Identity management, nebo tabulka s hesly ve firmě?

Ve většině malých firem se přístupy spravují tabulkou, sdíleným souborem nebo pamětí jednoho zaměstnance. Funguje to, dokud se nikdo nezmění. Odchod kolegy, nová pozice nebo ztracený telefon odhalí, kolik účtů zůstalo otevřených a kdo má přístup k čemu. Identity management je soustavný postup, jak řídit, kdo se kam smí přihlásit, a to od příchodu zaměstnance po jeho odchod. Nemusí jít o drahý software, začít se dá několika kroky, které jsou popsány níže.

Co řeší a kdy začít

Nástroj odpovídá na tři otázky: kdo je uživatel, k čemu má přístup a kdy o něj přijde. V praxi eliminuje situace, kdy bývalý zaměstnanec stále vidí firemní e-maily. Také snižuje zátěž správci, který jinak ručně zakládá a ruší účty. Přínos roste s počtem lidí a systémů.

Zlomový bod nastává kolem několika desítek zaměstnanců nebo desítek aplikací. Pak už se ruční evidence rozpadá. U menších firem může stačit disciplinovaný postup a jednotné přihlášení. Zvažte rizika, ne jen velikost.

Obecný pokyn: začněte tam, kde jsou citlivá data. Účetnictví, osobní údaje zákazníků a správa serverů mají přednost. Zbytek přidáváte postupně. Dokonalost není cíl.

Krok 1: inventura účtů a systémů

Sepište všechny systémy, do kterých se zaměstnanci přihlašují: e-mail, účetnictví, cloudová úložiště, sociální sítě firmy, správa webu. Pro každý poznamenejte, kdo má přístup a v jaké roli. U sdílených účtů zapište, kdo heslo zná. Výsledek bývá překvapivý.

Odhalíte nepoužívané účty, duplicity a lidi s přístupem, který nepotřebují. Smazání zbytečných účtů je nejrychlejší zlepšení zabezpečení. Zapisujte i externí spolupracovníky. Ti se v seznamech často ztrácejí.

Určete vlastníka každého systému. Odpovědný člověk schvaluje přístupy a ví, k čemu systém slouží. Bez vlastníka se oprávnění hromadí. Nominujte jednu osobu na každou aplikaci.

Krok 2: role a oprávnění

Zásada nejmenších oprávnění říká, že každý má jen to, co potřebuje k práci. Účetní nepotřebuje správu serveru a vývojář nemusí vidět mzdy. Vytvořte několik rolí podle pracovních pozic a přiřaďte jim přístupy. Novému zaměstnanci pak přidělíte roli, ne seznam jednotlivých oprávnění.

Role zjednoduší i změny. Pokud někdo přejde na jinou pozici, vymění se role a staré přístupy zmizí. Nedochází k hromadění práv. Je to hlavní důvod, proč role fungují lépe než individuální nastavení.

Oddělte běžné a administrátorské účty. Správce by neměl číst poštu pod účtem s plnými právy. Tím se snižuje riziko, že útočník získá všechno jedním heslem. Je to drobnost s velkým dopadem.

Krok 3: jednotné přihlášení a vícefaktorové ověření

Jednotné přihlášení umožňuje jedním účtem vstoupit do více aplikací. Zaměstnanec si pamatuje jedno heslo a správce má jedno místo, kde přístup zruší. Mnoho cloudových služeb ho podporuje. Zavedení šetří čas a snižuje potřebu psát hesla na papírky.

Vícefaktorové ověření přidává druhý krok, třeba kód v aplikaci nebo bezpečnostní klíč. Zastaví většinu útoků, při nichž je heslo odcizeno. Zapněte ho minimálně u e-mailu, účetnictví a administrace. SMS kódy jsou lepší než nic, ale aplikace nebo klíč jsou odolnější.

Zaveďte správce hesel pro zbylé systémy. Každá služba má mít unikátní heslo a nikdo si je nemá pamatovat. Sdílení hesel e-mailem zakažte. Používejte sdílené trezory.

Krok 4: příchod, změna a odchod zaměstnance

Při příchodu založte účty podle role a připravte je dopředu. Nový kolega by měl v první den pracovat, ne čekat na přístupy. Seznam přidělených účtů zapište. Totéž udělejte při změně pozice.

Odchod je nejcitlivější okamžik. Přístupy zrušte v den ukončení nebo dřív podle situace. Zkontrolujte přesměrování pošty, sdílené dokumenty a firemní telefon. Předání dat a hesel vyřešte s předstihem.

Zvažte kontrolní seznam odchodu, který projdete vždy. Obsahuje účty, zařízení, klíče a sociální sítě. Díky němu nezapomenete na nic. Pár minut ušetří velký problém.

Krok 5: pravidelná revize oprávnění

Nejméně jednou ročně projděte, kdo má jaká práva. Vlastníci systémů potvrdí, zda jsou přístupy stále opodstatněné. Nepotřebné odeberte. Revize odhalí postupné hromadění práv.

Sledujte neobvyklé přihlášení: z jiné země, v noci nebo opakované neúspěšné pokusy. Většina cloudových služeb nabízí upozornění. Nastavte je u kritických systémů. Včasné varování umožní zareagovat.

Uchovávejte záznamy podle potřeby. Při bezpečnostním incidentu nebo kontrole osobních údajů je dobré umět doložit, kdo měl přístup. Respektujte ochranu osobních údajů zaměstnanců a omezte, kdo záznamy vidí. Doba uchování se řídí účelem.

Srovnání: ruční správa a řízená správa identit

Oblast	Ruční evidence	Identity management
Zakládání účtů	Postupně, podle paměti	Podle role, předem připraveno
Odchod zaměstnance	Riziko zapomenutých účtů	Jednotné zrušení přístupů
Hesla	Často sdílená nebo opakovaná	Jednotné přihlášení a správce hesel
Přehled o právech	Tabulka, často zastaralá	Aktuální přehled a revize
Nárok na čas	Roste s počtem lidí	Úvodní práce, pak úspora

Z tabulky plyne, že se přechod vyplatí i v menších firmách, pokud pracují s citlivými daty. Nemusíte se hned pouštět do rozsáhlého systému. Postupné kroky stačí.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB)
• Úřad pro ochranu osobních údajů