Kto powinien zarządzać hasłami w firmie?

Kto powinien zarządzać hasłami w firmie?

Za dostęp do firmowych kont odpowiada firma, a za decyzje o ważnych uprawnieniach - właściciel lub zarząd. Codzienne pilnowanie dostępów trzeba jednak powierzyć konkretnej osobie albo firmie. Może to być pracownik IT, osoba z biura lub zewnętrzny dostawca. Liczy się to, czy ma jasno określone zadanie i czy wiadomo, kto ją zastąpi.

Najłatwiej zauważyć brak takiej osoby, gdy pracownik odchodzi. Kadry odbierają laptop. Informatyk blokuje pocztę. A kto pamięta o panelu sklepu, koncie reklamowym, domenie i narzędziu do faktur? Jeśli każdy zakłada, że zrobi to ktoś inny, część dostępów zostaje aktywna.

Zarządzanie hasłami to coś więcej niż przechowywanie haseł

Firmie potrzebny jest spis kont i osób, które mogą z nich korzystać. Powinien obejmować nie tylko pocztę i systemy obsługiwane przez IT, lecz także bankowość, domenę, hosting, księgowość, sprzedaż, reklamy i media społecznościowe. Przy każdym koncie warto wiedzieć, kto zatwierdza dostęp, kto jest administratorem i jak odzyskać kontrolę nad usługą.

Haseł nie wpisuje się do takiego spisu. Do ich przechowywania i bezpiecznego udostępniania służy firmowy menedżer haseł. Sam zakup narzędzia nie rozstrzyga jednak, komu wolno nadać uprawnienia ani kto ma je odebrać.

Kto powinien odpowiadać za dostęp do firmowych kont?

W praktyce potrzebne są trzy rodzaje odpowiedzialności:

• Właściciel firmy lub zarząd ustala zasady i wskazuje, kto może zatwierdzać dostęp do ważnych systemów. Nie musi znać wszystkich haseł.
• Osoba prowadząca dostępy utrzymuje spis kont, pilnuje nadawania i odbierania uprawnień oraz sprawdza, czy lista jest aktualna. To zadanie można powierzyć pracownikowi albo firmie zewnętrznej.
• Administratorzy systemów wykonują potrzebne zmiany techniczne. Kadry i przełożeni przekazują im na czas informacje o przyjęciu pracownika, zmianie stanowiska lub odejściu.

W małej firmie jedna osoba może pełnić kilka tych ról. Trzeba tylko zadbać o zastępstwo. Nie można uzależniać odebrania dostępu do banku czy poczty od tego, czy jedyny administrator akurat jest dostępny.

Czy może się tym zajmować informatyk?

Oczywiście. Informatyk często zna firmowe systemy najlepiej. Problem pojawia się wtedy, gdy wszyscy zakładają, że „IT się tym zajmuje”, choć nikt nie ustalił zakresu zadania. Obsługa komputerów nie musi obejmować konta reklamowego, panelu kuriera czy dostępu agencji do mediów społecznościowych.

Warto więc zapisać w obowiązkach lub umowie cztery rzeczy: kto prowadzi spis kont, kto nadaje dostęp, kto go odbiera i kto okresowo sprawdza uprawnienia. Jeśli zadanie przejmuje dostawca zewnętrzny, firma nadal powinna zatwierdzać ważne decyzje i zachować możliwość odzyskania swoich kont.

Od czego zacząć porządkowanie dostępów?

Nie trzeba od razu spisywać każdej używanej aplikacji. Zacznij od usług, których utrata zatrzymałaby pracę lub sprzedaż: firmowej poczty, bankowości, domeny, sklepu i głównego systemu do obsługi klientów.

1. Ustal, kto ma dostęp. Sprawdź pracowników, administratorów, współpracowników i firmy zewnętrzne. Zajrzyj też do ustawień odzyskiwania konta — prywatny adres e-mail byłego pracownika potrafi być większym problemem niż samo hasło.
2. Wprowadź konta imienne tam, gdzie to możliwe. Dzięki nim łatwiej odebrać dostęp jednej osobie bez zmieniania sposobu pracy całego zespołu.
3. Zabezpiecz logowanie. Stosuj osobne hasło do każdej usługi i włącz uwierzytelnianie wieloskładnikowe, przede wszystkim na kontach administracyjnych oraz w poczcie. CISA zaleca firmom korzystanie z możliwie odpornych na wyłudzenie metod logowania, jeśli usługa je obsługuje. Zobacz zalecenia CISA.
4. Przygotuj listę działań na odejście pracownika. Powinna obejmować wszystkie jego konta, aktywne sesje, metody odzyskiwania oraz wspólne hasła, które znał. Odebranie uprawnień trzeba potwierdzić, a nie tylko założyć, że zostało zrobione.
5. Wracaj do spisu. Nowe narzędzia i dostawcy pojawiają się w firmie przez cały rok. Okresowy przegląd pozwala wychwycić dostęp, który nie jest już potrzebny.

Nie ma przy tym potrzeby nakazywania wszystkim zmiany haseł co miesiąc wyłącznie „dla bezpieczeństwa”. Aktualne wytyczne NIST odradzają obowiązkową okresową zmianę bez oznak, że hasło zostało przejęte. Zmiana jest potrzebna wtedy, gdy mogło zostać ujawnione albo nadal zna je ktoś, kto utracił uprawnienia. Zobacz wytyczne NIST.

Prosty test: czy ktoś naprawdę pilnuje dostępów w Twojej firmie?

Spróbuj odpowiedzieć bez szukania po skrzynkach mailowych:

1. Kto dziś ma dostęp do bankowości firmowej, poczty administratora i panelu domeny?
2. Kto może ten dostęp odebrać, jeśli jedna z tych osób odejdzie jutro?
3. Gdzie jest potwierdzenie, że zrobiono to przy ostatnim odejściu pracownika?

Jeśli odpowiedzi nie są jasne, pierwszym krokiem jest spis kont i uprawnień. Dopiero wtedy można rozsądnie zdecydować, które dostępy trzeba zmienić i jakiego narzędzia firma potrzebuje.

W Mageek pomagamy zrobić taki spis w ramach Analizy Dostępów. Jej wynikiem jest Mapa Dostępów, lista wykrytych ryzyk i plan uporządkowania kont.

Najczęstsze pytania

Czy właściciel firmy powinien znać wszystkie hasła?

Nie. Powinien wiedzieć, kto ma dostęp do kluczowych systemów, kto może ten dostęp odebrać i jak firma odzyska konto w sytuacji awaryjnej.

Czy menedżer haseł wystarczy?

Nie sam. Pomaga przechowywać i udostępniać hasła, ale nie podejmuje decyzji o uprawnieniach. Ktoś musi też pilnować, by dostęp był odbierany po zmianie roli lub odejściu pracownika.

Kiedy odebrać dostęp odchodzącemu pracownikowi?

Gdy kończy się jego uprawnienie do korzystania z konta, według przygotowanej wcześniej listy. Jeśli istnieje ryzyko nieuprawnionego użycia, trzeba działać niezwłocznie. Osoba prowadząca proces powinna potwierdzić wykonanie wszystkich kroków.