Na ostatniej edycji IN.SE.CON w Poznaniu mieliśmy okazję uczestniczyć w wielu rozmowach dotyczących bezpieczeństwa IT. Wśród tematów, które regularnie wracały w dyskusjach, pojawiło się zarządzanie uprawnieniami w szpitalach, szczególnie w kontekście rosnących wymagań regulacyjnych, złożoności organizacyjnej oraz odpowiedzialności za dane wrażliwe.
Jednym z częściej poruszanych pytań było to, czy do skutecznego zarządzania dostępami w organizacji liczącej kilkaset osób wystarczy arkusz kalkulacyjny. To podejście nadal jest spotykane, bo Excel jest prosty, dostępny i dobrze znany. W praktyce jednak, szczególnie w organizacjach takich jak szpitale, budzi poważne wątpliwości.
Excel może pomóc zebrać informacje. Może być pomocniczym rejestrem. Może wspierać etap inwentaryzacji. Nie jest jednak systemem kontroli dostępu.
A to zasadnicza różnica.
Czy Excel wystarczy do zarządzania uprawnieniami IT?
Na początku arkusz kalkulacyjny może wydawać się wystarczający. Można w nim zapisać listę użytkowników, systemów, ról, właścicieli dostępów, daty zmian czy informacje o akceptacjach. Przy niewielkiej skali taki model często działa, ponieważ liczba użytkowników, aplikacji i zmian jest ograniczona.
Problem zaczyna się wtedy, gdy organizacja rośnie.
W placówce medycznej mającej kilkuset użytkowników, wiele systemów i rotację personelu arkusz bardzo szybko staje się trudny do utrzymania. Każda zmiana stanowiska, nowy pracownik, zakończenie współpracy, kontraktor, dyżur, zastępstwo albo dostęp czasowy wymaga aktualizacji danych.
W praktyce pojawiają się pytania:
- kto aktualizuje arkusz,
- skąd wiadomo, że dane są aktualne,
- czy zmiana została zatwierdzona,
- kto odpowiada za poprawność wpisu,
- czy można odtworzyć historię zmian,
- czy dostęp został odebrany po zakończeniu współpracy,
- czy arkusz nie został nadpisany,
- czy dane w arkuszu zgadzają się z rzeczywistym stanem w systemach.
To nie jest spór technologiczny. To pytanie o ryzyko, odpowiedzialność i skalę.
Arkusz działa, aż przestaje. A wtedy może okazać się, że został nadpisany, jest nieaktualny, niekompletny albo nie pokazuje realnego stanu dostępów.
Dlaczego problem jest szczególnie ważny w szpitalach?
Szpital to organizacja o dużej złożoności. Dostępów potrzebują różne grupy użytkowników: lekarze, pielęgniarki, rejestracja, administracja, laboratoria, diagnostyka, pracownicy techniczni, kontraktorzy i dostawcy usług.
Do tego dochodzą różne systemy – medyczne, administracyjne, kadrowe, finansowe, laboratoryjne, diagnostyczne, pocztowe czy lokalne aplikacje specjalistyczne. Część dostępów wynika z roli, część z oddziału, część z dyżuru, a część jest czasowa lub wyjątkowa.
W takim środowisku zarządzanie uprawnieniami IT staje się procesem krytycznym. Nie chodzi tylko o wygodę działu IT. Chodzi o bezpieczeństwo danych pacjentów, zgodność z regulacjami, możliwość audytu i szybkie reagowanie na zmiany kadrowe.
Jeśli organizacja przetwarza dane wrażliwe, nie wystarczy deklarować, że dostęp jest kontrolowany. Trzeba być w stanie to wykazać.
A to oznacza konieczność odpowiedzi na podstawowe pytania:
- kto ma dostęp do konkretnych systemów,
- dlaczego ten dostęp został nadany,
- kto go zaakceptował,
- czy dostęp nadal jest potrzebny,
- kiedy był ostatnio przeglądany,
- kiedy i komu został odebrany,
- czy istnieje wiarygodna historia zmian.
W arkuszu kalkulacyjnym odpowiedzi na te pytania często zależą od jakości ręcznej pracy, aktualności danych i dyscypliny organizacyjnej. W systemie zarządzania uprawnieniami powinny wynikać z procesu.
Excel może być rejestrem, ale nie systemem kontroli dostępu
Z perspektywy praktyki oraz aktualnych wymagań, w tym wynikających z NIS2, arkusz kalkulacyjny nie spełnia kluczowych założeń nowoczesnego podejścia do cyberbezpieczeństwa.
Może pełnić funkcję pomocniczego rejestru, ale nie zapewnia realnej kontroli nad dostępami. Brakuje w nim mechanizmów egzekwowania polityk bezpieczeństwa, pełnej historii zmian oraz wiarygodnego i nienaruszalnego rejestru decyzji.
Excel nie:
- wymusza procesu akceptacji,
- automatyzuje nadawania i odbierania dostępów,
- pilnuje zasady minimalnych uprawnień,
- prowadzi pełnej ścieżki audytowej,
- przypomina o cyklicznych przeglądach,
- wykrywa nadmiarowych uprawnień,
- pokazuje różnic między rejestrem a rzeczywistym stanem systemów,
- gwarantuje, że dane nie zostały przypadkowo zmienione lub nadpisane.
Dlatego Excel może być punktem startowym, ale nie powinien być docelowym narzędziem zarządzania uprawnieniami w organizacji o dużej skali i wysokiej odpowiedzialności.
Największym ryzykiem nie jest samo używanie arkusza. Największym ryzykiem jest uznanie, że arkusz oznacza kontrolę.
Jakie ryzyka tworzy zarządzanie uprawnieniami w arkuszu?
Największym problemem nie jest sam Excel, ale złudzenie kontroli, które może tworzyć. Organizacja ma plik, więc wydaje się, że ma proces. Tymczasem plik nie zastępuje odpowiedzialności, workflow i audytu.
Najczęstsze ryzyka to:
- nieaktualne dane o dostępach,
- przypadkowe nadpisanie arkusza,
- brak historii zmian,
- brak informacji, kto zatwierdził dostęp,
- brak informacji, dlaczego dostęp został nadany,
- utrzymywanie dostępów po odejściu pracownika,
- brak kontroli nad kontraktorami,
- nadmiarowe uprawnienia,
- brak dowodów dla audytu,
- ręczna i czasochłonna praca działu IT,
- trudność w szybkim reagowaniu na incydenty.
Jednym z najbardziej ryzykownych scenariuszy jest odejście pracownika z organizacji i opóźnione odebranie mu dostępów do systemów. Szerzej opisujemy to w artykule: Pracownik odszedł z organizacji. Kiedy traci dostęp do systemów?.
W praktyce oznacza to, że w dniu audytu organizacja może nie być w stanie szybko i jednoznacznie odpowiedzieć na podstawowe pytania: kto ma dostęp, na jakiej podstawie i czy ten dostęp nadal jest uzasadniony.
W środowisku szpitalnym takie ryzyko ma szczególne znaczenie. Mówimy o systemach, które mogą zawierać dane medyczne, dane osobowe, informacje administracyjne, finansowe i operacyjne. Nieaktualny dostęp nie jest więc wyłącznie problemem technicznym. Może stać się problemem bezpieczeństwa, zgodności i odpowiedzialności.
Excel a NIS2, audyt i odpowiedzialność
Rosnące wymagania regulacyjne sprawiają, że zarządzanie uprawnieniami nie może być traktowane jako poboczny temat administracyjny. W kontekście NIS2, bezpieczeństwa danych i audytów coraz większe znaczenie mają procesy, rozliczalność i możliwość przedstawienia wiarygodnych dowodów.
Audytor może zapytać:
- czy organizacja ma formalny proces nadawania uprawnień,
- czy dostęp jest zatwierdzany przez właściwe osoby,
- czy wykonywane są cykliczne przeglądy dostępów,
- czy stosowana jest zasada minimalnych uprawnień,
- czy można odtworzyć historię zmian,
- czy dostęp jest odbierany po zakończeniu współpracy,
- czy istnieją raporty pokazujące stan dostępów.
Arkusz kalkulacyjny może pomóc w przygotowaniu danych, ale nie zapewnia pełnej rozliczalności. Nie jest nienaruszalnym rejestrem decyzji i nie pokazuje, czy proces działa w sposób ciągły.
Dlatego w organizacjach, które podlegają regulacjom lub przetwarzają dane wrażliwe, pytanie nie brzmi: „czy Excel działa?”, ale: „czy można oprzeć na nim odpowiedzialność za bezpieczeństwo dostępu?”.
Kiedy organizacja potrzebuje systemu IAM/IdM?
Systemowe podejście do zarządzania uprawnieniami staje się konieczne wtedy, gdy rośnie skala, ryzyko i odpowiedzialność.
Szczególnie dotyczy to organizacji, które:
- mają kilkuset użytkowników,
- korzystają z wielu systemów i aplikacji,
- przetwarzają dane wrażliwe,
- podlegają audytom lub regulacjom,
- zatrudniają kontraktorów,
- mają rotację personelu,
- potrzebują szybkiego odbierania dostępów,
- chcą ograniczyć nadmiarowe uprawnienia,
- chcą mieć historię decyzji i ścieżkę audytową,
- chcą zmniejszyć obciążenie działu IT.
Rozwiązanie klasy IAM/IdM pozwala potraktować zarządzanie uprawnieniami jako proces, a nie jako plik. Obejmuje wniosek, akceptację, nadanie dostępu, zmianę, przegląd, odebranie i raportowanie.
To szczególnie istotne w organizacjach, które chcą mieć nie tylko listę uprawnień, ale także wiedzieć, skąd te uprawnienia się wzięły, czy są nadal potrzebne i kto za nie odpowiada.
Zantiga: od arkusza do realnej kontroli nad dostępami
Dlatego uważamy, że jeśli celem organizacji jest osiągnięcie realnego, a nie deklaratywnego poziomu cyberbezpieczeństwa, konieczne jest podejście systemowe.
Zantiga pozwala organizacjom przejść od rozproszonych arkuszy, maili i ręcznych ustaleń do centralnego procesu zarządzania uprawnieniami i dostępami IT.
System wspiera m.in.:
- centralny rejestr uprawnień,
- procesy wnioskowania i akceptacji,
- nadawanie, modyfikację i odbieranie dostępów,
- historię zmian,
- raporty audytowe,
- cykliczne przeglądy uprawnień,
- współpracę HR, IT i właścicieli systemów,
- zarządzanie dostępami pracowników i kontraktorów,
- ograniczanie nadmiarowych uprawnień,
- zgodność z wymaganiami regulacyjnymi.
Więcej o tym, jak automatyzacja pomaga ograniczać ręczne procesy i błędy w zarządzaniu dostępami, piszemy w artykule: Automatyzacja w zarządzaniu uprawnieniami.
Dzięki temu kontrola nad dostępami staje się mierzalna, audytowalna i możliwa do udowodnienia. To różnica między „działającym rozwiązaniem” a rozwiązaniem, które rzeczywiście zabezpiecza organizację.
Przykład: placówka medyczna z 500 użytkownikami
Wyobraźmy sobie placówkę medyczną, która ma co najmniej 500 użytkowników. W praktyce oznacza to setki kont, różne role, wiele systemów i liczne zmiany organizacyjne.
W takiej skali nawet niewielki błąd może mieć znaczenie. Jeden nieodebrany dostęp po zakończeniu współpracy, jedna nieaktualna rola, jeden nadmiarowy dostęp do systemu medycznego albo jedna pominięta aktualizacja arkusza mogą stworzyć realne ryzyko.
Przy takiej liczbie użytkowników zarządzanie dostępami nie powinno opierać się wyłącznie na ręcznej aktualizacji pliku. Potrzebny jest proces, który:
- pokazuje aktualny stan uprawnień,
- umożliwia szybkie sprawdzenie odpowiedzialności,
- wspiera cykliczne przeglądy,
- pomaga wykrywać rozbieżności,
- automatyzuje powtarzalne działania,
- przygotowuje organizację do audytu.
Excel może pomóc na etapie porządkowania danych. Ale przy skali 500 użytkowników staje się narzędziem pomocniczym, nie fundamentem bezpieczeństwa.
Podsumowanie: pytanie nie brzmi, czy Excel działa
Dyskusje podczas IN.SE.CON jasno pokazały, że świadomość w zakresie zarządzania uprawnieniami rośnie. Jednocześnie wciąż istnieje potrzeba rozróżnienia między narzędziem, które pomaga prowadzić rejestr, a systemem, który zapewnia realną kontrolę.
Excel może działać przez pewien czas. Może być przydatny jako narzędzie pomocnicze. Ale w organizacji liczącej kilkuset użytkowników, przetwarzającej dane wrażliwe i podlegającej wymaganiom regulacyjnym staje się ryzykiem, a nie rozwiązaniem.
Pytanie nie brzmi: czy organizację stać na system?
Pytanie brzmi: czy stać ją na ryzyko jego braku?
Jeśli chcesz sprawdzić, jak Zantiga może pomóc Twojej organizacji przejść od arkuszy Excel do realnej kontroli nad dostępami IT, umów prezentację.
FAQ
Czy Excel może być rejestrem uprawnień?
Tak, Excel może pełnić funkcję pomocniczego rejestru, szczególnie na etapie inwentaryzacji lub porządkowania danych. Nie powinien jednak być podstawowym systemem zarządzania uprawnieniami w organizacjach o dużej skali, wielu systemach i wymaganiach audytowych.
Dlaczego Excel nie wystarcza do zarządzania dostępami IT?
Excel nie zapewnia workflow, historii zmian, automatycznego odbierania dostępów, cyklicznych przeglądów, pełnej ścieżki audytowej ani kontroli nad tym, czy dane są zgodne z rzeczywistym stanem systemów.
Co oznacza realna kontrola nad uprawnieniami?
Realna kontrola oznacza, że organizacja wie, kto ma dostęp, kto go zatwierdził, dlaczego został nadany, czy nadal jest potrzebny i kiedy został odebrany. Ważna jest też możliwość przedstawienia dowodów podczas audytu.
Czy NIS2 wpływa na zarządzanie uprawnieniami?
Tak. NIS2 zwiększa znaczenie zarządzania ryzykiem cyberbezpieczeństwa, rozliczalności, kontroli dostępu i udokumentowanych procesów. Organizacje powinny być w stanie wykazać, że dostęp do systemów jest kontrolowany.
Kiedy warto wdrożyć system IAM/IdM?
System IAM/IdM warto rozważyć, gdy organizacja ma wielu użytkowników, wiele systemów, przetwarza dane wrażliwe, podlega audytom lub regulacjom, korzysta z kontraktorów albo chce automatyzować nadawanie i odbieranie dostępów.
Chcesz sprawdzić, kiedy Excel przestaje wystarczać?
Umów prezentację Zantiga i zobacz, jak uporządkować zarządzanie uprawnieniami IT w organizacji.