Pracownik dołącza do firmy, zmienia stanowisko albo odchodzi. W każdym przypadku ktoś musi zdecydować, do jakich systemów może się logować, a do jakich już nie. Dopóki firma jest niewielka, robi się to często z pamięci: administrator wie, kto gdzie jest zalogowany, i porządkuje to w razie potrzeby. Wraz ze wzrostem zespołu i liczby wykorzystywanych usług pamięć przestaje być narzędziem wiarygodnym.
Zarządzanie dostępami nie jest wyłącznie kwestią techniczną. To ustalenie, kto podejmuje decyzję, kto ją wykonuje i jak sprawdza się, że wszystko zostało zrobione. W tym artykule omawiamy, jak takie ustalenie ułożyć bez nadmiernej biurokracji.
Dlaczego dostępy „osiadają” i czym to grozi
Typowa sytuacja: pracownik odszedł pół roku temu, komputer został zwrócony, konto e-mail wyłączone, ale na jego nazwisko wciąż działa logowanie do programu księgowego, chmury i portalu samoobsługowego klienta. Nikt nie zrobił tego celowo – po prostu nikt nie miał pełnej listy.
Takie konta stwarzają kilka problemów jednocześnie. Były pracownik lub osoba znająca jego hasło może uzyskać dostęp do danych firmy. Za nieużywane konta czasem nadal opłacane są licencje. A gdy dojdzie do incydentu, trudno odpowiedzieć na proste pytanie – kto w danym momencie miał dostęp. Podobny problem pojawia się przy zmianie stanowiska: pracownik otrzymuje nowe uprawnienia, ale stare pozostają, więc z czasem jedna osoba widzi więcej, niż potrzebuje do swojej pracy.
Zacznijcie od listy, a nie od narzędzia
Przed wyborem rozwiązania do zarządzania dostępami warto odpowiedzieć na pytanie, co w ogóle trzeba zarządzać. W wielu firmach lista systemów jest dłuższa, niż wydaje się na pierwszy rzut oka: oprócz poczty e-mail i programu księgowego są bankowość, przechowywanie dokumentów, system CRM, konta w mediach społecznościowych, portale dostawców, kody do drzwi biura i hasło administratora drukarki.
Praktyczny sposób – stworzyć jedną tabelę, w której dla każdego systemu podano, kto jest jego właścicielem w firmie, kto technicznie tworzy i usuwa konta oraz jakie stanowisko otrzymuje jaki poziom dostępu. Tabela nie musi być idealna. Ważne, aby istniała, znajdowała się w jednym miejscu i miała osobę odpowiedzialną, która ją aktualizuje.
Taki przegląd często ujawnia systemy, do których loguje się na wspólne hasło, albo konta, których właściciela nikt już nie pamięta. To nie zarzut, lecz przydatny punkt wyjścia – właśnie od tych miejsc warto zacząć porządkowanie.
Trzy momenty wymagające jasnych zasad
Gdy lista już jest, można uzgodnić, co dzieje się w trzech przypadkach: przy zatrudnieniu pracownika, zmianie stanowiska i odejściu. Dla każdego przypadku wystarczy krótka, ale konkretna sekwencja działań.
- Zatrudnienie. Przełożony lub przedstawiciel działu personalnego informuje o nowym pracowniku, jego stanowisku i dacie rozpoczęcia pracy. Zgodnie z uzgodnioną tabelą stanowisk i dostępów tworzone są konta, włączane uwierzytelnianie wieloskładnikowe, a dane logowania przekazywane w bezpieczny sposób. Uprawnienia nieprzewidziane w tabeli nadawane są tylko po odrębnym zatwierdzeniu.
- Zmiana stanowiska. To najczęściej pomijany przypadek. Nowe uprawnienia są nadawane, a stare przeglądane i, jeśli już niepotrzebne, usuwane. Jeśli stare uprawnienia są potrzebne na okres przejściowy, z wyprzedzeniem ustala się datę ich odebrania.
- Odejście. Ostatniego dnia pracy lub w uzgodnionym terminie, zgodnie z tą samą listą, wyłączane są wszystkie konta, zmieniane wspólne hasła, które znał pracownik, przejmowana lub przekierowywana skrzynka e-mail i dokumenty. Sprzęt jest zwracany, a wykonane czynności odnotowywane.
Na każdym etapie musi być jasne, kto inicjuje, kto wykonuje i kto potwierdza, że praca została zakończona. Najczęstszy błąd – gdy wszyscy sądzą, że zrobi to ktoś inny.
Jak sprawdzić, czy zasady działają
Ustalenie zapisane w dokumencie nie oznacza jeszcze, że działa ono na co dzień. Dlatego warto zaplanować okresowy przegląd, podczas którego razem z właścicielami systemów sprawdza się, czy lista aktywnych kont odpowiada obecnym pracownikom i ich stanowiskom. Częstotliwość przeglądu najlepiej dopasować do tego, jak często w firmie zmieniają się ludzie.
Kilka prostych wskazówek pomagających utrzymać porządek:
- Unikać kont wspólnych tam, gdzie system pozwala mieć konta indywidualne. Gdy konto wspólne jest nieuniknione, jego hasło przechowywane jest w menedżerze haseł, a nie we wspólnym dokumencie.
- Nadawać uprawnienia według stanowiska, a nie na zasadzie „tak jak u kolegi”. Wyjątki są możliwe, ale się je odnotowuje.
- Uprawnienia administratora mają mieć tylko ci, którzy potrzebują ich na co dzień, a nie wszyscy na wszelki wypadek.
- Tworzenie i usuwanie kont rejestrować w sposób umożliwiający późniejsze ustalenie, kiedy i czyją decyzją zostało to wykonane.
Jeśli opieka nad dostępami przekazana jest zewnętrznemu partnerowi, te same zasady obowiązują i jego: musi być jasne, jakie systemy są objęte opieką, jak zgłaszane są wnioski o nowe lub usuwane konta i w jakim czasie są realizowane. To, co nie jest objęte uzgodnionym zakresem, określa się osobno, aby nie powstało założenie, że zajmie się tym ktoś inny.
Porządek w dostępach nie jest jednorazowym projektem. To codzienna praktyka, która opiera się na trzech elementach: jednej liście, jasnych odpowiedzialnościach i regularnej weryfikacji.
Żaden środek nie eliminuje ryzyka całkowicie, ale uporządkowane dostępy pomagają uniknąć niespodzianek, gdy zespół się zmienia. Zacząć można od małego kroku – jednej listy i jednej odpowiedzialnej roli.