Dlaczego prawie każdy kończy z nadmiarem uprawnień i jak to naprawić?

Czym naprawdę jest privilege creep

Privilege creep, nazywany też access creep albo entitlement creep, to stopniowe narastanie uprawnień i dostępów ponad to, czego dana osoba potrzebuje w obecnej roli. W dziedzinie bezpieczeństwa tożsamości traktuje się to raczej jako pojęcie definicyjne niż sporne. Mechanizm jest prosty. Dostęp przyznaje się, kiedy ktoś ma powód, żeby go potrzebować. Rzadko istnieje odpowiadające mu zdarzenie, które odbiera dostęp, kiedy powód wygasa.

Ta asymetria to cała historia. Przyznanie dostępu ma właściciela, wyzwalacz i zwykle zgłoszenie. Odebranie dostępu domyślnie nie ma żadnego z tych elementów, więc uprawnienia rosną skokowo przez cały okres zatrudnienia.

Efektem jest luka między tym, co dana osoba może zrobić, a tym, czego wymaga jej rola. Praca Microsoftu nad uprawnieniami w chmurze nazwała metrykę dokładnie dla tej luki, Permission Creep Index, która ocenia dystans między przyznanymi a faktycznie wykorzystywanymi uprawnieniami. Im większy ten dystans, tym więcej nieużywanego dostępu czeka na nadużycie. (Microsoft wycofał samodzielny produkt Entra Permissions Management 1 listopada 2025, ale koncepcja i metryka pozostają jasnym sposobem opisu problemu.)

Dlaczego wewnętrzna zmiana roli jest największym winowajcą

Większość organizacji myśli o dostępie w kategoriach joinerów, moverów i leaverów, czyli osób dołączających, zmieniających rolę i odchodzących. Joinerzy dostają dostęp nadany. Leaverom dostęp jest odbierany, bo konto pozostawione aktywne po odejściu kogoś z firmy to oczywiste ryzyko, które wyłapują audyty i listy kontrolne offboardingu.

Moverzy to inna historia. Kiedy ktoś zmienia rolę, zespół albo dział, zostając w firmie, powinny wydarzyć się dwie rzeczy: zyskuje dostęp potrzebny w nowej roli i traci dostęp, który był potrzebny w starej. W praktyce niezawodnie dzieje się tylko pierwsze. Nowy menedżer zgłasza wniosek o nowy dostęp, bo bez niego dana osoba nie może wykonywać nowej pracy. Nikt nie odpowiada za usunięcie starego dostępu, a jego usunięcie niesie niewielkie ryzyko, że coś się zepsuje, więc zostaje „na wszelki wypadek".

Dlatego mover to najsłabiej zarządzany etap cyklu życia dostępu, a jednocześnie najczęstszy. Dołączenie i odejście to zdarzenia, które przydarzają się każdej osobie raz. Zmiana roli powtarza się wielokrotnie w ciągu kariery: awanse, transfery, zastępowanie kolegi, dołączenie do projektu, przejęcie nowej odpowiedzialności. W skali całej firmy wewnętrznych zmian roli jest więcej niż dołączeń i odejść razem wziętych, a każda z nich zwykle dokłada kolejną warstwę, nie usuwając tej poprzedniej.

Narastanie z tytułu zmian ról kumuluje się w dwóch kierunkach naraz. Awans dodaje dostęp pionowo, głębsze uprawnienia w tej samej funkcji. Transfer dodaje go poziomo, uprawnienia w innej funkcji. Ktoś, kto kilka razy awansował i kilka razy się przeniósł, kończy z połączonym zestawem uprawnień, jakiego żadna pojedyncza rola nigdy nie miała mieć i jakiego nie uzasadnia obecne stanowisko. Problemy z rozdziałem obowiązków, które to tworzy, są często niewidoczne, dopóki nie wyjdą na jaw podczas audytu albo incydentu.

Dlaczego to standing privilege najbardziej boli

Nie każdy zgromadzony dostęp niesie takie samo ryzyko. Niebezpieczny rodzaj to standing privilege: dostęp, który jest stale aktywny, dostępny przez cały czas, niezależnie od tego, czy dana osoba go używa.

Stałe uprawnienie to ekspozycja, która istnieje bez przerwy. Jeśli konto padnie ofiarą phishingu, jeśli ktoś ukradnie token sesji, jeśli dana osoba postanowi go nadużyć, albo jeśli w jej kontekście uruchomi się malware, wszystko, do czego to konto ma dostęp, staje się osiągalne w tym momencie. Dostęp nie musi być aktywnie używany, żeby stanowić zagrożenie. Wystarczy, że istnieje.

To jest związek między privilege creep a dotkliwością naruszenia. Nadmiar uprawnień rzadko jest przyczyną naruszenia. Decyduje za to o tym, jak daleko ono sięgnie. Przejęte konto ograniczone do tego, czego wymaga obecna rola, to problem, który da się opanować. To samo konto, niosące lata nagromadzonych, niewykorzystywanych uprawnień, staje się drogą do systemów, które nie miały nic wspólnego z pierwotnym punktem wejścia. Nagromadzony dostęp zmienia lokalny incydent w ruch lateralny.

CyberArk 2025 Identity Security Landscape podaje liczby pokazujące, jak bardzo znormalizował się nadmiar uprawnień. Wśród 2600 decydentów ds. bezpieczeństwa przebadanych przez Vanson Bourne na początku 2025 roku 42% tożsamości maszynowych miało dostęp uprzywilejowany lub wrażliwy, a mimo to 88% organizacji wciąż definiowało „użytkownika uprzywilejowanego" wyłącznie jako człowieka. Zasięg uprawnień uprzywilejowanych wyprzedził sposób, w jaki większość organizacji w ogóle myśli o przywilejach. To samo badanie podaje, że 87% organizacji doświadczyło co najmniej dwóch skutecznych naruszeń związanych z tożsamością w poprzednich dwunastu miesiącach, co jest kosztem pozostawienia tego zasięgu bez kontroli.

Na co naprawdę naraża cię nadmiar uprawnień

Warto być konkretnym co do tego, co nagromadzony dostęp naraża na ryzyko, bo abstrakcyjna wersja („więcej dostępu to źle") nie skłania do działania.

Większy blast radius przy każdym przejęciu. Kradzież danych uwierzytelniających wciąż pozostaje jednym z najczęstszych sposobów włamania. Zasięg skradzionych danych uwierzytelniających wyznacza to, co może zrobić konto, którego dotyczą. Privilege creep ten zasięg maksymalizuje.

Nadużycia wewnętrzne, przypadkowe albo celowe. Nadużycie uprawnień konsekwentnie przypisuje się aktorom wewnętrznym. W Verizon 2025 DBIR udział aktora wewnętrznego mocno różnił się w zależności od regionu, a EMEA miał najwyższy wynik: 29% naruszeń wobec 5% w Ameryce Północnej. Dla organizacji europejskich wymiar wewnętrzny nadmiaru dostępu to nie jest marginalny problem.

Awarie rozdziału obowiązków. Kiedy jedna osoba po cichu gromadzi uprawnienia kilku ról, przestają działać kontrole, które opierają się na podziale wrażliwego zadania między dwie osoby. Ma to największe znaczenie w finansach, zakupach i wszędzie tam, gdzie dotyka się danych regulowanych.

Problem compliance i audytu. SOC 2, ISO 27001, NIS2 i DORA jednakowo oczekują, że dostęp będzie ograniczony do tego, czego wymaga rola, i regularnie przeglądany. Osoba z ewidentnie nieaktualnym dostępem to gotowe ustalenie audytowe, niezależnie od tego, czy ktokolwiek go kiedykolwiek wykorzystał.

Co działa

Nie ma jednego przełącznika. Ograniczenie privilege creep to połączenie zasady, okresowej kontroli, strukturalnej naprawy, zmiany architektonicznej i wyzwalacza, który wyłapuje problem u źródła. Każdy z nich adresuje inną część mechanizmu.

Oprzyj się na least privilege jako standardzie

Least privilege to formalna odpowiedź na pytanie „ile dostępu powinna mieć ta osoba". Kontrola NIST SP 800-53 AC-6 mówi to wprost: stosuj zasadę least privilege, dopuszczając wyłącznie dostęp konieczny do wykonania przypisanych zadań organizacyjnych. To punkt odniesienia, do którego dąży każda inna kontrola opisana w tym przewodniku. Privilege creep z definicji jest dystansem między faktycznym dostępem danej osoby a jej bazową linią least privilege. Nie da się zamknąć tego dystansu bez wcześniejszego nazwania tej bazowej linii.

Przeprowadzaj przeglądy dostępów, żeby wyłapać to, co już się nagromadziło

Przeglądy dostępów to mechanizm, który systematycznie usuwa dostęp, bo prawie nic innego tego nie robi. Rozszerzenie AC-6(7), przegląd uprawnień użytkownika, mówi to wprost: przeglądaj przypisane uprawnienia z określoną częstotliwością, żeby zweryfikować, czy są nadal potrzebne, i przypisuj je na nowo albo usuwaj, żeby odzwierciedlały bieżące potrzeby biznesowe.

Dwie rzeczy odróżniają przeglądy, które działają, od tych, które nie działają. Osobą przeglądającą powinien być właściciel systemu albo danych, który faktycznie rozumie, co dane uprawnienie oznacza, a nie dział IT przetwarzający listę, której nie potrafi zinterpretować. A cofnięcia dostępu wskazane przez przegląd muszą zostać wykonane. Przegląd, który ujawnia nieaktualny dostęp, ale nigdy go nie usuwa, tylko udokumentował problem, nie naprawiając go. Zbyt szeroki przegląd zachęca do bezrefleksyjnego zatwierdzania wszystkiego, bo wolumen i brak kontekstu sprawiają, że rzetelna weryfikacja jest niewykonalna. Skup przeglądy najpierw na dostępie wysoko uprzywilejowanym i wrażliwym, gdzie koszt błędnej akceptacji jest najwyższy.

Przeprojektuj role tak, żeby dostęp odpowiadał stanowiskom, nie historii

Przeglądy leczą objaw. Przeprojektowanie ról leczy przyczynę. Kiedy dostęp jest zebrany w dobrze zdefiniowane role odpowiadające realnym stanowiskom, zmiana roli staje się „zamień rolę A na rolę B" zamiast „dodaj uprawnienia do nowej pracy na wierzch wszystkiego, co zostało po starej". Czyste definicje ról sprawiają, że właściwe działanie staje się łatwym działaniem: nadanie nowej roli i usunięcie starej to jedna czytelna czynność, a nie stos pojedynczych uprawnień, których nikt nie chce rozplątywać. Role też dryfują w czasie, więc same potrzebują okresowej recertyfikacji, ale solidny model ról drastycznie zmniejsza to, ile privilege creep w ogóle może powstać.

Usuwaj standing privilege tam, gdzie się da

Zmianą strukturalną o największej dźwigni jest sprawienie, żeby dostęp przestał być stale aktywny. Dostęp just-in-time nadaje podwyższone uprawnienia tylko wtedy, kiedy są potrzebne, i na ograniczony czas, a potem automatycznie je odbiera. Cel, wyrażony w kategoriach zero trust, to sprowadzenie standing privilege do zera, tak żeby podwyższony dostęp był wnioskowany i ograniczony czasowo, a nie utrzymywany bez przerwy.

To przeformułowuje problem privilege creep. Jeśli dostęp uprzywilejowany jest przyznawany na żądanie i wygasa, od początku jest dużo mniej stałego zasięgu, który mógłby narastać, a skradzione dane uwierzytelniające zastają dużo mniej czekającego dostępu. Narzędzia do zarządzania uprawnieniami w chmurze wspierają to, dopasowując rozmiar uprawnień do faktycznego użycia i usuwając to, co pozostaje nieużywane, zwykle wszystko, czego nie dotknięto od 90 dni. Nie potrzebujesz konkretnego produktu, żeby zastosować tę ideę: każde przejście od „zawsze włączone" w stronę „nadawane, kiedy potrzebne, usuwane, kiedy zrobione" zmniejsza ekspozycję.

Uruchamiaj naprawę w momencie samego zdarzenia zmiany roli

Najczystsza naprawa leży wyżej w łańcuchu: traktuj wewnętrzną zmianę roli jako zdarzenie pierwszej kategorii, które wymaga zmiany dostępu, tak samo jak dołączenie i odejście. Kiedy HR odnotowuje zmianę roli, powinno to uruchamiać przegląd istniejącego dostępu danej osoby, nie tylko wniosek o nowy dostęp. Pytanie, które trzeba wymusić przy każdej zmianie roli, to „czego ta osoba już nie potrzebuje", zadawane z tą samą rygorystycznością co „czego teraz potrzebuje".

Większość programów zarządzania tożsamością już reaguje na sygnały joinerów i leaverów. Rozciągnięcie tej samej dyscypliny na sygnał zmiany roli zamyka lukę, która generuje większość privilege creep. Skuteczniej jest usunąć stary dostęp w momencie zmiany roli, kiedy kontekst jest świeży i ktoś odpowiada za tę zmianę, niż odkryć go w przeglądzie miesiące albo lata później.

Od czego zacząć

W środowisku, w którym dostęp narastał latami, zwykle sprawdza się taka kolejność: najpierw znajdź najgorsze przypadki standing privilege, potem napraw wyzwalacz przy zmianie roli, żeby problem przestał rosnąć, a na końcu przeprojektuj role i przeprowadź przeglądy, żeby oczyścić zaległości. Zatrzymanie nowego privilege creep jest zwykle szybsze i bardziej wartościowe niż wyczerpywanie istniejącej puli, a to właśnie wyzwalacz przy zmianie roli zatrzymuje nowy privilege creep.

Privilege creep nigdy się nie kończy. Działa przeciwko tobie w normalnym trybie pracy firmy, więc celem jest zestaw kontroli, które nieustannie stawiają mu opór, a nie jednorazowe sprzątanie. Organizacje, które trzymają go w ryzach, to te, w których usuwanie dostępu stało się tak samo rutynowe jak jego nadawanie.

Źródła

• CyberArk 2025 Identity Security Landscape (informacja prasowa) · https://www.cyberark.com/press/machine-identities-outnumber-humans-by-more-than-80-to-1-new-report-exposes-the-exponential-threats-of-fragmented-identity-security/ (dostęp uprzywilejowany maszyn wobec ludzi, częstotliwość naruszeń; Vanson Bourne, 2600 decydentów, firmy 500+ pracowników, kwiecień 2025)
• NIST SP 800-53 Rev. 5, AC-6 Least Privilege oraz AC-6(7) Review of User Privileges (za pośrednictwem CSF Tools) · https://csf.tools/reference/nist-sp-800-53/r5/ac/ac-6/ (treść kontroli least privilege i rozszerzenie dotyczące okresowego przeglądu)
• Microsoft Entra Permissions Management overview (zarchiwizowane) · https://learn.microsoft.com/en-us/entra/permissions-management/overview (definicja Permission Creep Index; luka między przyznanymi a wykorzystywanymi uprawnieniami; automatyczne usuwanie uprawnień nieużywanych 90 dni; produkt wycofany 1 listopada 2025)
• Verizon 2025 Data Breach Investigations Report · https://www.verizon.com/business/resources/reports/2025-dbir-data-breach-investigations-report.pdf (udział aktora wewnętrznego według regionu, w tym EMEA na poziomie 29%; nadużycie uprawnień przypisywane aktorom wewnętrznym)
• NIST CSRC Glossary, least privilege · https://csrc.nist.gov/glossary/term/least_privilege (formalna definicja zasady least privilege)