Konto po pracowniku, który odszedł rok temu, wciąż ma dostęp do systemu księgowego. Nikt tego nie zauważył, bo nikt nie musiał. System działał, faktury wychodziły, a stare konto po prostu tam było, zapomniane w katalogu użytkowników.
Widziałem taki obraz wielokrotnie. Zazwyczaj nikt świadomie nie decyduje, że dane konto ma zostać aktywne po odejściu pracownika. To po prostu nie znika samo.
Dlaczego uprawnienia rosną, a nigdy nie maleją same
Kiedy ktoś dołącza do firmy, dostaje dostęp do systemów potrzebnych na starcie. Potem zmienia dział, przechodzi na inne stanowisko, dostaje tymczasowy dostęp do projektu, zastępuje kogoś na urlopie. Każda z tych sytuacji dokłada nowe uprawnienie. Prawie nigdy nie towarzyszy jej odjęcie starego.
To zjawisko ma nazwę – privilege creep, czyli pełzające narastanie uprawnień. Mechanizm jest prosty: nadanie dostępu jest zdarzeniem widocznym i pilnym, bo blokuje komuś pracę. Odebranie dostępu nie boli nikogo od razu, więc łatwo je odłożyć albo pominąć.
Efekt widać najwyraźniej w dwóch miejscach. Pierwsze to konta byłych pracowników, które administrator dezaktywuje dopiero, gdy ktoś przypadkiem na nie trafi. Drugie to konta aktywnych pracowników, którzy mają dostęp do systemów, z których nie korzystają od miesięcy, bo zmienili rolę, a nikt nie zaktualizował listy uprawnień.
Z punktu widzenia bezpieczeństwa oba przypadki znaczą to samo: powierzchnia ataku większa, niż wymaga tego bieżąca działalność firmy. Każde nieużywane konto to potencjalny wektor wejścia, zwłaszcza jeśli hasło do niego nigdy nie zostało zmienione albo konto nie ma włączonego MFA.
Warto dodać kontekst regulacyjny. Dla podmiotów kluczowych i ważnych objętych ustawą o KSC dokumentacja zarządzania dostępem i tożsamością jest elementem systemu zarządzania bezpieczeństwem informacji, którego brak może zostać wychwycony w trakcie kontroli. To nie jest formalność do odhaczenia raz w roku, tylko proces, który musi być widoczny i powtarzalny.
Jak przeprowadzić przegląd uprawnień krok po kroku
Pierwszy krok to zbudowanie pełnej listy kont w kluczowych systemach: Active Directory lub Entra ID, poczta, systemy księgowe i ERP, systemy branżowe, dostępy VPN, konta administracyjne w chmurze. Bez tego punktu wyjścia przegląd jest niekompletny, bo firmy zwykle mają więcej systemów z osobnym zarządzaniem tożsamością, niż im się wydaje.
Drugi krok to zestawienie tej listy z aktualnym stanem zatrudnienia i strukturą organizacyjną. Tu wychodzą pierwsze rozbieżności – konta osób, które już nie pracują, konta z dostępem do działów, w których dana osoba nigdy nie pracowała, konta serwisowe bez przypisanego właściciela.
Trzeci krok to weryfikacja zasady najmniejszych uprawnień, czyli sprawdzenie, czy dostęp odpowiada realnym obowiązkom danej osoby. Tu pomaga rozmowa z kierownikami działów – oni zwykle wiedzą, kto z czego faktycznie korzysta, lepiej niż wynika to z samej dokumentacji IT.
Czwarty krok to szczególna uwaga na konta uprzywilejowane: administratorów systemów, kont serwisowych, integracji API. Te konta mają największy potencjał szkody, jeśli wpadną w niepowołane ręce, a jednocześnie często są najstarsze i najrzadziej przeglądane, bo nikt nie chce ich ruszać z obawy, że coś przestanie działać.
Ostatni krok to udokumentowanie wyników: co znaleziono, jakie decyzje podjęto, kto je zatwierdził. To właśnie ta dokumentacja staje się dowodem należytej staranności zarządu w razie kontroli albo incydentu.
Jak zbudować proces cykliczny audytu
Jednorazowy przegląd uprawnień rozwiązuje problem na dziś, ale nie zapobiega temu, żeby za sześć miesięcy sytuacja wróciła do punktu wyjścia. Potrzebny jest proces, który działa w tle bez konieczności pamiętania o nim.
Podstawa to rejestr uprawnień – aktualizowana lista, kto ma dostęp do czego i na jakiej podstawie. Bez tego rejestru każdy kolejny audyt zaczyna się od zera.
Kolejny element to procedura offboardingu zintegrowana z działem HR. Odejście pracownika powinno automatycznie uruchamiać listę kontrolną odbierania dostępów, najlepiej z konkretnym terminem realizacji, a nie jako zadanie „do zrobienia kiedyś”.
Trzeci element to harmonogram przeglądów okresowych, na przykład kwartalnych dla kont uprzywilejowanych i półrocznych dla pozostałych. Regularność ma tu większe znaczenie niż częstotliwość – lepiej sprawdzać rzadziej, ale konsekwentnie, niż zrobić jeden gruntowny przegląd i porzucić temat.
Czwarty element to jasno przypisana odpowiedzialność. Ktoś konkretny musi być właścicielem tego procesu, bo proces bez właściciela z czasem zawsze wygasa.
Firmy, które wdrażają taki cykl, zyskują coś więcej niż samo bezpieczeństwo – zyskują odpowiedź gotową na każdą kontrolę i każde pytanie zarządu o to, kto ma dostęp do czego i dlaczego. Oczywiście, żeby nie robić tego ręcznie możesz posłużyć się systemem, który będzie nadzorował te uprawnienia za Ciebie i Twój dział IT. Będziesz miał regularne raporty, automatyczne usuwanie uprawnień z wielu miejsc w Twoim środowisku.
Przeprowadzę audyt uprawnień w Twojej organizacji – napisz.
