Kto ma teraz dostęp do naszych systemów i skąd byśmy to w ogóle wiedzieli?

Dlaczego dziś prawdopodobnie nie potrafisz odpowiedzieć na to pytanie

Wyobraź sobie, jak dostęp wchodzi do twojej firmy. Ktoś dołącza, a IT zakłada mu maila i główne narzędzia, których potrzebuje. Jak dotąd, porządek. Potem wkracza rzeczywistość.

Zespół zapisuje się na nową aplikację na firmowej karcie, nikomu o tym nie mówiąc, bo w tym tygodniu rozwiązała jakiś problem. Kontraktor dostaje login do projektu i zatrzymuje go długo po jego zakończeniu. Handlowiec jednym kliknięciem łączy waszą bazę klientów z narzędziem do planowania spotkań, przyznając mu stałe uprawnienie do odczytu waszych danych. Pracownik zmienia rolę, dostaje nowy dostęp do nowej pracy i zatrzymuje wszystko ze starej. Pomnóż każdą z tych sytuacji przez każdy zespół i każdy rok, w którym działa firma.

Nikt pojedynczy nie widzi tego wszystkiego naraz, więc dostęp kończy w dziesiątkach osobnych miejsc. Wasz system poczty i dokumentów ma jedną listę użytkowników. Oprogramowanie księgowe ma drugą. Baza klientów, narzędzie supportowe, przechowywanie plików i narzędzie projektowe mają każde swoją. Nie ma jednej centrali, która pokazuje wszystkie drzwi i wszystkie klucze naraz. Więc kiedy pytasz „kto ma dostęp do naszych systemów", szczera wewnętrzna odpowiedź brzmi zwykle „dajcie nam parę tygodni, spróbujemy to zebrać".

Trzy rzeczy sprawiają, że ten stos rośnie po cichu.

Osoby, które odeszły albo zmieniły rolę. Offboarding zwykle obejmuje oczywiste konta, maila i główne logowanie. Mniejsze narzędzia, te przyjęte samodzielnie przez zespół, są pomijane, bo nikt nie ma pełnej listy tego, do czego dana osoba miała dostęp. Konto zostaje aktywne.

Konta z większym dostępem, niż wymaga stanowisko. Szybciej jest dać komuś szeroki dostęp, niż wyliczyć dokładne minimum, a szeroki dostęp rzadko bywa później przycinany. Z czasem zwykłe konta gromadzą uprawnienia dalece wykraczające poza to, czego wymaga obecna rola.

Oprogramowanie łączące się z innym oprogramowaniem. Nowoczesne narzędzia są budowane tak, żeby się ze sobą łączyć. Kiedy łączysz dwie aplikacje, jedna zwykle dostaje stałe uprawnienie do sięgania po dane drugiej, i to uprawnienie działa dalej bez logowania się żadnej osoby. Takie połączenia łatwo stworzyć, łatwo o nich zapomnieć i prawie nigdy się ich nie przegląda. To realny dostęp, i to część, której większość firm nigdy nie sprawdziła.

Dlaczego to się liczy, w kategoriach biznesowych

Możesz zostawić ten problem samemu sobie na długi czas i nic widocznie się nie zepsuje. Koszt pojawia się w konkretnych momentach, i wtedy naprawa na szybko jest droga.

Były insider z aktywnym dostępem. Najbardziej oczywiste ryzyko to osoba, która odeszła w złych relacjach, albo kontraktor, którego współpraca się skończyła, a wciąż może się zalogować. To częste. Badania konsekwentnie pokazują, że duża część organizacji ma byłych pracowników, którzy wciąż trzymają aktywne konta po odejściu, a zapomniane albo osierocone konta regularnie okazują się drogą, którą wchodzi atakujący. Każde dodatkowe aktywne logowanie to drzwi, o których zapomniałeś, że zostawiłeś otwarte.

Pytanie audytora, ubezpieczyciela albo klienta. Sprzedaż większym klientom, odnowienie ubezpieczenia cyber albo przejście przeglądu bezpieczeństwa, takiego jak SOC 2 czy ISO 27001, zawsze wiąże się z pytaniem na piśmie, żeby pokazać, kto ma dostęp, i udowodnić, że go przeglądacie. „Wydaje nam się, że wiemy" nie przechodzi. Niejasna odpowiedź może zatrzymać transakcję na tygodnie albo podnieść koszt ubezpieczenia. Pewna, udokumentowana odpowiedź przesuwa sprawę do przodu.

Wymogi regulacyjne dla europejskich firm z sektora mid-market. W zależności od branży, przepisy takie jak NIS2 i DORA oczekują, że będziesz kontrolować i okresowo przeglądać, kto ma dostęp do ważnych systemów. Wiedza, kto ma dostęp do czego, to fundament, na którym te obowiązki się opierają.

Wolniejsza reakcja, kiedy coś pójdzie nie tak. Jeśli masz incydent bezpieczeństwa, pierwsze pytania brzmią „czyje to było konto" i „do czego miało dostęp". Jeśli nie potrafisz szybko odpowiedzieć, incydent trwa dłużej i kosztuje więcej. Firma, która już wie, kto ma dostęp, opanowuje problemy szybciej.

Nic z tego nie jest powodem do paniki. To powód, żeby wziąć to pytanie na swoją własną agendę, zamiast czekać, aż ktoś inny je tam umieści.

Jak naprawdę wygląda jasny obraz sytuacji

Jasny obraz sytuacji nie jest heroicznym, jednorazowym arkuszem kalkulacyjnym, który dezaktualizuje się dzień po tym, jak go skończysz. Ma trzy części, a wartość polega na tym, żeby trzymać je razem.

Po pierwsze, aktualna lista tego, kto i co może się zalogować. Każda osoba, każdy kontraktor i każde połączenie oprogramowania, które ma dostęp do systemu przechowującego dane firmy lub klientów. „Co" liczy się tak samo jak „kto", bo połączenia między aplikacjami to część, której większość firm nigdy nie spisała.

Po drugie, ta lista zestawiona z tym, kto tu faktycznie pracuje. Zestawiasz listę dostępu z listą realnych, obecnych pracowników, taką, jaką może przygotować HR albo dział płac. Nazwiska na liście dostępu, które nie pasują do nikogo na liście ludzi, to wasi odchodzący, dawni kontraktorzy i zapomniane konta. To zestawienie to najbardziej użyteczna rzecz, jaką możesz zrobić, i zwykle znajduje niespodzianki.

Po trzecie, powód przypisany do każdego dostępu. Dla dostępu należącego do realnych ludzi pytanie brzmi, czy wciąż go potrzebują do pracy, którą teraz wykonują. Większość porządkowania polega na usuwaniu dostępu, który kiedyś był słuszny, a teraz nie jest już potrzebny.

Różnica w praktyce:

• „Musielibyśmy popytać dookoła i to zebrać." · Z jasnym obrazem sytuacji: „Oto aktualna lista, zaktualizowana w tym kwartale."
• Odchodzący znajdowani przez przypadek, miesiące później. · Z jasnym obrazem sytuacji: Odchodzący znajdowani i usuwani w ciągu dni od odejścia.
• Pytania audytora wywołują gorączkowe poszukiwania. · Z jasnym obrazem sytuacji: Pytania audytora dostają odpowiedź z już prowadzonego dokumentu.
• Nikt nie jest właścicielem pełnej listy. · Z jasnym obrazem sytuacji: Jedna wskazana osoba jest jej właścicielem i z niej raportuje.

Nie dążysz do perfekcji. Dążysz do obrazu, któremu możesz ufać i który możesz odświeżać, mającego właściciela, który mógłbyś pokazać komuś z zewnątrz bez wahania.

Jak lider to zdobywa

Nie musisz sam wykonywać tej pracy. Musisz jasno o nią poprosić, upewnić się, że jest zrobiona porządnie, i utrzymywać ją przy życiu. Trzy ruchy.

Poproś o listę. Poproś szefa IT albo dostawcę usług IT o przygotowanie aktualnej listy wszystkich osób i wszystkiego, co ma dostęp do systemów przechowujących dane firmy lub klientów. Daj im realistyczny termin i zaakceptuj, że pierwsza wersja będzie surowa. Sens pierwszego podejścia to poznanie, gdzie żyje dostęp.

Zestaw ją z tym, kto tu faktycznie pracuje. Poproś, żeby tę listę zestawiono z obecnymi pracownikami. Zapytaj wprost: czy są jakieś konta, które nie należą do obecnego pracownika albo aktywnego kontraktora, i co z każdym z nich robimy. To jedno zestawienie zamienia abstrakcyjną listę w listę decyzji, i zwykle znajduje konta, o których nikt nie pamiętał.

Przeglądaj ją regularnie. Lista jest użyteczna tylko wtedy, gdy pozostaje aktualna, a dostęp gromadzi się niezależnie od tego, czy patrzysz, czy nie. Wstaw regularny przegląd do kalendarza, dla większości firm z sektora mid-market rozsądnym domyślnym rytmem jest kwartał, przy którym osoby odpowiedzialne za każdy główny system potwierdzają, że ludzie i połączenia z dostępem wciąż go potrzebują. Traktuj to jak cykliczną kontrolę finansową. To dyscyplina znana jako przeglądy dostępów, i to ona zamienia migawkę w coś, na czym można polegać.

O co zapytać osobę od IT

Nie potrzebujesz technicznego języka. Te proste pytania załatwiają większość sprawy.

• Czy możesz dać mi jedną listę wszystkich osób i każdej połączonej aplikacji, które mają dostęp do danych naszej firmy i klientów?
• Ile by to zajęło i co jest trudne w jej przygotowaniu? Odpowiedź mówi ci, jak bardzo rozproszone są rzeczy.
• Czy są jakieś aktywne konta, które nie należą do obecnego pracownika albo kontraktora? Skąd byśmy w ogóle wiedzieli?
• Kiedy ktoś odchodzi, jak upewniamy się, że każde jego logowanie jest wyłączane, nie tylko mail?
• Kto, z imienia i nazwiska, jest właścicielem tej listy i jak często ją przeglądamy?
• Gdyby klient albo audytor poprosił nas o udowodnienie, kto ma dostęp, co moglibyśmy im dziś pokazać?

Jak wygląda „dobrze"

• Lista dostępu ma wskazanego właściciela, który potrafi na żądanie przygotować jej aktualną wersję.
• Kiedy ktoś odchodzi, cały jego dostęp jest usuwany w ciągu dni, a ktoś to potwierdza.
• Dostęp jest przeglądany w regularnym rytmie, a przegląd jest spisany.
• Połączenia między oprogramowaniem są częścią listy, nie refleksją po fakcie.
• Ludzie na ogół mają dostęp, którego wymaga ich obecna rola, a nie stos pozostałości po poprzednich rolach.
• Mógłbyś odpowiedzieć audytorowi albo dużemu klientowi w ciągu dni, na podstawie dokumentu, który już prowadzisz, z pewnością.

Źródła

• ENISA Threat Landscape 2024 · https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 (osierocone i nieaktualne konta jako powtarzająca się droga dostępu)
• Verizon Data Breach Investigations Report 2024 · https://www.verizon.com/business/resources/reports/dbir/ (nadużycie danych uwierzytelniających i dostępu jako częsta przyczyna naruszeń)
• Directive (EU) 2022/2555 (NIS2) · https://eur-lex.europa.eu/eli/dir/2022/2555/oj (wymogi kontroli dostępu i zarządzania ryzykiem dla podmiotów objętych zakresem)
• Regulation (EU) 2022/2554 (DORA) · https://eur-lex.europa.eu/eli/reg/2022/2554/oj (wymogi zarządzania dostępem ICT dla podmiotów finansowych)
• AICPA SOC 2 Trust Services Criteria · https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2 (wymogi kontroli dostępu logicznego i przeglądów dostępu)