Inwentaryzacja systemów IT. Pierwszy krok do kontroli dostępów i zgodności z NIS2

Systemy działające poza centralną ewidencją

Z rozmów prowadzonych przez nas z pracownikami urzędów wynika, że nawet 70% organizacji korzysta z systemów, które nie są objęte centralną ewidencją dostępu.

Nie jest to wynik reprezentatywnego badania całego sektora publicznego, ale obserwacja z rozmów i doświadczeń projektowych. Pokazuje jednak powtarzalny problem: część systemów funkcjonuje poza wspólnym modelem zarządzania uprawnieniami.

Mogą być administrowane lokalnie, obsługiwane przez dostawcę albo znane tylko kilku pracownikom. Ryzyko pojawia się wtedy, gdy organizacja nie potrafi wskazać, kto odpowiada za system, znajdujące się w nim dane oraz decyzje dotyczące dostępu.

System pominięty w ewidencji łatwo pominąć również podczas zmiany stanowiska, odejścia pracownika, przeglądu uprawnień albo audytu.

Inwentaryzacja systemów IT a NIS2

Droga do zgodności z NIS2 nie zaczyna się od zakupu systemu IAM. Zaczyna się od wiedzy o środowisku, które organizacja ma chronić.

Dyrektywa NIS2 wymaga stosowania adekwatnych i proporcjonalnych środków zarządzania ryzykiem cyberbezpieczeństwa. Obejmują one między innymi:

• analizę ryzyka i bezpieczeństwo systemów informatycznych,
• bezpieczeństwo zasobów ludzkich,
• polityki kontroli dostępu,
• zarządzanie aktywami.

Aby skutecznie zarządzać ryzykiem i dostępem, organizacja musi najpierw znać swoje systemy, zasoby i odpowiedzialności. Trudno objąć kontrolą środowisko, którego pełny zakres nie został rozpoznany.

NIS2 nie sprowadza zgodności do stworzenia arkusza z listą aplikacji. Inwentaryzacja systemów IT jest jednak praktycznym fundamentem, który pozwala przełożyć wymagania dotyczące zarządzania aktywami i kontroli dostępu na konkretne działania.

Co powinna zawierać ewidencja systemów IT?

Sama nazwa systemu i producenta nie wystarczą. Dla każdego systemu warto określić:

1. Przeznaczenie i zakres danych — jakie procesy wspiera i jakie informacje przetwarza?
2. Właściciela biznesowego — kto odpowiada za sposób wykorzystania systemu?
3. Administratora technicznego — kto utrzymuje system i wykonuje zatwierdzone operacje?
4. Zasady dostępu — kto zatwierdza uprawnienia oraz jak są one nadawane i odbierane?
5. Sposób weryfikacji — kto sprawdza, czy aktywne dostępy nadal są potrzebne?

W ten sposób ewidencja staje się nie tylko listą technologii, ale również mapą odpowiedzialności za systemy i dostępy.

Właściciel biznesowy to nie administrator

Jednym z problemów ujawnianych podczas inwentaryzacji jest automatyczne przypisywanie całej odpowiedzialności działowi IT.

Administrator zna techniczną stronę systemu. Może utworzyć konto, przypisać rolę albo odebrać dostęp. Nie musi jednak wiedzieć, czy pracownik nadal potrzebuje konkretnego uprawnienia.

Dlatego warto rozdzielić dwie role:

• właściciel biznesowy określa przeznaczenie systemu, zasady wykorzystania i biznesową zasadność dostępu,
• administrator techniczny utrzymuje system oraz realizuje zatwierdzone decyzje.

Więcej o takim podziale ról wyjaśniamy w artykule „Odpowiedzialność za uprawnienia w urzędzie. Dlaczego nie powinna spoczywać wyłącznie na IT?”

Co może ujawnić inwentaryzacja?

Dobrze przeprowadzona inwentaryzacja pozwala wykryć między innymi:

• systemy bez właściciela biznesowego,
• aplikacje znane tylko jednej osobie,
• konta zarządzane poza standardowym procesem,
• dostępy bez udokumentowanej akceptacji,
• brak zasad odbierania uprawnień,
• konta byłych pracowników,
• systemy pomijane podczas audytów.

Nie wszystkie problemy trzeba rozwiązać jednocześnie. Najpierw należy zobaczyć pełny obraz środowiska, a następnie ustalić priorytety według ryzyka.

Jak zacząć inwentaryzację systemów IT?

Proces można rozpocząć od trzech kroków.

1. Zbierz istniejące źródła wiedzy

Wykorzystaj rejestry IT, wykazy umów i licencji, dokumentację bezpieczeństwa, rejestry czynności przetwarzania oraz informacje od administratorów.

2. Potwierdź listę z wydziałami

IT nie zawsze zna wszystkie lokalne aplikacje. Dlatego warto zapytać wydziały o systemy i narzędzia używane do przetwarzania oraz wymiany danych.

3. Przypisz odpowiedzialność i priorytety

Dla każdego systemu wskaż właściciela biznesowego, administratora i osobę zatwierdzającą dostęp. W pierwszej kolejności uporządkuj systemy krytyczne, zawierające dane wrażliwe, wykorzystywane przez wielu użytkowników lub pozbawione wyraźnego właściciela.

Czy Excel wystarczy do ewidencji systemów?

Na początku arkusz kalkulacyjny może pomóc zebrać informacje o systemach i ich właścicielach. Nie zapewnia jednak obiegu akceptacji, automatycznej reakcji na zmiany kadrowe, kontroli terminów, porównania ewidencji ze stanem rzeczywistym ani kompletnej ścieżki audytowej.

Jak Zantiga wspiera pierwszy etap?

Wdrożenie Zantigi nie musi rozpoczynać się od automatyzacji całego środowiska. Najpierw pomagamy organizacji:

• Zidentyfikować wykorzystywane systemy — pełna mapa aplikacji i narzędzi działających w organizacji.
• Przypisać właścicieli biznesowych i technicznych — jednoznaczna odpowiedzialność za każdy system.
• Opisać obecny sposób zarządzania dostępami — dokumentacja istniejących procesów i ich luk.
• Wskazać luki i ustalić kolejność działań — priorytety według ryzyka, nie według wygody.

Dopiero na takim fundamencie można świadomie projektować procesy, przeglądy uprawnień i integracje.

Organizacja może zacząć od jednego systemu lub wydziału, a następnie stopniowo rozszerzać zakres. To podejście zgodne z zasadą ewolucji, a nie rewolucji.

Pięć pytań, od których warto zacząć

Przed rozmową o narzędziu IAM sprawdź, czy organizacja potrafi odpowiedzieć:

1. Ile systemów IT rzeczywiście wykorzystujemy?
2. Kto jest właścicielem biznesowym każdego z nich?
3. Kto zatwierdza dostęp, a kto realizuje go technicznie?
4. Co uruchamia zmianę lub odebranie uprawnień?
5. Czy możemy sprawdzić, kto ma dziś dostęp i na jakiej podstawie?

Jeżeli zebranie tych informacji wymaga wielu telefonów, wiadomości i przeszukiwania różnych rejestrów, warto zacząć od stworzenia wspólnej ewidencji systemów oraz przypisania odpowiedzialności.

Najpierw wiedza, później automatyzacja

Nie można skutecznie zarządzać dostępem do systemów, których organizacja nie zidentyfikowała. Nie można też uporządkować decyzji, jeśli nie wiadomo, kto jest właścicielem danego zasobu.

Dlatego droga do kontroli dostępów i zgodności z NIS2 zaczyna się od odpowiedzi na podstawowe pytania:

• jakie systemy posiadamy,
• jakie dane w nich przetwarzamy,
• kto za nie odpowiada,
• kto zatwierdza dostęp,
• kto realizuje decyzję technicznie.

Dopiero później przychodzi czas na standaryzację, certyfikację uprawnień i automatyzację.

Jeden system, jeden właściciel i jeden jasno opisany proces na raz. Bez rewolucji w istniejącej strukturze.

Najczęściej zadawane pytania

Czym jest inwentaryzacja systemów IT?

To identyfikacja systemów używanych w organizacji oraz opisanie ich przeznaczenia, właścicieli, administratorów, danych i sposobu zarządzania dostępem.

Czy NIS2 wymaga inwentaryzacji systemów IT?

NIS2 wymaga zarządzania ryzykiem, aktywami i kontrolą dostępu. Nie narzuca jednego konkretnego rejestru, ale inwentaryzacja stanowi praktyczną podstawę do ustalenia, jakie systemy i zasoby organizacja musi chronić.

Czy do rozpoczęcia inwentaryzacji potrzebny jest system IAM?

Nie. Pierwszą ewidencję można przygotować na podstawie istniejącej dokumentacji i rozmów z wydziałami. System IAM pozwala później przejść od statycznego rejestru do kontrolowanego procesu nadawania, zmiany, odbierania i weryfikacji uprawnień.