współdzielenie kont administracyjnych

Współdzielenie kont administracyjnych utrudnia rozliczalność działań i zwiększa ryzyko nadużyć.

Współdzielenie kont administracyjnych – czym jest ten model dostępu

Współdzielenie kont administracyjnych oznacza sytuację, w której kilka osób korzysta z tego samego loginu i hasła mającego szerokie uprawnienia do systemu, urządzenia, aplikacji albo panelu zarządzania. Zamiast osobnych kont imiennych używany jest jeden wspólny profil, często opisany jako „admin”, „administrator” lub podobnie. Takie rozwiązanie może wydawać się wygodne, ponieważ nie wymaga zakładania wielu użytkowników ani przekazywania uprawnień przy każdej zmianie osoby odpowiedzialnej za dane zadanie. W praktyce osłabia jednak kontrolę nad tym, kto wykonał konkretną czynność.

Konto administracyjne może pozwalać na instalowanie programów, zmianę konfiguracji, tworzenie kolejnych użytkowników, modyfikowanie ustawień zabezpieczeń, dostęp do plików oraz usuwanie danych. Jeżeli kilka osób posługuje się tym samym profilem, system zazwyczaj rejestruje działanie pod jedną nazwą konta, a nie pod nazwiskiem konkretnej osoby. Utrudnia to ustalenie sprawcy błędu, źródła nieautoryzowanej zmiany i zakresu odpowiedzialności. Problem dotyczy zarówno niewielkich stanowisk roboczych, jak i rozbudowanych środowisk, w których wymagane jest precyzyjne zarządzanie uprawnieniami.

Nie chodzi wyłącznie o celowe nadużycie. Wspólny dostęp zwiększa ryzyko pomyłek, przypadkowego usunięcia ustawień, zainstalowania niepożądanego programu albo przekazania hasła osobie, która nie powinna go znać. Gdy hasło zostanie zapisane w przeglądarce, wysłane w wiadomości lub użyte na niezabezpieczonym urządzeniu, trudniej określić, kto miał do niego dostęp. Po odejściu pracownika, zakończeniu współpracy albo zmianie zakresu obowiązków należy zmienić hasło, lecz sama zmiana może zakłócić pracę wszystkich osób korzystających z konta.

Współdzielenie kont administracyjnych na tle kont imiennych i zwykłych

Bezpieczniejszym punktem odniesienia są osobne konta imienne. Każda osoba otrzymuje tylko takie uprawnienia, jakie są potrzebne do wykonywania jej zadań, a czynności pozostają powiązane z konkretnym użytkownikiem. Konto zwykłe, pozbawione uprawnień administracyjnych, ogranicza możliwość zmiany ustawień systemowych i instalowania oprogramowania. Konto uprzywilejowane powinno być używane tylko wtedy, gdy rzeczywiście potrzebna jest zmiana konfiguracji, a po wykonaniu zadania należy wrócić do codziennego profilu.

Wspólne konto administracyjne różni się od kontrolowanego dostępu zastępczego. W modelu zastępczym użytkownik działa na własnym koncie, a uprawnienie podwyższone jest przyznawane na określony czas lub do konkretnej czynności. Możliwe jest wtedy rejestrowanie osoby, czasu, zakresu operacji i wyniku działania. Przy współdzielonym loginie te informacje często zostają utracone. Samo stwierdzenie, że zmiany dokonano z konta „admin”, nie odpowiada na pytanie, kto faktycznie wykonał polecenie.

Warto odróżnić także współdzielenie konta od delegowania uprawnień. Delegowanie polega na przypisaniu konkretnych ról, na przykład prawa do zarządzania użytkownikami, konfiguracją sieciową albo wybranym programem. Nie trzeba wtedy przekazywać pełnego hasła ani udostępniać całego zakresu możliwości. Ograniczenie uprawnień zmniejsza skutki błędu i utrudnia wykorzystanie jednego przejętego profilu do wykonania wielu niezależnych operacji.

Największą wadą wspólnego konta jest brak jednoznacznej rozliczalności, ale pojawiają się również problemy organizacyjne. Nie wiadomo, kto powinien zatwierdzić zmianę, kto ma sprawdzić jej poprawność i kto odpowiada za przechowywanie danych dostępowych. W sytuacji awaryjnej kilka osób może próbować naprawiać ten sam problem, a bez dokładnego dziennika zdarzeń odtworzenie kolejności działań staje się czasochłonne.

Współdzielenie kont administracyjnych a typowe problemy bezpieczeństwa

Jednym z częstych zagrożeń jest utrata kontroli nad hasłem. Wspólne dane logowania bywają przechowywane w notatkach, arkuszach, wiadomościach lub dokumentach dostępnych dla większej grupy osób. Każda kolejna osoba, która otrzymuje hasło, zwiększa liczbę miejsc, w których może ono zostać skopiowane. Jeżeli ten sam login i hasło są używane w kilku systemach, przejęcie jednego zestawu danych może prowadzić do kolejnych prób dostępu.

Drugim problemem jest brak pełnego śladu działań. Dziennik może wskazywać, że konto administracyjne zmieniło ustawienie, usunęło plik albo dodało użytkownika, ale nie musi wskazywać, która osoba posłużyła się tym kontem. W rezultacie analiza incydentu opiera się na domysłach, czasie pracy, rozmowach z pracownikami i innych pośrednich informacjach. Taka sytuacja utrudnia zarówno usunięcie skutków zdarzenia, jak i zaplanowanie działań zapobiegawczych.

Wspólny profil sprzyja również obchodzeniu procedur. Jeżeli dostęp jest wygodny i znany wielu osobom, może być używany do czynności, które powinny wymagać zgody, zgłoszenia albo drugiej kontroli. Niekiedy instalowane są programy pobrane z niepewnego źródła, wyłączane są mechanizmy ochronne, zmieniane są ustawienia zapory lub modyfikowane zasady dostępu do plików. Bez przypisania operacji do konkretnej osoby trudniej ustalić, czy przyczyną była pomyłka, brak wiedzy czy świadome naruszenie zasad.

Ryzyko rośnie także podczas pracy zdalnej. Hasło może zostać wpisane na prywatnym komputerze, w publicznym miejscu albo w obecności osoby postronnej. Jeżeli nie jest wymagana dodatkowa forma potwierdzenia tożsamości, sam login i hasło mogą wystarczyć do wykonania operacji o dużym skutku. Nie rozwiązuje tego regularna zmiana hasła, jeśli nadal pozostaje ono wspólne i jest przekazywane tym samym kanałem.

Współdzielenie kont administracyjnych – praktyczne wskazówki ograniczające ryzyko

Pierwszym krokiem powinno być sporządzenie listy wspólnych kont, urządzeń i aplikacji, w których są używane. Warto ustalić, jakie działania umożliwia każdy profil, kto faktycznie z niego korzysta i czy dostęp jest nadal potrzebny. Takie rozpoznanie pozwala odróżnić konto używane z przyzwyczajenia od konta, dla którego nie ma obecnie uzasadnienia. Należy też sprawdzić, czy identyczne hasło nie występuje w innych miejscach.

W miarę możliwości powinno się zastąpić wspólny profil osobnymi kontami imiennymi oraz rolami o ograniczonym zakresie. Uprawnienia warto przyznawać zgodnie z zasadą najmniejszych koniecznych uprawnień. Osoba zajmująca się dokumentami nie musi mieć prawa do instalowania programów, a użytkownik wykonujący podstawowe czynności nie powinien otrzymywać pełnego dostępu do ustawień systemu. Ograniczenie zakresu nie zastępuje kontroli, ale zmniejsza możliwe konsekwencje pomyłki.

Jeżeli wspólne konto musi pozostać z powodów technicznych, należy ograniczyć liczbę osób mających do niego dostęp, ustalić formalną odpowiedzialność i prowadzić rejestr użycia. Hasło powinno być przechowywane w bezpiecznym menedżerze, a nie w zwykłym dokumencie lub wiadomości. Po zmianie składu zespołu, podejrzeniu ujawnienia danych albo zakończeniu współpracy trzeba niezwłocznie zmienić dane logowania. Warto też rozważyć dodatkowe potwierdzenie tożsamości, jeśli system je obsługuje.

Przydatne jest rozdzielenie konta do codziennej pracy od konta przeznaczonego do administracji. Na co dzień używany powinien być profil o ograniczonych możliwościach, natomiast dostęp podwyższony należy uruchamiać tylko na czas potrzebnej czynności. Po każdej istotnej zmianie dobrze jest zapisać, co wykonano, dlaczego wykonano operację i jaki był jej rezultat. Krótki, uporządkowany opis może znacząco ułatwić późniejszą diagnostykę.

• należy tworzyć konta przypisane do konkretnych osób;
• należy usuwać nieużywane profile i niepotrzebne uprawnienia;
• należy stosować różne hasła dla różnych systemów;
• należy przechowywać dane dostępowe w kontrolowanym miejscu;
• należy okresowo przeglądać dzienniki zmian i listy użytkowników;
• należy opisywać nietypowe operacje administracyjne oraz ich uzasadnienie.

Kiedy zgłosić współdzielenie kont administracyjnych do serwisu

Pomoc serwisowa może być potrzebna, gdy nie wiadomo, ile wspólnych kont istnieje, jakie mają uprawnienia albo kto nadal zna dane logowania. Sygnałem ostrzegawczym są również nieoczekiwane zmiany ustawień, nowe programy pojawiające się bez zgłoszenia, problemy z dostępem po zmianie hasła oraz brak możliwości ustalenia autora operacji. W takiej sytuacji warto zabezpieczyć dostępne informacje, nie kasować pochopnie dzienników i opisać, kiedy zauważono problem.

Przy analizie można sprawdzić listę użytkowników, zakres ról, historię logowania, ustawienia zabezpieczeń i sposób przechowywania haseł. Następnie można opracować plan rozdzielenia kont, zmiany danych dostępowych oraz nadania uprawnień zgodnie z obowiązkami. Jeżeli komputer lub laptop wykazuje również inne niepokojące objawy, pomocne jest całościowe sprawdzenie konfiguracji, programów uruchamianych przy starcie oraz sposobu ochrony danych.

W Warszawie takie uporządkowanie dostępu można zgłosić do Warszawskiego Pogotowia Komputerowego 24/7. Przed przekazaniem urządzenia warto przygotować opis problemu i wskazać, które osoby korzystały ze wspólnego konta. Im dokładniejsze są informacje o zmianach, tym łatwiej odtworzyć zdarzenia, ograniczyć dalsze ryzyko i zaplanować przejście na osobne konta administracyjne.