Uprawnienia w firmach rosną w jedną stronę. Dodaje się je przy zmianie stanowiska, rzadko odbiera po jego zmianie — po latach część osób ma dostęp do wszystkiego.
Skąd bierze się narastanie
Awans, zastępstwo na czas urlopu, jednorazowa potrzeba, projekt zakończony dwa lata temu. Każde z tych zdarzeń dodaje dostęp i żadne go nie odbiera.
Dochodzi do tego mechanizm mniej widoczny: uprawnienia nadawane przez członkostwo w grupach, które same są członkami innych grup. Osoba dopisana do jednej listy dostaje wtedy dostęp do rzeczy, o których nikt nie pomyślał przy nadawaniu. Dlatego przegląd oparty wyłącznie na deklaracjach bywa mylący — trzeba patrzeć na dostęp wynikowy, nie na to, co komu przypisano wprost.
Zasada minimalnego dostępu
Uprawnienia wynikające z zakresu obowiązków, nie z wygody. Wygodniej jest dać dostęp do wszystkiego, a koszt tej wygody ujawnia się dopiero przy incydencie.
Praktycznie oznacza to punkt wyjścia w postaci zestawów przypisanych do ról, tak jak przy zakładaniu kont nowej osobie. Każde odstępstwo od zestawu powinno mieć powód zapisany razem z uprawnieniem. Bez tego po roku nikt nie wie, czy dany dostęp był przemyślany, czy przypadkowy.
Przegląd cykliczny
Zestawienie dostępów przekazywane przełożonym z pytaniem, czy nadal są potrzebne. Dział IT nie wie, kto czego potrzebuje — wie to przełożony.
Jak to poprowadzić, żeby się nie rozmyło
Zestawienie powinno być krótkie i dotyczyć jednego działu naraz. Lista stu pozycji zostanie zatwierdzona w całości bez czytania. Pytanie warto zadać wprost: czy ta osoba nadal potrzebuje tego dostępu do wykonywania swoich obowiązków. Odpowiedź „nie wiem” traktuje się jak odebranie, z możliwością szybkiego przywrócenia — inaczej przegląd nigdy niczego nie zmniejszy.
Dostępy czasowe
Uprawnienie nadane na czas zastępstwa powinno wygasać samo. Nadane bezterminowo, zostaje na zawsze — to najprostsza zmiana ograniczająca narastanie.
Termin wygaśnięcia warto wpisywać zawsze, gdy system to umożliwia, nawet dla dostępów, które wydają się trwałe. Przedłużenie jest jedną czynnością, a brak terminu oznacza, że zostanie na lata po zakończeniu powodu.
Konta uprzywilejowane
Osobna kategoria, wymagająca częstszego przeglądu i dodatkowego uwierzytelnienia. Praca na koncie administracyjnym na co dzień jest wygodna i jest najczęstszą przyczyną poważnych szkód.
Rozdzielenie kont — zwykłe do pracy, osobne do czynności administracyjnych — jest tu podstawowym krokiem. Do tego drugi składnik uwierzytelnienia i przechowywanie danych dostępowych zgodnie z zasadami przyjętymi przy zarządzaniu hasłami w firmie. Konta administracyjne bywają też wpisane w skrypty i zadania cykliczne, więc ich przegląd musi obejmować konta techniczne, nie tylko ludzi.
Kiedy formalny proces jest nadmiarem
W firmie kilkuosobowej rozbudowana procedura przeglądu nie ma sensu — wszyscy wiedzą, kto czym się zajmuje. Wystarczy raz na jakiś czas wydrukować listę kont i przejść ją z właścicielem. Formalny przegląd staje się potrzebny wtedy, gdy przełożony przestaje znać z pamięci wszystkie systemy, do których jego zespół ma dostęp.
