Zarządzanie uprawnieniami · Sektor publiczny
Odpowiedzialność za uprawnienia w urzędzie. Dlaczego nie powinna spoczywać wyłącznie na IT?
Nadanie dostępu to dopiero początek. Kto odpowiada za to, że pół roku później nadal jest aktualny?
Zadaj na najbliższym spotkaniu kierownictwa jedno pytanie:
Nie chodzi o to, kto technicznie nadaje dostęp. To zazwyczaj wiadomo — zadanie realizuje dział IT albo administrator systemu.
Właściwe pytanie brzmi:
W wielu urzędach właśnie w tym miejscu pojawia się luka. IT realizuje działania techniczne, kierownicy znają obowiązki swoich pracowników, HR posiada informacje o zmianach kadrowych, a właściciele systemów określają zasady dostępu. Nie zawsze jednak wiadomo, kto odpowiada za aktualność uprawnień i uruchomienie właściwego procesu.
Gdy brakuje jednej odpowiedzi, odpowiedzialność zaczyna się rozpraszać.
Uprawnienia są nadane. Ale czy nadal są potrzebne?
Nadanie dostępu jest tylko początkiem jego cyklu życia. Pracownik może później:
- zmienić stanowisko lub wydział,
- zakończyć udział w projekcie,
- otrzymać nowe obowiązki,
- czasowo zastępować inną osobę,
- zakończyć współpracę z urzędem.
Każda z tych zmian może wymagać aktualizacji dostępów. Nowe uprawnienia trzeba nadać, nieaktualne odebrać, a czasowe — wygasić.
Jeżeli proces skupia się tylko na pierwszym nadaniu dostępu, z czasem dochodzi do kumulacji uprawnień. Pracownik zachowuje dostępy wynikające z poprzednich stanowisk, projektów i obowiązków.
Najczęściej nie wynika to ze świadomego zaniedbania. Brakuje po prostu jednoznacznego zdarzenia, które uruchamiałoby ponowną weryfikację.
Dlatego dostęp powinien być traktowany jako proces, a nie jednorazowa decyzja. To praktyczne zastosowanie zasady Zero Trust i Least Privilege.
Co pokazała ankieta WOKISS 2026?
Z ankiety diagnostycznej przeprowadzonej wśród przedstawicieli urzędów podczas konferencji WOKISS 2026 wynika, że w 59% badanych przypadków kierownictwo wydziałów zna swoją odpowiedzialność za uprawnienia podległych pracowników, ale w praktyce przenosi ją na dział IT.
To ważny sygnał. Problemem nie zawsze jest brak świadomości. Czasem role są znane, ale nie zostały przełożone na jednoznaczny i egzekwowalny proces.
W tej samej ankiecie prawie połowa respondentów wskazała, że nie jest w stanie w ciągu 30 minut odpowiedzieć:
- kto ma dostęp do konkretnego systemu,
- kto ten dostęp zatwierdził,
- na jakiej podstawie został on przyznany,
- czy nadal jest potrzebny.
Nie oznacza to, że urzędy nie kontrolują dostępów. Pokazuje natomiast, że potrzebne informacje bywają rozproszone między Active Directory, systemami dziedzinowymi, arkuszami Excel, wiadomościami e-mail, kartami obiegowymi i pamięcią administratorów.
Jeżeli uzyskanie podstawowej informacji wymaga zebrania danych z wielu źródeł, urząd nie posiada jeszcze jednego, spójnego obrazu uprawnień. To jeden z najważniejszych sygnałów, że zarządzanie dostępami wymaga uporządkowania.
Dlaczego dział IT nie powinien sam decydować o dostępach?
Dział IT posiada wiedzę techniczną potrzebną do realizacji dostępu. Administrator może:
- utworzyć konto,
- przypisać rolę lub grupę,
- nadać albo odebrać uprawnienie,
- zablokować konto,
- potwierdzić wykonanie zadania.
Nie oznacza to jednak, że powinien samodzielnie oceniać biznesową zasadność każdego dostępu.
Administrator zazwyczaj nie wie, czy pracownik nadal realizuje konkretne zadanie, zakończył udział w projekcie albo potrzebuje dostępu do całego systemu. Tę wiedzę ma bezpośredni przełożony lub właściciel danego zasobu.
Najprostsza zasadaIT odpowiada za techniczną realizację dostępu, ale nie powinno zastępować właściciela decyzji biznesowej.
Przenoszenie całej odpowiedzialności na IT prowadzi do sytuacji, w której administratorzy wykonują decyzje i jednocześnie muszą oceniać ich zasadność — mimo braku pełnej wiedzy o codziennej pracy poszczególnych wydziałów.
Jak powinien wyglądać podział odpowiedzialności?
Struktury urzędów mogą się różnić, ale proces powinien jasno rozdzielać podstawowe role.
Przełożony pracownika
Potwierdza, że dostęp jest potrzebny do realizacji obowiązków. Reaguje również na zmianę stanowiska, wydziału lub zakresu zadań.
Właściciel systemu albo zasobu
Określa dostępne role, poziomy uprawnień i zasady ich przyznawania. W przypadku systemów krytycznych może wymagać dodatkowej akceptacji.
Dział IT lub administrator
Realizuje zatwierdzoną decyzję technicznie, a następnie potwierdza wykonanie operacji.
HR lub komórka kadrowa
Przekazuje informacje o zdarzeniach wpływających na cykl życia tożsamości: zatrudnieniu, zmianie stanowiska, przeniesieniu czy zakończeniu współpracy.
Właściciel procesu zarządzania uprawnieniami
Dba o to, aby zasady były spójne i rzeczywiście działały. Określa, kto składa wnioski, kto je zatwierdza, jak często prowadzone są przeglądy i gdzie zapisywana jest historia decyzji.
1. Kto podejmuje decyzję biznesową?
2. Kto realizuje ją technicznie?
3. Kto kontroluje, czy dostęp nadal jest uzasadniony?Jeżeli odpowiedzią na wszystkie trzy pytania jest „dział IT”, proces wymaga ponownego uporządkowania.
Certyfikacja uprawnień przywraca odpowiedzialność właścicielom
Nawet prawidłowo nadany dostęp może po pewnym czasie przestać być potrzebny. Dlatego proces nie powinien kończyć się po utworzeniu konta lub przypisaniu roli.
Potrzebna jest okresowa certyfikacja uprawnień, podczas której kierownik albo właściciel systemu potwierdza, że:
- pracownik nadal potrzebuje dostępu,
- zakres odpowiada jego aktualnym obowiązkom,
- uprawnienia nie są nadmiarowe,
- dostęp czasowy nie powinien już wygasnąć.
Administrator przedstawia stan techniczny. Osoba znająca kontekst pracy podejmuje decyzję biznesową. Dzięki temu odpowiedzialność nie pozostaje domyślnie po stronie IT.
Certyfikacja pomaga również wykrywać różnice między oficjalnym rejestrem a faktycznym stanem w systemach, w tym dostępy nadane poza ustalonym procesem.
Historia decyzji zamiast odtwarzania jej przed audytem
Urząd powinien wiedzieć nie tylko, kto ma dostęp, ale również:
- kto o niego zawnioskował,
- kto go zatwierdził,
- dlaczego został przyznany,
- kto wykonał operację techniczną,
- czy dostęp był później weryfikowany,
- kiedy został zmieniony albo odebrany.
Taka ścieżka audytowa pozwala odtworzyć pełny kontekst decyzji bez przeszukiwania wiadomości e-mail, arkuszy i systemów zgłoszeniowych.
Gdy historia powstaje na bieżąco, audyt przestaje być akcją polegającą na ręcznym zbieraniu informacji z wielu miejsc.
Jak Zantiga wspiera uporządkowanie odpowiedzialności?
Zantiga nie zastępuje kierowników ani właścicieli systemów w podejmowaniu decyzji. Porządkuje natomiast przepływ informacji, akceptacji i działań technicznych.
Pozwala określić:
- Kto wnioskuje o dostęp — jasny punkt startu każdego wniosku.
- Kto ocenia jego zasadność — decyzja biznesowa pozostaje u właściwego właściciela.
- Kto zatwierdza — wieloetapowa akceptacja dopasowana do specyfiki systemu.
- Kto wykonuje zmianę w systemie — technik lub Technik AI realizuje zatwierdzoną operację.
- Kto cyklicznie potwierdza aktualność uprawnienia — certyfikacja prowadzona przez właścicieli systemów.
- Gdzie zapisywana jest historia całego procesu — niemodyfikowalny rejestr dostępny na potrzeby audytu.
Dzięki temu decyzja pozostaje po stronie osoby znającej kontekst pracy, a IT otrzymuje jednoznaczne zadanie do wykonania. Realizacja może odbywać się manualnie, hybrydowo albo automatycznie — zależnie od dojrzałości i potrzeb urzędu.
To podejście zgodne z zasadą ewolucji, a nie rewolucji. Urząd może zacząć od jednego procesu lub systemu, a następnie stopniowo rozszerzać zakres kontroli.
Pięć pytań na najbliższe spotkanie kierownictwa
Warto sprawdzić, czy urząd potrafi jednoznacznie odpowiedzieć:
- Kto wnioskuje o dostęp?
- Kto zatwierdza jego biznesową zasadność?
- Kto odpowiada za aktualizację uprawnień po zmianie stanowiska?
- Kto okresowo potwierdza, że dostęp nadal jest potrzebny?
- Gdzie znajduje się kompletna historia decyzji i działań?
Jeżeli odpowiedzi różnią się zależnie od wydziału, osoby lub systemu, pierwszym krokiem powinno być uporządkowanie odpowiedzialności.
IT realizuje. Biznes decyduje. Proces zapewnia kontrolę.
W zarządzaniu dostępami brak narzędzia jest ważnym wyzwaniem, ale nie zawsze stanowi źródło problemu.
Często większym ryzykiem jest brak jednoznacznej odpowiedzi na pytanie:
Skuteczny proces łączy wiedzę kierowników, informacje kadrowe, zasady właścicieli systemów oraz możliwości techniczne IT. Każda strona ma jasno określoną rolę, a historia decyzji powstaje na bieżąco.
W ten sposób urząd przechodzi od rozproszonych czynności do kontrolowanego zarządzania uprawnieniami — krok po kroku i bez konieczności przebudowy całej organizacji.
Najczęściej zadawane pytania
Kto odpowiada za aktualność uprawnień pracownika?
Przełożony lub właściciel zasobu powinien oceniać biznesową zasadność dostępu. Dział IT realizuje zatwierdzoną decyzję technicznie, a właściciel procesu dba o spójność zasad i kontroli.
Czy dział IT powinien decydować, kto otrzymuje dostęp?
Nie powinien samodzielnie podejmować wszystkich decyzji biznesowych. IT zna system i sposób realizacji dostępu, natomiast przełożony lub właściciel zasobu zna obowiązki pracownika.
Czym jest certyfikacja uprawnień?
To okresowa weryfikacja, czy użytkownicy nadal potrzebują posiadanych dostępów i czy ich zakres odpowiada aktualnym obowiązkom.
Bezpieczeństwo ma swoją technologię.
Zantiga — dostępy IT pod kontrolą.
Porozmawiajmy o tym, jak wygląda proces zarządzania uprawnieniami w Twoim urzędzie