Czy wiesz, kto ma dane klientów? Kontrola dostępu do danych w firmie

Szybkie pytanie na początek:

Skąd wiadomo, że system kontroli dostępu funkcjonuje wadliwie?

Jeśli w Twojej organizacji:

• użytkownik biurowy w pierwszym dniu pracy dostaje szerokie, nadmierne uprawnienia administratorskie do zasobów,
• pracownicy logują się na konta nieobecnych w pracy pracowników,
• uprawnienia są nadawane bez możliwości późniejszej weryfikacji, kto wydał na nie zgodę
• po odejściu z pracy pracownika jego konta do zasobów pozostają aktywne
• pracownicy zapisują hasła, bo nie mogą ich zapamiętać,

lub mają miejsce podobne sytuacje, to system kontroli dostępu prawdopodobnie nie działa prawidłowo. Dlaczego to ważne? Kontrolowanie tego, kto w określonym czasie ma dostęp do zasobów, jest kluczowe do ochrony organizacji przed incydentami i cyberprzestępcami.

Alarmujące statystyki

Osób, którym zależy na zapewnieniu ograniczenia dostępu do zasobów jest w zasadzie garstka. Natomiast osób zainteresowanych dostępem do nich mogą być tysiące, setki tysięcy, a czasami miliony.

Według danych ESET w pierwszej połowie 2025 roku Polska znalazła się na pierwszym miejscu w świecie pod względem liczby wykrytych ataków ransomware, wyprzedzając w tym zakresie nawet Stany Zjednoczone. Zespół reagowania na incydenty bezpieczeństwa komputerowego CERT Polska działający w strukturze NASK w 2024 roku odnotował rekordowy wzrost aktywności cyberprzestępców. Liczba zgłoszeń wyniosła 600 000, co stanowi wzrost rok do roku o średnio o około 62%. Od stycznia do sierpnia doszło do 946 incydentów bezpieczeństwa komputerowego w ochronie zdrowia. Obok takich incydentów jak wprowadzenie do systemu złośliwego oprogramowania czy wyłudzenie danych, dochodziło także właśnie do nieautoryzowanego dostępu do systemów.

Problem dotyczy także samorządów, które według NIK mają poważne problemy z cyberbezpieczeństwem w zakresie m.in identyfikacji zbiorów danych wymagających ochrony, zabezpieczenia fizycznego serwerowni czy złożoności haseł. 

Nie popełnij tych błędów przy szkoleniach RODO. Sprawdź nasz poradnik!

Czym jest kontrola dostępu?

W najprostszym ujęciu kontrola dostępu to zespół środków organizacyjnych i technicznych mających na celu ograniczenie kto, kiedy i w jakim zakresie może przetwarzać określone informacje i mieć do nich dostęp. 

Podstawowe pojęcia z tego zakresu to przede wszystkim:

• identyfikacja, czyli posiadanie przez osobę, która chce mieć dostęp informacji identyfikujących (np. login)
• uwierzytelnienie, czyli proces potwierdzenia tożsamości
• autoryzacja, czyli proces weryfikacji, czy osoba logująca się może mieć dostęp do żądanego zasobu.

Jak w takim razie zbudować system kontroli dostępu?

Szczegółowych instrukcji dostarcza norma ISO 27001. Według kontrolki 5.15 należy ustanowić i wdrożyć system dostępu w oparciu o zasady dostępu fizycznego i logicznego i powiązanych z tym aktywów. Wymaga to określenia, co chcemy i musimy chronić, a to oczywiście wymaga rozpoznania aktywów organizacji. 

Oznacza to określenie:

1. z jakiego powodu chcemy chronić dane informacje
2. jak zabezpieczenia mają funkcjonować w odniesieniu do konkretnych aktywów
3. jak chcemy chronić te aktywa.

System zapór

Kontrola dostępu to nic innego jak system równorzędnych zapór, występujących na różnych poziomach i w różnych sferach organizacji:

• Zasada minimalnych uprawnień, według której dostęp przyznaje się tylko w sytuacji, kiedy dane uprawnienia są faktycznie niezbędne.
• Rozdział krytycznych funkcji. Przykładowo: osoba, która zarządza kontami użytkowników nie powinna zatwierdzać dostępu ani używać kont do operacji produkcyjnych.
• Szkolenia pracowników, zwłaszcza w zakresie ochrony przed socjotechniką 
• Automatyzacja onboardingu, czyli powiązanie zdarzeń kadrowych ze zdarzeniami operacyjnymi (przyznanie lub odcięcie dostępu od zasobu w odpowiednim momencie)
• Jeden centralny system tożsamości, czyli autorytatywne źródło informacji o użytkowniku, które ogranicza błędy ludzkie i rozproszenie kont.
• Uwierzytelnianie wieloskładnikowe dla wszystkich zasobów wrażliwych
• Zarządzanie dostępem uprzywilejowanym (Privileged Access Management – PAM), czyli system, w którym dostęp może być przyznawany w modelu “just in time”, tylko na czas trwania zadania, gdzie poszczególne sesje administratorów są dodatkowo rejestrowane. 
• Wymuszona polityka kluczy kryptograficznych, chociażby poprzez szyfrowanie, a następnie zastosowanie kontroli dostępu do kluczy deszyfrujących.

Należy łączyć elementy obowiązkowej kontroli dostępu ( zautomatyzowanej) z kontrolą uznaniową, w zależności od tego, z jakimi zasobami mamy do czynienia. Można stosować takie macierze kontroli dostępu jak RBAC (Role-Based Access Control) czy ABAC (Attribute-Based Access Control), czyli organizować kontrolę dostępu wokół ról przypisanych do zasobów, a nie decyzji indywidualnych administratora. Wcześniej określone role zapobiegają nieuprawnionej eskalacji uprawnień.

Ważna jest też tak zwana głęboka ochrona fizyczna, czyli zestawienie wielu wzajemnie uzupełniających się barier w ten sposób, żeby zasoby krytyczne były lokowane w najgłębszej warstwie.

Prowadzisz małą firmę i potrzebujesz dokumentów RODO? Sprawdź nasze pakiety!

Kontrola dostępu - najczęstsze błędy

Reaktywne podejście, czyli implementacja rozwiązań bezpieczeństwa dopiero po wystąpieniu incydentu. Z oczywistych względów lepiej jest stosować systemowe podejście jak najwcześniej i zapobiegać sytuacjom kryzysowym, bo każda z nich może nieść ogromne ryzyko dla organizacji.

Brak oparcia o klasyfikację informacji, czyli traktowanie wszystkich zasobów jako wrażliwych czy krytycznych.

Ochrona obwodowa –  założenie, że wszystko, co wewnątrz sieci jest zaufane.

Oparcie wyłącznie na technologii bez uwzględnienia czynnika ludzkiego. Zmuszanie do używania zbyt wielu haseł i skomplikowanych tokenów może spowodować, że zniecierpliwieni ludzie będą omijać zabezpieczenia, aby ułatwić sobie życie.

Brak interakcji z działem HR tworzy ryzyko, że zasoby, które powinny być już zablokowane, są dalej są aktywne dla danego użytkownika. 

Brak automatyzacji opieranie całego systemu o działania ręczne sprawia, że czasami przeglądy uprawnień odbywają się tylko na papierze.

Brak płynnego zarządzania tożsamością i zautomatyzowanych procesów zarządzania kontami użytkowników. 

Brak logowania zdarzeń, na przykład brak wymogu logowania wszystkich prób dostępu, przez co nie ma możliwości odtworzenia zdarzeń.

UODO kontroluje niezależność IOD – sprawdź wytyczne i uniknij kar!

Podsumowanie

Planując zapewnienie kontroli dostępu należy pamiętać, że jest to proces złożony, który powinien być realizowany w ujęciu kompleksowym. Prawidłowe wdrożenie modelu zarządzania kontrolą dostępu musi łączyć ze sobą aspekty systemowe, organizacyjne, zarządzania personelem, technologiczne, prawne i biznesowe. Dobrze zaprojektowana i wdrożona kontrola dostępu stanowi najważniejszą barierę ochronną zasobów organizacji.

Nie zostawaj w tyle za konkurencją! Zdobądź nowych klientów dzięki inwestycji w bezpieczeństwo i wiarygodność Twojej firmy. UMÓW BEZPŁATNĄ KONSULTACJĘ