Zarządzanie dostępem uprzywilejowanym w praktyce

Wstęp – problem, który ma większość organizacji

Jeżeli pracujemy w IT wystarczająco długo, to dobrze wiemy, że konta uprzywilejowane są jednym z najtrudniejszych obszarów do ogarnięcia. Z jednej strony są absolutnie niezbędne, a bez nich administracja systemami po prostu nie istnieje. Z drugiej strony to właśnie one generują największe ryzyko bezpieczeństwa.

W wielu organizacjach dostęp uprzywilejowany opiera się na zaufaniu, doświadczeniu zespołu i zasadzie „zawsze tak było”. Hasła są znane kilku osobom, konta techniczne działają latami, a dostęp dla administratorów czy firm zewnętrznych rzadko jest realnie weryfikowany. Dopóki nic się nie wydarzy to problemu nie ma.

Kłopoty zaczynają się w momencie audytu, incydentu albo pytania w stylu: kto dokładnie miał dostęp do tego systemu i co tam robił? Wtedy bardzo szybko okazuje się, że zarządzanie dostępem uprzywilejowanym istnieje głównie w teorii, a nie w praktyce.

Czym jest zarządzanie dostępem uprzywilejowanym

Zarządzanie dostępem uprzywilejowanym to nic innego jak świadome kontrolowanie tego, kto, kiedy i w jakim zakresie ma dostęp do krytycznych systemów i zasobów IT. Chodzi o konta, które dają znacznie więcej możliwości niż standardowy użytkownik – konta administratorów, konta serwisowe, techniczne czy systemowe.

Dostęp uprzywilejowany pozwala zmieniać konfiguracje, zarządzać użytkownikami, instalować oprogramowanie czy mieć wgląd w wrażliwe dane. Innymi słowy, daje realną władzę nad systemem. Dlatego właśnie nie może być traktowany jak zwykły login i hasło.

W praktyce zarządzanie dostępem uprzywilejowanym oznacza odejście od stałych, niekontrolowanych uprawnień na rzecz jasnych zasad:

• dostęp jest przyznawany tylko wtedy, gdy jest potrzebny
• nie każdy administrator ma dostęp do wszystkiego
• działania uprzywilejowane są widoczne i możliwe do rozliczenia

To nie jest jednorazowe wdrożenie ani „checkbox bezpieczeństwa”. To proces, który porządkuje jeden z najbardziej wrażliwych obszarów IT i pozwala odzyskać realną kontrolę nad dostępami, które do tej pory działały głównie na zaufaniu.

PAM – czym jest i jak wspiera zarządzanie dostępem uprzywilejowanym

Skoro mówimy o zarządzaniu dostępem uprzywilejowanym, prędzej czy później pojawia się skrót PAM, czyli Privileged Access Management. W największym uproszczeniu PAM to zestaw mechanizmów i narzędzi, które pomagają w praktyce wdrożyć zasady kontroli dostępu uprzywilejowanego.

PAM nie jest kolejnym hasłowym menedżerem ani systemem do „trzymania loginów”. Jego rolą jest przejęcie kontroli nad tym, jak dostęp uprzywilejowany jest przyznawany, wykorzystywany i rozliczany. Administrator nie musi znać hasła do systemu, żeby wykonać swoją pracę – dostęp jest realizowany w sposób pośredni, kontrolowany i zgodny z ustalonymi zasadami.

W praktyce PAM porządkuje kilka kluczowych obszarów:

• eliminuje stałe, wspólne konta administratorów
• ogranicza dostęp tylko do niezbędnych systemów i na określony czas
• zapewnia widoczność działań uprzywilejowanych

Dzięki temu zarządzanie dostępem uprzywilejowanym przestaje być deklaracją, a zaczyna być realnym procesem.

Najczęstsze problemy z dostępem uprzywilejowanym

Większość problemów z dostępem uprzywilejowanym nie wynika ze złej woli, tylko z codziennej praktyki IT. Systemów przybywa, zespoły się zmieniają, a dostęp administracyjny często jest przyznawany „na chwilę”, która w praktyce trwa latami.

Najczęściej spotykamy się z takimi sytuacjami:

• kilku administratorów korzysta z tego samego konta
• hasła do kont uprzywilejowanych są znane więcej niż jednej osobie
• konta techniczne nie mają właściciela ani jasno określonego celu
• dostęp dla firm zewnętrznych nie jest ograniczony czasowo

Problem polega na tym, że w takim modelu nie da się jednoznacznie przypisać odpowiedzialności. Jeżeli coś pójdzie nie tak, trudno ustalić kto i dlaczego wykonał daną operację. A bez tej wiedzy zarządzanie dostępem uprzywilejowanym pozostaje teorią.

Na czym polega skuteczne zarządzanie dostępem uprzywilejowanym

Skuteczne zarządzanie dostępem uprzywilejowanym nie polega na odebraniu administratorom możliwości pracy. Chodzi o wprowadzenie zasad, które chronią zarówno systemy, jak i sam zespół IT.

W praktyce oznacza to:

• brak stałych uprawnień administratora „na wszelki wypadek”
• dostęp przyznawany tylko na czas wykonania konkretnego zadania
• jasne zasady kto, do czego i w jakim zakresie ma dostęp
• możliwość sprawdzenia, co dokładnie zostało wykonane

Taki model zwiększa bezpieczeństwo, ale też porządkuje odpowiedzialność. Administratorzy nie muszą już „pamiętać”, kto ma jakie hasło i gdzie zostało zapisane. Zarządzanie dostępem uprzywilejowanym staje się procesem, a nie zbiorem ustnych ustaleń.

Kiedy warto uporządkować zarządzanie dostępem uprzywilejowanym

Bardzo często temat zarządzania dostępem uprzywilejowanym wraca dopiero wtedy, gdy coś się wydarzy – audyt, incydent albo pytanie z zarządu. W praktyce są jednak sygnały, które jasno pokazują, że czas najwyższy uporządkować ten obszar.

Warto się nad tym pochylić, jeżeli:

• liczba administratorów lub systemów zaczęła szybko rosnąć
• w środowisku pojawiają się firmy zewnętrzne lub serwisanci
• trudno jednoznacznie odpowiedzieć, kto ma dostęp do czego
• bezpieczeństwo zaczyna opierać się bardziej na zaufaniu niż na kontroli

Im później organizacja zabiera się za ten temat, tym więcej „wyjątków” i obejść trzeba później porządkować.

Zarządzanie dostępem uprzywilejowanym jako proces, nie jednorazowe działanie

Jednym z najczęstszych błędów jest traktowanie zarządzania dostępem uprzywilejowanym jako projektu do „odhaczenia”. Tymczasem to ciągły proces, który musi nadążać za zmianami w środowisku IT.

Systemy się zmieniają, ludzie odchodzą i przychodzą, zakresy odpowiedzialności ewoluują. Bez regularnego przeglądu dostępów nawet najlepsze narzędzia szybko przestają spełniać swoją rolę. Dlatego kluczowe jest, aby zarządzanie dostępem uprzywilejowanym było wpisane w codzienne działania zespołu IT, a nie funkcjonowało obok nich.

Podsumowanie

Zarządzanie dostępem uprzywilejowanym to jeden z tych obszarów, które przez lata potrafią działać „w tle”. Problem w tym, że to właśnie tam kumuluje się największe ryzyko.

Uporządkowanie dostępu uprzywilejowanego nie polega na ograniczaniu pracy administratorów, ale na wprowadzeniu jasnych zasad, kontroli i rozliczalności. PAM jest narzędziem, które pozwala te zasady wdrożyć w praktyce, ale punktem wyjścia zawsze powinna być świadomość i proces, a nie samo narzędzie.

Jeżeli mamy mieć realne bezpieczeństwo IT, dostęp uprzywilejowany musi przestać być obszarem opartym wyłącznie na zaufaniu. Jeśli temat jest dla Was interesujący zapraszamy do nas na bezpłatną konsultacje. Kliknijcie w przycisk w prawym górnym rogu i zostawcie kontakt do siebie.