Ki fér hozzá a céges adataidhoz? A vezetőség, a pénzügy, az értékesítők és azok a kollégák, akiknek a munkájukhoz valóban szükségük van rájuk?

Jó esetben igen.

A valóságban azonban egy régi munkatárs, egy korábbi külső partner vagy egy már lezárt projekt teljes csapata is hozzáférhet olyan dokumentumokhoz, amelyekre már semmi szüksége. Aktív maradhat egy évekkel korábban elküldött megosztási link, egy elfelejtett vendégfiók vagy egy jogosultság, amelyet annak idején csak ideiglenesen adtak.

A céges hozzáférések folyamatosan változnak. Új kollégák érkeznek, munkakörök módosulnak, projektek indulnak és zárulnak le, külső partnerek kapcsolódnak be a munkába. A jogosultságok azonban nem feltétlenül követik ezeket a változásokat.

Így fordulhat elő, hogy idővel többen férnek hozzá a céges adatokhoz, mint azt a vezetőség gondolná.

A hozzáférések folyamatosan gyűlnek

Egy új munkatárs érkezésekor hozzáférést kap a munkájához szükséges rendszerekhez, fájlokhoz és alkalmazásokhoz.

Később új feladatokat kap, ezért további mappákhoz, Teams-csapatokhoz vagy üzleti alkalmazásokhoz adják hozzá. Részt vesz egy projektben, hozzáfér egy közös dokumentumtárhoz, majd átmenetileg besegít egy másik terület munkájába is.

Ezek a hozzáférések külön-külön általában indokoltak.

A probléma akkor kezdődik, amikor egy projekt lezárása, egy munkakör megváltozása vagy egy feladat átadása után senki sem ellenőrzi, hogy a korábban megadott jogosultságokra továbbra is szükség van-e.

Az új hozzáférések bekerülnek a rendszerbe, a régiek viszont gyakran megmaradnak.

Évek alatt egy munkatárs így olyan adatokhoz is hozzáférhet, amelyek már egyáltalán nem kapcsolódnak a jelenlegi feladataihoz. Ez nem feltétlenül tudatos vagy rosszindulatú. Sokszor egyszerűen annak a következménye, hogy a hozzáférések megadása működő folyamat, a visszavonásuk viszont nem az.

A „mindenki mindent lát” kényelmes, de kockázatos

Kisebb cégeknél gyakori megoldás, hogy a kollégák széles körű hozzáférést kapnak a közös fájlokhoz.

Ennek általában praktikus oka van. Nem kell minden dokumentumnál külön engedélyt kérni, nem akad el a munka egy hiányzó jogosultság miatt, és a kollégák könnyebben megtalálják, amire szükségük van.

A teljes hozzáférés azonban nem feltétlenül jelent hatékonyabb működést.

Nem minden munkatársnak kell látnia:

  • a vezetői kimutatásokat,
  • a munkavállalói adatokat,
  • a pénzügyi dokumentumokat,
  • a szerződéseket,
  • az ügyféladatokat,
  • a bérezéssel kapcsolatos fájlokat,
  • a belső vizsgálatok dokumentumait,
  • vagy a rendszerek adminisztrációs adatait.

Minél több ember fér hozzá egy dokumentumhoz, annál nagyobb az esélye annak is, hogy valaki véletlenül törli, módosítja, rossz helyre másolja vagy illetéktelen személlyel osztja meg.

A jogosultságok megfelelő kialakítása nem azt jelenti, hogy meg kell nehezíteni a kollégák munkáját. A cél az, hogy mindenki könnyen elérje azt, amire szüksége van, de ne férjen hozzá automatikusan olyan információkhoz, amelyek nem tartoznak a feladataihoz.

A Microsoft 365-ben is kialakulhat jogosultsági káosz

A Microsoft 365 nemcsak céges levelezést jelent. Ugyanabban a környezetben működhet az Outlook, a Teams, a OneDrive, a SharePoint és számos közösen használt üzleti megoldás.

Ahogy egyre több fájl, csoport, csapat és megosztás jön létre, a jogosultságok kezelése is összetettebbé válik.

Egy felhasználó hozzáférhet egy dokumentumhoz közvetlen engedéllyel, egy Microsoft 365-csoport tagjaként, egy Teams-csapathoz kapcsolódóan vagy egy megosztási linken keresztül. Emiatt nem mindig egyértelmű, hogy pontosan miért lát egy adott fájlt.

A rendezetlen jogosultságok, felesleges csoportok és aktív külső megosztások problémájáról részletesebben is írtunk a Microsoft 365: sokkal több, mint céges levelezés című cikkünkben.

Egy jól működő Microsoft 365-környezetben nemcsak a szolgáltatásoknak kell rendelkezésre állniuk. Azt is átláthatóan kell kezelni, hogy ki, milyen alapon és meddig férhet hozzá az üzleti adatokhoz.

Egy megosztási link könnyen tovább élhet, mint a feladat

Egy fájl megosztása néhány kattintás. Ez kényelmes, gyors, és sok esetben valóban megkönnyíti az együttműködést.

A gond az, hogy egy ideiglenes megosztás könnyen állandó hozzáféréssé válhat.

Egy ajánlat elkészítéséhez hozzáférést kap egy külső partner. Egy könyvelővel megosztanak egy dokumentumtárat. Egy projekt résztvevőinek elküldenek egy fájlhivatkozást. Egy alvállalkozó betekintést kap a munkához szükséges adatokba.

A feladat befejeződik, a hozzáférés viszont aktív marad.

Később már senki sem emlékszik arra, hogy:

  • kinek küldték el a linket,
  • továbbküldhető volt-e másoknak,
  • meddig kellett volna működnie,
  • melyik dokumentumhoz adott hozzáférést,
  • és van-e még üzleti oka a megosztásnak.

Különösen kockázatosak lehetnek azok a linkek, amelyek használatához nem szükséges személyhez kötött bejelentkezés. Ilyenkor nehezebb ellenőrizni, hogy a hivatkozás végül kinél kötött ki.

A külső megosztásoknak ezért nemcsak létrehozási, hanem lejárati vagy felülvizsgálati időpontjuknak is kellene lennie.

A külső partnerek hozzáféréseiről is nyilvántartás kell

A céges rendszerekhez nemcsak munkatársak férhetnek hozzá.

Könyvelők, marketingügynökségek, fejlesztők, informatikai szolgáltatók, alvállalkozók és egyéb külső partnerek is használhatnak közös fájlokat vagy üzleti alkalmazásokat.

Ez önmagában teljesen normális. A probléma akkor jelentkezik, ha a cég már nem látja át, hogy melyik partner milyen hozzáférést kapott.

Egy külső partnerrel fennálló együttműködés megszűnhet, miközben:

  • a vendégfiókja aktív marad,
  • továbbra is tagja egy Teams-csapatnak,
  • eléri a közösen használt dokumentumokat,
  • működik egy korábban kapott megosztási linkje,
  • vagy még mindig használhat egy üzleti alkalmazást.

A külsős hozzáféréseket ezért ugyanúgy kezelni kell, mint a munkatársak jogosultságait. Legyen egyértelmű üzleti indokuk, kijelölt felelősük és rendszeres felülvizsgálatuk.

A „külsős” önmagában nem biztonsági probléma. Az ellenőrizetlenül aktív külső hozzáférés viszont már az lehet.

A Teams-csapatoknak és SharePoint-webhelyeknek is van életciklusuk

Egy új projekt indulásakor gyakran létrejön egy Teams-csapat, egy SharePoint-webhely vagy egy közös dokumentumtár.

A résztvevők fájlokat töltenek fel, jegyzeteket készítenek és külső partnereket hívnak meg. A projekt során mindenki számára egyértelmű, hogy miért létezik a csoport és kiknek kell hozzáférniük.

A projekt lezárása után azonban ezek a felületek gyakran változatlanul megmaradnak.

Senki sem dönti el, hogy:

  • szükség van-e még a csapatra,
  • ki legyen a tartalom új felelőse,
  • mely külső tagokat kell eltávolítani,
  • mit kell archiválni,
  • mely dokumentumokat kell megőrizni,
  • és mely hozzáféréseket kell megszüntetni.

Idővel egyre több elhagyott csoport és dokumentumtár gyűlik össze. Az újabb kollégák már nem tudják, melyik a hivatalos felület, a régebbi tagok pedig továbbra is elérhetnek olyan anyagokat, amelyekhez már nincs közük.

A Teams- és SharePoint-felületeket ezért nem elég létrehozni. A teljes életciklusukat kezelni kell a létrehozástól az archiválásig vagy megszüntetésig.

A munkakörváltás ugyanolyan fontos, mint a kilépés

A cégek általában akkor gondolnak a hozzáférések megszüntetésére, amikor egy munkatárs távozik.

Pedig egy belső munkakörváltásnál is jelentősen megváltozhat, hogy milyen adatokra van szüksége a kollégának.

Egy értékesítőből lehet csoportvezető. Egy pénzügyi munkatárs átkerülhet egy másik területre. Egy projektvezető lezárhatja a projektjét, majd teljesen más feladatokat kaphat.

Az új szerepkörhöz szükséges hozzáféréseket általában gyorsan megkapja. A régi munkakörhöz kapcsolódó jogosultságokat azonban ritkábban vizsgálják felül.

Így olyan hozzáférések halmozódhatnak fel, amelyek külön-külön valaha indokoltak voltak, együtt viszont már túl széles betekintést adnak a céges adatokba.

A jogosultságok kezelését ezért nemcsak a belépési és kilépési folyamatba kell beépíteni. A munkakörök és felelősségek megváltozásakor is szükség van felülvizsgálatra.

Ha egy munkatárs távozásával kapcsolatban szeretnéd átnézni a legfontosabb teendőket, olvasd el a „Kilépett a kolléga. De a hozzáférései is megszűntek?” című cikkünket is.

A közös felhasználói fiókok elfedik a felelősséget

Egyes üzleti alkalmazásokat több kolléga ugyanazzal a felhasználónévvel és jelszóval használ.

Ez elsőre egyszerű megoldásnak tűnhet. Nem kell minden munkatársnak külön fiókot létrehozni, és nincs szükség a jogosultságok egyedi kezelésére.

A közös fióknál azonban nehéz megállapítani:

  • ki lépett be a rendszerbe,
  • ki módosított egy beállítást,
  • ki töltött le egy dokumentumot,
  • ki törölt egy adatot,
  • és ki adta tovább a hozzáférést.

Ha egy munkatárs távozik, a közösen használt jelszó továbbra is a birtokában lehet. Ilyenkor nem elegendő a személyes céges fiókját letiltani, a közös hozzáférést is rendezni kell.

Ahol az alkalmazás lehetővé teszi, célszerű személyhez kötött felhasználói fiókokat használni. Így a jogosultságok egyenként kezelhetők, a tevékenységek pedig könnyebben visszakövethetők.

A rendszergazdai jogosultság nem lehet kényelmi beállítás

A rendszergazdai hozzáférés jóval többet jelent annál, hogy valaki telepíthet egy programot.

Egy magas jogosultságú felhasználó módosíthat beállításokat, létrehozhat vagy törölhet fiókokat, hozzáféréseket adhat, és bizonyos rendszerekben érzékeny adatok kezelésére is lehetősége nyílhat.

Mégis előfordul, hogy egy kolléga azért kap rendszergazdai jogosultságot, mert így egyszerűbb megoldani egy átmeneti problémát. A feladat elkészül, a magasabb jogosultság viszont megmarad.

A szükségtelen rendszergazdai hozzáférések különösen nagy kockázatot jelenthetnek, ha az adott felhasználói fiókkal később illetéktelen személy lép be.

A rendszergazdai jogosultságokat ezért különösen szigorúan kell kezelni. Csak annak legyen ilyen hozzáférése, akinek a feladataihoz valóban szükséges, és csak addig, ameddig indokolt.

Honnan tudhatod, hogy rendben vannak-e a jogosultságok?

A legtöbb cég nem azért nem kezeli megfelelően a hozzáféréseket, mert nem tartja fontosnak az adatbiztonságot.

A probléma inkább az, hogy nincs egyetlen lista vagy felület, amelyből azonnal látható lenne minden jogosultság. A hozzáférések több rendszerben, csoportban, alkalmazásban és megosztásban jelenhetnek meg.

Néhány kérdés azonban gyorsan megmutathatja, hogy szükség van-e átfogóbb ellenőrzésre:

  • Meg tudjátok mondani, kik férnek hozzá a pénzügyi dokumentumokhoz?
  • Látható, hogy milyen külső partnerek rendelkeznek aktív hozzáféréssel?
  • Ellenőrzitek a régi megosztási linkeket?
  • A lezárt projektek Teams-csoportjai még mindig aktívak?
  • Munkakörváltáskor visszavonjátok a korábbi jogosultságokat?
  • Van nyilvántartás a rendszergazdai hozzáférésekről?
  • Tudjátok, mely üzleti rendszerek használnak közös felhasználói fiókot?
  • Egy kilépő munkatárs összes hozzáférése dokumentáltan megszűnik?
  • Van kijelölt felelőse a jogosultságok rendszeres felülvizsgálatának?

Ha ezek közül több kérdésre nincs egyértelmű válasz, az nem feltétlenül jelenti azt, hogy már történt adatbiztonsági probléma. Azt viszont jelezheti, hogy a cég nem látja teljesen át, ki fér hozzá az üzleti adataihoz.

A jogosultságokat rendszeresen felül kell vizsgálni

A hozzáférések egyszeri rendbetétele sokat segíthet, de önmagában nem jelent végleges megoldást.

A vállalkozás folyamatosan változik. Új munkatársak érkeznek, mások távoznak, munkakörök módosulnak, új rendszereket vezetnek be, külső partnerekkel indul együttműködés, majd projektek zárulnak le.

A jogosultságoknak követniük kell ezeket a változásokat.

A rendszeres felülvizsgálat során érdemes ellenőrizni:

  • az aktív felhasználói fiókokat,
  • a csoporttagságokat,
  • a Teams- és SharePoint-hozzáféréseket,
  • a külső vendégfelhasználókat,
  • a megosztási linkeket,
  • a rendszergazdai jogosultságokat,
  • a közösen használt fiókokat,
  • és a külső üzleti alkalmazások felhasználóit.

Nem minden jogosultságot kell megszüntetni. A cél annak eldöntése, hogy továbbra is van-e valós üzleti oka.

A megfelelő hozzáférés nem akadály, hanem védelem

Az adatbiztonság nem attól lesz erős, hogy minden fájlt elzárunk a kollégák elől.

A jól kialakított jogosultsági rendszer éppen azt támogatja, hogy a munkatársak gyorsan és egyszerűen hozzáférjenek a feladataikhoz szükséges adatokhoz. Közben azonban csökkenti annak kockázatát, hogy érzékeny információk indokolatlanul széles kör számára váljanak elérhetővé.

A cél nem az, hogy senki ne lásson semmit.

A cél az, hogy:

  • mindenki elérje, amire szüksége van,
  • senki ne kapjon indokolatlanul széles hozzáférést,
  • a külső megosztások ellenőrizhetők legyenek,
  • a régi jogosultságok ne maradjanak aktívak,
  • és a vezetőség valóban átlássa, kik férnek hozzá a céges adatokhoz.

Ez már nem egyszerű fájlkezelési kérdés. A rendezett hozzáférés-kezelés az informatikai biztonság és az átlátható vállalati működés része.

Egy professzionálisan kialakított IT-üzemeltetési környezetben nemcsak a hibák javításával kell foglalkozni. A felhasználói fiókok, jogosultságok, eszközök és üzleti adatok kezelésének is követhető folyamat szerint kell működnie.

Mert nem elég tudni, hogy a céges adatok megvannak.

Azt is tudni kell, kik férnek hozzájuk.