Porządkujemy dostępy raz, a potem pilnujemy ich stale
Ludzie przychodzą, odchodzą i zmieniają role co miesiąc, a narzędzie samo się nie prowadzi. Dlatego pracujemy w pięciu filarach, z których ostatni nigdy się nie kończy.
Pięć filarów na jednej mapie
Przewiń i zobacz, jak zmienia się mapa firmy, w której byliśmy. Każdy krok zostawia rezultat, który możesz sprawdzić.
-
1 z 5
Inwentaryzacja
Spisujemy wszystkie systemy, konta i osoby z dostępem. Powstaje Mapa Dostępów, często pierwszy taki dokument w historii firmy.
Pytamy, oglądamy i spisujemy: systemy, konta, właścicieli, metody logowania, miejsca przechowywania haseł. Wynikiem jest Mapa Dostępów, która odpowiada na pytanie, co w ogóle istnieje.
-
2 z 5
Uporządkowanie
Hasła trafiają z zeszytów i przeglądarek do sejfu firmowego. Konta stają się imienne wszędzie, gdzie system na to pozwala.
Przenosimy hasła do zaszyfrowanego sejfu firmowego z kopią zapasową. Pracownik sam sięga po to, do czego ma prawo, zamiast dzwonić do szefa po każde hasło. Tam, gdzie konto musi zostać wspólne, ryzyko nazywamy i bierzemy pod kontrolę.
-
3 z 5
Zabezpieczenie
Uwierzytelnianie dwuskładnikowe na kontach krytycznych, hasła generowane zamiast wymyślanych, a domena i bank formalnie w rękach firmy.
Włączamy uwierzytelnianie dwuskładnikowe na kontach krytycznych. Ustawiamy odzyskiwanie awaryjne. Domena, hosting, bankowość i media społecznościowe trafiają formalnie i technicznie w ręce firmy.
-
4 z 5
Wejścia i Wyjścia
Nowa osoba dostaje dostępy pierwszego dnia, a przy rozstaniu odbieramy je w kwadrans, z listy i z potwierdzeniem.
Spisujemy procedurę pierwszego i ostatniego dnia pracy. Odebranie dostępów trwa kwadrans, odbywa się z listy i kończy potwierdzeniem. Hasła wspólne zmieniamy jednym ruchem w jednym miejscu.
-
5 z 5
Stały Nadzór
Przeglądy okresowe, raporty słabych haseł, monitoring wycieków i krótki raport dla właściciela.
To rdzeń Stałej Opieki nad Dostępami: przeglądy, raport słabych i powtórzonych haseł, monitoring wycieków, gotowość na ankiety i kontrole oraz krótki raport dla właściciela.
Narzędzie to nie proces
Menedżer haseł kupiony i zostawiony samemu sobie po roku wygląda jak zeszyt, tylko droższy.
| Obszar | Samo narzędzie | Prowadzony proces |
|---|---|---|
| Odejście pracownika | Ktoś musi pamiętać, gdzie odebrać dostępy. | Kwadrans pracy z listy, z potwierdzeniem. |
| Wspólne konta | Hasło krąży w czacie i na karteczce. | Hasło wydaje sejf, wiadomo kto je ma, zmiana jednym ruchem. |
| Kontrola | Nikt nie sprawdza, czy ktoś w ogóle używa sejfu. | Przegląd co miesiąc i raport dla właściciela. |
| Ankieta kontrahenta | Odpowiedzi na wyczucie. | Odpowiedzi zgodne z prawdą i dokumenty na stole. |
Ryzyko nazwane zamiast zakazanego
Do panelu routera czy starszego programu magazynowego często da się zalogować tylko jednym kontem, więc kont imiennych nie nadamy. Nie udajemy, że problemu nie ma, i niczego nie zakazujemy.
W zarządzaniu hasłami chodzi o to, żeby hasło wydawał sejf: widać, kto z niego korzysta, wymiana odbywa się jednym ruchem, a ryzyko, którego nie da się usunąć, zostaje świadomie zaakceptowane na piśmie. Zakaz, którego nie da się przestrzegać, nie usuwa ryzyka, tylko przenosi je tam, gdzie nikt go już nie widzi.
Rejestr ryzyk zaakceptowanych
- Ryzyko opisane prostym językiem
- Środki zastępcze, które je ograniczają
- Decyzja właściciela z datą
- Termin ponownego przeglądu
Każda współpraca zaczyna się od Analizy Dostępów.
Najpierw pełny obraz, potem decyzje.