KATEGORIE Identity Lifecycle & Access Governance

Spolupráce s externím dodavatelem skončí. Přístup do firemních systémů ale může zůstat aktivní. Právě u externistů, dodavatelů a partnerů bývá životní cyklus identity často méně řízený než u vlastních zaměstnanců.

S odchodem zaměstnanců mají firmy většinou nastavené procesy. Informace o nástupu, změně pozice nebo odchodu se typicky promítají do HR systému a odtud mohou pokračovat do dalších systémů. U externistů je ale situace často jiná.

Proč jsou externí identity snadno přehlédnutelné

Externista nemusí procházet standardním HR procesem. Přístup může vzniknout narychlo kvůli jednomu projektu a být navázaný spíš na konkrétní potřebu než na dlouhodobě řízený životní cyklus identity.

Externista neprochází standardním HR procesem.
Přístup vznikne narychlo kvůli jednomu projektu.
Projekt skončí, ale účet zůstane.

Právě třetí krok je problém. Když se konec spolupráce nepromítne do odebrání přístupů, může účet zůstat aktivní i přesto, že už pro něj neexistuje žádný pracovní důvod.

Co ukazuje případ Jaguar Land Rover

U Jaguar Land Rover spolupráce s externím dodavatelem skončila. Jeho účet ale podle zveřejněných informací zůstal použitelný a právě přes účet externího dodavatele měl útočník získat přístup do interního Jira serveru.

Podle zveřejněných informací bezpečnostní společnosti CYFIRMA útočník tvrdil, že se do interního prostředí dostal právě prostřednictvím účtu externího dodavatele.

Případ připomíná jednoduchou, ale důležitou věc: zapomenutý účet s oprávněními nemusí vypadat jako sofistikovaná bezpečnostní hrozba. Pokud ale zůstane aktivní bez skutečného důvodu, může se stát zbytečným vstupním bodem.

Životní cyklus identity se netýká jen zaměstnanců

Řízení identit by proto nemělo končit u zaměstnanců. Stejnou pozornost si zaslouží externisté, dodavatelé a partneři, kteří získávají přístup k firemním systémům nebo datům.

Každý účet by měl vzniknout z jasného důvodu. A stejně jasně by měl mít definovaný i svůj konec.

Konec spolupráce by měl znamenat i konec přístupu

Životní cyklus přístupů by neměl být navázaný pouze na pracovní poměr a data v HR systému. U externích identit je potřeba pracovat také s informací o smlouvě, projektu nebo spolupráci s dodavatelem či partnerem.

Pokud je začátek i konec přístupu součástí řízeného procesu, není potřeba spoléhat na to, že si někdo po skončení projektu vzpomene účet ručně zrušit.

Přesně na tomto principu je postavené i EasyIDM: životní cyklus identity lze navázat nejen na zaměstnance, ale také na externisty, dodavatele a partnery.

Účet bez konce je zbytečné riziko

Účet bez předem definovaného konce dříve nebo později představuje riziko. Dobře řízený životní cyklus identit pomáhá zajistit, aby přístup existoval pouze po dobu, kdy pro něj existuje skutečný důvod.

Související témata

Identity Governance (IGA) · Identity Lifecycle · Access Management · External Identities · Access Governance

KATEGORIE Role & Access Governance

Když nový zaměstnanec dostane stejné přístupy jako jeho kolega, může to být rychlé a praktické řešení. Pokud se ale přístupy dlouhodobě přidávají podle vzoru jiných lidí a systematicky se nekontrolují, vzniká problém: ve firmě postupně přibývají oprávnění, ale mizí přehled o tom, kdo je skutečně potřebuje a proč.

Kde problém začíná

„Pepovi dejte stejné přístupy, jako má Karel.“

Podobný požadavek může být při nástupu nebo změně pozice praktický. Problém vzniká ve chvíli, kdy se z jednorázového řešení stane způsob řízení přístupů.

Karel změní pozici, ale původní práva mu zůstanou.
Petra odejde, ale její profil se použije jako vzor pro dalšího člověka.
Pepa dostane dočasnou výjimku na nový projekt.
David postupně převezme další agendu a získá další oprávnění.

Něco se přidá, málokdy se něco odebere. Po několika letech pak nemusí být jasné, kdo má k čemu přístup a především proč.

Když přístupy neodpovídají skutečné roli

Přístupová oprávnění by měla vycházet z toho, co člověk skutečně potřebuje ke své práci. Pokud jsou místo toho navázána na historicky vytvořený profil jiného zaměstnance, mohou vznikat nadbytečná oprávnění, která se postupně dědí dál.

Právě zde se z administrativního zjednodušení může stát bezpečnostní a auditní problém.

Co ukazuje případ Intesa Sanpaolo

Že nejde jen o teoretické riziko, ukazuje případ italské banky Intesa Sanpaolo. Jeden ze zaměstnanců měl přístup k celé databázi klientů bez ohledu na skutečné potřeby své práce. Mezi únorem 2022 a dubnem 2024 následně neoprávněně nahlížel do záznamů 3 573 klientů více než 6 600krát. V březnu banka obdržela pokutu 31,8 milionu eur.

Případ ukazuje důležitou věc: problém nemusí vzniknout sofistikovaným útokem. Rizikem může být i dlouhodobě nastavený přístup, který neodpovídá reálné business roli a není systematicky kontrolován.

Proč jsou business role důležité

Business role propojují přístupová oprávnění s tím, co člověk ve firmě skutečně dělá. Místo kopírování individuálního profilu konkrétního kolegy lze přístup odvozovat od pracovní role a jejích potřeb.

Role mining pomáhá odhalit skutečný stav

Role mining pracuje s reálnými daty o přístupech a pomáhá hledat opakující se vzorce. V EasyIDM jsme na tomto principu vytvořili Smart Role Mining, který:

ukáže, jaká konkrétní oprávnění lidé skutečně používají a potřebují pro svou činnost;
pomáhá identifikovat stará nebo zděděná práva, která vznikla například kopírováním profilu kolegy;
pomáhá udržovat business role aktuální i v době, kdy se organizace a pracovní náplně mění.

Otázka, kterou by měl umět zodpovědět každý přístup

„Proč má tento člověk přístup k citlivým finančním datům?“

Dobrá odpověď by neměla znít: „Protože jsme mu před třemi lety zkopírovali profil Karla.“