Jak dawać kontraktorom i gościom dostęp, nie tracąc nad nim kontroli?

Dlaczego dostęp zewnętrzny jest wyjątkowo ryzykowny

Dostęp pracownika rządzi się cyklem życia, nawet nieformalnym. Ktoś dołącza, konfigurujesz mu dostęp. Ktoś odchodzi, (zwykle) go wyłączasz. Dostęp zewnętrzny domyślnie nie ma żadnej z tych struktur, a trzy cechy sprawiają, że trudniej go pilnować niż jakikolwiek dostęp wewnętrzny.

Tymczasowy dostęp po cichu staje się stały

Niemal każdy dostęp zewnętrzny zaczyna się jako „tylko na ten projekt". Problem w tym, że nic w systemie nie wie, że projekt się skończy. Kiedy udostępniasz folder kontraktorowi albo zapraszasz gościa, nadajesz stan, nie zdarzenie. Nie ma do tego przypiętego zegara. Współpraca się kończy, kontraktor odchodzi dalej, a dostęp zostaje dokładnie tam, gdzie był, działając bez zarzutu, tak długo, jak istnieje konto.

To ta sama dynamika, która wewnątrz zespołu produkuje privilege creep, z tą samą przyczyną źródłową: nadawanie dostępu jest szybkie, a jego odbieranie powolne i niczyje. Skierowana na zewnątrz, na ludzi, którzy z założenia mieli być obecni tylko kilka tygodni, produkuje stały przyrost żywych kont i udostępnionych folderów, których pierwotny powód zniknął miesiące albo lata temu.

Ta osoba nie jest w twoim procesie HR ani offboardingu

Kiedy pracownik odchodzi, coś zwykle się dzieje. Manager zgłasza ticket, HR odnotowuje odejście, uruchamia się checklista offboardingu. Ten proces, choćby niedoskonały, to główny mechanizm, który usuwa dostęp na czas.

Kontraktor nigdy nie wchodzi w ten proces. Nie ma daty zakończenia w twoim systemie HR, checklisty offboardingu, managera potwierdzającego ostatni dzień. Po prostu przestaje pojawiać się przy pracy, co jest niewidoczne dla każdego systemu, którego używasz do porządkowania dostępów. Rezultatem jest martwe pole: możesz wyłączać własne osoby odchodzące, ale konto gościa czy udostępnienie zewnętrzne to coś, czego twój proces odejść pracowników nigdy nie dotyka, jeśli specjalnie tego nie poszukasz. Osoby najbardziej skłonne zatrzymać dostęp, którego już nie potrzebują, to dokładnie te, których twój offboarding nigdy nie miał łapać.

Ich urządzenie i konta są poza twoją kontrolą

Z pracownikiem zwykle kontrolujesz endpoint i tożsamość. Wydałeś laptop, wymuszasz blokadę ekranu i szyfrowanie dysku, zarządzasz kontem i możesz je zresetować albo zabić. Przy osobie z zewnątrz nie kontrolujesz nic z tego.

Nie konfigurowałeś ich urządzenia, nie wiesz, czy jest załatane, ani czy nie dzieli go z kimś z rodziny, i nie możesz go wyczyścić. Nie zarządzasz ich kontem e-mail ani hasłem, więc nie możesz wymusić uwierzytelniania wieloskładnikowego na tożsamości, której używają, chyba że twoja własna platforma wymaga tego w punkcie dostępu. Jeśli ich prywatne konto albo konto ich pracodawcy zostanie przejęte, atakujący dziedziczy wszystko, co im udostępniłeś. Ma to znaczenie, bo atakujący coraz częściej się logują, zamiast włamywać: Verizon 2026 Data Breach Investigations Report wykrył nadużycie danych uwierzytelniających w 39% naruszeń, gdy prześledzono pełny łańcuch ataku, najbardziej powszechną pojedynczą technikę, oraz udział strony trzeciej w 48% naruszeń, w górę z 30% rok wcześniej. Dostęp zewnętrzny to powierzchnia, na której spotykają się te dwa wzorce, bo to dostęp powiązany z danymi uwierzytelniającymi i urządzeniami, których nie masz w ręku.

Kontrolki, które działają

Żadna z poniższych kontrolek nie jest egzotyczna. To nudne praktyki, które utrzymują dostęp zewnętrzny ograniczony, przypisany do właściciela i czasowo ograniczony. Działają, bo każda atakuje konkretny sposób, w jaki dostęp zewnętrzny wymyka się spod kontroli, a razem zamieniają otwarte zobowiązanie w coś, za co możesz odpowiadać.

Daj im własną, zarządzaną tożsamość, nie wspólny login

Najszybszy sposób na utratę kontroli nad dostępem zewnętrznym to rozdawanie wspólnego konta. Login „kontraktorzy" albo generyczna skrzynka, z której korzysta kilka osób z zewnątrz, oznacza, że nie umiesz powiedzieć, kto co zrobił, nie możesz usunąć jednej osoby bez zakłócenia pracy reszty, i nie możesz zastosować uwierzytelniania wieloskładnikowego wobec konkretnej osoby.

Daj każdej osobie z zewnątrz jej własną tożsamość, wydaną i zarządzaną przez twoją platformę. W praktyce oznacza to konto gościa albo zaproszenie visitor powiązane z jej prawdziwym adresem e-mail, tak żeby każde działanie dało się przypisać do konkretnej, nazwanej osoby i żebyś mógł odebrać dostęp jednej osobie w czysty sposób. Tożsamość, którą stworzyłeś i kontrolujesz, to tożsamość, którą możesz przeglądać, ograniczyć czasowo i wyłączyć. Wspólny login nie daje ci żadnej z tych rzeczy.

Ustaw domyślne wygasanie dostępu

Pojedyncza kontrolka o największej dźwigni to wygasanie. Jeśli dostęp zewnętrzny kończy się według harmonogramu, chyba że ktoś aktywnie go odnowi, problem „tymczasowe staje się stałe" rozwiązuje się sam, bo domyślnym wynikiem jest usunięcie, nie trwanie.

Ustaw sensowny domyślny czas życia dopasowany do rodzaju pracy: kilka tygodni dla krótkiej współpracy, kwartał dla dłuższej. Osoba, której dostęp wciąż jest potrzebny, ma go odnowionego, co jest małym, świadomym działaniem. Dziesiątki kont, których praca się zakończyła i których nikt nie odnawia, po prostu same wygasają. To różnica między zaległościami, o których musisz pamiętać, żeby je posprzątać, a zaległościami, które same się czyszczą.

Wyznacz wewnętrznego sponsora, który odpowiada za konto

Każde konto zewnętrzne powinno mieć jednego, nazwanego wewnętrznego właściciela, osobę, która o nie poprosiła i odpowiada za to, czy nadal powinno istnieć. Bez sponsora konto zewnętrzne nie należy do nikogo, a konto, które nie należy do nikogo, to dokładnie to konto osierocone, które wypływa przy incydentach.

Sponsor to osoba, do której idziesz w momencie przeglądu i zadajesz proste pytanie: czy ta osoba wciąż wykonuje pracę wymagającą tego dostępu. To też naturalny wyzwalacz usunięcia, bo sponsor jako jedyny wie, że współpraca się zakończyła. Powiązanie każdej tożsamości zewnętrznej z konkretnym człowiekiem po stronie firmy zamienia pytanie „kto wpuścił tego kontraktora i czy on w ogóle wciąż tu jest potrzebny" z pytania bez odpowiedzi w sprawdzenie na jeden e-mail.

Ogranicz do least privilege

Daj osobie z zewnątrz wyłącznie to, czego wymaga konkretna praca, i nic ponad to. Kontraktor pracujący nad stroną marketingową nie potrzebuje dysku finansowego. Agencja edytująca jeden zestaw dokumentów nie potrzebuje praw edycji do całego wspólnego dysku, a często w ogóle nie potrzebuje prawa do pobierania, jeśli czytanie w przeglądarce wystarczy.

Ścisłe ograniczenie zmniejsza blast radius, jeśli ta tożsamość zewnętrzna zostanie przejęta, co ma większe znaczenie dla dostępu zewnętrznego niż wewnętrznego, bo dane uwierzytelniające i urządzenie są poza twoją kontrolą. Domyślnie ustawiaj dostęp zewnętrzny na read-only i na najwęższy folder albo witrynę, która pokrywa zadanie, a poszerzaj tylko na konkretną prośbę. Wygodnym odruchem jest udostępnienie folderu nadrzędnego, bo to łatwiejsze niż wybranie właściwego podfolderu. To właśnie ten odruch trzeba powstrzymywać.

Regularnie przeglądaj konta zewnętrzne

Domyślne ustawienia i wygasanie zatrzymują nowe problemy. Nie sprzątają tego, co już istnieje, ani nie łapią konta, które w zeszłym kwartale było zasadne, a teraz jest nieaktualne. To wymaga cyklicznego przeglądu: zaplanowanego przejścia przez każdą tożsamość zewnętrzną i udostępnienie zewnętrzne, w którym wewnętrzny sponsor potwierdza, że dane konto jest wciąż potrzebne, a te, które nie są, usuwasz.

Traktuj konta zewnętrzne jako osobny przegląd, oddzielny od sprawdzania udostępnień plik po pliku, bo gość to stała tożsamość, która może mieć naraz dostęp do wielu rzeczy. Rytm kwartalny to rozsądna częstotliwość dla większości firm mid-market, z ciaśniejszym cyklem dla dostępu do najbardziej wrażliwych systemów. Jeśli twoje domyślne ustawienia są dobre, a wygasanie włączone, każdy przegląd jest lekki, bo jest mniej narosłego dryfu do przebrnięcia.

Usuwaj dostęp po zakończeniu kontraktu

Najczystsza kontrolka to zarazem ta najbardziej oczywista i najczęściej pomijana: kiedy współpraca się kończy, usuń dostęp. To, że się to gubi, ma przyczynę strukturalną, bo kontraktor nigdy nie uruchamia zdarzenia odejścia. Więc zbuduj je sam. Kiedy podpisujesz albo odnawiasz zewnętrzną współpracę, zapisz oczekiwaną datę zakończenia i powiąż z nią dostęp. Zrób sponsora odpowiedzialnym za potwierdzenie usunięcia, gdy praca się kończy. Nawet prosta, wspólna lista kont zewnętrznych z właścicielem i datą zakończenia, przeglądana co miesiąc, zamyka większość luki, bo daje moment odejścia, którego osoby z zewnątrz inaczej nigdy nie mają.

Funkcje kont gościa, które już masz

Żeby zrobić większość z tego, nie musisz niczego kupować. Obie główne platformy mają funkcje dostępu zewnętrznego zbudowane wokół zarządzanych tożsamości, wygasania i przeglądu. Znajomość ich nazw to połowa roboty.

Google Workspace

Google Workspace daje współpracy zewnętrznej dwie formy, i warto wiedzieć, z której korzystasz.

Visitor sharing pozwala twoim użytkownikom udostępnić plik lub folder komuś bez konta Google, po adresie e-mail. Osoba z zewnątrz dostaje zaproszenie i PIN do weryfikacji tożsamości, a ta weryfikacja daje dostęp na ograniczone okno czasowe, zanim trzeba zweryfikować się ponownie, co jest wbudowaną formą ograniczenia czasowego, a nie dostępem bez końca (Google Workspace Admin Help, 2025). Administrator kontroluje visitor sharing w konsoli administracyjnej i może ograniczyć je do zaufanych domen zamiast dopuszczać każdego.

Konta gościa pozwalają osobie z zewnątrz współpracować przy użyciu jej istniejącego adresu e-mail spoza Google jako zarządzanej tożsamości w twoim środowisku, co jest trwalszą opcją dla kogoś, z kim pracujesz regularnie. Administratorzy centralnie włączają i ograniczają guest i visitor sharing, w tym ograniczają je do konkretnych domen, więc to ty decydujesz, kogo twoi ludzie mogą zapraszać i jak (Google Workspace Admin Help, 2025). Domyślne ustawienia udostępniania plików, które stoją pod tym wszystkim, opisuje powiązany przewodnik o kontrolowaniu udostępniania plików zewnętrznym i gościom.

Microsoft 365 i Entra B2B

W Microsoft 365 osoby z zewnątrz są obsługiwane przez Microsoft Entra B2B collaboration. Gość to prawdziwa, zarządzana tożsamość w twoim katalogu, do której osoba z zewnątrz loguje się danymi uwierzytelniającymi własnej organizacji albo własnego konta e-mail, więc dostajesz nazwaną, przypisywalną tożsamość bez zarządzania jej hasłem (Microsoft Learn, 2025).

Kontrolki, które mają znaczenie dla śledzenia tych kont, to ustawienia external collaboration i funkcje identity governance:

• Zdecydować, kto może zapraszać gości · Gdzie to znaleźć w Microsoft 365: Ustawienia external collaboration w Entra ograniczają prawo zapraszania do konkretnych ról
• Ograniczyć, które domeny zewnętrzne są dozwolone · Gdzie to znaleźć w Microsoft 365: Listy dozwolonych lub zablokowanych domen w ustawieniach external collaboration
• Sprawić, żeby dostęp wygasał automatycznie · Gdzie to znaleźć w Microsoft 365: Access packages w entitlement management mogą ustawić wygasanie, na przykład po 180 dniach, po którym dostęp jest usuwany, jeśli nie zostanie przedłużony
• Ponownie potwierdzić, kto wciąż potrzebuje dostępu · Gdzie to znaleźć w Microsoft 365: Access reviews w Entra okresowo weryfikują konta gości i flagują te nieaktualne lub nieużywane
• Zobaczyć każdą tożsamość zewnętrzną w jednym miejscu · Gdzie to znaleźć w Microsoft 365: Centrum administracyjne Entra wymienia wszystkie konta gości do przeglądu

Microsoft świadomie przesuwa dostęp zewnętrzny w stronę tego modelu opartego na tożsamości. Zgodnie ze zmianami w logowaniu gości wdrażanymi przez cały 2025 rok, goście uwierzytelniają się względem własnej organizacji macierzystej, po czym są przekierowywani z powrotem do twojej, co trzyma dane uwierzytelniające tam, gdzie powinny być, i daje ci zarządzaną tożsamość gościa do nadzorowania zamiast anonimowego linku (Microsoft Learn, 2025). Access reviews i wygasanie w entitlement management to dwie funkcje zbudowane specjalnie po to, żeby powstrzymać konta gości przed staniem się tym stałym, nieprzeglądanym dostępem, o którym jest ten przewodnik.

Od czego zacząć

Jeśli możesz zrobić tylko jedną rzecz, zrób listę. Wyciągnij każde konto gościa i udostępnienie zewnętrzne, jakie widzisz, w Google Workspace przez konsolę administracyjną, a w Microsoft 365 przez listę gości w Entra, i zapisz przy każdym, kto jest wewnętrznym sponsorem i kiedy praca powinna się zakończyć. Konta bez sponsora i bez daty zakończenia to twoje natychmiastowe porządki.

Jeśli możesz zrobić drugą rzecz, włącz wygasanie, żeby lista przestała się sama odbudowywać. Ustaw domyślny czas życia dla dostępu zewnętrznego i pozwól, żeby konta, których nikt nie odnawia, same odpadały. Bardziej zaawansowane elementy, projekt ról, access packages, zautomatyzowane przeglądy, przychodzą później i mają mniejsze znaczenie niż ustawienie tych dwóch fundamentów: nazwanego właściciela dla każdego konta zewnętrznego i daty wygaśnięcia, która je usuwa, chyba że ktoś świadomie je zatrzyma.

Źródła

• Allow sharing to non-Google users with visitor sharing · https://knowledge.workspace.google.com/admin/drive/allow-sharing-to-non-google-users-with-visitor-sharing (visitor sharing, weryfikacja PIN, dostęp ograniczony czasowo, kontrolki administracyjne)
• Share documents with visitors · Google Drive Help · https://support.google.com/drive/answer/9195194 (weryfikacja PIN i okno weryfikacji dla visitorów)
• Manage Workspace guests · Google Workspace Admin Help · https://knowledge.workspace.google.com/admin/users/advanced/manage-workspace-guests (konta gościa przy użyciu istniejącego adresu e-mail spoza Google; różnica względem visitor sharing; ograniczenie domenowe)
• What is Microsoft Entra B2B collaboration? · https://learn.microsoft.com/en-us/entra/external-id/what-is-b2b (goście jako zarządzane tożsamości logujące się własnymi danymi uwierzytelniającymi)
• Configure external collaboration settings · Microsoft Entra · https://learn.microsoft.com/en-us/entra/external-id/external-collaboration-settings-configure (kto może zapraszać gości, listy dozwolonych i zablokowanych domen, ograniczenia katalogu dla gości)
• Govern access for external users in entitlement management · https://github.com/MicrosoftDocs/entra-docs/blob/main/docs/id-governance/entitlement-management-external-users.md (wygasanie access package, np. po 180 dniach, automatyczne usuwanie dostępu)
• B2B collaboration FAQs · Microsoft Entra · https://learn.microsoft.com/en-us/entra/external-id/faq (zmiana logowania gości z 2025: uwierzytelnianie względem organizacji macierzystej)
• Verizon 2026 Data Breach Investigations Report · https://www.verizon.com/business/resources/reports/dbir/ (nadużycie danych uwierzytelniających w 39% naruszeń przy pełnym łańcuchu ataku; udział strony trzeciej 48%, w górę z 30%)