PAM

Čo to znamená

PAM, teda správa privilegovaného prístupu, označuje nástroje a postupy na kontrolu účtov s najvyššími oprávneniami, napríklad administrátorov serverov, databáz, účtovného systému či cloudových služieb. Práve tieto účty sú najcennejším cieľom útočníkov, pretože otvárajú cestu ku všetkému ostatnému.

Princíp je jednoduchý: heslá k privilegovaným účtom sa neukladajú v hlavách ani tabuľkách, ale v trezore. Prístup sa prideľuje len na čas nevyhnutný pre konkrétnu úlohu, po schválení a s dvojfaktorovou autentifikáciou. Každá akcia sa zaznamenáva.

PAM je špecializovaná súčasť riadenia prístupov a jeden z pilierov prístupu zero trust. Zatiaľ čo bežný správca hesiel pomáha zamestnancom s ich vlastnými účtami, PAM rieši zdieľané a technické účty s neobmedzenou mocou nad systémami.

Ako to funguje v praxi

V malej firme sa PAM často začína inventúrou: kto má administrátorské práva, k čomu a prečo. Zvyčajne sa ukáže, že bývalí dodávatelia majú stále prístup, zamestnanci pracujú bežne pod administrátorským účtom a heslo k serveru pozná polovica kancelárie.

Ďalším krokom je oddelenie bežného a privilegovaného účtu, takže administrátor číta e-maily pod obyčajným účtom a správcovský používa len na zásahy. Prístup externého IT dodávateľa sa otvára na požiadanie a po skončení práce sa automaticky zatvorí.

Záznamy o privilegovaných reláciách sa ukladajú do auditného logu, ktorý nemôže upraviť ani samotný administrátor. Pre firmy pod smernicou NIS2 je kontrola privilegovaného prístupu jedným z očakávaných bezpečnostných opatrení.

Na čo si dať pozor

Najväčším rizikom býva núdzový prístup typu rozbite sklo, ktorý nikto nekontroluje. Ak existuje, musí byť zapečatený, jeho použitie hlásené a heslo po každom použití zmenené, inak sa z výnimky stane trvalé zadné vrátka.

Nástroj sám nestačí, ak ho ľudia obchádzajú. Príliš zložitý proces vedie k tomu, že administrátori si heslá opäť zapisujú bokom. Pravidlá musia byť primerané veľkosti firmy a doplnené o pravidelné preverovanie, kto prístup naozaj potrebuje.