Dostęp kontraktorów

czym to jest

Dostęp kontraktorów odnosi się do każdego loginu, uprawnienia czy danych uwierzytelniających nadanych osobie lub organizacji zewnętrznej na określony czas pracy. Obejmuje to niezależnych konsultantów, pracowników agencji, dostawców oprogramowania z dostępem do konfiguracji lub utrzymania systemu oraz pracowników tymczasowych na umowach na czas określony.

Osoby zewnętrzne często potrzebują dostępu do Twoich systemów, żeby wykonać swoją pracę, i nadanie tego dostępu jest uzasadnione. Problemem jest to, co się z nim dzieje, gdy praca się kończy. W środowiskach bez procesu, który wprost wiąże dostęp z datą końca kontraktu, odpowiedź brzmi często: nic.

dlaczego się gromadzi

Dostęp kontraktora jest zwykle tworzony na początku zlecenia przez osobę zarządzającą projektem. IT może, ale nie musi, być formalnie zaangażowane. Kierownik projektu wie, że kontraktor potrzebuje dostępu, więc go dostaje. Metoda nadania zależy od systemu.

Gdy projekt się kończy, wyzwalacz do usunięcia dostępu jest często nieformalny. Kierownik projektu zamyka swoje zadania, ale nie składa wniosku o deprowizjonowanie. Agencja kończy fragment pracy, ale spodziewa się powrotu przy dalszych zleceniach, więc IT zostawia konto aktywne. Organizacja samego kontraktora nie zgłasza zakończenia, bo wciąż liczy na kolejne zlecenia.

W efekcie usunięcie dostępu zależy od tego, czy ktoś konkretnie zdecyduje się go usunąć. Nie ma automatycznego wygasania. Nikt nie pilnuje kalendarza dat końca kontraktów i nie reaguje na nie. Dostęp pozostaje, dopóki nie ujawni go przegląd albo incydent.

co to kosztuje

Dostęp kontraktora, który przeżywa kontrakt, to aktywny dostęp w Twoim środowisku, posiadany przez kogoś, kto nie ma już wobec Twojej organizacji żadnych bieżących zobowiązań. Relacja, która stworzyła pewien poziom zaufania wokół tego dostępu, się skończyła. Dostęp nie.

Pod względem compliance tworzy to wyraźną lukę. Oczekiwanie w frameworkach takich jak SOC 2, ISO 27001 i DORA jest takie, że dostęp stron trzecich jest zarządzany na określonych zasadach i odbierany, gdy przestaje być potrzebny. „Zapomnieliśmy go usunąć" nie satysfakcjonuje audytora.

Jest też wymiar ochrony danych. Kontraktorzy mogli mieć dostęp do danych osobowych, rekordów finansowych czy zastrzeżonych systemów. Dostęp trwający po zakończeniu zlecenia wydłuża okno ekspozycji danych poza uzgodniony zakres. Na gruncie RODO może to stanowić przetwarzanie na podstawie, która już nie obowiązuje.

Według raportu IBM Cost of a Data Breach (2025) identyfikacja i opanowanie naruszenia zajmuje średnio 241 dni. Byli kontraktorzy, których dostęp nigdy nie został odebrany, wpadają w tę samą kategorię co byli pracownicy: to otwarte drzwi w Twoim środowisku, bez żadnego aktywnego monitoringu, który by to zauważył.

co działa

Punktem wyjścia jest inwentaryzacja każdego konta zewnętrznego, a katalog zwykle je zdradza: konta na zewnętrznych adresach mailowych, konta, których domena różni się od standardowej firmowej, i konta wyraźnie oznaczone jako kontraktor lub dostawca. Główny IdP to tylko połowa obrazu. Poszczególne aplikacje SaaS mają własne konta zewnętrzne, które nigdy nie dotknęły katalogu.

Każde konto zewnętrzne testuje się potem wobec jednego pytania: czy stoi za nim aktualny, aktywny kontrakt? Zestawienie listy kont z rekordami zleceń oddziela żywy dostęp od pozostałości, a wszystko bez odpowiadającego zlecenia to kandydat do natychmiastowego przeglądu. Ścieżki dostępu poza katalogiem zasługują na osobne przejście, bo kontraktorzy często mają dane uwierzytelniające VPN, bezpośrednie loginy do infrastruktury i dostęp do repozytoriów kodu, których nie pokaże żadna lista użytkowników aplikacji.

To, co zapobiega odbudowaniu się problemu, to prowizjonowanie ograniczone czasowo: każde nowe konto zewnętrzne tworzone z datą wygaśnięcia lub przeglądu powiązaną z końcem kontraktu. Niektóre platformy IdP wspierają wygasanie kont natywnie. Dla systemów, które tego nie robią, przypomnienie w kalendarzu z przypisanym właścicielem to działający substytut, dużo lepszy niż brak jakiegokolwiek wyzwalacza. Kontrolą towarzyszącą jest wewnętrzna odpowiedzialność: każde konto zewnętrzne przypisane do konkretnego, obecnego pracownika, który odpowiada za zgłoszenie usunięcia, gdy zlecenie się kończy. Z tymi dwoma elementami dostęp kontraktorów przestaje zależeć od tego, czy ktoś pamięta, żeby zadziałać, a to była dokładnie ta zależność, która pozwoliła mu się gromadzić.