Dostawca systemu księgowego potrzebuje wykonać aktualizację, serwisant diagnozuje problem z urządzeniem, a zewnętrzny specjalista ma sprawdzić konfigurację aplikacji. W takich sytuacjach dostęp do firmowych zasobów bywa nadawany szybko, ponieważ liczy się rozwiązanie bieżącego problemu.
Bezpieczne IT we Wrocławiu wymaga jednak, aby każda osoba zewnętrzna otrzymywała tylko taki dostęp, jaki jest potrzebny do konkretnego zadania. Bez ustalonego zakresu, terminu ważności i osoby odpowiedzialnej tymczasowe uprawnienie może pozostać aktywne długo po zakończeniu prac.
Problem nie dotyczy wyłącznie dużych projektów wdrożeniowych. W wielu firmach ryzyko powstaje podczas zwykłych działań serwisowych, gdy konto jest współdzielone, hasło przekazywane przez wiadomość albo nikt nie potwierdza zakończenia prac dostawcy.
Bezpieczne IT we Wrocławiu zaczyna się od mapy dostawców
Najpierw warto ustalić, którzy zewnętrzni partnerzy faktycznie mają dostęp do systemów, sieci, danych albo urządzeń. Część dostawców korzysta z niego regularnie, inni tylko przy awarii, odnowieniu licencji lub zmianie konfiguracji. Bez takiej listy trudno odpowiedzieć na podstawowe pytanie: kto może obecnie wejść do środowiska firmy i w jakim celu.
- dostawców aplikacji biznesowych, księgowych i branżowych,
- serwisantów urządzeń sieciowych, serwerów oraz systemów bezpieczeństwa,
- firmy obsługujące stronę, hosting, domeny lub pocztę,
- zewnętrznych administratorów pracujących przy projektach wdrożeniowych,
- osoby mające fizyczny lub zdalny dostęp do infrastruktury poza standardowymi godzinami pracy.
Lista powinna zawierać nie tylko nazwę dostawcy, lecz także system, rodzaj dostępu, osobę zatwierdzającą oraz sposób jego odebrania. Taki przegląd jest częścią działań, które obejmuje zabezpieczenie i optymalizacja infrastruktury IT, ponieważ problem może wynikać zarówno z konfiguracji technicznej, jak i braku odpowiedzialności po stronie organizacji.
1. Konto wspólne ukrywa odpowiedzialność
Wspólne konto dla „serwisu”, „informatyka” albo „dostawcy” może wydawać się wygodne. Pozwala szybko przekazać dostęp kolejnemu pracownikowi firmy zewnętrznej i nie wymaga zakładania nowych użytkowników. Jednocześnie uniemożliwia wiarygodne ustalenie, kto zalogował się do systemu i jakie działania wykonał.
Skutek jest odczuwalny zwłaszcza po błędnej zmianie konfiguracji, nieudanej aktualizacji albo incydencie bezpieczeństwa. Firma widzi użycie konta, ale nie może łatwo przypisać działania do konkretnej osoby. W razie zmiany składu zespołu dostawcy nie wiadomo również, kto nadal zna dane logowania.
Bezpieczniejszym rozwiązaniem są indywidualne konta, przypisane do konkretnych osób i ograniczone do wskazanego zakresu prac. Zasady kontroli kont o rozszerzonych możliwościach omawia także artykuł Konta uprzywilejowane: jak ograniczyć ryzyko w firmie.
2. Dostęp bez terminu staje się stały
Drugim częstym problemem jest dostęp nadany „na chwilę”, który pozostaje aktywny przez wiele miesięcy. Przyczyną bywa brak procedury zamykania zlecenia. Dostawca kończy pracę, użytkownicy odzyskują sprawność systemu, a konto, połączenie zdalne lub dodatkowe uprawnienie nie zostaje usunięte.
Takie konta nie muszą od razu prowadzić do incydentu, ale zwiększają powierzchnię ryzyka. Mogą zostać wykorzystane po zmianie pracownika u dostawcy, przejęte wskutek wycieku danych logowania albo utrudnić analizę późniejszego zdarzenia. Dla bezpiecznego IT we Wrocławiu ważne jest, aby dostęp tymczasowy miał datę wygaśnięcia, a jego przedłużenie wymagało ponownego uzasadnienia.
- określenie daty rozpoczęcia i zakończenia dostępu,
- potwierdzenie osoby biznesowej, że prace nadal są potrzebne,
- automatyczne lub ręczne wyłączenie konta po zakończeniu zadania,
- weryfikacja, czy dostawca nie zachował dodatkowych metod logowania,
- zapis informacji o wykonanych zmianach i osobie odbierającej prace.
3. Uprawnienia większe niż zakres prac
Dostawca potrzebujący wglądu do jednego modułu aplikacji nie zawsze musi otrzymywać dostęp do całej bazy danych, plików wszystkich działów lub ustawień sieciowych. Nadawanie szerokich uprawnień „na wszelki wypadek” skraca pierwszą rozmowę techniczną, lecz przenosi ryzyko na firmę.
Przed udzieleniem dostępu należy ustalić, co dokładnie ma zostać wykonane, w jakim systemie, z jakiego urządzenia i przez jaki czas. W przypadku dostępu spoza firmy istotna jest również kontrola sposobu łączenia się z zasobami. Zależności między zdalnym dostępem, uwierzytelnianiem i ochroną zasobów przedstawia przewodnik po bezpiecznym dostępie VPN w firmie.
Ograniczenie uprawnień nie powinno blokować serwisu. Ma zapewnić, że dostawca otrzymuje narzędzia konieczne do realizacji zlecenia, ale nie może przypadkowo lub bez dodatkowego zatwierdzenia wejść do obszarów niezwiązanych z jego zadaniem.
Procedura przed nadaniem i po zakończeniu dostępu
Prosta procedura pozwala uniknąć decyzji podejmowanych wyłącznie przez osobę, która akurat odbiera zgłoszenie. Nie musi oznaczać rozbudowanego obiegu dokumentów. Wystarczy, aby firma potrafiła wykazać, kto zamówił pracę, kto zatwierdził dostęp, jaki był jej zakres i czy po zakończeniu zadania uprawnienia zostały odebrane.
- opis celu oraz systemu, którego dotyczy zlecenie,
- zatwierdzenie przez właściciela procesu lub wskazanego managera,
- indywidualne konto zamiast współdzielonych danych logowania,
- minimalny zakres uprawnień i ustalony termin dostępu,
- potwierdzenie wykonania prac oraz usunięcia dostępu,
- okresowy przegląd aktywnych kont dostawców.
Takie zasady wspierają również porządkowanie obowiązków związanych z bezpieczeństwem i współpracą z podmiotami zewnętrznymi. Praktyczny kontekst organizacyjny przedstawia wpis NIS2 w firmie: jak uporządkować obowiązki IT.
Weryfikacja dostępu powinna być częścią zwykłej pracy
Kontrola dostawców nie powinna odbywać się wyłącznie po incydencie albo przed audytem. Dobrym momentem na przegląd są zakończenie wdrożenia, zmiana umowy serwisowej, aktualizacja aplikacji, odejście osoby kontaktowej lub reorganizacja działu. Wtedy łatwiej zauważyć konta, których nikt już nie używa, oraz uprawnienia nieadekwatne do aktualnej współpracy.
Bezpieczne IT we Wrocławiu nie polega na całkowitym blokowaniu dostawców. Chodzi o taki model współpracy, w którym pomoc zewnętrzna jest dostępna wtedy, gdy jest potrzebna, ale firma zachowuje kontrolę nad danymi, systemami i odpowiedzialnością za decyzje.
