nieświadomość zespołu co do ról i poziomów dostępu

Brak świadomości zespołu co do ról i poziomów dostępu prowadzi do przyznawania uprawnień szerszych niż potrzebne.

Rola użytkownika a zakres rzeczywistych uprawnień

Nieświadomość zespołu co do ról i poziomów dostępu oznacza sytuację, w której użytkownicy nie wiedzą, jakie zadania wykonują w systemie i jakie uprawnienia są do nich potrzebne. W praktyce konto osoby zajmującej się wprowadzaniem danych może otrzymać możliwość zmiany konfiguracji, instalowania programów albo odczytu plików należących do innych osób. Takie rozszerzenie dostępu często nie wynika z celowego działania, lecz z używania gotowych profili, kopiowania ustawień z innego konta lub przyznawania uprawnień „na zapas”.

Rola powinna opisywać zakres obowiązków, a nie stanowisko zapisane w strukturze organizacyjnej. Pracownik może być określany jako kierownik, księgowy albo technik, ale sama nazwa stanowiska nie wskazuje jeszcze, czy potrzebuje dostępu do ustawień systemu, określonych katalogów, urządzeń sieciowych lub aplikacji. Poziom dostępu określa natomiast, co wolno zrobić z udostępnionym zasobem: wyświetlić dane, utworzyć plik, zmienić jego zawartość, usunąć go albo zmodyfikować konfigurację całego komputera.

Jak powstają uprawnienia szersze niż potrzebne

Najczęstszym źródłem problemu jest brak rozdzielenia kont zwykłych i administracyjnych. Konto administratora może zmieniać ustawienia systemu operacyjnego, instalować sterowniki, tworzyć konta lokalne oraz modyfikować uprawnienia do plików. Jeżeli z takiego konta korzysta się podczas codziennej pracy, każdy uruchomiony program działa w środowisku o większych możliwościach niż wymagane do przeglądania dokumentów, pracy z przeglądarką albo obsługi aplikacji biurowej.

Drugim problemem są grupy uprawnień, których skład nie jest regularnie sprawdzany. Użytkownik może pozostać członkiem grupy po zmianie obowiązków, zakończeniu projektu albo przejęciu zadań przez inną osobę. Podobny skutek daje dziedziczenie uprawnień z katalogu nadrzędnego. Dostęp przyznany do całego folderu może obejmować podfoldery i pliki, mimo że potrzebny był tylko jeden konkretny dokument. Współdzielenie jednego konta dodatkowo utrudnia ustalenie, kto wykonał daną operację.

Porządkowanie ról, grup i kontroli dostępu

Pierwszym etapem uporządkowania dostępu jest sporządzenie prostej macierzy uprawnień. W wierszach można umieścić role, a w kolumnach zasoby, takie jak foldery, aplikacje, ustawienia systemu i urządzenia. Przy każdym przecięciu należy określić minimalną operację: odczyt, zapis, uruchamianie, modyfikację konfiguracji lub pełne zarządzanie. Takie zestawienie ujawnia różnicę między dostępem wymaganym do pracy a dostępem odziedziczonym po innym użytkowniku.

Następnie warto stosować zasadę najmniejszych uprawnień. Konto powinno mieć tylko te możliwości, które są niezbędne do wykonania konkretnego zadania. Uprawnienia administracyjne należy przyznawać osobno i używać ich tylko w sytuacjach wymagających zmiany konfiguracji. Konta nieużywane powinny być blokowane zgodnie z przyjętą procedurą, a członkostwo w grupach i dostęp do współdzielonych katalogów trzeba okresowo porównywać z aktualnym zakresem obowiązków. Pomocne są również dzienniki zdarzeń, ponieważ pokazują próby dostępu, zmiany konfiguracji i operacje wykonane z danego konta.

Sprawdzenie dostępu podczas diagnostyki komputera

Podczas diagnostyki laptopa lub komputera PC można sprawdzić, czy problem wynika z błędnego przypisania konta, nieprawidłowych wpisów w uprawnieniach plików albo działania programu bez wymaganej roli. W systemie Windows analizuje się między innymi typ konta użytkownika, członkostwo w lokalnych grupach, właściwości zabezpieczeń katalogów oraz komunikaty o odmowie dostępu. Istotne jest rozdzielenie awarii sprzętowej od problemu konfiguracyjnego: uszkodzony dysk, pamięć operacyjna lub zasilanie nie naprawią się przez zmianę uprawnień, a brak dostępu do pliku nie musi oznaczać uszkodzenia nośnika.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC oraz ich podzespołów. W przypadku problemów z dostępem można zweryfikować konfigurację kont, podstawowe ustawienia systemu i zależności między uprawnieniami a działaniem aplikacji, bez rozszerzania dostępu ponad zakres potrzebny do wykonania konkretnej czynności.