Privilegované účty

V článku o riadení prístupových práv sme spomenuli, že administrátorské (privilegované) účty si zaslúžia osobitnú pozornosť — ich zneužitie alebo výpadok totiž môže ovplyvniť celú firmu naraz. Tento článok sa venuje výhradne im: ako pripraviť núdzový prístup pre prípad krízy, kam bezpečne uložiť heslá a ako riešiť situáciu, keď je vo firme na správu všetkého len jeden človek.

Čo je privilegovaný účet a prečo sa spravuje inak

Privilegovaný účet je taký, ktorého oprávnenia výrazne presahujú bežného používateľa — administrátor domény alebo cloudového prostredia (napríklad globálny administrátor Microsoft 365), správca databázy, sieťových prvkov alebo zálohovacieho systému. Kým zneužitie bežného účtu ohrozí spravidla dáta jedného človeka, zneužitie alebo výpadok privilegovaného účtu môže ovplyvniť chod celej firmy naraz — práve preto sú pre útočníka najcennejším cieľom a musia sa spravovať inak: s prísnejšími pravidlami, väčším dohľadom a plánom pre krízové situácie.

Núdzový prístup (break-glass účet) pre prípad krízy

Núdzový (tzv. „break-glass") účet je samostatný účet s najvyššími oprávneniami, ktorý sa v bežnej prevádzke nepoužíva vôbec — je určený výhradne pre situáciu, keď štandardné prihlásenie administrátora z nejakého dôvodu zlyhá. Typicky ide o výpadok služby, cez ktorú prebieha bežné overenie (napríklad výpadok Microsoft Entra ID alebo aplikácie na viacfaktorové overenie), alebo o stratu prístupu k autentifikačnému zariadeniu samotného administrátora.

• Núdzový účet by mal byť zámerne vyňatý z bežných politík podmieneného prístupu, ktoré práve vtedy môžu byť nedostupné — inak sa firma dostane do situácie, že núdzový prístup nemôže použiť presne vtedy, keď ho potrebuje.
• Každé jeho použitie musí byť automaticky monitorované a musí vyvolať okamžité upozornenie zodpovednej osobe — mimoriadny prístup sa nesmie použiť „potichu".
• Nikdy by sa nemal používať na bežnú prácu, ani „len raz, keď sa to hodí" — tým by prestal byť núdzovým a stal by sa ďalším rizikovým bežným účtom.

Kam bezpečne uložiť heslá k privilegovaným účtom

Heslo k núdzovému alebo inak kriticky dôležitému účtu by nemalo existovať len v hlave jedného človeka ani v bežnom textovom súbore či tabuľke. V praxi sa používajú najmä tieto spôsoby:

• Fyzické uloženie — heslo zapečatené v obálke, uložené v trezore alebo bezpečnostnej schránke, s evidenciou, kto a kedy obálku otvoril.
• Elektronický trezor hesiel (PAM) — nástroj na správu privilegovaného prístupu (Privileged Access Management), ktorý heslá ukladá šifrovane, prísne eviduje každý prístup k nim a dokáže ich po použití automaticky zmeniť.
• Rozdelenie hesla medzi viacero osôb — pri najkritickejších systémoch sa heslo rozdelí na časti tak, že žiadna jedna osoba ho nepozná celé a k jeho použitiu je potrebná súčinnosť viacerých ľudí.

Po každom použití núdzového účtu by sa jeho heslo malo ihneď zmeniť — bez ohľadu na to, či bola kríza vyriešená úspešne.

Princíp štyroch očí pri kritických zmenách

Princíp štyroch očí (dvoch párov očí) znamená, že žiadnu kriticky dôležitú zmenu — napríklad úpravu oprávnení, vymazanie dát alebo zásah priamo do produkčného systému — by nemal vykonávať jeden človek úplne sám a bez vedomia druhého. V praxi to môže znamenať, že zmena vyžaduje vopred schválenie druhou osobou, alebo že druhá osoba priebežne sleduje reláciu, počas ktorej sa zmena vykonáva.

Čo robiť, keď vypadne infraštruktúra alebo overovanie

Ak zlyhá primárny systém overovania — napríklad je nedostupné cloudové prihlásenie alebo služba na viacfaktorové overenie — firma potrebuje vopred pripravený a najmä otestovaný postup: kto smie núdzový účet použiť, kde presne je jeho heslo uložené, za akých podmienok si ho môže vyzdvihnúť, ako sa celá situácia zaznamená a kedy sa heslo po vyriešení krízy zmení. Takýto postup nestačí mať iba napísaný v dokumente — treba ho aspoň raz ročne reálne, nanečisto vyskúšať, inak sa v skutočnej kríze môže ukázať, že niektorý krok v praxi nefunguje.

Keď je vo firme len jeden administrátor

V menších firmách je bežné, že správu celej IT infraštruktúry má na starosti jeden jediný človek. Ak je tento človek nedostupný — na dovolenke, chorý, alebo firmu opustí — a nikto iný nemá zdokumentovaný prístup ku kritickým systémom, firma môže na čas úplne stratiť kontrolu nad vlastnou infraštruktúrou. Toto riziko sa neformálne označuje ako „bus factor" — koľko ľudí musí byť naraz nedostupných, aby firma prišla o kľúčové know-how alebo prístup.

• Zabezpečte, aby prístup ku kritickým systémom mala zdokumentovaný aspoň jedna ďalšia osoba — interne, alebo cez externého IT partnera.
• Heslá k núdzovým a privilegovaným účtom nesmú existovať len v hlave jedného človeka, aj keby ním bol samotný majiteľ firmy.
• Zvážte externého poskytovateľa IT služieb ako „poistku" pre prípad, že jediný interný administrátor z akéhokoľvek dôvodu vypadne.
• Zdokumentujte všetky kritické systémy a prístupy k nim, nadväzne na asset manažment — nie iba v hlave jedného administrátora.

Praktické odporúčania pre malé aj väčšie firmy

• Vytvorte aspoň jeden núdzový (break-glass) účet, vyňatý z bežných politík podmieneného prístupu, s monitorovaným použitím.
• Heslá uložte bezpečne — fyzicky v trezore alebo v riadenom nástroji na správu privilegovaného prístupu (PAM), nikdy len v hlave jednej osoby.
• Zaveďte princíp štyroch očí pri kritických zmenách v produkčných systémoch.
• Aspoň raz ročne reálne otestujte núdzový prístup, nielen ho mať zdokumentovaný.
• Pri jedinom internom administrátorovi zabezpečte zálohu — druhú osobu alebo externého partnera so zdokumentovaným prístupom.
• Viažte každý privilegovaný účet na konkrétnu osobu, nikdy nie na všeobecné, zdieľané prihlásenie.

Privilegované účty sú presne tým miestom, kde sa oplatí investovať trochu viac času do prípravy vopred — pripravený a otestovaný núdzový prístup, bezpečne uložené heslo a aspoň jedna záložná osoba dokážu rozhodnúť o tom, či firma krízovú situáciu zvládne v priebehu hodín, alebo o infraštruktúru na dlhší čas úplne príde.