Problémy s přístupem jsou zřídkakdy způsobeny jedním velkým incidentem. Častěji vznikají na základě drobných výjimek, které v danou chvíli dávaly smysl: člen týmu může přejít na novou roli a ponechat si přístupová oprávnění ze své předchozí role. K vyřešení naléhavého problému může být vytvořeno sdílené přihlášení, které se pak používá i po pominutí naléhavosti.
K těmto událostem dochází v malých a středních podnicích (SMB) velmi rychle. Týmy jsou malé, odpovědnosti se překrývají a přístup je často udělován jen proto, aby se práce nezastavila. Za těchto okolností firma ztrácí jasný přehled o tom, kdo má přístup k jakým systémům, přihlašovacím údajům, datům a účtům dodavatelů a zda je tento přístup stále opodstatněný.
Jakmile se tato kontrola vytratí, je těžší incidenty omezit a zotavit se z nich. Kompromitovaný účet může mít stále přístup k systémům, které již nepotřebuje, a sdílené přihlašovací údaje mohou ztížit sledování toho, kdo danou akci provedl.
Princip minimálních oprávnění poskytuje firmám způsob, jak zabránit postupnému hromadění přístupových práv (access creep). Podíváme se na to, co minimální oprávnění obnáší, jak je zavést ve vaší firmě, a nabídneme vám praktický návod, jak začít.
Co je princip minimálních oprávnění?
Proč je nadměrný přístup výchozím stavem u mnoha firem typu SMB?
Rizika benevolentního řízení přístupu
Jak zavést princip minimálních oprávnění
Praktický kontrolní seznam pro zavedení minimálních oprávnění v SMB
Usnadněte si zavádění minimálních oprávnění díky Proton Pass for Business
Co je princip minimálních oprávnění?
Princip minimálních oprávnění spočívá v omezení přístupu na minimum nezbytné pro výkon konkrétní role nebo úkolu. Členové týmu, systémy a aplikace by měli mít přístup pouze k tomu, co potřebují, na nezbytně nutnou dobu a nic navíc.
Tento princip znamená, že rozhodnutí o přístupu by měla vycházet z práce, kterou dotyčný skutečně potřebuje vykonat. Stejná logika platí pro zaměstnance, dodavatele, správce, servisní účty, integrace třetích stran a automatizované procesy: každý z nich by měl mít pouze oprávnění potřebná pro svou roli nebo úkol.
To platí také pro sdílení hesel. Člen týmu, který potřebuje přístup k jednomu klientskému účtu, by neměl mít automaticky možnost používat finanční přihlašovací údaje, přihlašovací údaje k infrastruktuře, účty správců lidských zdrojů (HR) nebo jiné citlivé firemní přihlašovací údaje, které nesouvisejí s jeho prací.
Proč je nadměrný přístup výchozím stavem u mnoha firem typu SMB?
Většina firem nevytváří prostředí s nadbytečnými oprávněními záměrně. Vznikají postupně. Když nastoupí noví zaměstnanci, získají přístup k systémům, které potřebují. Postupně se jim uděluje další přístup pro konkrétní projekty nebo pro zastupování jiného člena týmu. Tento přístup jim pak už nikdy není odebrán a rozroste se daleko za hranice toho, co ke své práci skutečně potřebují.
Totéž se děje se sdílenými přihlašovacími údaji. Heslo je jednou sdíleno pro usnadnění a poté se stane trvalou součástí něčího pracovního postupu.
Tento vzorec se obvykle objevuje z několika běžných důvodů:
- Rychlost se zdá být důležitější než struktura. Když jsou týmy malé a vytížené, může se udělení širšího přístupu zdát rychlejší než nastavování přesných oprávnění, která daný člověk potřebuje.
- Role nejsou vždy jasně definovány. Pokud se odpovědnosti mění každý týden, rozhodování o přístupu se často stává také neformálním.
- Kontrola přihlašovacích údajů je při změnách rolí a odchodech zaměstnanců slabá. Pokud člen týmu odejde, změní tým nebo ukončí smlouvu, ale jeho sdílená hesla nejsou obměňována, přístup k trezoru není prověřen a stará oprávnění zůstávají aktivní.
Žádné malé rozhodnutí se v danou chvíli nezdá nebezpečné, ale v průběhu týdnů, měsíců a let vytváří nadměrné množství oprávnění v organizaci významné riziko.
Rizika benevolentního řízení přístupu
Přístup s nadbytečnými oprávněními vytváří bezpečnostní, provozní rizika a rizika spojená se souladem s předpisy (compliance). Mezi nejčastější rizika patří:
Laterální pohyb
Pokud útočník získá přístup k jednomu účtu, nadměrná oprávnění mu umožní proniknout hlouběji do systému. Místo kompromitování jednoho systému může být schopen zasáhnout hned několik z nich.
Odhalení dat
Pokud přístup k záznamům zákazníků, interním dokumentům nebo finančním systémům není omezen pouze na lidi, kteří jej potřebují, stává se více účtů potenciálními vstupními body k těmto datům. Kompromitované přihlášení může odhalit informace, k nimž by se daná osoba neměla mít možnost dostat, a jednoduchá chyba, například sdílení nesprávného souboru nebo změna nesprávného nastavení, může zbytečně ovlivnit citlivé systémy.
Náhodné vymazání nebo nesprávná konfigurace
Někdo s nadbytečnými právy správce může omylem změnit nastavení, odebrat data nebo vystavit systémy riziku. Princip minimálních oprávnění snižuje rozsah dopadů těchto chyb.
Vnitřní hrozby
Vnitřní hrozby mají mnoho podob. Může se jednat o záměrné pokusy hackerů o infiltraci do vaší sítě, o úniky informací ze strany nespokojených zaměstnanců, nebo častěji o pouhé chyby. Většina zaměstnanců nemá škodlivé úmysly, ale široký přístup zvyšuje možnost zneužití, nadměrného sdílení nebo neopatrného nakládání s citlivými informacemi.
Problémy se správou řízení
Pokud vaše firma nedokáže jasně vysvětlit, kdo má k čemu přístup, proč jej má a kdy je tento přístup kontrolován nebo odebrán, je obtížnější vyšetřovat incidenty, provádět bezpečnostní kontroly, reagovat na audity nebo prokazovat, že řízení přístupu funguje tak, jak má.
Jak zavést princip minimálních oprávnění
Pro většinu malých a středních podniků není minimální oprávnění něčím, co by se dalo zavést najednou. Je to něco, co budujete postupem času tím, že přístup uděláte záměrnějším, omezenějším a snáze kontrolovatelným.
Používejte řízení přístupu na základě rolí
Jedním z nejpraktičtějších způsobů, jak uplatnit princip minimálních oprávnění, je řízení přístupu na základě rolí. To vám pomůže definovat role na základě odpovědností, jako jsou finance, HR, marketing, zákaznická podpora, správce IT nebo externí dodavatel. Poté přiřazujete přístup podle těchto rolí, namísto abyste řešili každé oprávnění zvlášť. Řízení přístupu na základě rolí není úplně totéž co princip minimálních oprávnění. Minimální oprávnění je princip. Řízení přístupu na základě rolí je jedním z nejpraktičtějších způsobů, jak jej konzistentně uplatňovat.
Oddělte standardní přístup od privilegovaného přístupu
Jednou z nejčastějších chyb, kterých se firmy dopouštějí, je to, že nechávají práva správce využívat pro rutinní práci.
S privilegovaným přístupem by se mělo zacházet jinak než s běžným přístupem.
Pokud někdo potřebuje více oprávnění, měl by být tento přístup vázán na konkrétní odpovědnost a omezen na minimum. Cílem je vyhnout se trvalému poskytování přístupu na vysoké úrovni lidem jen proto, že by jej mohli občas potřebovat.
Pravidelně kontrolujte přístup
Minimální oprávnění funguje pouze tehdy, když přístup odpovídá aktuálním odpovědnostem členů týmu. Proto musí být kontroly přístupu součástí vaší rutiny, nikoli jednorázovou záležitostí.
Jednoduchá měsíční nebo čtvrtletní kontrola může odhalit zastaralá oprávnění, nadbytečný přístup k systémům, neaktivní integrace nebo externí dodavatele, kteří by již neměli být připojeni. Tyto kontroly vám pomohou odhalit rizika, která by jinak mohla zůstat měsíce bez povšimnutí v pozadí.
Učiňte dočasný přístup skutečně dočasným
Krátkodobá práce by neměla vést k dlouhodobému přístupu. Externí dodavatelé, konzultanti, agentury a spolupracovníci na projektech by měli mít přístup pouze po dobu, po kterou to jejich práce vyžaduje.
Dočasný přístup potřebuje svého vlastníka, který se zaváže na něj dohlížet, a také jasný účel a datum ukončení. Bez toho mohou účty, oprávnění k trezorům a sdílené přihlašovací údaje zůstat aktivní jednoduše proto, že nikdo není zodpovědný za jejich kontrolu a odebrání.
Považujte ukončení pracovního poměru za bezpečnostní proces
Princip minimálních oprávnění nekončí, když někdo odejde ze společnosti nebo změní roli.
Ukončení pracovního poměru by mělo zahrnovat odebrání přístupu ke všem účtům, odvolání oprávnění k trezorům a posouzení, zda je třeba obměnit citlivé přihlašovací údaje. Pokud se odebrání přístupu opozdí nebo se s ním nakládá nekonzistentně, vystavují se firmy zbytečnému riziku ještě dlouho poté, co původní potřeba pominula.
Zahrňte přihlašovací údaje do svého přístupového modelu
Minimální oprávnění se netýká pouze systémových oprávnění. Vztahuje se také na přihlašovací údaje, které odemykají vaše podnikání.
Hesla, přístupové klíče, kódy pro obnovení, přihlášení správců a sdílené účty by měly být považovány za kontrolovaná aktiva. Pokud se kontrola přihlašovacích údajů stále řeší neformálně, pak se princip minimálních oprávnění uplatňuje pouze napůl.
Praktický kontrolní seznam minimálních oprávnění pro malé a střední podniky
Zavázat se k zavedení principu minimálních oprávnění ve vaší firmě je snadné, ale jeho skutečná implementace je složitá. Pro malé a střední podniky s omezeným časem a zdroji je to ještě složitější.
Ale nebojte se: rozsáhlá redefinice přístupu obecně není pro většinu malých a středních podniků nutná. Vaše organizace by spíše měla začít několika jasnými rozhodnutími o tom, kdo skutečně potřebuje k čemu přístup, kde dnes existuje zbytečné riziko a jak budou tato oprávnění v budoucnu kontrolována.
Níže uvedený kontrolní seznam má pomoci firmám začít se rozhodovat a sestavit si realistický plán pro zavedení minimálních oprávnění.
- Identifikujte své nejcitlivější systémy, sdílené účty a přihlašovací údaje.
- Definujte základní role a minimální přístup, který každá z nich vyžaduje.
- Uspořádejte přístup k přihlašovacím údajům podle týmu, role nebo funkce.
- Odeberte zastaralá, zděděná nebo nadbytečná oprávnění.
- Nastavte jasný proces pro dočasný přístup a přístup externích dodavatelů.
- Kontrolujte přístup v pravidelných intervalech.
- Zefektivněte ukončování pracovního poměru, aby byl přístup odvolán rychle a spolehlivě.
- Obměňujte kritické přihlašovací údaje po odchodu zaměstnanců nebo změnách rolí.
- Oddělte administrativní identity od běžných uživatelských účtů.
- Přiřaďte jasnou odpovědnost za rozhodnutí o přístupu.
Účinnost takového kontrolního seznamu nespočívá v tom, jak je složitý, ale v tom, zda jej firma důsledně dodržuje. Pro mnoho malých a středních podniků spočívá smysluplné zlepšení v nahrazení neformálních zvyklostí při udělování přístupu procesem, který lze snáze opakovat, kontrolovat a udržovat.
Usnadněte si zavádění minimálních oprávnění s Proton Pass for Business
Princip minimálních oprávnění často naráží na přihlašovací údaje. Firma může mít například správné úrovně přístupu jasně zmapované na papíře, ale přesto sdílet hesla bez patřičné kontroly.
Týmy mohou ukládat přihlašovací údaje do tabulek, chatů, poznámek nebo interních dokumentů. Sdílené účty mohou kolovat neformálně s malou nebo žádnou přehledností a kontrolou. Odcházející zaměstnanci mohou odejít s trvalým přístupem k přihlašovacím údajům, které firma nikdy neobměňuje. To vše jsou problémy s přístupem, které lze vyřešit přístupem založeným na minimálních oprávněních řízeným efektivním přístupem k přihlašovacím údajům.
V mnoha společnostech přístup k přihlašovacím údajům stále závisí na zkratkách, které se obtížně kontrolují. Hesla se posílají ve zprávách, ukládají do dokumentů, předávají se mezi týmy nebo zůstávají k dispozici i po pominutí původní potřeby.
Postupem času lze snadno ztratit přehled o tom, kdo může které přihlašovací údaje používat, zda je tento přístup stále oprávněný a co je třeba odvolat nebo obměnit, když někdo změní roli nebo odejde.
firemní správce hesel nabízí správu přihlašovacích údajů i přístupu pro týmy jakékoli velikosti. Namísto toho, aby se s přihlašovacími údaji zacházelo jako s něčím, co týmy spravují ad hoc, mohou firmy k uspořádání, sdílení a odvolávání přístupu používat specializovaný nástroj. Přihlašovací údaje lze seskupit podle týmu, role nebo funkce, citlivé přihlašovací údaje mohou být zpřístupněny méně lidem a přístup lze při změně odpovědností upravit mnohem rychleji.
Proton Pass for Business toto úsilí podporuje tím, že pomáhá organizacím omezit nekontrolované šíření přihlašovacích údajů, zpřísnit přístup ke sdíleným přihlašovacím údajům a usnadnit vymáhání principu minimálních oprávnění v každodenním provozu. Vytvářením skupin mohou správci také spravovat sdílení na úrovni skupin, což usnadňuje poskytování přístupu týmu ke správným trezorům a odebrání tohoto přístupu, když se změní obchodní potřeby.Pokud je vaše organizace připravena zavést princip minimálních oprávnění, vyzkoušejte Proton Pass zdarma nebo kontaktujte náš obchodní tým.
