Správa používateľských účtov a prístupov: poriadok v prihláseniach

Bývalý zamestnanec má stále prístup k firemným súborom. Nikto nevie, kto má heslo od účtovného systému. Nový kolega čaká tri dni, kým dostane prihlasovacie údaje. Toto nie sú výnimky, ale každodenná realita väčšiny malých a stredných firiem. A každý z týchto scenárov môže mať vážne následky.

Prečo je správa prístupov vôbec problém?

Keď firma rastie, pribúdajú ľudia, systémy aj nástroje. Každý zamestnanec dostáva prístupy do e-mailu, cloudu, ERP systému, projektových nástrojov a ďalších aplikácií. Časom sa z toho stane neprehľadná spleť účtov, ktorú nikto nedrží pod kontrolou. IT oddelenie (ak vôbec existuje) rieši každodenné problémy a nikto sa nesústreďuje na poriadok v prihláseniach.

Výsledok? Prístupy sa udeľujú ad hoc, nikto ich systematicky neodníma a po rokoch nikto nevie povedať, kto má prístup kam a prečo. To je problém nielen organizačný, ale predovšetkým bezpečnostný.

Aké riziká reálne hrozia?

Správa prístupov nie je len administratívna záležitosť. Podľa analýz Agentúry EÚ pre kybernetickú bezpečnosť (ENISA) patrí zneužitie prihlasovacích údajov dlhodobo medzi najčastejšie príčiny bezpečnostných incidentov v európskych firmách. Problém nie je len vonkajší útok, ale aj interné riziká.

Najčastejšie chyby, ktoré firmy robia

• Zdieľané heslá medzi viacerými zamestnancami (kto teda zodpovedá za čo?)
• Prístupy nevymazané po odchode zamestnanca (niekedy mesiace alebo roky)
• Príliš vysoké oprávnenia pre bežných používateľov (princíp najnižšieho oprávnenia sa ignoruje)
• Neexistencia dvojfaktorovej autentifikácie pre kritické systémy
• Chýbajúci prehľad o tom, kto má prístup k akým dátam

Každá z týchto chýb je potenciálna bezpečnostná diera. A pri úniku dát hrozí firme nielen reputačná škoda, ale aj sankcie podľa nariadenia GDPR. Slovenský Úrad na ochranu osobných údajov SR má pri porušeniach ochrany dát právomoc udeliť citeľné pokuty.

Čo správna správa prístupov vlastne znamená?

Nie je to len o tom, aby mal každý zamestnanec svoje heslo. Správna správa prístupov zahŕňa niekoľko dôležitých princípov, ktoré musia byť nastavené systematicky a udržiavané priebežne.

Centralizovaná identita používateľa

Každý zamestnanec by mal mať jeden firemný účet, cez ktorý sa prihlasuje do všetkých systémov. Vďaka tomu stačí pri odchode zamestnanca deaktivovať jeden účet a prístup je zablokovaný všade. V praxi to riešia nástroje ako Microsoft Entra ID (predtým Azure Active Directory) alebo podobné adresárové služby. Tieto riešenia úzko súvisia s cloudovými službami, ktoré už dnes využíva väčšina moderných firiem.

Princíp minimálnych oprávnení

Každý zamestnanec by mal mať prístup len k tým systémom a dátam, ktoré skutočne potrebuje na svoju prácu. Účtovníčka nepotrebuje prístup do vývojárskeho prostredia. Obchodník nepotrebuje vidieť mzdové záznamy. Čím menej prístupov, tým menšia plocha pre potenciálny útok alebo ľudskú chybu.

Životný cyklus účtu

Prístupy by mali byť aktívne spravované počas celého pracovného pomeru zamestnanca. To znamená správne nastavenie pri nástupe, úpravy pri zmene pozície a okamžitú deaktiváciu pri odchode. Tento proces si vyžaduje prepojenie medzi HR a IT, čo väčšina firiem nemá systematicky nastavené. Viac o tom, ako digitalizácia môže pomôcť takéto procesy zefektívniť, nájdete v článku Digitalizácia pre SMB: 5 krokov k efektívnejšej firme.

Prečo to nerobiť svojpomocne

Na internete nájdete množstvo návodov, ako si správu prístupov nastaviť. Realita je ale iná. Nastavenie centralizovanej správy identít, správne nakonfigurovanie skupinových politík, integrácia s existujúcimi systémami a priebežný audit prístupov sú úlohy, ktoré si vyžadujú hlboké technické znalosti a čas. Jedno zlé nastavenie môže firmu odstrihnúť od vlastných dát alebo naopak nechať otvorené dvere útočníkovi.

Okrem technickej stránky je tu aj organizačná. Kto bude priebežne kontrolovať, že prístupy sú aktuálne? Kto odreaguje pri odchode zamestnanca okamžite? Tieto procesy si vyžadujú jasnú zodpovednosť a spoľahlivý systém, nie jednorazové nastavenie. Preto je IT outsourcing pre mnohé firmy rozumnejšou voľbou ako pokus zvládnuť to interne.

Podobne ako pri cloudových úložiskách (o tom viac v článku Cloudové úložisko pre firmy: porovnanie riešení) platí, že správne nastavenie od začiatku vám ušetrí veľa problémov neskôr. Nesprávna konfigurácia môže mať dlhodobé dôsledky, ktoré sa objavia až v momente incidentu alebo kontroly.

Čo by mala zvládnuť každá firma

Nie je cieľom, aby ste sa stali IT expertmi. Ale je dôležité vedieť, čo by mal zabezpečiť váš IT partner. Dobre nastavená správa prístupov by mala v každej firme zahŕňať:

• Centrálny adresár používateľov s jasnými rolami a oprávneniami
• Automatizovaný onboarding a offboarding (nástup a odchod zamestnanca)
• Pravidelný audit aktívnych účtov a prístupov
• Viacfaktorovú autentifikáciu pre kľúčové systémy
• Zdokumentované politiky prístupov, ktoré vie každý manažér prečítať a pochopiť

Ak niektorý z týchto bodov vo vašej firme chýba, je čas to riešiť. A práve tu vstupuje do hry správa IT od odborníkov, ktorí tieto procesy nastavujú a udržiavajú za vás. Výsledkom nie je len väčšia bezpečnosť, ale aj pokojnejší spánok a istota, že vaša firma funguje bez skrytých rizík.

Čo by vás ešte mohlo zaujímať

Čo sa stane, ak neodstránim prístup bývalého zamestnanca?

Bývalý zamestnanec môže naďalej pristupovať k firemným e-mailom, dokumentom, cloudovým úložiskám alebo interným systémom. V lepšom prípade to nepredstavuje bezprostredné riziko, v horšom prípade môže dôjsť k úniku citlivých dát, ich zneužitiu alebo dokonca k sabotáži. Okrem bezpečnostného rizika je tu aj problém s GDPR, pretože neautorizovaný prístup k osobným údajom môže firme priniesť právne komplikácie.

Musí mať každý zamestnanec iné heslo pre každý systém?

Ideálnym riešením nie sú rôzne heslá pre každý systém, ale jedno centrálne firemné prihlásenie (tzv. Single Sign-On), cez ktoré zamestnanec bezpečne pristupuje ku všetkým povoleným nástrojom. To zároveň zjednodušuje správu a pri odchode zamestnanca stačí deaktivovať jeden účet. Toto riešenie nastavíme v rámci správy IT pre celú firmu.

Je správa prístupov povinná zo zákona?

Priamo zo zákona nie je detailná správa prístupov explicitne nariadená pre každú firmu, avšak nariadenie GDPR vyžaduje, aby firmy prijali primerané technické a organizačné opatrenia na ochranu osobných údajov. Nekontrolované prístupy k systémom obsahujúcim osobné údaje môžu byť vyhodnotené ako porušenie tejto povinnosti. Pre firmy v regulovaných odvetviach (financie, zdravotníctvo) platia ešte prísnejšie požiadavky.

Ako dlho trvá nastavenie správy prístupov?

Závisí to od veľkosti firmy, počtu systémov a aktuálneho stavu IT infraštruktúry. V menších firmách môže ísť o niekoľko dní, pri väčších spoločnostiach s množstvom integrácií to môže trvať dlhšie. Dôležité je začať auditom aktuálneho stavu, z ktorého vychádzame pri každej spolupráci. Ak vás zaujíma, ako na to v kontexte širšej digitalizácie firmy, prečítajte si aj o automatizácii procesov a moderných nástrojoch, ktoré s tým úzko súvisia.