Kto ma dostęp do czego? Dlaczego większość firm nie potrafi odpowiedzieć na to pytanie

Zadaję to pytanie na początku niemal każdego audytu: kto w tej chwili ma dostęp do systemu księgowego, do bazy klientów, do panelu administracyjnego strony? W większości przypadków odpowiedź brzmi „sprawdzę i dam znać”. To już jest odpowiedź – i to niepokojąca.

Uprawnienia rosną, nikt ich nie odejmuje

Access creep, czyli stopniowe narastanie uprawnień, to zjawisko, które obserwuję niezależnie od branży. Pracownik dostaje dostęp na czas projektu i zatrzymuje go po jego zakończeniu. Ktoś awansuje, zachowując stare uprawnienia razem z nowymi. Konsultant zewnętrzny kończy współpracę, a jego konto zostaje aktywne, bo nikt nie chce ryzykować, że coś przestanie działać po jego wyłączeniu. Po kilku latach lista osób z dostępem do krytycznych systemów jest dwa, trzy razy dłuższa niż lista osób, które faktycznie tego dostępu potrzebują.

Z mojego raportu „Cyberbezpieczeństwo w polskich MŚP” wynika, że tylko 54% firm ma MFA wdrożone dla wszystkich kont, a formalną osobę odpowiedzialną za bezpieczeństwo ma zaledwie 54% badanych organizacji. Skoro w połowie firm nie ma nawet jasno wskazanej odpowiedzialności za bezpieczeństwo, trudno oczekiwać, że ktokolwiek systematycznie przegląda i odejmuje zbędne uprawnienia.

Dlaczego to pierwszy punkt każdego audytu zgodności

Zasada najmniejszych uprawnień (least privilege) to jeden z fundamentów zarówno normy ISO 27001, jak i wymagań NIS2 i KSC. Audytor nie pyta wyłącznie, czy firma ma politykę dostępu spisaną na papierze. Pyta, czy potrafi w ciągu kilku minut wygenerować listę osób z dostępem do konkretnego systemu i uzasadnić, dlaczego każda z nich go potrzebuje. W większości firm, taka lista nie istnieje w formie gotowej do pokazania – trzeba ją dopiero zbudować, często ręcznie, z kilku różnych systemów naraz.

To właśnie ten obszar w rekomendacjach mojego raportu określiłem jako priorytet do wdrożenia w ciągu pół roku: przegląd dostępów według zasady least privilege, obok symulacji phishingowej i szkolenia całego zespołu. Nie jest to element kosmetyczny audytu, tylko jeden z tych obszarów, w których wynik negatywny przekłada się wprost na ryzyko sankcji z NIS2 – kara do 10 mln EUR lub 2% rocznego obrotu dla organizacji, a dla członka zarządu osobista odpowiedzialność sięgająca 300% wynagrodzenia.

Co zmienia narzędzie klasy IAM

Systemy do audytu i zarządzania dostępem, odpowiadają dokładnie na pytanie, które zadaję na początku audytu: pokazują w jednym miejscu, kto ma dostęp do czego, kiedy ten dostęp został nadany i czy był od tego czasu weryfikowany. Zamiast rekonstruować uprawnienia z kilku systemów naraz podczas przygotowań do audytu, zespół IT ma gotowy, aktualny obraz sytuacji na każde żądanie.
To zmienia charakter przeglądu dostępów z jednorazowej, pracochłonnej akcji przed audytem w powtarzalny proces, który można prowadzić kwartalnie bez nadgodzin. Dla zarządu oznacza to też coś więcej niż zgodność formalną – realną wiedzę o tym, gdzie leży ryzyko, zanim zapyta o to audytor.

Trzy pytania, które warto sobie zadać już dziś
Zanim zaplanuje się pełny audyt dostępów, warto sprawdzić kilka rzeczy we własnym zakresie:

• Czy istnieje aktualna lista osób z dostępem do systemów krytycznych, czy trzeba ją dopiero odtworzyć.
• Czy byli pracownicy i zewnętrzni konsultanci mają nadal aktywne konta w jakimkolwiek systemie firmowym.
• Czy ktokolwiek w firmie ma formalnie przypisaną odpowiedzialność za regularny przegląd uprawnień.

Jeśli odpowiedź na którekolwiek z tych pytań brzmi „nie wiem”, to sygnał, że przegląd dostępów powinien znaleźć się wyżej na liście priorytetów niż większość projektów, które obecnie zajmują czas działu IT.

Heatmapa ryzyka pokazuje, gdzie problem boli najbardziej

W moim badaniu branża medyczna i produkcyjna wypadają najsłabiej pod względem procedur i ryzyka związanego z NIS2, a wskaźnik luk bezpieczeństwa sięga tam odpowiednio 62% i 55%. W obu przypadkach dostęp do systemów krytycznych – danych pacjentów czy sterowania produkcją – bywa rozproszony między dziesiątki kont, których nikt systematycznie nie weryfikuje. To dokładnie te branże, w których wdrożenie narzędzia klasy IAM przynosi najszybszy zwrot z inwestycji w postaci realnie obniżonego ryzyka.

Jak wygląda wdrożenie

Wdrożenie narzędzia do audytu dostępów nie wymaga jednorazowej, dużej inwestycji czasu całego zespołu IT. Pierwszym krokiem jest podłączenie systemu do kluczowych aplikacji – domeny, systemu ERP lub księgowego, CRM – i pozwolenie mu na zbudowanie pełnego obrazu istniejących uprawnień. Dopiero na tej podstawie ma sens decydowanie, które dostępy są uzasadnione, a które to pozostałość po projekcie sprzed dwóch lat. Ten etap, choć wymaga uwagi, jest jednorazowy; dalsze przeglądy, prowadzone kwartalnie, zajmują ułamek tego czasu.
Zgodność z ISO 27001 wymaga w tym obszarze przede wszystkim udokumentowanego procesu przeglądu uprawnień – normy nie interesuje samo narzędzie, tylko dowód, że przegląd faktycznie się odbywa w regularnych odstępach czasu i prowadzi do realnych decyzji o odebraniu zbędnego dostępu. Arkusz uzupełniany raz na rok tuż przed audytem tego dowodu nie stanowi.

Kto powinien odpowiadać za ten proces

W ponad połowie firm z mojego badania nie ma formalnie wskazanej osoby odpowiedzialnej za bezpieczeństwo, co w praktyce oznacza, że przegląd dostępów też nie ma właściciela. To pytanie, które warto zadać niezależnie od wielkości organizacji: kto konkretnie ma w zakresie obowiązków regularne sprawdzanie, czy lista osób z dostępem do systemu księgowego lub CRM odpowiada rzeczywistości. Odpowiedź „dział IT się tym zajmuje” zwykle oznacza, że nikt się tym nie zajmuje w sposób systematyczny, tylko doraźnie, gdy pojawi się konkretny sygnał problemu.

Przypisanie tej odpowiedzialności do konkretnej osoby, choćby w niepełnym wymiarze, i wyposażenie jej w narzędzie pokazujące realny stan uprawnień, zmienia przegląd dostępów z zadania, które nikt nie ma czasu wykonać, w rutynową czynność zajmującą godzinę kwartalnie.