie tiek izpildīti. Tas, kas nav iekļauts saskaņotajā apjomā, tiek norādīts atsevišķi, lai nerastos pieņēmums, ka par to rūpējas kāds cits.
Piekļuvju kārtība nav vienreizējs projekts. Tā ir ikdienas prakse, kas balstās uz trim lietām: viena saraksta, skaidrām atbildībām un regulāras pārbaudes.
Neviens pasākums pilnībā nenovērš risku, taču sakārtotas piekļuves palīdz izvairīties no pārsteigumiem, kad mainās komanda. Sākt var ar mazu soli – vienu sarakstu un vienu atbildīgu lomu.