KATEGORIE  Identity Lifecycle & Access Governance

Spolupráce s externím dodavatelem skončí. Přístup do firemních systémů ale může zůstat aktivní. Právě u externistů, dodavatelů a partnerů bývá životní cyklus identity často méně řízený než u vlastních zaměstnanců.

S odchodem zaměstnanců mají firmy většinou nastavené procesy. Informace o nástupu, změně pozice nebo odchodu se typicky promítají do HR systému a odtud mohou pokračovat do dalších systémů. U externistů je ale situace často jiná.

Proč jsou externí identity snadno přehlédnutelné

Externista nemusí procházet standardním HR procesem. Přístup může vzniknout narychlo kvůli jednomu projektu a být navázaný spíš na konkrétní potřebu než na dlouhodobě řízený životní cyklus identity.

• Externista neprochází standardním HR procesem.
• Přístup vznikne narychlo kvůli jednomu projektu.
• Projekt skončí, ale účet zůstane.

Právě třetí krok je problém. Když se konec spolupráce nepromítne do odebrání přístupů, může účet zůstat aktivní i přesto, že už pro něj neexistuje žádný pracovní důvod.

Co ukazuje případ Jaguar Land Rover

U Jaguar Land Rover spolupráce s externím dodavatelem skončila. Jeho účet ale podle zveřejněných informací zůstal použitelný a právě přes účet externího dodavatele měl útočník získat přístup do interního Jira serveru.

Podle zveřejněných informací bezpečnostní společnosti CYFIRMA útočník tvrdil, že se do interního prostředí dostal právě prostřednictvím účtu externího dodavatele.

Případ připomíná jednoduchou, ale důležitou věc: zapomenutý účet s oprávněními nemusí vypadat jako sofistikovaná bezpečnostní hrozba. Pokud ale zůstane aktivní bez skutečného důvodu, může se stát zbytečným vstupním bodem.

Životní cyklus identity se netýká jen zaměstnanců

Řízení identit by proto nemělo končit u zaměstnanců. Stejnou pozornost si zaslouží externisté, dodavatelé a partneři, kteří získávají přístup k firemním systémům nebo datům.

Každý účet by měl vzniknout z jasného důvodu. A stejně jasně by měl mít definovaný i svůj konec.

Konec spolupráce by měl znamenat i konec přístupu

Životní cyklus přístupů by neměl být navázaný pouze na pracovní poměr a data v HR systému. U externích identit je potřeba pracovat také s informací o smlouvě, projektu nebo spolupráci s dodavatelem či partnerem.

Pokud je začátek i konec přístupu součástí řízeného procesu, není potřeba spoléhat na to, že si někdo po skončení projektu vzpomene účet ručně zrušit.

Přesně na tomto principu je postavené i EasyIDM: životní cyklus identity lze navázat nejen na zaměstnance, ale také na externisty, dodavatele a partnery.

Účet bez konce je zbytečné riziko

Účet bez předem definovaného konce dříve nebo později představuje riziko. Dobře řízený životní cyklus identit pomáhá zajistit, aby přístup existoval pouze po dobu, kdy pro něj existuje skutečný důvod.

Související témata

Identity Governance (IGA) · Identity Lifecycle · Access Management · External Identities · Access Governance

KATEGORIE  Identity Lifecycle & Access Governance

Dovolená skončí v kalendáři. Přístupy ale mohou zůstat aktivní ještě dlouho poté.

Zástup zaměstnance je běžnou součástí fungování firmy. Někdo potřebuje během jeho nepřítomnosti schválit objednávku, dostat se do ERP nebo převzít rozdělanou práci. Pokud se ale oprávnění nastaví jen rychle a bez jasně určeného konce, může se dočasný přístup změnit v trvalý.

Problém není v samotném zástupu

Kolega odjede na dovolenou. Jeho přístupy zůstávají aktivní i o čtrnáct dní později.

Zástup se nastaví za pár minut – někdo rychle potřebuje schválit objednávku, dostat se do ERP nebo převzít rozdělanou práci. Nikdo nad tím příliš nepřemýšlí. Prostě to musí fungovat.

Problém nastává ve chvíli, kdy po návratu z dovolené oprávnění zástupce zůstanou aktivní. Ne proto, že by je někdo chtěl ponechat. Jednoduše se na ně zapomene.

Dočasné oprávnění by mělo mít začátek i konec

Stejně jako má dovolená předem určený začátek a konec, měl by je mít i zástup a oprávnění, která s ním souvisejí.

• Kdo zastupuje
• Jaká oprávnění potřebuje
• Od kdy
• Do kdy

Po skončení zástupu se oprávnění automaticky vrátí do původního stavu. Nikdo tak nemusí později dohledávat, co bylo během dovolené změněno a co je potřeba odebrat.

Nejde jen o bezpečnost

Dobře nastavený zástup není jen bezpečnostní opatření. Především odstraňuje zbytečnou administrativu a potřebu něco hlídat ručně.

IT nemusí po návratu zaměstnance kontrolovat, která oprávnění byla dočasně přidána. Manažer nemusí pamatovat, co přesně schválil. A zaměstnanec nemusí řešit, zda jeho zástup stále vidí do systémů, které během dovolené potřeboval.

Jak to řešit v IDM

Zástup lze v IDM nastavit stejně pečlivě jako samotnou dovolenou: určit zastupujícího člověka, potřebná oprávnění a přesné období, po které mají být aktivní.

Po skončení stanoveného období se oprávnění automaticky odeberou a prostředí se vrátí do původního stavu.

Zástup by neměl přežít dovolenou

Každý zástup by měl mít předem určený začátek i konec. Stejně jako oprávnění, která s ním souvisejí.

Související témata

Identity Management · Access Management · IAM · Identity Lifecycle · Access Governance