Darbuotojas ateina, keičia pareigas arba išeina. Kiekvienu atveju kažkas turi nuspręsti, prie kokių sistemų jis gali jungtis, o prie kokių – jau ne. Kol įmonė nedidelė, tai dažnai daroma iš atminties: administratorius žino, kas kur prisijungęs, ir sutvarko, kai prireikia. Augant komandai ir naudojamų paslaugų skaičiui, atmintis nustoja būti patikimu įrankiu.
Prieigų tvarkymas nėra vien techninis klausimas. Tai susitarimas, kas priima sprendimą, kas jį įvykdo ir kaip patikrinama, ar viskas atlikta. Šiame straipsnyje aptariame, kaip tokį susitarimą susidėlioti be perteklinio popierizmo.
Kodėl prieigos „nusėda“ ir kuo tai rizikinga
Tipinė situacija: darbuotojas išėjo prieš pusmetį, kompiuteris grąžintas, el. pašto paskyra išjungta, tačiau jo vardu vis dar veikia prisijungimas prie apskaitos programos, debesų saugyklos ir kliento savitarnos portalo. Niekas to nepadarė tyčia – tiesiog niekas neturėjo viso sąrašo.
Tokios paskyros kelia kelias problemas vienu metu. Buvęs darbuotojas arba asmuo, žinantis jo slaptažodį, gali pasiekti įmonės duomenis. Už nenaudojamas paskyras kartais toliau mokamos licencijos. O kai įvyksta incidentas, sunku atsakyti į paprastą klausimą – kas tuo metu turėjo prieigą. Panaši problema kyla ir keičiantis pareigoms: darbuotojas gauna naujas teises, bet senosios lieka, todėl ilgainiui vienas žmogus mato daugiau, nei reikia jo darbui.
Pradėkite nuo sąrašo, o ne nuo įrankio
Prieš renkantis prieigų valdymo sprendimą verta atsakyti į klausimą, ką apskritai reikia valdyti. Daugelyje įmonių sistemų sąrašas ilgesnis, nei atrodo iš pirmo žvilgsnio: be el. pašto ir apskaitos programos yra bankininkystė, dokumentų saugykla, klientų valdymo sistema, socialinių tinklų paskyros, tiekėjų portalai, biuro durų kodai ir spausdintuvo administratoriaus slaptažodis.
Praktiškas būdas – sudaryti vieną lentelę, kurioje kiekvienai sistemai nurodoma, kas yra jos savininkas įmonėje, kas techniškai kuria ir naikina paskyras ir kokios pareigos kokį prieigos lygį gauna. Lentelė nebūtinai turi būti tobula. Svarbu, kad ji egzistuotų, būtų vienoje vietoje ir turėtų atsakingą žmogų, kuris ją atnaujina.
Tokia apžvalga dažnai atskleidžia sistemas, prie kurių jungiamasi bendru slaptažodžiu, arba paskyras, kurių savininko niekas nebeprisimena. Tai ne priekaištas, o naudingas atspirties taškas – būtent nuo šių vietų verta pradėti tvarkytis.
Trys momentai, kuriems reikia aiškios tvarkos
Kai sąrašas yra, galima sutarti, kas vyksta trimis atvejais: darbuotojui ateinant, keičiant pareigas ir išeinant. Kiekvienam atvejui pakanka trumpos, bet konkrečios sekos.
- Prijungimas. Vadovas ar personalo atstovas praneša apie naują darbuotoją, jo pareigas ir pradžios datą. Pagal sutartą pareigų ir prieigų lentelę sukuriamos paskyros, įjungiamas kelių veiksnių autentifikavimas, o prisijungimai perduodami saugiu būdu. Lentelėje nenumatytos teisės suteikiamos tik su atskiru patvirtinimu.
- Pareigų keitimas. Tai dažniausiai pamirštamas atvejis. Naujos teisės suteikiamos, o senosios peržiūrimos ir, jei nebereikalingos, panaikinamos. Jei senų teisių reikia pereinamuoju laikotarpiu, iš anksto nustatoma data, kada jos bus atimtos.
- Išėjimas. Paskutinę darbo dieną arba sutartu laiku pagal tą patį sąrašą išjungiamos visos paskyros, keičiami bendri slaptažodžiai, kuriuos darbuotojas žinojo, perimama arba nukreipiama el. pašto dėžutė ir dokumentai. Įranga grąžinama, o atlikti veiksmai pažymimi.
Kiekviename žingsnyje turi būti aišku, kas inicijuoja, kas vykdo ir kas patvirtina, jog darbas baigtas. Dažniausia klaida – kai visi mano, jog tai padarys kažkas kitas.
Kaip patikrinti, ar tvarka veikia
Susitarimas dokumente dar nereiškia, kad jis veikia kasdien. Todėl verta numatyti periodinę peržiūrą, kurios metu kartu su sistemų savininkais patikrinama, ar aktyvių paskyrų sąrašas atitinka dabartinius darbuotojus ir jų pareigas. Peržiūros dažnumą geriausia derinti prie to, kaip dažnai įmonėje keičiasi žmonės.
Kelios paprastos gairės, kurios padeda išlaikyti tvarką:
- Vengti bendrų paskyrų ten, kur sistema leidžia turėti asmenines. Kai bendra paskyra neišvengiama, jos slaptažodis saugomas slaptažodžių tvarkyklėje, o ne bendrame dokumente.
- Teises suteikti pagal pareigas, o ne pagal prašymą „kaip pas kolegą“. Išimtys galimos, bet jos užfiksuojamos.
- Administratoriaus teises turėti tik tiems, kam jos reikalingos kasdien, o ne visiems dėl visa ko.
- Paskyrų kūrimą ir naikinimą registruoti taip, kad vėliau būtų galima atsakyti, kada ir kieno sprendimu tai atlikta.
Jei prieigų priežiūra perduota išoriniam partneriui, tie patys principai galioja ir jam: turi būti aišku, kokios sistemos įtrauktos į priežiūrą, kaip pateikiamos užklausos dėl naujų ar naikinamų paskyrų ir per kiek laiko jos vykdomos. Tai, kas neįtraukta į sutartą apimtį, įvardijama atskirai, kad neliktų prielaidos, jog tuo rūpinasi kažkas kitas.
Prieigų tvarka nėra vienkartinis projektas. Tai kasdienė praktika, kuri laikosi ant trijų dalykų: vieno sąrašo, aiškių atsakomybių ir reguliaraus patikrinimo.
Jokia priemonė nepašalina rizikos visiškai, tačiau sutvarkytos prieigos padeda išvengti netikėtumų, kai komanda keičiasi. Pradėti galima nuo mažo žingsnio – vieno sąrašo ir vienos atsakingos rolės.