Dwa dni IN.SE.CON 2026 były dla nas okazją do wielu rozmów o cyberbezpieczeństwie, audycie i realnych wyzwaniach, z którymi mierzą się dziś dyrektorzy IT, CISO oraz osoby odpowiedzialne za compliance. Szczególnie dużo uwagi poświęciliśmy tematowi zarządzania uprawnieniami IT — obszarowi, który coraz częściej staje się jednym z kluczowych punktów audytów, kontroli i projektów związanych z bezpieczeństwem organizacji.
Podczas wydarzenia Tomasz Mikołajczyk z Intalio poprowadził prezentację „Od chaosu do kontroli: jak zapanować nad uprawnieniami IT zanim zrobi to audytor”. Wystąpienie pokazało, że problem nie dotyczy wyłącznie technologii. To również kwestia odpowiedzialności, procesów, dowodów audytowych i gotowości organizacji do odpowiedzi na bardzo konkretne pytania.
Bo audytor nie pyta ogólnie, czy „dostępy są pod kontrolą”. Audytor pyta konkretnie: kto ma dostęp, kto go zatwierdził, dlaczego został nadany, czy nadal jest potrzebny i kiedy zostanie odebrany.
Audyt nie tworzy chaosu. Audyt tylko pokazuje, czy organizacja ma kontrolę nad dostępami.
Wyzwania IT i „pytania grozy” podczas audytu
Dyrektorzy IT i CISO funkcjonują dziś w środowisku coraz większej presji regulacyjnej i operacyjnej. Organizacje muszą jednocześnie spełniać wymogi prawne, przygotowywać się do certyfikacji, obsługiwać bieżące zgłoszenia użytkowników, reagować na incydenty i utrzymywać bezpieczeństwo wielu systemów.
W takim środowisku szczególnie trudne okazują się tzw. „pytania grozy”, które pojawiają się podczas audytów i kontroli. To pytania, które brzmią prosto, ale w praktyce wymagają pełnej, aktualnej i wiarygodnej wiedzy o dostępach:
- kto ma dostęp do danego systemu,
- kto zatwierdził konkretny dostęp,
- na jakiej podstawie dostęp został nadany,
- czy dostęp jest nadal potrzebny,
- czy użytkownik ma tylko minimalne wymagane uprawnienia,
- kto zmieniał uprawnienia użytkownika,
- czy można odtworzyć historię dostępów,
- czy dostęp został odebrany po odejściu pracownika,
- czy istnieją konta i uprawnienia utworzone poza oficjalnym procesem.
Problem polega na tym, że w wielu organizacjach odpowiedzi na te pytania są rozproszone. Część znajduje się w mailach, część w zgłoszeniach, część w arkuszach Excel, część w dokumentacji papierowej, a część w wiedzy administratorów. Taki model nie zapewnia realnej kontroli, a dodatkowo jest podatny na błędy, nieaktualność danych i manipulacje.
Jeśli organizacja nie ma jednego wiarygodnego źródła informacji o dostępach, przygotowanie się do audytu staje się czasochłonne i stresujące. A im większa skala organizacji, tym trudniej utrzymać aktualność danych ręcznie.
Excel i dokumentacja papierowa nie gwarantują kontroli
Wiele organizacji zaczyna od prostych narzędzi: arkuszy Excel, dokumentów, maili i papierowych formularzy. Na początkowym etapie takie rozwiązania mogą wydawać się wystarczające. Pozwalają zapisać, kto ma dostęp, do jakiego systemu i kto zaakceptował wniosek.
Problem pojawia się wtedy, gdy organizacja zaczyna wymagać czegoś więcej niż samego rejestru. Zarządzanie uprawnieniami IT wymaga procesu, historii zmian, zatwierdzeń, cyklicznych przeglądów i możliwości wykazania, że dane są wiarygodne.
Excel może być rejestrem, ale nie jest systemem kontroli dostępu.
Excel nie wymusza polityk bezpieczeństwa. Nie pilnuje zasady minimalnych uprawnień. Nie odbiera automatycznie dostępu. Nie daje pełnej ścieżki audytowej. Nie zapewnia suwerenności informacji o dostępach, jeśli dane mogą być nadpisane, zmienione lub usunięte bez odpowiedniej kontroli.
Dlatego w kontekście audytu kluczowe pytanie brzmi nie: „czy mamy arkusz?”, ale: „czy mamy proces i wiarygodne dane, które można obronić przed audytorem?”.
Więcej o ograniczeniach arkuszy kalkulacyjnych pisaliśmy w artykule: Arkusz Excel dla uprawnień – pytanie o ryzyko, odpowiedzialność i skalę.
Dlaczego Active Directory nie wystarcza?
Drugim często spotykanym założeniem jest przekonanie, że skoro organizacja korzysta z Active Directory, to ma zarządzanie dostępami pod kontrolą. Rzeczywiście, ponad 80% firm korzysta z AD do zarządzania użytkownikami, ale samo Active Directory nie rozwiązuje problemu zarządzania pełnym cyklem życia uprawnień.
AD jest ważnym elementem infrastruktury, ale nie jest kompletnym systemem IAM/IDM.
Najczęstsze ograniczenia Active Directory to:
- brak pełnej obsługi zewnętrznych kontraktorów,
- brak pełnego kontekstu biznesowego dostępu,
- brak historii uprawnień w ujęciu audytowym,
- brak informacji o uprawnieniach zaplanowanych na przyszłość,
- brak pełnego procesu Identity Lifecycle,
- brak kompletnej ścieżki zatwierdzeń,
- brak wygodnego mechanizmu okresowych przeglądów uprawnień,
- konieczność stosowania dodatkowych systemów klasy IDM do automatyzacji procesów.
Active Directory pokazuje część stanu technicznego, ale nie odpowiada na wszystkie pytania audytowe: kto zatwierdził dostęp, dlaczego został nadany, czy nadal jest zasadny, kiedy powinien wygasnąć i czy został przyznany zgodnie z procesem.
Dlatego organizacje, które chcą realnie kontrolować dostęp, potrzebują nie tylko katalogu użytkowników, ale systemowego procesu zarządzania tożsamością i uprawnieniami.
Problem odchodzącego pracownika
Jednym z najważniejszych obszarów zarządzania uprawnieniami jest moment zakończenia współpracy z pracownikiem lub kontraktorem. To właśnie wtedy organizacja musi mieć pewność, że dostęp do systemów, aplikacji i danych został odebrany niezwłocznie.
Zgodnie z dobrymi praktykami i standardami bezpieczeństwa, takimi jak NIST, uprawnienia osób odchodzących z organizacji powinny być odbierane bez zbędnej zwłoki. W praktyce jednak proces offboardingu bardzo często zależy od współpracy kilku działów: HR, IT, przełożonych, właścicieli systemów i administratorów.
Jeśli brakuje automatyzacji, powstają wąskie gardła. Informacja o odejściu pracownika może nie dotrzeć do właściwej osoby na czas. Część dostępów może zostać odebrana, ale inne — szczególnie w systemach pobocznych, lokalnych lub specjalistycznych — mogą pozostać aktywne.
Nieaktywne konta z aktywnymi dostępami są realnym zagrożeniem dla bezpieczeństwa. To nie tylko problem techniczny, ale także ryzyko audytowe, regulacyjne i reputacyjne.
Dlatego zarządzanie dostępami musi obejmować pełny cykl życia użytkownika: od zatrudnienia, przez zmianę stanowiska i zakresu obowiązków, aż po zakończenie współpracy.
Ten temat rozwijamy również w artykule: Pracownik odszedł z organizacji. Kiedy traci dostęp do systemów?.
NIS2, DORA i Krajowy System Cyberbezpieczeństwa
Nowe regulacje i wymagania dotyczące cyberbezpieczeństwa zwiększają znaczenie kontroli dostępu. Organizacje objęte regulacjami takimi jak NIS2, DORA czy Krajowy System Cyberbezpieczeństwa muszą wykazać, że zarządzają ryzykiem, stosują odpowiednie środki bezpieczeństwa i posiadają udokumentowane procesy.
W obszarze uprawnień szczególnie ważne są:
- zasada minimalnych uprawnień,
- kontrola cyklu życia dostępów,
- formalny proces nadawania i odbierania uprawnień,
- dokumentowanie decyzji dostępowych,
- możliwość przeprowadzenia przeglądu uprawnień,
- rozliczalność działań,
- szybkie reagowanie na zmiany kadrowe,
- możliwość wygenerowania materiałów dowodowych dla audytu.
W praktyce oznacza to, że zarządzanie uprawnieniami nie może opierać się wyłącznie na ręcznych ustaleniach i rozproszonych plikach. Potrzebne jest podejście, które daje organizacji kontrolę, transparentność i możliwość udowodnienia, że proces działa.
Zantiga jako system IAM/IDM
Zantiga została zaprojektowana jako rozwiązanie IAM/IDM, które pomaga organizacjom przejść od chaosu i procesów ręcznych do uporządkowanego zarządzania dostępami. System wspiera zarówno organizacje, które dopiero wychodzą z Excela i papierowych procedur, jak i te, które chcą dalej automatyzować dojrzałe procesy.
Najważniejsze założenie jest ewolucyjne: nie trzeba zmieniać wszystkiego jednego dnia. Można zacząć od uporządkowania rejestru, procesów i odpowiedzialności, a następnie stopniowo automatyzować kolejne obszary.
Zantiga wspiera m.in.:
- nadawanie uprawnień,
- modyfikację dostępów,
- odbieranie uprawnień,
- obsługę wniosków,
- akceptacje zgodne ze strukturą organizacyjną,
- współpracę HR i IT,
- zarządzanie pracownikami i kontraktorami,
- automatyzację powtarzalnych zadań,
- dokumentowanie decyzji,
- przeglądy i certyfikację uprawnień,
- raportowanie dla audytu.
Dzięki temu organizacja zyskuje nie tylko listę dostępów, ale pełny proces zarządzania cyklem życia uprawnień.
Certyfikacja uprawnień: wykrywanie patologii w dostępie
Ważnym elementem wystąpienia była certyfikacja uprawnień, czyli porównywanie stanu rzeczywistego w systemach z oficjalnym rejestrem i zatwierdzonymi procesami.
To pozwala wykrywać tzw. patologie, czyli sytuacje, w których konta lub uprawnienia powstały poza oficjalnym obiegiem. Mogą to być dostępy nadane ręcznie, bez wniosku, bez akceptacji, bez historii decyzji lub bez powiązania z aktualną rolą użytkownika.
Certyfikacja uprawnień pomaga odpowiedzieć na pytania:
- czy rzeczywisty stan dostępów zgadza się z rejestrem,
- czy ktoś posiada uprawnienia nadane poza procesem,
- czy istnieją konta techniczne lub użytkownicy bez właściciela,
- czy dostęp nadal jest uzasadniony biznesowo,
- czy przełożony lub właściciel systemu potwierdził zasadność dostępu,
- czy organizacja potrafi wykazać zgodność przed audytorem.
To szczególnie ważne w większych organizacjach, gdzie przez lata mogły narastać wyjątki, ręczne obejścia i nieudokumentowane decyzje.
Gotowość audytowa zamiast improwizacji
Jedną z największych korzyści z systemowego podejścia do zarządzania uprawnieniami jest gotowość audytowa. Organizacja nie musi improwizować, szukać danych po mailach, prosić administratorów o ręczne zestawienia ani rekonstruować historii decyzji.
System pozwala szybko wygenerować raporty i materiały dowodowe dla audytorów. Pokazuje, kto miał dostęp, kto go zatwierdził, kiedy nastąpiła zmiana, czy przeprowadzono przegląd i czy dostęp został odebrany zgodnie z procesem.
To zmienia sposób pracy organizacji. Audyt przestaje być sytuacją kryzysową, a staje się naturalnym sprawdzeniem procesu, który działa na co dzień.
Wdrożenie Zantiga: warsztatowo i etapowo
Wdrożenie systemu Zantiga odbywa się w formule warsztatowej. Dzięki temu rozwiązanie jest dopasowywane do rzeczywistych procesów organizacji, jej struktury, ról, systemów i poziomu dojrzałości.
Typowe wdrożenie może zająć około 5–6 tygodni, w zależności od zakresu, liczby systemów i stopnia przygotowania organizacji. Ważne jest to, że projekt nie musi oznaczać rewolucji. Może być ewolucyjnym przejściem od Excela, papieru i ręcznych ustaleń do coraz większej automatyzacji.
W praktyce wdrożenie obejmuje:
- analizę obecnych procesów,
- warsztaty z zespołami HR, IT i biznesem,
- konfigurację struktury organizacyjnej,
- mapowanie systemów i uprawnień,
- przygotowanie procesów wnioskowania i akceptacji,
- konfigurację automatyzacji,
- testy,
- uruchomienie produkcyjne,
- opiekę powdrożeniową.
Więcej o podejściu do wdrożenia znajdziesz w sekcji: Wdrożenie Zantiga.
Korzyści biznesowe dla organizacji
Zarządzanie uprawnieniami IT nie jest wyłącznie projektem technicznym. To obszar, który bezpośrednio wpływa na koszty operacyjne, bezpieczeństwo, zgodność i pracę zespołów.
Dzięki Zantiga organizacja może zyskać:
- redukcję kosztów operacyjnych,
- odciążenie działów IT z powtarzalnych prac manualnych,
- mniej ręcznych zgłoszeń i mniej błędów,
- większą transparentność procesów,
- realną kontrolę zamiast improwizacji,
- suwerenność informacji o dostępach,
- możliwość wykazania zgodności podczas audytu,
- szybsze odbieranie dostępów,
- lepszą współpracę HR, IT i biznesu,
- ograniczenie ryzyka kont osieroconych i nadmiarowych uprawnień.
W praktyce system działa jak „dodatkowa para rąk” dla działu IT — przejmuje powtarzalne zadania, pilnuje procesu i pomaga ograniczyć ryzyko wynikające z ręcznej obsługi dostępów.
Dziękujemy za rozmowy podczas IN.SE.CON 2026
Dziękujemy wszystkim, którzy odwiedzili nasze stoisko podczas IN.SE.CON 2026, uczestniczyli w prezentacji i rozmawiali z nami o wyzwaniach związanych z zarządzaniem uprawnieniami IT.
Dyskusje podczas konferencji pokazały, że organizacje coraz lepiej rozumieją, że kontrola dostępów nie jest już wyłącznie zadaniem administratorów. To element cyberbezpieczeństwa, zgodności, audytu i odpowiedzialności biznesowej.
Jeśli chcesz zobaczyć materiał z prezentacji „Od chaosu do kontroli”, możesz przejść do prezentacji tutaj: zobacz prezentację.
A jeśli chcesz sprawdzić, jak Zantiga może pomóc Twojej organizacji przejść od Excela, papieru i improwizacji do realnej kontroli nad uprawnieniami IT, umów prezentację.
FAQ
Co to są „pytania grozy” w audycie IT?
„Pytania grozy” to praktyczne pytania audytowe dotyczące dostępu do systemów, np. kto ma dostęp, kto go zatwierdził, dlaczego został nadany, czy nadal jest potrzebny i czy można odtworzyć historię zmian.
Dlaczego Active Directory nie wystarcza do zarządzania uprawnieniami?
Active Directory jest ważnym narzędziem do zarządzania użytkownikami, ale nie zapewnia pełnego cyklu życia uprawnień, historii decyzji, obsługi wszystkich kontraktorów, przyszłych dostępów, certyfikacji uprawnień i kompletnej gotowości audytowej.
Czym jest Identity Lifecycle?
Identity Lifecycle to pełny cykl życia tożsamości i uprawnień użytkownika w organizacji — od zatrudnienia lub rozpoczęcia współpracy, przez zmianę roli, nadawanie i modyfikację dostępów, aż po ich odebranie po zakończeniu współpracy.
Co oznacza zasada minimalnych uprawnień?
Zasada minimalnych uprawnień oznacza, że użytkownik powinien mieć wyłącznie taki dostęp, jaki jest niezbędny do wykonywania jego obowiązków. Pomaga to ograniczyć ryzyko nadużyć, błędów i incydentów bezpieczeństwa.
Czym jest certyfikacja uprawnień?
Certyfikacja uprawnień to proces okresowego sprawdzania, czy rzeczywiste dostępy użytkowników są zgodne z rejestrem, rolami, zatwierdzonymi wnioskami i potrzebami biznesowymi. Pomaga wykrywać nadmiarowe lub nieudokumentowane uprawnienia.
Jak Zantiga pomaga w audycie?
Zantiga umożliwia prowadzenie historii decyzji, automatyzację procesów, certyfikację uprawnień i generowanie raportów audytowych. Dzięki temu organizacja może szybciej odpowiedzieć na pytania audytora i przedstawić wiarygodne materiały dowodowe.