Kontrola dostępu pracowników do danych – jak uporządkować uprawnienia?

Nie każdy dostęp oznacza to samo

Informacja, że pracownik ma dostęp do folderu lub systemu, jest zbyt ogólna. Trzeba ustalić, jakie operacje może wykonywać:

• Odczyt: przeglądanie danych. W wielu systemach obejmuje również pobieranie dokumentów, więc nie oznacza zakazu kopiowania.
• Edycja: dodawanie i zmienianie danych. Zależnie od usługi może obejmować także usuwanie.
• Udostępnianie: nadawanie innym osobom dostępu, zapraszanie gości lub tworzenie linków.
• Zatwierdzanie: akceptowanie operacji, dokumentów lub płatności w systemie biznesowym.
• Administracja: zmiana konfiguracji, tworzenie kont i zarządzanie uprawnieniami innych osób.

Nazwy poziomów nie są uniwersalne. Przykładowo standardowy poziom „Read” w SharePoint pozwala pobierać dokumenty, a „Edit” obejmuje usuwanie. Szczegóły opisuje dokumentacja poziomów uprawnień Microsoft. Przed wdrożeniem ograniczeń sprawdź rzeczywiste działanie używanej aplikacji.

Kontrola obejmuje nie tylko pliki. Dotyczy również poczty, kalendarzy, CRM, księgowości, bankowości, chmury, VPN, komputerów i paneli usług. Dostęp do VPN nie powinien sam w sobie oznaczać dostępu do wszystkich zasobów firmy.

Nadaj dostęp zgodnie z rolą i zakresem obowiązków

Zasada najmniejszych uprawnień oznacza przyznawanie tylko zasobów i funkcji niezbędnych do wykonania zadań. Tak ujmuje ją również słownik NIST. Punktem wyjścia są obowiązki, a nie skopiowanie wszystkich praw poprzedniej osoby.

Właściciel biznesowy zasobu, na przykład kierownik działu, powinien zatwierdzić potrzebny zakres. Administrator IT wdraża decyzję i sprawdza konfigurację. Jedna osoba może pełnić obie funkcje, ale odpowiedzialność nadal powinna być jasna.

Przykładowa matryca dostępów

Poniższe zestawienie jest hipotetyczne. Każda firma musi dopasować je do procesów, zastępstw i możliwości swoich systemów.

W roboczej matrycy dopisz nazwę systemu, grupę lub rolę, poziom dostępu, osobę zatwierdzającą i termin przeglądu. Dla dostępu czasowego zapisz także datę zakończenia.

Od czego zacząć porządkowanie dostępów?

Najpierw sprawdź stan faktyczny. Sama lista pracowników nie pokaże kont dostawców, integracji ani publicznych linków.

1. Spisz zasoby: serwery, foldery, pocztę, chmurę, aplikacje, bazy, VPN i panele zewnętrzne.
2. Wskaż właścicieli: ustal, kto odpowiada za dane i zatwierdza dostęp do każdego ważnego zasobu.
3. Zbierz konta i uprawnienia: uwzględnij użytkowników, grupy, administratorów, gości oraz osoby, które zmieniły stanowisko.
4. Znajdź wyjątki: sprawdź konta współdzielone, konta techniczne, integracje, tokeny i linki udostępniania.
5. Porównaj dostęp z obowiązkami: właściciel zasobu potwierdza potrzebne prawa i wskazuje zbędne.
6. Zapisz zmiany: utwórz matrycę, wskaż osoby odpowiedzialne i zaplanuj przegląd.

Nie usuwaj nieznanego konta technicznego bez sprawdzenia jego zastosowania. Może obsługiwać backup, synchronizację lub aplikację. Najpierw ustal właściciela i zależności, a potem ogranicz albo zastąp dostęp.

Jak ustawiać uprawnienia do plików, kont i systemów?

Stosuj grupy odpowiadające rolom

Tam, gdzie system to umożliwia, przypisuj uprawnienia grupom, a pracowników dodawaj do odpowiednich grup. Ogranicza to liczbę wyjątków nadawanych osobno. Przy zmianie stanowiska sprawdź zarówno nowe, jak i dotychczasowe członkostwa.

W Microsoft 365 sposób zarządzania zależy od zasobu. W witrynach zespołowych SharePoint powiązanych z grupą Microsoft 365 zwykle zarządza się członkostwem tej grupy. Nie warto budować licznych wyjątków na pojedynczych dokumentach, jeśli dane można uporządkować w osobnych zasobach.

Oddziel zasoby poufne

Kadry, płace, dokumenty zarządu i inne ograniczone informacje powinny mieć własną strukturę dostępu. Sprawdź dziedziczenie praw: folder lub biblioteka mogą otrzymywać uprawnienia z poziomu nadrzędnego.

Kontroluj usuwanie i udostępnianie

Ustal, kto może usuwać dane, zapraszać gości i udostępniać dokumenty poza zespołem. Jeśli chcesz oddzielić edycję od usuwania, zweryfikuj możliwości narzędzia i działanie aplikacji po zmianie. Nie każdy system oferuje taki podział.

Sprawdź również istniejące linki. W OneDrive i SharePoint link „Anyone” daje dostęp każdemu, kto go posiada, a link dla organizacji może dotrzeć do innych jej użytkowników. Link dla wskazanych osób ogranicza odbiorców. Zasady wyjaśnia dokumentacja udostępniania Microsoft.

Usunięcie użytkownika z jednej grupy nie musi odebrać dostępu nadanego inną drogą. Sprawdź prawa bezpośrednie, pozostałe grupy, linki i role aplikacji.

Używaj kont imiennych i oddziel administrację

Osobne konto ułatwia odebranie dostępu jednej osobie oraz powiązanie operacji z użytkownikiem, jeśli system zapisuje odpowiednie logi. Wspólny login utrudnia tę kontrolę.

Do poczty i codziennej pracy używaj standardowego konta. Konto administracyjne wykorzystuj do zadań wymagających podwyższonych praw. Konta techniczne powinny mieć właściciela, określony cel i ograniczony zakres.

Chroń konto i urządzenie

Uprawnienia uzupełnij unikalnymi hasłami, MFA, blokadą ekranu, aktualizacjami i kontrolowanym dostępem zdalnym. Ograniczone prawa zmniejszają skutki przejęcia konta, ale nie eliminują tego ryzyka. Szczegóły opisujemy w poradniku o bezpieczeństwie danych w firmie.

Sprawdź wynik zmiany

Zweryfikuj, czy pracownik może wykonać potrzebne zadania i czy nie ma dostępu do zasobów poza rolą. Uwzględnij pobieranie, synchronizację, udostępnianie i operacje w aplikacji. Odebranie dostępu do usługi nie usuwa automatycznie wcześniej pobranych plików.

Kiedy przeglądać dostępy pracowników?

Przegląd powinien następować po ważnych zmianach i w ustalonym cyklu. Częstotliwość dopasuj do wrażliwości danych, liczby zmian kadrowych i skali środowiska.

• Zmiana stanowiska: usuń prawa z poprzedniej roli, jeśli nie są nadal uzasadnione.
• Projekt lub zastępstwo: określ zakres i termin dodatkowego dostępu, a po zakończeniu sprawdź jego odebranie.
• Dłuższa nieobecność: ustal dostęp zastępcy przez jego własne konto oraz zasady przekazania spraw.
• Zakończenie współpracy: skoordynuj blokadę kont, sesji i pozostałych dostępów z przejęciem potrzebnych danych.
• Zmiana wykonawcy: sprawdź konta serwisowe, VPN, tokeny i dostęp do paneli.
• Przegląd okresowy: porównaj konta, grupy, role administracyjne i gości z aktualnymi potrzebami.

Zapisuj wynik: zasób, sprawdzony dostęp, decyzję, osobę zatwierdzającą i datę realizacji. Jeśli pozostawiasz wyjątek, dopisz jego powód oraz termin kolejnej kontroli.

Procedurę odejścia opisujemy osobno: jak odebrać pracownikowi dostępy po zakończeniu współpracy. Zakres regularnej administracji można ustalić w ramach opieki informatycznej firmy, z uwzględnieniem modelu rozliczenia obsługi IT.

Najczęstsze pytania

Czym jest zasada najmniejszych uprawnień?

Użytkownik otrzymuje tylko zasoby i funkcje potrzebne do swoich zadań. Zakres trzeba aktualizować wraz z obowiązkami. Celem jest ograniczenie zbędnych praw przy zachowaniu możliwości pracy.

Czy każdy pracownik powinien mieć osobne konto?

Tak, jeśli system to umożliwia. Konto imienne ułatwia ochronę logowania, odebranie dostępu i analizę zapisanych operacji. Konta techniczne wymagają odrębnych zasad i wskazanego właściciela.

Jak kontrolować dostęp do plików w Microsoft 365 lub na serwerze?

Uporządkuj zasoby i role, używaj odpowiednich grup oraz sprawdzaj dziedziczenie, wyjątki i linki udostępniania. Po zmianie zweryfikuj faktyczny dostęp użytkownika.

Kto powinien zatwierdzać dostęp do danych?

Właściciel biznesowy zasobu, na przykład kierownik działu. Administrator wdraża decyzję i kontroluje ustawienia. Dostęp czasowy powinien mieć również termin zakończenia.

Jakie ryzyko wiąże się ze współdzielonym kontem?

Trudniej ustalić wykonawcę operacji i odebrać dostęp jednej osobie. Zmiana hasła wpływa na pozostałych użytkowników, a wspólne metody MFA komplikują zarządzanie. Takie konta ograniczaj do uzasadnionych wyjątków.

Czy dostęp tylko do odczytu chroni przed skopiowaniem danych?

Nie musi. Odczyt często pozwala pobrać plik. Jeśli potrzebujesz dodatkowej ochrony, sprawdź możliwości konkretnej usługi, urządzeń i zasad pracy. Sam poziom odczytu nie gwarantuje poufności.