Zaposlenik može otići iz tvrtke u petak, a njegov pristup e-pošti, datotekama, računovodstvenom programu ili udaljenoj mreži ostati aktivan još tjednima. Takve situacije rijetko nastaju zbog nemara pojedinca. Najčešće su posljedica procesa koji nije jasno definiran. Upravljanje pristupom korisnika zato nije samo IT zadatak, nego dio svakodnevne kontrole poslovnih rizika.
U manjim i srednjim tvrtkama pristupi se često dodjeljuju usput: novi kolega treba program, voditelj pošalje poruku IT-u, a račun se otvori prema trenutnoj potrebi. Problem se pojavljuje kasnije, kada nitko sa sigurnošću ne može potvrditi tko ima pristup kojem sustavu, zašto ga ima i je li mu još potreban. Dobar model upravljanja pristupima uvodi red bez nepotrebnog usporavanja rada.
Upravljanje pristupom korisnika počinje popisom sustava
Prije postavljanja pravila potrebno je utvrditi gdje se poslovni računi uopće nalaze. U praksi to nisu samo Microsoft 365 korisnički računi. Popis treba obuhvatiti poslužitelje, mrežnu opremu, računovodstvene i ERP sustave, CRM, aplikacije za evidenciju rada, udaljeni pristup, dijeljene mape, cloud servise te administrativna sučelja dobavljača.
Ovaj korak često otkrije račune koji nisu vezani uz konkretnu osobu: stari administratorski račun, račun kreiran za vanjskog suradnika ili zajednički korisnički račun odjela. Takvi računi otežavaju utvrđivanje odgovornosti. Ako više osoba koristi iste podatke za prijavu, nakon pogreške ili sigurnosnog incidenta gotovo je nemoguće precizno utvrditi tko je izvršio određenu radnju.
Za svaki sustav korisno je odrediti vlasnika s poslovne strane. IT može administrirati tehnički dio, ali voditelj financija najbolje zna kome je potreban pristup financijskom programu, a voditelj prodaje tko smije vidjeti podatke kupaca. Vlasnik sustava odobrava ovlasti, dok IT osigurava da se one pravilno provedu i evidentiraju.
Pravo pristupa nije isto što i korisnički račun
Korisnički račun potvrđuje identitet osobe. Pravo pristupa određuje što ta osoba nakon prijave smije učiniti. Zaposlenik može imati valjan račun u Microsoft 365 okruženju, ali ne treba automatski imati pristup svim dijeljenim mapama, poslovnim aplikacijama i administrativnim funkcijama.
Praktično pravilo je načelo najmanjih potrebnih ovlasti. Korisnik treba dobiti samo ona prava koja su mu potrebna za njegov konkretan posao, i ništa više. Računovodstvo, primjerice, može imati pristup financijskoj dokumentaciji, ali ne i postavkama mrežne infrastrukture. Vanjski knjigovodstveni servis možda treba pristup određenoj aplikaciji, ali ne i cijelom internom datotečnom poslužitelju.
Takav pristup smanjuje opseg štete ako dođe do krađe lozinke, pogreške korisnika ili kompromitacije uređaja. Istodobno smanjuje mogućnost nenamjernih promjena u sustavima koje korisnik ne mora administrirati. Nije cilj otežati rad zaposlenicima, nego jasno povezati ovlasti s poslovnom odgovornošću.
Uloge su preglednije od pojedinačnih iznimaka
U tvrtki s nekoliko zaposlenika moguće je ručno dodjeljivati prava pojedincima. Kako broj korisnika, aplikacija i lokacija raste, takav model postaje nepregledan. Učinkovitije je definirati uloge, primjerice prodaja, računovodstvo, voditelji, skladište ili vanjski suradnici, te za svaku ulogu odrediti skup potrebnih pristupa.
Kada novi zaposlenik dođe u odjel prodaje, ne mora se iznova odlučivati o svakom resursu. Dobiva osnovni skup prava svoje uloge, a dodatne ovlasti odobravaju se samo kada postoji stvarna potreba. Važno je izbjeći stvaranje preširokih grupa poput svih zaposlenika s pristupom osjetljivim mapama samo zato što je to administrativno jednostavnije.
Proces za dolazak, promjenu i odlazak zaposlenika
Većina problema s pristupima nastaje u tri trenutka: kada osoba počinje raditi, kada mijenja radno mjesto i kada odlazi iz tvrtke. Zato upravljanje pristupom korisnika treba biti povezano s kadrovskim i operativnim procesima, a ne prepušteno povremenim zahtjevima.
Kod dolaska novog zaposlenika zahtjev treba sadržavati ime korisnika, radno mjesto, odjel, datum početka rada, potrebne sustave i osobu koja odobrava pristup. IT tada može otvoriti račun, dodijeliti odgovarajuće licence i prava te osigurati početne sigurnosne postavke. Time se izbjegava situacija u kojoj korisnik prvi dan nema pristup potrebnim alatima, ali i ona u kojoj dobiva više prava nego što mu treba.
Promjena radnog mjesta posebno je osjetljiva. Zaposlenik koji prelazi iz prodaje u upravljačku funkciju može dobiti nove ovlasti, no stare ne smiju ostati aktivne samo zato što su jednom bile potrebne. Svaka promjena uloge treba uključiti pregled postojećih prava, njihovo ukidanje ili prilagodbu te evidentiranje novog odobrenja.
Kod odlaska zaposlenika važno je brzo blokirati interaktivnu prijavu, odjaviti aktivne sesije i ukloniti pristupe VPN-u, poslovnim aplikacijama i zajedničkim spremištima. Podatke i poslovnu e-poštu pritom ne treba nekontrolirano brisati. Potrebno je dogovoriti tko preuzima poslovnu komunikaciju, dokumentaciju i vlasništvo nad datotekama, uz postupanje usklađeno s internim pravilima tvrtke.
Administratorski računi zahtijevaju stroža pravila
Administratorske ovlasti omogućuju promjene koje mogu utjecati na cijelu organizaciju: otvaranje novih računa, promjenu sigurnosnih postavki, instalaciju softvera, pristup sigurnosnim kopijama ili izmjene mrežnih pravila. Zato redovni korisnički račun administratora ne bi trebao istodobno biti i račun za svakodnevni rad.
Dobra praksa je korištenje zasebnog administratorskog računa samo za administrativne zadatke. Tako se smanjuje izloženost, primjerice kada korisnik otvara e-poštu ili preuzima dokumente. Administratorski pristupi trebaju imati višefaktorsku autentifikaciju, jasnog vlasnika i redovitu provjeru aktivnosti.
Posebnu pažnju zahtijevaju takozvani servisni računi koje koriste aplikacije, sigurnosne kopije ili integracije među sustavima. Oni često imaju široke ovlasti i rijetko se pregledavaju. Za svaki takav račun treba znati koju funkciju obavlja, kojim sustavima pristupa, tko je odgovoran za njega i kako se štite njegovi podaci za prijavu.
Tehnička provedba: identitet, MFA i evidencija
Centralizirano upravljanje identitetima značajno olakšava kontrolu, osobito kada organizacija koristi Microsoft 365, lokalne poslužitelje i više poslovnih aplikacija. Idealno je da korisnik ima jedan poslovni identitet kojim se prijavljuje na odobrene servise, umjesto više nepovezanih računa i lozinki.
Višefaktorska autentifikacija, poznata kao MFA, dodatno štiti prijavu zahtjevom za drugom potvrdom identiteta. Sama lozinka, čak i kada je složena, nije dovoljna zaštita za pristup e-pošti, cloud podacima, udaljenoj mreži ili administrativnim računima. MFA treba uvoditi promišljeno, uz definirane postupke za izgubljene autentifikacijske metode i korisnike koji rade na terenu.
Evidencija prijava i promjena prava također ima operativnu vrijednost. Kada se pojavi sumnjiva aktivnost ili korisnik tvrdi da nema potreban pristup, zapis omogućuje brže utvrđivanje što se dogodilo. Nije potrebno pratiti svaku beznačajnu radnju, ali promjene administratorskih ovlasti, neuspjele prijave i prijave iz neuobičajenih okolnosti trebaju biti vidljive osobama koje održavaju sustav.
Redovita provjera sprječava nakupljanje nepotrebnih ovlasti
Pristupi se ne mogu urediti jednom i zauvijek. Organizacija se mijenja, zaposlenici preuzimaju nove zadatke, uvode se aplikacije, a vanjski suradnici dolaze i odlaze. Zato je korisno periodično pregledati korisničke račune i prava, osobito za osjetljive sustave.
U praksi je dovoljno da vlasnici pojedinih sustava u dogovorenim intervalima potvrde tko i dalje treba pristup. IT zatim provodi potrebne izmjene i vodi evidenciju. U tvrtkama bez internog IT odjela vanjski partner može pripremiti pregled računa, administratorskih prava i rizičnih odstupanja, dok poslovna strana donosi odluke o ovlastima.
CarPen Rebuild u takvim provjerama ne promatra samo korisničke račune, nego i širu sliku: način udaljenog pristupa, stanje sigurnosnih kopija, ovlasti nad cloud servisima i ovisnosti među aplikacijama. Upravo se na dodirnim točkama sustava često otkrivaju prava koja su ostala aktivna bez jasne poslovne potrebe.
Uređena prava pristupa ne vide se često dok sve funkcionira, ali postaju presudna kada se mijenja zaposlenik, dođe do sumnjive prijave ili treba brzo vratiti poslovanje u normalu. Jasna odgovornost, ograničene ovlasti i redovite provjere stvaraju kontrolu koja štiti tvrtku bez nepotrebnog opterećenja njezinih zaposlenika.