Riadenie prístupových práv

Vieme, komu patrí ktoré zariadenie a čo všetko firma eviduje — o tom bol článok o asset manažmente. Rovnako dôležitá, no často zanedbávaná otázka je iná: kto má prístup ku ktorým dátam a systémom, a či to ešte vôbec zodpovedá tomu, čo daný človek na svoju prácu reálne potrebuje.

Čo je riadenie prístupových práv a princíp najmenších oprávnení

Riadenie prístupových práv je proces, ktorým firma rozhoduje a priebežne kontroluje, kto má prístup ku ktorým systémom, aplikáciám a dátam. Základným pravidlom, na ktorom by mal stáť, je princíp najmenších oprávnení (least privilege) — každý zamestnanec alebo systém má mať presne také oprávnenia, aké nevyhnutne potrebuje na výkon svojej práce, a nič navyše „pre istotu" alebo „aby to bolo jednoduchšie".

Čo sa stane, keď firma prístupy neriadi

• Zbytočne široký dosah jedného úniku — ak sa útočníkovi podarí získať prihlasovacie údaje zamestnanca s nadbytočnými oprávneniami, dostane sa aj k dátam, ktoré s jeho prácou vôbec nesúvisia.
• Citlivé dáta vidí viac ľudí, než treba — napríklad mzdové údaje alebo zmluvy dostupné celému oddeleniu, hoci ich potrebuje len jeden človek.
• Bývalí zamestnanci so stále aktívnym prístupom — ak offboarding nie je súčasťou procesu, prístupy po odchode zo spoločnosti často zostávajú aktívne celé týždne či mesiace.
• Ťažšie vyšetrovanie incidentu — bez jasného prehľadu „kto mal k čomu prístup" je oveľa náročnejšie zistiť, ako sa útočník k dátam vôbec dostal.

Prečo sa prístupy časom nekontrolovane nabaľujú

Tomuto javu sa hovorí „privilege creep" — prístupové práva sa v priebehu času hromadia, aj keď to nikto priamo nezamýšľa. Zamestnanec zmení oddelenie a dostane nové prístupy, no tie staré mu ostanú, pretože ich nikto nezrušil. Dočasný projekt skončí, no dočasný prístup naň zostane aktívny. „Len na chvíľu, kým to vyriešime" sa v praxi veľmi často zmení na natrvalo.

Ako by mal vyzerať správny proces

• Nástup — prístupy sa prideľujú podľa vopred definovanej pracovnej role (role-based access), nie kopírovaním „presne to, čo mal predchodca" — tým sa totiž prenášajú aj jeho prípadné nadbytočné oprávnenia.
• Zmena pozície alebo oddelenia — pri zmene role treba prístupy nielen doplniť o nové, ale aj cielene odobrať tie, ktoré už zamestnanec nepotrebuje.
• Odchod zo spoločnosti — všetky prístupy by sa mali zrušiť v deň skončenia pracovného pomeru, ideálne automaticky, prepojením na proces v HR systéme, nie ručne a „časom".

Administrátorské (privilegované) a zdieľané účty — osobitné riziko

Niektoré typy účtov si zaslúžia väčšiu pozornosť než bežný pracovný účet, pretože ich zneužitie má oveľa širší dosah.

Administrátorský (privilegovaný) účet by sa nemal používať na bežnú prácu ako je čítanie e-mailu či prehliadanie webu — na to slúži samostatný, bežný účet toho istého človeka. Zníži sa tým riziko, že sa vysoko privilegovaný účet zneužije napríklad cez phishingový e-mail. Privilegovaným účtom sa pre ich osobitné riziko venujeme podrobnejšie v samostatnom článku.

Pravidelná revízia prístupov

Aj správne nastavený proces zlyhá, ak sa raz pridelené prístupy nikdy neprehodnocujú. Odporúča sa aspoň raz ročne — a ideálne aj pri každej zmene role — prejsť zoznam prístupov spolu s vlastníkom daného systému alebo dát a overiť, či sú stále opodstatnené. V prostredí Microsoft 365 na to slúžia nástroje ako Access Reviews alebo Privileged Identity Management (PIM) v rámci Microsoft Entra ID, ktoré takúto pravidelnú revíziu vedia čiastočne automatizovať.

Praktické odporúčania, ako začať

• Definujte prístupy podľa rolí, nie kopírovaním od kolegu na rovnakej pozícii.
• Zautomatizujte offboarding — zrušenie prístupov v deň odchodu, prepojené na proces v HR.
• Oddeľte administrátorské účty od bežných pracovných účtov a chráňte ich viacfaktorovým overením.
• Zaveďte pravidelnú revíziu prístupov, aspoň raz ročne.
• Evidujte prístupy ako súčasť asset manažmentu — bez prehľadu, čo firma vlastní a spravuje, sa prístupy dobre riadiť nedajú.
• Zakážte zdieľané účty a nahraďte ich individuálnymi prihláseniami pre každého zamestnanca.
• Viažte aj administrátorské účty na konkrétnu osobu — meno v názve účtu, nikdy všeobecné „Administrator" alebo „IT" zdieľané viacerými ľuďmi.

Riadenie prístupových práv nie je jednorazová úloha pri nástupe zamestnanca, ale priebežný proces, ktorý treba udržiavať počas celého jeho pôsobenia vo firme — od prvého dňa až po odchod. Práve dôsledné dodržiavanie princípu najmenších oprávnení výrazne obmedzuje škody, ktoré môže spôsobiť jediné napadnuté konto.