Uprawnienia i minimalne zarządzanie dostępem
Moduł 7: Dostęp, dostawcy i chmura · Czas czytania: 10 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili zorganizować uprawnienia zgodnie z zasadą „jak najmniej”: każdy ma własne konto, uprawnienia administratora są przydzielane osobno, zewnętrzne podmioty otrzymują dostęp tymczasowy i ograniczony, a dla sytuacji, gdy ktoś zaczyna pracę, zmienia stanowisko lub odchodzi, obowiązuje stały schemat postępowania.
Najważniejsze pojęcia: least privilege (najmniejsze uprawnienia), konto osobiste, konto współdzielone, konto administratora, rozdzielenie obowiązków, wdrożenie, zmiana stanowiska i odejście pracownika, zestawienie dostępów
Zasada: jak najmniej
Least privilege (najmniejsze uprawnienia) oznacza, że każdy otrzymuje dokładnie taki dostęp, jaki jest potrzebny do wykonywania jego pracy, i nic ponadto. Według NIST jest to zasada, zgodnie z którą użytkownicy mają wyłącznie uprawnienia niezbędne do realizacji swoich zadań.
Dlaczego jest to ważne? Ponieważ każde konto prędzej czy później może zostać przejęte: w wyniku phishingu (moduł 3), wycieku hasła (lekcja 1.4) lub zainfekowanego laptopa. To, co może wtedy zrobić atakujący, zależy wyłącznie od uprawnień danego konta. Konto stażysty, który zajmuje się wyłącznie mediami społecznościowymi, daje niewiele możliwości. Konto osoby, która „dla wygody” ma uprawnienia administratora wszędzie, daje dostęp do wszystkiego: poczty, płatności, strony internetowej, kopii zapasowych.
Minimalne uprawnienia nie zmniejszają więc prawdopodobieństwa włamania, ale ograniczają jego skutki. To ta sama zasada, co w przypadku kluczy do budynku: osoba sprzątająca ma klucz do drzwi wejściowych, a nie do sejfu.
Każdy ma własne konto
Konto współdzielone to konto, na które loguje się kilka osób przy użyciu tego samego hasła: „wszyscy logujemy się do programu księgowego przy użyciu info@example.com”. Wydaje się to praktyczne, ale ma cztery poważne wady:
- Nie wiadomo, kto co zrobił. W dzienniku zdarzeń widnieje jedynie „info”. Jeśli zmieniono dane płatności, nie da się ustalić, kto to zrobił.
- Nie można odciąć dostępu jednej osobie. Gdy ktoś odchodzi, trzeba zmienić hasło wszystkim, a w praktyce często się o tym zapomina.
- Uwierzytelnianie dwuskładnikowe działa słabo. Kod przychodzi na jeden telefon, więc albo się je wyłącza, albo kod jest przesyłany dalej.
- Hasło krąży przez WhatsApp, karteczki i e-maile, przez co przestaje być tajne.
Konto osobiste rozwiązuje wszystkie te problemy: własne logowanie, własne 2FA, własny dziennik zdarzeń, możliwość odcięcia dostępu pojedynczej osobie. Niemal każda usługa biznesowa obsługuje wielu użytkowników z własnymi uprawnieniami. Współdzielony adres e-mail, np. info@, może nadal istnieć jako adres; osoby, które go odczytują, powinny mieć do niego dostęp przez własne konto, jeśli Państwa system pocztowy to umożliwia.
Uprawnienia administratora osobno
Konto administratora może tworzyć użytkowników, zmieniać uprawnienia, modyfikować ustawienia, a często także usuwać dane. Właśnie dlatego należy go używać jak najrzadziej.
- Na co dzień proszę pracować na zwykłym koncie i logować się jako administrator tylko wtedy, gdy trzeba coś zarządzić. Dotyczy to również Państwa laptopa (lekcja 5.2).
- Proszę zapewnić co najmniej dwie osoby z uprawnieniami administratora w najważniejszych usługach albo dobrze zabezpieczone konto awaryjne. Jeśli jedyny administrator zachoruje lub będzie niedostępny, firma utknie w martwym punkcie.
- Ale też nie więcej niż potrzeba. Pięciu administratorów w firmie liczącej osiem osób to o czterech za dużo.
- Na każdym koncie administratora proszę włączyć uwierzytelnianie dwuskładnikowe, najlepiej odporne na phishing (lekcja 2.4).
Rozdzielenie obowiązków idzie jeszcze o krok dalej: jedna osoba nie powinna samodzielnie wykonywać wrażliwej czynności od początku do końca. Najbardziej znany przykład widzieli Państwo w lekcji 1.2: osoba, która wprowadza nowy numer konta bankowego dostawcy, nie powinna sama zatwierdzać płatności. W małej firmie można to łatwo zorganizować: jedna osoba przygotowuje płatność, druga zatwierdza ją w aplikacji bankowej.
Podmioty zewnętrzne: dostęp tymczasowy i ograniczony
Twórcy stron internetowych, księgowi, firmy IT i freelancerzy często potrzebują dostępu. Klasycznym błędem jest przekazanie im własnego hasła. Wtedy mogą zrobić wszystko to, co Państwo, a po zakończeniu współpracy nie wiadomo już, kto nadal ma dostęp.
Lepsze rozwiązanie:
- Proszę przydzielić własne konto z wyłącznie potrzebnymi uprawnieniami. Księgowemu wystarczy dostęp do faktur, twórcy strony internetowej do plików jednej witryny.
- Jeśli chodzi o konkretne zlecenie, proszę przyznać dostęp z datą wygaśnięcia. Wiele systemów umożliwia automatyczne wygasanie konta lub klucza.
- Tam, gdzie to możliwe, proszę ograniczyć, z jakiej sieci dana osoba może się logować.
- Proszę zapisywać, kto ma jaki dostęp zewnętrzny i dlaczego.
Wdrożenie, zmiana stanowiska i odejście pracownika
Uprawnienia rosną same. Ktoś zaczyna w dziale sprzedaży, przez kilka miesięcy pomaga w administracji, a potem przechodzi do produkcji. Jeśli nikt na to nie zwraca uwagi, po dwóch latach taka osoba ma uprawnienia wszystkich trzech stanowisk. Dlatego uprawnienia reguluje się w trzech momentach:
| Moment | Co należy zrobić |
|---|---|
| Wdrożenie (nowy pracownik) | Utworzyć własne konta z uprawnieniami odpowiednimi do stanowiska, od razu skonfigurować 2FA, wyjaśnić, gdzie co się znajduje |
| Zmiana stanowiska (inna funkcja) | Dodać nowe uprawnienia i usunąć stare |
| Odejście (zakończenie współpracy) | Ostatniego dnia pracy wyłączyć konta, zakończyć sesje na urządzeniach, zmienić hasła współdzielone, przekazać pliki |
Przy odejściu pracownika ważna jest kolejność działań. Najpierw przekazanie, potem wyłączenie, a usunięcie dopiero później. Jeśli konto zostanie usunięte od razu, w wielu usługach znikną również pliki, kalendarze i poczta tej osoby. W niektórych usługach chmurowych po krótkim czasie jest to nieodwracalne: zgodnie z własną dokumentacją Microsoft 365 domyślnie przechowuje OneDrive usuniętego użytkownika przez 30 dni. Wyłączenie konta zachowuje dane i blokuje dostęp.
Przy odejściu pracownika proszę pamiętać również o: regułach przekierowania poczty, które dana osoba ustawiła (lekcja 2.5), hasłach aplikacji, dostępie do aplikacji bankowej, mediów społecznościowych i rejestratora Państwa domeny, a także kluczach lub kartach dostępu do budynku.
Zestawienie dostępów
Zestawienie dostępów to prosta tabela: dla każdej usługi kto ma dostęp, z jakimi uprawnieniami, oraz czy jest to konto własne, czy zewnętrzne. Proszę przeglądać tę listę co najmniej dwa razy w roku oraz zawsze po odejściu pracownika. Przy każdym wierszu proszę zadać sobie jedno pytanie: czy ta osoba nadal tego dzisiaj potrzebuje?
W praktyce: jak to wygląda
W środowisku przykładowym Moje WebOké zapraszają Państwo kolegę, księgowego lub twórcę strony internetowej jako użytkownika. Loguje się on przy użyciu własnych danych, a Państwo zaznaczają przy poszczególnych uprawnieniach, co może robić, na przykład tylko Faktury dla księgowego. Tylko właściciel konta może zapraszać użytkowników i zmieniać uprawnienia, a jednym kliknięciem można ten dostęp wycofać. W DirectAdmin mogą Państwo nadać twórcy strony internetowej własne konto FTP do jednego folderu albo klucz logowania z datą ważności, ograniczonymi poleceniami i dostępem tylko z określonych adresów IP.
W Nextcloud w przypadku odchodzącego współpracownika proszę najpierw wybrać opcję Wyłącz: nie może się już zalogować, ale pliki pozostają zachowane. Instrukcja jest jednoznaczna: proszę usunąć użytkownika dopiero, gdy wszystko zostanie przejęte, ponieważ usunięty użytkownik znika bezpowrotnie razem ze wszystkimi swoimi plikami. W innych systemach działa to podobnie, ale nazwy i terminy mogą się różnić; proszę to sprawdzić, zanim ktoś odejdzie.
Podsumowanie
- Minimalne uprawnienia ograniczają skutki przejęcia konta.
- Każdy powinien mieć własne konto: wtedy wiadomo, kto co zrobił, i można odciąć dostęp jednej osobie.
- Uprawnień administratora proszę używać wyłącznie wtedy, gdy jest to konieczne, dla niewielkiej liczby osób, z silnym 2FA.
- Podmioty zewnętrzne otrzymują własne, ograniczone i tam, gdzie to możliwe, tymczasowe konto, nigdy Państwa hasło.
- Uprawnienia należy regulować przy wdrożeniu, zmianie stanowiska i odejściu pracownika; przy odejściu: najpierw przekazanie, potem wyłączenie, usunięcie później.
Quiz
Zadanie
Zadanie A7.1: Kto otrzymuje jaki dostęp? Otrzymają Państwo serię sytuacji z małej firmy (nowy księgowy, twórca strony internetowej na czas zlecenia, odchodzący współpracownik, stażysta). Dla każdej sytuacji proszę wybrać najlepszy sposób przyznania lub zakończenia dostępu. Program sprawdzi Państwa wybór i wyjaśni dlaczego.
Zadanie D7.1: Przegląd Państwa dostępów. Proszę przygotować zestawienie dostępów do pięciu najważniejszych usług: kto ma dostęp, z jakimi uprawnieniami, konto własne czy współdzielone, wewnętrzne czy zewnętrzne. Proszę usunąć co najmniej jedno zbędne uprawnienie lub konto współdzielone oraz przygotować listę kontrolną na kolejne odejście pracownika.
Zadanie D7.1: Przegląd Państwa dostępów
Jak się do tego zabrać: (1) Wybierzcie Państwo pięć swoich najważniejszych usług (na przykład pocztę, księgowość, bank, panel hostingowy, przechowywanie w chmurze, rejestratora domeny). (2) Stwórzcie Państwo dla każdej usługi przegląd: kto ma dostęp (rola, nazwiska nie są potrzebne), jakie uprawnienia, konto własne czy współdzielone, wewnętrzne czy zewnętrzne, czy jest włączone uwierzytelnianie dwuskładnikowe, data ostatniego logowania, jeśli usługa to pokazuje. (3) Znajdźcie Państwo w każdej usłudze listę użytkowników i porównajcie ją ze swoim przeglądem. Zapiszcie Państwo różnice. (4) Usuńcie Państwo co najmniej jedno zbędne uprawnienie, jedno stare konto lub jedno konto współdzielone, albo zastąpcie konto współdzielone kontami osobistymi. (5) Sprawdźcie Państwo, ilu jest administratorów w każdej usłudze; dążcie do dwóch. (6) Napiszcie Państwo listę czynności przy odejściu pracownika: co robią Państwo w ostatnim dniu pracy danej osoby (wyłączanie kont, unieważnianie sesji, sprawdzanie reguł przekierowywania i haseł aplikacji, zmiana współdzielonych haseł, przekazywanie plików, bank, media społecznościowe, rejestrator domeny, klucze i karty dostępu). (7) Ustalcie Państwo powtarzające się przypomnienie (dwa razy w roku), aby przejrzeć ten przegląd.
Zaznaczenia i notatki pozostają tylko w tej przeglądarce; nie są nigdzie wysyłane. Po zalogowaniu w Moje kursy zapisywana jest jedynie informacja, że zadanie zostało wykonane.
Więcej informacji
Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.
- Podręcznik WebOké 11.3: Zapraszanie użytkowników i nadawanie uprawnień
- Podręcznik Nextcloud 14.2: Gebruikers aanmaken, bewerken, uitschakelen en verwijderen
- Podręcznik Nextcloud 14.7: Uprawnienia: kto czym zarządza w Państwa Nextcloud?
- Podręcznik Nextcloud 16.7: Odejście kolegi/koleżanki z pracy: bezpieczne przejęcie plików, kalendarza i udostępnionych folderów
- Instrukcja DirectAdmin 3.5: Klucze logowania: logowanie dla skryptów i programów
- Instrukcja DirectAdmin 11.6: Konta FTP, tworzenie i zarządzanie
- NIST, Glossary: least privilege (w języku angielskim): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (w języku angielskim): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion