09/03/2024

Zasada minimalnych uprawnień w cyberbezpieczeństwie

Cyberbezpieczeństwo odgrywa kluczową rolę w zapewnieniu ochrony zasobów firmy przed zagrożeniami w cyberprzestrzeni. Jak tego dokonać? Kluczowym elementem zarządzania bezpieczeństwem systemów teleinformatycznym jest zasada minimalnych uprawnień. Jej celem jest ograniczenie dostępu do danych tylko dla tych użytkowników, którzy muszą z nich korzystać w związku z realizacją ciążących na nich obowiązków. Co trzeba wiedzieć o zasadzie minimalnych uprawnień i dlaczego w interesie przedsiębiorców leży jej wdrożenie?

Czym jest zasada minimalnych uprawnień

Zasada minimalnych uprawień (ang. Principle of Least Privilege, PoLP), zwana jest również zasadą najmniejszego uprzywilejowania oraz zasadą minimalnego uprzywilejowania. To fundamentalna koncepcja z dziedziny bezpieczeństwa informatycznego, zgodnie z którą zarówno użytkownicy, jak i zautomatyzowane narzędzia, powinny mieć w miarę możliwości ograniczony dostęp do procesów, programów i systemów operacyjnych. Zasada najmniejszego uprzywilejowania zakłada, że minimalizacja uprawnień, a więc ograniczenie pracownikom dostępu do określonych systemów oraz procesów do minimalnego i niezbędnego dla nich poziomu, jest być kluczowym elementem zarządzania bezpieczeństwem IT każdej firmy. Na czym w skrócie ona polega? W myśl tej koncepcji, określony pracownik powinien mieć dostęp wyłącznie do tych procesów i programów oraz tylko do tych poziomów, które umożliwiają mu prawidłowe wykonywanie zadań. Celem zasady minimalnych uprawnień jest ograniczenie potencjalnych ryzyk związanych z nieautoryzowanym dostępem do systemu i błędami ludzkimi. Jej wdrożenie jest dużym wyzwaniem dla firm. Wymaga nie tylko starannego planowania, ale również analizy i nieustannego monitorowania jej skuteczności.

Rola zasady najmniejszego uprzywilejowania

Zasada minimalnego uprzywilejowania jest elementem zarządzania bezpieczeństwem informacji oraz filozofią promującą odpowiedzialność i świadomość wśród użytkowników systemu. W czasach, w których cyfryzacja i cyberbezpieczeństwo odgrywają kluczową rolę w biznesie, zasada ta powinna być integralną częścią strategii bezpieczeństwa każdego przedsiębiorstwa. Jej zrozumienie i realizacja są kluczowe w obliczu rosnącej liczby cyberataków oraz istnienia coraz bardziej złożonych systemów IT.

W interesie przedsiębiorców leży wdrożenie zasady minimalnych uprawnień zarówno na poziomie indywidualnym, jak i organizacyjnym. Implementacja może jednak wymagać od nich wprowadzenia różnego typu zmian w architekturze systemu oraz ścisłej współpracy między różnymi działami przedsiębiorstwa. Warto mieć na uwadze, że nie tylko wdrożenie zasady jest wyzwaniem dla firm. Ich właściciele mogą napotykać różnego typu problemy na etapie zarządzania uprawnieniami. Z kolei niewłaściwe praktyki skutkują błędami i lukami w zabezpieczeniach, co z kolei zwiększa ryzyko naruszenia danych.

Korzyści dla firmy wdrażającej zasadę minimalnych uprawnień

Wdrożenie zasady minimalnych uprawnień przynosi firmie wiele korzyści. Co zyskuje przedsiębiorca stosujący ją? Przede wszystkim:

Konta zwykłe i uprzywilejowane

Wdrożenie zasady minimalnych uprawnień wiąże się z koniecznością wyszczególnienia różnych rodzajów kont, które posiadają określone kompetencje i uprawnienia. Celem takiego podziału jest uniemożliwienie dostępu do całego systemu lub wszystkich programów wszystkim pracownikom. Tylko wybrane osoby mogą mieć dostęp do całego systemu, a posiadanie takich uprawnień musi być uzasadnione – np. posiadanymi obowiązkami służbowymi.

Co do zasady w systemach operacyjnych wyróżnia się dwa rodzaje kont: konta zwykłe i uprzywilejowane. Pierwsze z wymienionych korzystają z programów lub procesów w trybie normalnym. Z kolei konta uprzywilejowane są dodatkowo uprawnione do wykonywania określonych działań, które są zastrzeżone tylko dla wybranych użytkowników. Z czego wynika wyszczególnienie kont uprzywilejowanych? Przyznanie dostępu wszystkim użytkownikom byłoby zbyt ryzykowne i naraziłoby przedsiębiorstwo na straty. Ewentualne naruszenia danych mogłyby być spowodowane nie tylko świadomym działaniem pracowników na niekorzyść firmy, ale również niedbalstwem lub niezachowaniem należytej staranności. Czym są poszczególne rodzaje kont i co trzeba o nich wiedzieć?

Czym są konta uprzywilejowane

Przez konta uprzywilejowane należy rozumieć konta specjalne użytkowników w systemach informatycznych posiadające dostęp do zasobów, narzędzi lub funkcji, które są nieosiągalne z poziomu kont zwykłych. Konta uprzywilejowane mają dostęp przykładowo do konfiguracji systemu, danych wrażliwych oraz narzędzi administracyjnych. Oznacza to, że pracownik posiadający konto uprzywilejowane, w przeciwieństwie do użytkowników z kontem zwykłym, może wykonywać działania mające wpływ na kluczowe zasoby lub cały system. W skrócie: konta uprzywilejowane posiadają wyższe uprawnienia niż konta zwykłe.

Grupa kont uprzywilejowanych jest zróżnicowana ze względu na rodzaj zasobów, do których mają dostęp, dlatego można wyróżnić różne typy kont. Co do zasady wskazać można istnienie kont:

Pierwsze z wyżej wymienionych posiadają pełny dostęp do systemu. Z kolei konta serwisowe przeznaczone są do wykonywania określonych działań. Natomiast użytkownicy posiadający konta deweloperskie posiadają dostęp do kodu źródłowego i narzędzi programistycznych.

Zarządzanie kontami uprzywilejowanymi

Konta uprzywilejowane wykorzystują posiadane uprawnienia do zarządzania systemem. Przeznaczone są do wdrażania, monitorowania oraz sprawowania kontroli nad zasadami bezpieczeństwa oraz dostępu do wrażliwych danych. Z uwagi na ich możliwości, przedsiębiorca powinien zadbać o przyznanie dostępu do konta uprzywilejowanego wyłącznie tym użytkownikom, których zakres obowiązków tego wymaga. Polityka stosowania tychże kont powinna być zgodna z regulacjami prawnymi. Dobrą praktyką jest wzorowanie się na standardach bezpieczeństwa typu ISO/IEC 27001.

Właściciele firm mają tendencję do zbyt częstego przyznawania kont uprzywilejowanych, co jest ryzykowne. Tymczasowe zwiększenie uprawnień powinny być traktowane, jako wyjątek od reguły. W interesie przedsiębiorców leży prawidłowe zarządzanie kontami uprzywilejowanymi, bo od tego zależy cyberbezpieczeństwo ich firmy, błędy w przyznawaniu uprawnień mogą skutkować występowaniem różnego typu naruszeń, które pociągną za sobą określone konsekwencje. Dobrą praktyką jest stosowanie minimalizacji uprawnień i wieloskładnikowego uwierzytelniania. Poza tym, firmy powinny monitorować, śledzić i rejestrować działania podejmowane na kontach uprzywilejowanych oraz przeprowadzać regularną kontrolę uprawnień i dostępu.

Konta zwykłe

Oprócz kont uprzywilejowanych istnieją również konta zwykłe, które nazywane są kontami standardowymi. Ich istnienie wynika z zasady minimalnych uprawnień. Co je wyróżnia? W przeciwieństwie do kont uprzywilejowanych posiadają ograniczone uprawnienia, co oznacza, że nie mają dostępu do niektórych zasobów – kluczowych z punktu widzenia cyberbezpieczeństwa. Z tego typu kont korzystają pracownicy, którzy nie potrzebują dostępu do narzędzi administracyjnych, zasobów kluczowych lub konfiguracji systemu. Przykładem takiej osoby będzie między innymi content creator. Zatem konta zwykłe przewidziane są dla użytkowników, którzy do celu realizacji obowiązków służbowych potrzebują jedynie dostępu do podstawowych funkcji i zasobów systemu. 

Dlaczego istnienie kont zwykłych ma fundamentalne znaczenie dla bezpieczeństwa systemu? Po pierwsze, istnienie kont zwykłych ogranicza ryzyko nieautoryzowanego dostępu. A po drugie, nawet jeśli atakującemu uda się uzyskać nieautoryzowany dostęp do zwykłego konta, z takiego poziomu ma ograniczone możliwości działania, więc ewentualne szkody będą mniejsze. Dlatego większość pracowników powinna korzystać właśnie z tego typu kont.

Zarządzanie kontami zwykłymi

Użytkownicy korzystający z kont zwykłych posiadają ograniczony dostęp do systemu, procesów i kluczowych zasobów. Przykładowo nie mogą modyfikować ustawień systemu. Oczywiście nie mogą również instalować oprogramowania. Poza tym, nie są w stanie zarządzać kontami innych użytkowników. Nie oznacza to jednak, że konieczność ochrony zasobów ich nie dotyczy. Istotną rolę pełni w tym względzie zarządzanie kontami zwykłymi. Na czym ono polega? Przede wszystkim na stosowaniu haseł i autentyfikacji wieloskładnikowej. Zarządzanie kontami zwykłymi obejmuje również monitorowanie aktywności konta oraz weryfikowanie, czy przyznane uprawnienia są zgodne z rolą użytkownika.

Zasada minimalnych uprawnień a RODO

Zasada minimalnych uprawnień jest w pewnym stopniu powiązana z prawem ochrony danych osobowych. RODO wymaga od firm przetwarzających dane osobowe stosowanie odpowiednich środków ochrony. Konieczność wdrożenia zasady minimalnego uprzywilejowania, choć nie wprost, wynika z treści art. 5 RODO. Artykuł ten narzuca firmom konieczność wdrożenia odpowiednich zabezpieczeń. Obowiązek ten jest przejawem realizacji zasady poufności i integralności, o której mowa w art. 5 ust. 1 lit. F ogólnego rozporządzenia o ochronie danych. Stosowanie zasady najmniejszego uprzywilejowania jest zgodne z art. 25 RODO. Poza tym, minimalne uprawnienia należy również postrzegać jako realizację obowiązków określonych w art. 32 rozporządzenia o ochronie danych osobowych. 

Warto również podkreślić, że zgodnie ze stanowiskiem Prezesa UODO (Prezesa Urzędu Ochrony Danych Osobowych), firma powinna rozważyć zakres przyznawania uprawnień do przetwarzania danych poszczególnym użytkownikom oraz powinna dokonywać regularnych przeglądów i w razie konieczności odbierać nadane dostępy.

Jakub Kozioł Managing Partner

(+48) 600 818 015