Pytanie „kto w naszej firmie ma dostęp do bazy klientów" brzmi niewinnie. W większości MŚP po tygodniu zbierania odpowiedzi okazuje się, że ma do niej dostęp o połowę więcej osób, niż ktokolwiek się spodziewał — plus dwa konta po pracownikach, którzy odeszli trzy lata temu, i jeden logins integracyjny, którego hasła nikt już nie zna.
Przegląd uprawnień (po angielsku access review) to nie audyt bezpieczeństwa i nie wdrożenie SSO. To zwykła, nudna, kwartalna porządkowa: ktoś przechodzi system po systemie i konto po koncie, zadaje pytanie „czy ta osoba nadal potrzebuje tego dostępu" i odhacza. Nic więcej. Większości MŚP zajmuje to dwa dni raz na trzy miesiące — pod warunkiem, że ktoś to wreszcie zacznie.
Dlaczego to w ogóle robić
Trzy powody, każdy wystarczający sam w sobie:
- Pracownicy odchodzą, a konta zostają. Zwłaszcza w systemach, których IT na co dzień nie widzi — zewnętrzna platforma transportowa, konto w hurtowni, dostęp do portalu banku. Offboarding łapie 70% kont; brakującą jedną trzecią łapie dopiero przegląd.
- Uprawnienia narastają. Ktoś awansował, zmienił dział, zastępował kolegę przez dwa tygodnie trzy lata temu — i dostał dostęp, którego już nie potrzebuje. Pojedynczy przypadek jest nieszkodliwy, dziesięć takich sumuje się w regulaminowy problem.
- Audytorzy pytają o to coraz częściej. Banki przy kredytowaniu, firmy ubezpieczeniowe przy cyber-polisie, kontrola NIS2 w sektorze objętym, duży klient B2B przed podpisaniem umowy ramowej. „Robimy przegląd raz na kwartał" to dziś standardowa odpowiedź, która zamyka ten punkt. Brak odpowiedzi otwiera następnych pięć pytań.
Pominięcie przeglądu wychodzi zwykle wtedy, kiedy jest już za późno — pracownik, który odszedł pół roku temu, odbiera jeszcze maile z firmowej skrzynki, bo nikt nie zamknął mu konta w jednej z aplikacji chmurowych.
Które systemy w ogóle brać pod lupę
W 30-osobowej firmie jest zwykle 15–25 systemów, w których ktoś ma konto. Nie wszystkie są jednakowo ważne. Rozsądny podział:
- Wysokie ryzyko (co kwartał): ERP (Comarch Optima, enova365, Subiekt, Microsoft Dynamics), WMS, CRM, bankowość elektroniczna, Microsoft 365 / Google Workspace, VPN i dostęp zdalny, administracja domeną (Active Directory, Entra ID), repozytorium kodu.
- Średnie ryzyko (co pół roku): systemy kadrowo-płacowe (Płatnik, Comarch ERP HR), platformy transportowe (Transportero, Trans.eu), konta w portalach dostawców i marketplace, systemy ticketowe, dysk sieciowy / SharePoint, drukarki sieciowe z panelem.
- Niskie ryzyko (raz w roku lub ad hoc): aplikacje marketingowe, narzędzia graficzne, licencje użytkowe. Nie dlatego, że są mniej ważne, tylko dlatego, że zwykle są przypisane do jednej osoby i rzadko dzielone.
Dziś większość firm próbuje objąć wszystko naraz, grzęźnie przy czwartym systemie i nigdy nie kończy. Lepiej zrobić porządnie kwartalnie z pierwszą kategorią niż po macoszemu raz do roku z wszystkimi trzema.
Jak to wygląda w praktyce — jedna firma, dwa dni, konkretne znaleziska
U jednego z naszych klientów — 24-osobowej firmy dystrybucyjnej z Wielkopolski, pracującej na Comarch Optima, Microsoft 365, Subiekcie dla filii i trzech platformach transportowych — pierwszy porządny przegląd uprawnień zajął łącznie 16 godzin pracy jednej osoby (głównego księgowego z IT-ową ręką) rozłożone na trzy popołudnia. Zakres: 7 systemów z kategorii wysokiego ryzyka.
Znaleziska były typowe — i wymowne. Dwa aktywne konta w Microsoft 365 po pracownikach, którzy odeszli półtora i dwa lata wcześniej (licencje E3 kosztowały firmę około 1200 zł rocznie bez żadnej wartości). W Comarch Optima siedem osób z aktywnym profilem „kasjer" miało dodatkowo dostęp do modułu Kadry/Płace, który był im potrzebny tydzień w 2023 roku, kiedy jedna osoba była na urlopie. W Subiekcie konto wspólne „magazyn", którego hasło znało ośmioro osób i którego nie dało się jednoznacznie przypisać do żadnej z nich. Dwa konta integracyjne (do CRM i do platformy transportowej), których nikt nie potrafił opisać — zostały utworzone przez poprzedniego dostawcę IT i nikt nie wiedział, czy je można wyłączyć. Jeden token API z pełnymi uprawnieniami, wystawiony na „test" w 2024 roku, aktywny do dziś.
Czas sanacji po przeglądzie: dodatkowe 8 godzin. Oszczędność jednorazowa: 1200 zł rocznie na licencjach plus wyłączenie dwóch potencjalnych wektorów ataku (konto po byłym pracowniku z dostępem do Microsoft 365 to prawie-ransomware). Oszczędność trwała: cały kwartał bez odkrywania, że „ktoś jeszcze ma dostęp". I pierwszy spójny obraz — pierwszy raz od lat było wiadomo, kto do czego naprawdę ma klucz.
Drugi przegląd, trzy miesiące później, zajął 6 godzin. Trzeci — 4 godziny. Pierwszy jest trudny, bo czyścisz dekadę zaniedbań. Potem to już tylko utrzymywanie porządku.
Co dokładnie sprawdzać przy każdym koncie
Krótka, powtarzalna lista — bo długa lista zabije przegląd po pierwszym razie:
- Czy osoba nadal pracuje w firmie. Zestawienie kont z listą kadry. Oczywiste, ale zaskakująco często zawodzi — zwłaszcza w systemach, do których integruje się z HR ręcznie albo wcale.
- Czy nadal pełni tę samą rolę. Osoba z magazynu, która trzy lata temu przeszła do działu zakupów, dalej ma uprawnienia do korekt stanów. Nie dlatego, że ich używa, tylko dlatego, że nikt nie odebrał.
- Czy to konto osobowe, czy wspólne / integracyjne. Konta wspólne („magazyn", „recepcja") i konta serwisowe wymagają innego traktowania — nie można ich po prostu wyłączyć, trzeba zdecydować, czy są potrzebne i kto za nie odpowiada. Pisaliśmy o tym osobno w tekście o kontach serwisowych.
- Czy dostęp jest potrzebny do pracy, którą ta osoba naprawdę wykonuje. To pytanie zadaje się kierownikowi, nie IT. IT nie wie, czy pani Ania „na pewno" potrzebuje modułu Analityka w ERP. Jej szefowa wie.
- Kiedy ostatnio się logowała. W większości systemów to jednoklikowa informacja. Konto, które nie było używane od 6 miesięcy, w zasadzie samo się dyskwalifikuje.
Format odpowiedzi: tabelka na 20–50 wierszy w arkuszu z czterema kolumnami — konto, system, decyzja (zostawić / zabrać uprawnienie / wyłączyć konto), kto decydował. Nic więcej. Nie Jira, nie Confluence, nie dedykowana platforma GRC. Arkusz, który po przeglądzie trafia do archiwum i jest dowodem, że przegląd się odbył.
Trzy pułapki, które się przytrafią
Pierwsze podejścia zwykle wpadają w te same miny:
- Oddelegowanie do IT. IT widzi konta, nie widzi potrzeb biznesowych. Decyzję o tym, czy sprzedawca musi mieć dostęp do modułu zakupów, podejmuje jego przełożony. IT tylko realizuje decyzję.
- Przegląd „na zapas". Niektóre firmy próbują wyciągnąć wszystko: uprawnienia w ERP na poziomie okienek, wszystkie foldery NTFS, każdy wpis AD. Po tygodniu wszyscy mają dość i przegląd nie dochodzi do końca. Lepiej 7 systemów na poziomie ról niż 25 na poziomie checkboxów.
- „Zróbmy to tylko ten raz". Jednorazowy przegląd traci większość wartości w ciągu 6 miesięcy, bo życie w firmie się dzieje — nowi ludzie, zmiany stanowisk, zastępstwa. Cały sens polega na cykliczności. Jeśli nie zmieścisz się w kwartalnej rytmice, zrób półroczną, ale rytmikę.
Jak zacząć w tym tygodniu
Prosta sekwencja, która nie wymaga wprowadzania nowych narzędzi:
- Krok 1 — spisz listę systemów wysokiego ryzyka. Pięć lub siedem, nie dwadzieścia. ERP, poczta, VPN, bank, administracja domeną. Ten papier zajmie 20 minut.
- Krok 2 — dla każdego systemu wyciągnij listę kont. W większości ERP to jeden raport; w Microsoft 365 — eksport z admin center. Pół dnia na wszystko.
- Krok 3 — zestaw listę kont z aktualną kadrą. Konta bez osób = wyłączenie. Osoby bez kont = pytanie, czy ktoś czegoś nie przeoczył.
- Krok 4 — pozostałe konta prześlij kierownikom działów z pytaniem „czy ta osoba nadal potrzebuje tego dostępu". Nie zaznaczaj niczego za nich. Dziewięć na dziesięć odpowie w ciągu tygodnia.
- Krok 5 — zrealizuj decyzje. Zarchiwizuj arkusz z datą. Wpisz w kalendarz termin następnego przeglądu — nie „za trzy miesiące", tylko konkretną datę.
Przegląd uprawnień nie wyeliminuje incydentów bezpieczeństwa. Zmniejszy natomiast ich zasięg — jeśli coś pójdzie nie tak, straci jedna osoba, nie trzydzieści. I pozwoli odpowiedzieć na audytorskie pytanie zdaniem, nie slajdem.
Konto po pracowniku, który odszedł rok temu, nie zrobi szkody dopóki czegoś nie zrobi. Przegląd uprawnień to kwadrans, który odpowiada na pytanie „dopóki".