Stanowisko
Zarządzanie dostępami
Ile razy w tygodniu nadajecie dostęp "taki sam jak ma Kowalski"? Każdy taki wniosek kopiuje uprawnienia, których nikt nie przeglądał od lat.
Rozmowa wstępna
Cztery pytania, od których byśmy zaczęli
Ile razy w tygodniu nadajecie dostęp na wzór innego pracownika?
Jeśli często, to uprawnienia rosną przez kopiowanie, a nie przez decyzję.
Kto zauważy pierwszy, że konto odchodzącego pracownika nadal działa?
Jeśli nikt, dopóki ktoś się nie zaloguje, to macie konta bez właściciela w każdym systemie.
Jak długo trwa realizacja wniosku o dostęp?
Jeśli dwa dni, to nowy pracownik przez dwa dni nie pracuje - a przełożony prosi o uprawnienia szersze, niż trzeba, żeby uniknąć drugiego wniosku.
Co się dzieje, kiedy ktoś zmienia stanowisko wewnątrz firmy?
Czy stare uprawnienia są odbierane, czy zostają na wszelki wypadek.
Zdejmujemy obsługę wniosków, zostawiamy decyzję o uprawnieniach
Przyjmowanie wniosków, nadawanie dostępów wedle wzorców, przeglądy uprawnień i obsługa odejść dają się odciążyć. Decyzja, kto co ma widzieć, zostaje przy przełożonym i właścicielu systemu.
- Wniosek idzie do osoby, która ma zdecydować. - Nie do administratora jako pierwszego ogniwa, tylko do przełożonego i właściciela systemu, a dopiero potem do realizacji.
- Stanowisko ma wzorzec uprawnień. - Nowy pracownik dostaje zestaw przypisany do roli, zamiast kopii uprawnień kolegi z sąsiedniego biurka.
- Odejście i zmiana stanowiska są zdarzeniem. - Dostęp wygasa wraz z zakończeniem zatrudnienia, a nie wtedy, gdy ktoś sobie przypomni.
Zakres
Co da się odciążyć w zarządzaniu dostępami
Dziewiętnaście przykładowych zadań. Każde ma punkt zatwierdzenia po stronie człowieka. Poniżej wybrane, a zakres dopasowujemy do liczby i rodzaju Waszych systemów.
Wnioski o dostęp
- Jedna droga wniosku z wymaganym uzasadnieniem
- Skierowanie do przełożonego i właściciela systemu (decyzja: przełożony)
- Wskazanie uprawnień wykraczających poza wzorzec stanowiska
- Status wniosku widoczny dla zgłaszającego
- Rejestr nadań z datą, osobą i podstawą
Konta i uprawnienia
- Wzorce uprawnień przypisane do stanowisk
- Wskazanie kont z uprawnieniami poza wzorcem
- Sygnał o koncie nieużywanym dłużej niż uzgodniono
- Wykrycie kont bez przypisanego właściciela
Stanowiska i sprzęt
- Ewidencja sprzętu z przypisaniem do osoby
- Lista przygotowania stanowiska dla nowej osoby
- Sygnał o sprzęcie nieodebranym po odejściu
Przeglądy uprawnień
- Harmonogram przeglądów wedle systemów
- Zestawienie uprawnień do potwierdzenia przez przełożonego (potwierdzenie: przełożony)
- Wskazanie uprawnień niepotwierdzonych w ostatnim przeglądzie
- Rejestr zmian wynikających z przeglądu
Odejścia pracowników
- Powiązanie zakończenia zatrudnienia z odebraniem dostępów
- Lista systemów, w których osoba miała konto
- Potwierdzenie zamknięcia dostępów (potwierdzenie: administrator)
Dzień pracy
Dzisiaj
- Wnioski przychodzą mailem i na komunikatorze, bez uzasadnienia
- Dostęp nadajecie na wzór innego pracownika, bo tak jest szybciej
- Nie wiecie, kto ma uprawnienia szersze, niż wynika ze stanowiska
- Konta po odejściu zamykacie, gdy ktoś o tym powie
- Przegląd uprawnień odkładacie, bo wymagałby obdzwonienia przełożonych
- Przy audycie dostępów składacie zestawienie przez tydzień
Z asystą AI
- Wniosek ma jedną drogę, uzasadnienie i trafia do decydenta
- Nowy pracownik dostaje wzorzec uprawnień dla stanowiska
- Uprawnienia poza wzorcem są wskazane
- Zakończenie zatrudnienia pociąga za sobą odebranie dostępów
- Przegląd uprawnień wysyła przełożonym gotowe zestawienia
- Zestawienie na audyt powstaje z rejestru uprawnień, nie ze zbiórki po systemach
- Czas realizacji wniosku
nowy pracownik pracuje od pierwszego dnia
wniosek idzie od razu do decydenta, nie przez kolejkę
- Porządek w uprawnieniach
mniej dostępów nadanych przez kopiowanie
stanowisko ma wzorzec uprawnień
- Ryzyko kont po odejściu
mniej działających kont bez właściciela
odejście pociąga odebranie dostępów
- Gotowość na audyt dostępów
zestawienie jest dostępne, nie składane
rejestr nadań powstaje na bieżąco
Zaczynamy od wniosków, bo tam jest największy wolumen i najwięcej kopiowania.
- Krok 1
Jedna droga wniosku z decydentem
Uzasadnienie, skierowanie do przełożonego i właściciela systemu, rejestr nadań.
- Krok 2
Wzorce uprawnień dla stanowisk
Zestaw przypisany do roli zamiast kopiowania od kolegi.
- Krok 3
Odejścia i zmiany stanowiska
Powiązanie ze zdarzeniami kadrowymi i lista systemów do zamknięcia.
- Krok 4
Przeglądy uprawnień
Zestawienia do potwierdzenia przez przełożonych. Na końcu, bo wymaga uporządkowanych wzorców.
Częste pytania
Pytania, które padają na pierwszym spotkaniu
Czym to się różni od pracy administratora systemów?
Administrator utrzymuje działanie: serwery, kopie zapasowe, aktualizacje, wydajność. Tu przedmiotem jest wyłącznie to, kto ma do czego dostęp. W mniejszych firmach robi to ta sama osoba i stąd bierze się pomieszanie - ale to są dwa różne rodzaje pracy i dwa różne rodzaje ryzyka.
Czym to się różni od bezpieczeństwa IT?
Tam przedmiotem są podatności, incydenty i zagrożenia z zewnątrz. Tu - dostęp, konta i stanowiska pracy. Obszary stykają się przy uprawnieniach nadmiarowych, ale codzienna praca wygląda zupełnie inaczej.
Czy do obsługi dostępów potrzeba będzie mniej osób?
Wnioski o dostęp to praca, która nie wymaga administratora - wymaga decyzji przełożonego i wykonania. Odciążenie tego nie zdejmuje etatu, tylko przestaje zużywać na to kogoś, kto powinien zajmować się czym innym. Przeglądy uprawnień, których dziś nikt nie robi, stają się w ogóle wykonalne i to jest zwykle główna korzyść.
Czy to podlega AI Act?
Zarządzanie dostępami nie jest zastosowaniem wysokiego ryzyka. Granica przebiega przy danych o logowaniach i aktywności kont: służą one bezpieczeństwu i porządkowi w uprawnieniach, a wykorzystanie ich do oceny czasu pracy albo wydajności byłoby monitorowaniem pracowników wymagającym osobnej podstawy.
Zostało pytanie, którego tu nie ma? Umów rozmowę
Następny krok
Ile działających kont należy dziś do osób, które u Was nie pracują?
Pokażemy Wam, jak wygląda zarządzanie dostępami, w którym wniosek idzie do decydenta, a odejście pracownika zamyka konta samo.