Riadenie prístupov

Čo to znamená

Riadenie prístupov určuje, kto má do ktorých systémov a dát prístup a čo v nich smie robiť. Základné pravidlo je princíp minimálnych oprávnení: každý má práve toľko práv, koľko potrebuje na svoju prácu.

K tomu patrí identita na osobu, nie zdieľané konto. Zdieľané prihlásenie znemožňuje zistiť, kto čo urobil, a tým rozbíja aj audit log ako dôkazný prostriedok.

Riadenie prístupov má dve časti, ktoré sa často zamieňajú: overenie totožnosti, teda či sa prihlasuje naozaj ten človek, a oprávnenie, teda čo smie po prihlásení robiť. Silné heslo ani jednotné prihlásenie nevyriešia, že účtovníčka vidí aj mzdu konateľa - to je otázka nastavenia rolí, nie prihlasovania.

Ako to funguje v praxi

V účtovnej agende sa oddeľujú tri okruhy: kto zadáva doklady, kto schvaľuje platby a kto ich v banke potvrdzuje. Toto oddelenie je jadrom internej kontroly v malej firme.

Prístupy sa dokumentujú a raz za polrok prehodnocujú. Pri odchode človeka sa rušia v deň skončenia ako súčasť offboardingu, nie pri najbližšej príležitosti.

Keď preberáme účtovníctvo, dohodneme s klientom, aké prístupy naozaj potrebujeme: do internetbankingu spravidla len na čítanie výpisov, do elektronickej komunikácie s finančnou správou na základe plnej moci vlastným prihlásením, nie heslom konateľa. Pri skončení spolupráce sa tak všetko zruší jedným krokom bez menenia hesiel vo firme.

Na čo si dať pozor

Najčastejšie diery sú tri: aktívne konto bývalého zamestnanca, zdieľané heslo do banky a prístup externého dodávateľa, ktorý sa nikdy nezrušil. Prístup k osobným údajom navyše treba vedieť preukázať podľa GDPR a chrániť dvojfaktorovou autentifikáciou.

Druhé riziko je hromadenie oprávnení: človek prejde z fakturácie na nákup, dostane nové práva a staré mu ostanú. Po niekoľkých rokoch môže jeden zamestnanec zadať nového dodávateľa aj schváliť jeho platbu a oddelenie povinností existuje len na papieri. Pri podvode sa potom ťažko vysvetľuje, prečo to vnútropodnikové smernice nezachytili.