W prawie każdej firmie 10–50 osób, do której wchodzimy, w którymś kącie stoi komputer, na którym loguje się „ktoś z recepcji", „ktoś z magazynu" albo „ktoś z warsztatu". Konto jedno. Hasło na karteczce. Zmienia się raz na trzy lata, bo „pani Krysia nie zapamięta nowego". Działa — do pierwszego problemu.
Pierwszy problem przychodzi wtedy, kiedy coś znika albo coś zostaje źle wpisane do systemu, i trzeba ustalić, kto to zrobił. Logi mówią „warsztat". Pomocne jak nic. Wtedy właściciel zwołuje zebranie, pyta po kolei, nikt nie wie, kończy się na „sprawdzimy monitoring", a monitoring akurat w tej lokalizacji nie działa od pół roku. Znamy to.
Problem ze współdzielonymi kontami nie polega na tym, że są — bo w pewnych kontekstach są najwygodniejszym rozwiązaniem. Problem polega na tym, że większość firm nie oddziela trzech warstw, które brzmią jak jedno, a są trzema zupełnie różnymi decyzjami.
Trzy warstwy, które warto rozdzielić
Kiedy mówimy „konto na recepcji", mówimy równocześnie o trzech rzeczach, i każda ma inne wymagania bezpieczeństwa.
Warstwa 1 — urządzenie. Fizyczny komputer, który stoi na stanowisku. Jego konto Windows nie musi być osobne dla każdego pracownika. Właściwie często nie powinno, bo czekanie 90 sekund na pierwsze logowanie Pani Krysi, kiedy klient stoi w drzwiach, to słaba rekomendacja. Jedno konto lokalne, auto-login, zamknięta sesja — to są legitymne wzorce dla stanowisk zmianowych.
Warstwa 2 — system operacyjny i jego usługi. To co dzieje się w sesji Windows poza konkretną aplikacją: dostęp do dysków sieciowych, do przeglądarki, do poczty, do USB. Tutaj zaczyna się robić gorąco. Dzielone konto Windows z pełnymi uprawnieniami pracownika biurowego to dopiero problem.
Warstwa 3 — aplikacje biznesowe. ERP (Comarch Optima, enova365, Subiekt), WMS, system kasowy, CRM. Tu musi być ślad per osoba, nawet jeśli w Windows jest ślad per stanowisko. Każda przyzwoita aplikacja biznesowa potrafi mieć osobnych użytkowników z własnym logowaniem — pytanie tylko, czy ktoś to w ogóle włączył.
Praktycznie całe rozwiązanie sprowadza się do tego, żeby świadomie zdecydować, co dzielimy (warstwa 1), co ograniczamy (warstwa 2), a co bezwzględnie rozdzielamy (warstwa 3). Większość firm miesza te warstwy w jedną — „bo tak zostało skonfigurowane" — i stąd ten ból.
Jak to wygląda w praktyce
U jednego z naszych klientów — 40-osobowej hurtowni spożywczej — na magazynie stały dwa stanowiska zmianowe, przy których w ciągu dnia pracowało rotacyjnie 6–8 magazynierów. Wszyscy logowali się do Windows jako magazyn01 i magazyn02, a potem do WMS jako… też magazyn. Kiedy raz w miesiącu wychodziły różnice inwentaryzacyjne, odtworzenie, kto przesunął która paletę, zajmowało jednej osobie koło 4 godzin — telefony, pytania, zgadywanie. Kierownik magazynu nazywał to „podatkiem detektywistycznym".
Przebudowa trwała dwa dni roboczych i nic nie kosztowała w licencjach. Konta Windows zostały dwa — kioskowe, z auto-loginem na WMS i wygaszaniem po bezczynności. Natomiast w samym WMS każdy magazynier dostał własny krótki PIN. PIN wklepuje się raz po rozpoczęciu zmiany; dalej aplikacja wie, kto kliknął „przyjęcie" i „przesunięcie". Po dwóch miesiącach „podatek detektywistyczny" spadł z 4 godzin do około 20 minut miesięcznie. Przy okazji okazało się, że dwa z trzech „ubytków magazynowych" to były błędy jednego konkretnego pracownika w ustawianiu lokalizacji, a nie, jak wszyscy zakładali, drobne kradzieże.
Druga historia, dla kontrastu. 25-osobowy serwis samochodowy, trzy stanowiska na warsztacie, mechanicy skaczą między nimi w ciągu dnia. Tu w ogóle nie dało się wymusić per-user logowania do Windows, bo mechanik rozkręcony pod maską nie będzie wyklepywał hasła 10-znakowego. Ale per-user logowanie do modułu zleceń w ERP — już tak. Każdy mechanik dostał czterocyfrowy PIN i zasadę: zanim coś dopiszesz do zlecenia, kliknij „ja". Audit zleceń z „kto estymował robociznę" przestał kończyć się frazą „ktoś z warsztatu".
Czego unikać
Trzy wzorce, które widzimy regularnie i które zawsze się mszczą.
- Dzielone konto Windows z dostępem domenowym. Jeżeli to samo konto, do którego loguje się każdy, ma mapowany „dysk Z" z dokumentami finansowymi, to kwestia miesięcy, aż tam coś przecieknie. Konto stanowiskowe ma mieć dostęp do swojej aplikacji i do niczego więcej.
- Hasło do dzielonego konta jako „sekret firmowy". Jeżeli hasło zna 15 osób, to nie jest hasło — to jest publiczna informacja. Zaakceptujcie to i zabezpieczcie się tak, żeby znajomość hasła nic nie dawała (brak zdalnego dostępu, brak VPN, brak maila).
- Auto-login na konto z uprawnieniami admina. Spotykamy to częściej niż się wydaje. Konto na stanowisku NIE jest administratorem. Nigdy. Jeżeli jakaś aplikacja wymaga admina, to problem aplikacji, nie powód do podnoszenia uprawnień.
Co zrobić w tym tygodniu
Jeżeli czytając to zorientowałeś się, że w Twojej firmie któreś z tych rzeczy wyglądają podejrzanie, nie trzeba robić wielkiego projektu. Zacznij od trzech rzeczy, które da się zrobić w tydzień.
- Zrób listę stanowisk, na których loguje się więcej niż jedna osoba. Zapisz, co się na nich robi i do czego mają dostęp.
- Dla każdego stanowiska odpowiedz na jedno pytanie: „Jeżeli dziś coś pójdzie nie tak, czy jestem w stanie powiedzieć, kto to zrobił?". Jeżeli nie — to jest Twój realny deficyt bezpieczeństwa, nawet jeżeli nikt nic nie ukradł.
- Włącz per-user logowanie w aplikacji biznesowej, która ma dostęp do najważniejszych danych (ERP, WMS, kasa). PIN wystarczy — nie każdemu operatorowi trzeba robić polityki haseł jak dla księgowej.
To nie jest sprint do pełnej segmentacji tożsamości. To jest decyzja: co dzielimy świadomie, a co rozdzielamy, bo potrzebujemy śladu. Większość ryzyka znika już po tym kroku.
Co dalej
Współdzielone konta nie są same w sobie złe. Źle jest, kiedy udają konta imienne i w ten sposób tracicie i wygodę zmiany, i możliwość rozliczenia pracy. Kiedy rozdzielicie warstwy — urządzenie, system, aplikacja — nagle okazuje się, że można mieć jedno bez drugiego i że w praktyce to nie boli ani pracowników, ani kierownika zmiany.
Jeżeli nie wiesz, od którego stanowiska zacząć w Twojej firmie, chętnie usiądziemy pół godziny z Twoją listą i powiemy, które z nich jest „podatkiem detektywistycznym" na przyszłość, a które jest po prostu wygodą zmiany.
Jeżeli hasło do stanowiska zna 15 osób, to nie jest hasło. To jest publiczna informacja — i rozwiązanie trzeba budować tak, jakby każdy je znał.