Brak revokacji dostępów po odejściu pracownika

Brak revokacji dostępów po odejściu pracownika to poważna luka bezpieczeństwa pozostawiająca aktywny dostęp osobie niepracującej już w organizacji.

Brak revokacji dostępów po odejściu pracownika – czym jest problem

Brak revokacji dostępów po odejściu pracownika oznacza, że konto, token, klucz dostępu, sesja logowania albo uprawnienie przypisane do byłej osoby pozostaje aktywne mimo zakończenia współpracy. W praktyce nie chodzi wyłącznie o samo konto pocztowe. Dostęp może dotyczyć systemu obsługi klientów, panelu administracyjnego, repozytorium dokumentów, narzędzia do komunikacji, urządzenia sieciowego, aplikacji finansowej, magazynu danych lub komputera używanego w pracy. Jeżeli nie zostanie odebrany w odpowiednim czasie, osoba nieuprawniona może nadal odczytywać informacje, pobierać pliki, zmieniać ustawienia albo posługiwać się cudzą tożsamością.

Revokacja dostępów to kontrolowane unieważnienie możliwości korzystania z zasobów. Może obejmować wyłączenie konta, odebranie członkostwa w grupach, usunięcie kluczy, zamknięcie aktywnych sesji, zmianę haseł współdzielonych oraz odłączenie urządzeń zapisanych jako zaufane. Samo zablokowanie głównego konta nie zawsze rozwiązuje problem. Osobne logowanie do aplikacji, prywatny token, zapisane poświadczenia w przeglądarce lub uprawnienia nadane bezpośrednio do folderu mogą nadal działać.

Brak revokacji dostępów po odejściu pracownika w kontekście technicznym

Ryzyko zależy od sposobu nadawania uprawnień i od tego, jak wiele niezależnych miejsc wykorzystuje te same dane uwierzytelniające. W prostym modelu wyłączenie jednego konta może wystarczyć, lecz w rozbudowanym środowisku należy sprawdzić także grupy, role, urządzenia, aplikacje zewnętrzne i dostęp zdalny. Szczególnej uwagi wymagają konta uprzywilejowane, ponieważ ich wykorzystanie może umożliwić zmianę konfiguracji lub utworzenie kolejnych kont.

Warto odróżnić trzy sytuacje. Pierwsza to konto nadal aktywne i możliwe do użycia. Druga to konto formalnie zablokowane, ale z pozostawionymi sesjami lub tokenami. Trzecia to konto usunięte, gdy jednak uprawnienia zostały wcześniej skopiowane do innego profilu albo zapisane w automatyzacji. Każdy z tych przypadków wymaga innego sprawdzenia. Porównanie listy zatrudnionych z listą aktywnych kont wskazuje tylko podstawową niespójność, natomiast nie pokazuje wszystkich odziedziczonych dostępów.

Niebezpieczne jest także korzystanie z kont wspólnych. Po odejściu jednej osoby nie da się łatwo ustalić, kto nadal zna hasło ani gdzie zostało ono zapisane. W takiej sytuacji potrzebna jest zmiana poświadczeń, kontrola aktywnych sesji i sprawdzenie historii użycia. Przydatne są rejestry logowań, informacje o lokalizacji, urządzeniu, czasie oraz wykonanych operacjach. Nie należy jednak traktować pojedynczego wpisu w dzienniku jako pełnego dowodu, ponieważ czas urządzenia, adres sieciowy lub nazwa klienta mogą być niejednoznaczne.

Brak revokacji dostępów po odejściu pracownika – typowe problemy

Najczęstszą przyczyną jest brak jednego procesu obejmującego dział przełożonego, kadry i osoby odpowiedzialne za utrzymanie systemów. Informacja o zakończeniu współpracy dociera z opóźnieniem albo pozostaje wyłącznie w wiadomości, której nikt nie przekazuje dalej. Zdarza się również, że dostęp odebrano z głównego narzędzia, ale pominięto dodatkowe aplikacje używane przez dany zespół.

• konto pozostaje aktywne, ponieważ nie określono właściciela decyzji o jego wyłączeniu;
• były pracownik zachowuje dostęp przez telefon lub komputer oznaczony wcześniej jako zaufany;
• pozostają członkostwa w grupach, folderach i listach dystrybucyjnych;
• nie unieważniono kluczy dostępu, certyfikatów, tokenów ani kodów zapasowych;
• hasło do konta współdzielonego jest nadal znane osobie, która zakończyła pracę;
• nie zamknięto aktywnych sesji, więc wcześniej wydane uprawnienie działa jeszcze przez pewien czas;
• konto zostało wyłączone, lecz jego dane skopiowano do prywatnego urządzenia lub prywatnej usługi.

Konsekwencje nie muszą pojawić się od razu. Dostęp może zostać wykorzystany po wielu tygodniach, kiedy zmiana kadrowa przestanie być zauważalna. Wtedy trudniej połączyć zdarzenie z konkretnym kontem, urządzeniem lub działaniem. Możliwe skutki obejmują ujawnienie danych, usunięcie dokumentów, zmianę informacji, podszywanie się pod pracownika, przejęcie korespondencji oraz utratę kontroli nad zasobami przypisanymi do organizacji.

Brak revokacji dostępów po odejściu pracownika – praktyczne wskazówki

Bezpiecznym rozwiązaniem jest przygotowanie krótkiej listy kontrolnej uruchamianej przed zakończeniem współpracy albo bezpośrednio po nim. Powinna obejmować konto główne, pocztę, komunikatory, aplikacje branżowe, dostęp zdalny, urządzenia, grupy, foldery, klucze oraz konta współdzielone. Dla każdego elementu należy wskazać osobę odpowiedzialną, termin wykonania i sposób potwierdzenia. Samo zaznaczenie zadania jako ukończonego nie jest wystarczające, jeżeli nie ma informacji o wyniku kontroli.

Przydatne jest rozdzielenie etapów na odebranie dostępu i późniejszą weryfikację. Najpierw blokuje się logowanie, unieważnia sesje i usuwa uprawnienia. Następnie sprawdza się listę aktywnych profili, historię logowań oraz urządzenia powiązane z kontem. Jeżeli wykorzystywano hasła wspólne, powinny zostać zmienione. Jeżeli pracownik miał dostęp do informacji szczególnie istotnych, warto dodatkowo przejrzeć nietypowe operacje wykonane w okresie poprzedzającym odejście.

Nie należy usuwać danych bez wcześniejszego ustalenia zasad retencji. Konto można zablokować, zachowując dokumenty, korespondencję i informacje potrzebne do dalszej pracy. Trzeba też zadbać o przekazanie własności plików, kalendarzy i procesów, aby odebranie dostępu jednej osobie nie spowodowało utraty ciągłości działania. Każda zmiana powinna pozostawić ślad: kto ją zlecił, kiedy ją wykonano i jaki zakres objęła.

Warto przeprowadzać okresowe przeglądy, podczas których porównuje się aktualne osoby z aktywnymi kontami i uprawnieniami. Dobrą praktyką jest zasada najmniejszych uprawnień, czyli przyznawanie tylko takiego zakresu dostępu, jaki jest potrzebny do wykonywania zadań. Pomaga także wieloskładnikowe uwierzytelnianie, osobne konta do codziennej pracy i czynności administracyjnych oraz zakaz przechowywania danych logowania w łatwo dostępnych notatkach. Mechanizmy te nie zastępują revokacji, ale zmniejszają skutki opóźnienia lub pominięcia pojedynczego elementu.

Brak revokacji dostępów po odejściu pracownika – kiedy zgłosić się do serwisu

Do serwisu warto zgłosić się wtedy, gdy nie wiadomo, gdzie zapisano konto, które urządzenia były używane, jakie programy miały dostęp do danych albo czy po odejściu pracownika pozostały aktywne sesje. Dotyczy to również sytuacji, w której komputer nie pozwala się poprawnie zalogować, pojawiają się nieznane profile, zmieniają się ustawienia zabezpieczeń, występują nietypowe komunikaty lub zauważalne są operacje, których nikt aktualnie nie zlecał. Przed rozpoczęciem działań dobrze zabezpieczyć dostępne informacje: datę zakończenia współpracy, nazwy kont, używane urządzenia i zauważone zdarzenia.

Warszawskie Pogotowie Komputerowe 24/7 może pomóc w sprawdzeniu komputera, uporządkowaniu kont użytkowników, usunięciu zapisanych poświadczeń oraz przygotowaniu podstawowej listy elementów wymagających odebrania dostępu. Przed przekazaniem urządzenia należy opisać problem i wskazać, czy zachodzi podejrzenie nieuprawnionego logowania. W przypadku podejrzenia trwającego incydentu nie powinno się pochopnie kasować logów ani instalować przypadkowych programów, ponieważ może to utrudnić ustalenie przebiegu zdarzeń. Po zakończeniu prac zalecane jest ustawienie nowych, unikalnych haseł, włączenie dodatkowego składnika logowania i zapisanie procedury, która zostanie zastosowana przy każdej kolejnej zmianie personelu.