Správa přístupů ve firmě: proč Excel nestačí a co ho nahradí

Ve většině firem vzniká správa přístupů nenápadně. Nejdřív existuje několik zaměstnanců, pár aplikací a jednoduchý Excel s informacemi o tom, kdo má přístup do jednotlivých systémů.

Na začátku může takové řešení stačit. S růstem firmy se ale z tabulky postupně stává nepřesná kopie reality. Zaměstnanci mění role, externisté dokončují projekty, přibývají nové aplikace a oprávnění se upravují přímo v jednotlivých systémech.

Excel může tvrdit, že byl přístup odebrán. Skutečná firemní infrastruktura ale může ukazovat něco úplně jiného.

Správa přístupů ve firmě proto nemá být jen evidencí. Musí aktivně řídit, kdo se může přihlásit, do kterých systémů se dostane a jaké operace v nich smí provádět.

Co znamená správa přístupů ve firmě

Správa identit a přístupů, označovaná také jako Identity and Access Management neboli IAM, zahrnuje procesy a technologie, které řídí digitální identity uživatelů a jejich oprávnění.

Je potřeba rozlišovat dva základní pojmy:

• Autentizace ověřuje, kdo se do systému přihlašuje.
• Autorizace určuje, co daný uživatel může po přihlášení dělat.

Zaměstnanec se například přihlásí pomocí hesla a druhého ověřovacího faktoru. Systém následně podle jeho role rozhodne, zda může pouze prohlížet zákaznické záznamy, upravovat je, exportovat data nebo měnit nastavení celé aplikace.

Správně navržený access management proto propojuje identity, autentizaci, role, oprávnění a životní cyklus uživatelských účtů.

Proč Excel přestává pro správu přístupů stačit

Firma není statické prostředí. Lidé nastupují, odcházejí, přecházejí mezi týmy a získávají nové kompetence. Současně roste počet používaných aplikací, cloudových služeb a interních systémů.

Běžný zaměstnanec může potřebovat přístup například do:

• Google Workspace nebo Microsoft 365,
• CRM a interní administrace,
• GitHubu nebo GitLabu,
• nástrojů pro řízení projektů,
• firemního chatu,
• cloudové infrastruktury,
• VPN,
• databází,
• analytických a marketingových služeb,
• AI nástrojů.

Tabulka může obsahovat informaci, jaká oprávnění by měl mít. Sama je ale neumí přidělit, změnit ani odebrat. Nedokáže také ověřit, zda stav uvedený v dokumentu odpovídá skutečnému nastavení všech aplikací.

Excel tedy není nutně špatným výchozím inventářem. Problém nastává ve chvíli, kdy jej firma začne používat jako hlavní nástroj pro řízení identity a bezpečnosti.

Jak vznikají zapomenuté a nadbytečné přístupy

Představme si modelovou situaci, kdy vývojář ukončí spolupráci s firmou. Jeho hlavní účet je deaktivovaný a v evidenci se objeví poznámka „přístupy odebrány“.

Ve skutečnosti mu ale může zůstat:

• účet v repozitáři zdrojového kódu,
• přístup do cloudové infrastruktury,
• aktivní VPN,
• členství v interních komunikačních kanálech,
• administrátorské oprávnění v aplikaci,
• osobní API token nebo přístupový klíč.

Podobný problém může vzniknout také při změně pracovní pozice. Zaměstnanec získá nová oprávnění, ale ta původní mu nikdo neodebere. Postupně tak shromažďuje více přístupů, než pro svoji práci potřebuje.

Bezpečnostní doporučení proto pracují s principem nejnižších oprávnění neboli least privilege. Každý uživatel má získat pouze takové přístupy, které skutečně potřebuje pro svoji aktuální práci. NIST vedle toho doporučuje účty pravidelně kontrolovat a deaktivovat je při ukončení spolupráce nebo změně potřeby přístupu. Stejný princip zdůrazňuje také OWASP ve svých doporučeních pro řízení autorizace.

Riziko nevzniká jen útokem zvenčí

Bezpečnostní problém nemusí začínat sofistikovaným hackerským útokem. Často vznikne kvůli běžnému provoznímu chaosu:

• bývalý zaměstnanec má stále aktivní účet,
• externista vidí data i po dokončení projektu,
• tým používá sdílený administrátorský účet,
• zaměstnanec má vyšší oprávnění, než potřebuje,
• nikdo neví, komu patří konkrétní přístupový token,
• nová aplikace byla zavedena bez vědomí IT oddělení.

Poslední případ se označuje jako shadow IT. Jde o aplikace a služby, které zaměstnanci používají mimo oficiální správu firmy. Tyto nástroje mohou pracovat s firemními daty, aniž by byly zahrnuté do evidence přístupů, bezpečnostních pravidel nebo offboardingu.

Rozdíl mezi evidovanými a skutečnými oprávněními potom není pouze technickým problémem. Jde o otázku odpovědnosti, řízení rizik a firemní governance.

Co firmy používají místo Excelu

Moderní správa přístupů obvykle nestojí na jediném opatření. Skládá se z několika vzájemně propojených vrstev.

Centrální správa identit

Základem je jedno místo, ze kterého firma spravuje uživatele, jejich role a přístupy do propojených systémů.

Pokud zaměstnanec nastoupí, správce mu vytvoří identitu a přidělí odpovídající oprávnění. Při změně pozice upraví jeho roli. Při odchodu může přístupy centrálně odebrat, aniž by musel ručně procházet každou aplikaci zvlášť.

Centralizace současně omezuje vznik několika nesouvisejících účtů pro jednoho člověka.

Role-Based Access Control

Role-Based Access Control neboli RBAC přiděluje oprávnění podle pracovních rolí místo individuálního nastavování každého uživatele.

Firma může definovat například role:

• backend developer,
• HR manažer,
• účetní,
• zákaznická podpora,
• externí spolupracovník,
• administrátor.

Nový zaměstnanec následně získá oprávnění odpovídající své roli. Při změně pozice lze upravit roli místo ručního přepisování desítek jednotlivých přístupů.

RBAC je vhodným základem pro většinu firem. V komplexnějším prostředí může být potřeba doplnit také pravidla podle dalších atributů, například konkrétního projektu, země, typu zařízení nebo citlivosti dat.

Single Sign-On a OpenID Connect

Single Sign-On neboli SSO umožňuje přihlásit se jednou a následně používat více propojených aplikací bez vytváření samostatných přihlašovacích údajů pro každou z nich.

K bezpečnému předávání informace o přihlášeném uživateli lze využít protokol OpenID Connect. Ten funguje jako identitní vrstva nad OAuth 2.0 a umožňuje aplikaci ověřit identitu uživatele na základě autentizace provedené centrálním poskytovatelem identity. Přesný princip popisuje OpenID Foundation.

Firma díky tomu získává jednotnější přihlašování a může omezit množství hesel spravovaných samostatně v jednotlivých aplikacích.

Dvoufaktorová autentizace

Dvoufaktorová autentizace, označovaná také jako 2FA, vyžaduje při přihlášení dva odlišné způsoby ověření identity. Typicky jde o kombinaci hesla a potvrzení pomocí mobilního zařízení nebo autentizační aplikace.

Pokud útočník získá heslo, stále mu chybí druhý faktor. NIST proto doporučuje používat vícefaktorovou autentizaci zejména u citlivých firemních účtů a současně odebírat přístupy ve chvíli, kdy se změní pracovní potřeba nebo zaměstnanec odejde.

Samotná 2FA ale neřeší špatně nastavená oprávnění. Chrání přihlášení, zatímco role a přístupové politiky rozhodují, co uživatel po přihlášení smí dělat.

Onboarding a offboarding musí být jeden proces

Onboarding zaměstnance obvykle získává větší pozornost než jeho odchod. Firma potřebuje, aby nový člověk mohl rychle pracovat, a proto mu přidělí všechny potřebné účty.

Při offboardingu ale často chybí stejně přesný postup. Nestačí zrušit e-mailovou schránku. Je potřeba řešit také:

• přístupy do interních a externích aplikací,
• aktivní relace,
• administrátorská oprávnění,
• skupiny a pracovní týmy,
• VPN a vzdálený přístup,
• servisní účty, klíče a tokeny,
• vlastnictví dokumentů a projektů.

Stejná kontrola by měla proběhnout při změně role. Bez ní vzniká postupné hromadění oprávnění, která uživatel už nepotřebuje.

NIST ve svých požadavcích na správu účtů zahrnuje vytváření, změnu, deaktivaci a odstranění účtů, evidenci členství v rolích i pravidelnou kontrolu přidělených oprávnění.

Jak správa přístupů souvisí s NIS2

Směrnice NIS2 zahrnuje mezi opatření pro řízení kybernetických rizik také bezpečnost lidských zdrojů, politiky řízení přístupů a správu aktiv. Požaduje rovněž používání vícefaktorového nebo průběžného ověřování identity tam, kde je to vhodné.

Centralizovaná správa identit, řízení rolí a dvoufaktorová autentizace proto mohou firmě pomoci s naplňováním části bezpečnostních požadavků. Samotné nasazení jednoho nástroje ale automaticky nezajišťuje soulad s NIS2.

Soulad závisí také na interních pravidlech, dokumentaci, řízení incidentů, práci s dodavateli, školení zaměstnanců a dalších organizačních i technických opatřeních.

Kde firmy při zavádění access managementu nejčastěji narážejí

Nejtěžší částí zpravidla není zprovoznění přihlašovacího nástroje, ale úklid historického stavu.

Před centralizací správy přístupů je potřeba zjistit:

1. Jaké aplikace a systémy firma skutečně používá?
2. Kdo je vlastníkem jednotlivých systémů?
3. Které uživatelské, servisní a administrátorské účty existují?
4. Jaká oprávnění jsou pro jednotlivé role skutečně potřebná?
5. Kdo schvaluje vznik a změnu přístupů?
6. Jak rychle musí být přístupy odebrány při odchodu?
7. Které aplikace lze napojit na centrální přihlašování?

Bez tohoto úklidu může firma centralizovat pouze část infrastruktury a zbytek chaosu ponechat mimo kontrolu. Access management proto není jednorázové nasazení softwaru, ale dlouhodobý proces řízení firemních identit.

Kdy už Excel nestačí

Přechod na centralizovanou správu přístupů dává smysl zejména tehdy, když:

• firma používá větší množství interních a cloudových aplikací,
• pravidelně nabírá zaměstnance nebo spolupracuje s externisty,
• lidé často mění týmy a pracovní role,
• přístupy se nastavují ručně v každém systému,
• existují sdílené účty nebo nejasní vlastníci oprávnění,
• firma zavádí povinné dvoufaktorové ověření,
• připravuje se na bezpečnostní nebo compliance audit,
• nikdo nedokáže rychle potvrdit, kdo má přístup ke konkrétním datům.

Důležitější než samotný počet zaměstnanců je počet identit, aplikací a změn, které musí firma průběžně řídit.

Jak pomáhá LockNess se správou přístupů

LockNess je systém pro centralizovanou správu firemních přístupů. Pomáhá organizacím nahradit roztříštěné nastavování účtů a oprávnění přehlednějším řízením z jednoho místa.

Mezi jeho hlavní funkce patří:

• centrální přidávání a odebírání uživatelů,
• řízení přístupů pomocí rolí a oprávnění,
• dvoufaktorová autentizace,
• kontrola síly a správy hesel,
• podpora protokolu OpenID Connect,
• jednotné přihlašování do propojených systémů.

LockNess tak může zjednodušit onboarding i offboarding uživatelů, omezit množství manuálních zásahů a snížit riziko, že některý přístup zůstane opomenutý.

Přínos ale není jen bezpečnostní. Centralizovaná správa také šetří čas lidem, kteří by jinak museli zakládat a rušit účty v každé aplikaci samostatně.

Excel eviduje. Access management řídí.

Excel může být užitečný při prvotním mapování systémů a oprávnění. Neměl by ale zůstat jediným místem, na kterém firma staví řízení identity a bezpečnosti.

Jakmile přibývají zaměstnanci, externisté, aplikace a administrátorské účty, firma potřebuje řešení, které dokáže přístupy nejen zaznamenat, ale také skutečně spravovat.

Řešíte roztříštěné přístupy, složitý onboarding nebo nejasná oprávnění? Podívejte se, jak funguje LockNess. Pomůžeme vám centralizovat přihlašování a nastavit správu přístupů podle potřeb vaší firmy.

S čím vám ještě můžeme pomoci?

Potřebujete LockNess propojit se stávajícími aplikacemi nebo interními systémy? Pomůžeme vám s integrací i potřebným vývojem na míru.

Potřebujete zajistit dlouhodobý provoz, aktualizace a technickou podporu? Podívejte se na naši podporu a správu aplikací.