Modul 7 · 7.1
Práva a minimálna správa
Modul 7: Prístup, dodávatelia a cloud · Čas čítania: 10 minút
Cieľ lekcie: Po tejto lekcii dokážete nastaviť prístupové práva podľa zásady „čo najmenej“: každý má svoj vlastný účet, administrátorské práva sú oddelené, externé strany majú prístup dočasne a obmedzene, a máte stály postup pre situácie, keď niekto nastupuje, mení funkciu alebo odchádza.
Kľúčové pojmy: least privilege (minimálne práva), osobný účet, zdieľaný účet, administrátorský účet, oddelenie funkcií, nástup, zmena funkcie a odchod, prehľad prístupov
Zásada: čo najmenej
Least privilege (po slovensky: minimálne práva) znamená, že každý dostane presne taký prístup, aký potrebuje na svoju prácu, a nič navyše. NIST to opisuje ako zásadu, podľa ktorej majú používatelia len tie práva, ktoré sú minimálne potrebné na splnenie ich úloh.
Prečo je to dôležité? Pretože každý účet môže byť skôr či neskôr prevzatý: cez phishing (modul 3), uniknuté heslo (lekcia 1.4) alebo infikovaný notebook. To, čo potom útočník dokáže, závisí úplne od práv daného účtu. Účet brigádnika, ktorý má na starosti len sociálne siete, umožní útočníkovi len málo. Účet niekoho, kto je „pre istotu“ administrátorom všade, umožní všetko: e-mail, platby, webovú stránku, zálohy.
Minimálne práva teda neznižujú pravdepodobnosť prieniku, ale znižujú škody, ktoré spôsobí. Je to rovnaká myšlienka ako pri kľúčoch od budovy: upratovačka má kľúč od vchodu, nie od trezoru.
Každý má svoj vlastný účet
Zdieľaný účet je účet, do ktorého sa prihlasuje viacero ľudí rovnakým heslom: „všetci používame info@example.com na prihlásenie do účtovného programu“. Pôsobí to praktickejšie, ale má to štyri veľké nevýhody:
- Neviete, kto čo urobil. V denníku aktivít je uvedené len „info“. Ak sa zmení platba, nedá sa zistiť, kto to urobil.
- Nemôžete niekomu samostatne zrušiť prístup. Ak niekto odíde, musíte zmeniť heslo pre všetkých, a v praxi sa to často nestane.
- Dvojfaktorové overenie funguje zle. Kód príde len na jeden telefón, takže sa 2FA buď vypne, alebo sa kód posiela ďalej.
- Heslo koluje cez WhatsApp, papieriky a e-mail, a tým prestáva byť tajné.
Osobný účet toto všetko rieši: vlastné prihlásenie, vlastné 2FA, vlastný denník aktivít, dá sa samostatne zrušiť. Takmer každá firemná služba podporuje viacero používateľov s vlastnými právami. Zdieľaná e-mailová adresa ako info@ môže naďalej existovať ako adresa; ľudia, ktorí ju čítajú, by k nej mali mať prístup cez svoj vlastný účet, ak to váš mailový systém podporuje.
Administrátorské práva oddelene
Administrátorský účet môže vytvárať používateľov, meniť práva, upravovať nastavenia a často aj mazať údaje. Práve preto ho používate čo najmenej.
- Bežne pracujte s obyčajným účtom a prihláste sa ako administrátor len vtedy, keď potrebujete niečo spravovať. To platí aj pre váš notebook (lekcia 5.2).
- Zabezpečte, aby mali aspoň dvaja ľudia administrátorské práva na najdôležitejších službách, alebo majte dobre uschovaný núdzový účet. Ak je jediný administrátor chorý alebo nedostupný, ostanete zaseknutí.
- Zároveň však nie viac, ako je potrebné. Piati administrátori vo firme s ôsmimi ľuďmi, to je o štyroch viac, ako treba.
- Na každom administrátorskom účte zapnite dvojfaktorové overenie, najlepšie odolné voči phishingu (lekcia 2.4).
Oddelenie funkcií ide ešte o krok ďalej: jedna osoba nesmie sama od začiatku do konca vykonať citlivú operáciu. Najznámejší príklad ste videli v lekcii 1.2: kto zadá nové IBAN dodávateľa, ten istý by nemal aj sám schváliť platbu. V malej firme to môže byť jednoduché: jeden pripraví platbu, druhý ju schváli v bankovej aplikácii.
Externé strany: dočasne a obmedzene
Tvorcovia webových stránok, účtovníci, IT firmy a freelanceri často potrebujú prístup. Klasická chyba je dať im svoje vlastné heslo. Vtedy môžu urobiť všetko, čo môžete aj vy, a po skončení práce už neviete, kto má stále prístup.
Lepšie je:
- Dať im vlastný účet len s potrebnými právami. Účtovníkovi stačí prístup k faktúram; tvorcovi webovej stránky k súborom jednej webovej stránky.
- Pri jednorazovej zákazke dať prístup s dátumom ukončenia. Mnohé systémy dokážu účet alebo kľúč automaticky nechať vypršať.
- Kde je to možné, obmedziť, z akej siete sa daná osoba môže prihlásiť.
- Zaznamenať, kto má aký externý prístup a prečo.
Nástup, zmena funkcie a odchod
Práva prirodzene narastajú. Niekto začne v predaji, pár mesiacov pomáha s administratívou a potom prejde do výroby. Ak si na to nikto nedáva pozor, po dvoch rokoch má táto osoba práva zo všetkých troch funkcií. Preto práva riešite v troch okamihoch:
| Moment | Čo urobíte |
|---|---|
| Nástup (nový zamestnanec) | Vytvoriť vlastné účty s právami danej funkcie, hneď nastaviť 2FA, vysvetliť, kde čo nájde |
| Zmena funkcie (iná pozícia) | Pridať nové práva a odobrať staré |
| Odchod | V posledný pracovný deň vypnúť účty, odhlásiť relácie na zariadeniach, zmeniť zdieľané heslá, odovzdať súbory |
Pri odchode záleží na poradí. Najprv odovzdať, potom vypnúť, až neskôr odstrániť. Ak účet odstránite hneď, pri mnohých službách zmiznú aj súbory, kalendáre a e-mail danej osoby. Pri niektorých cloudových službách je to po krátkej dobe definitívne: Microsoft 365 podľa vlastnej dokumentácie uchováva OneDrive odstráneného používateľa štandardne 30 dní. Vypnutie zachová údaje a zablokuje prístup.
Pri odchode nezabudnite ani na: pravidlá na presmerovanie, ktoré si daná osoba nastavila (lekcia 2.5), heslá aplikácií, prístup do bankovej aplikácie, sociálne siete a registrátora vašej domény, ako aj kľúče alebo karty do budovy.
Prehľad prístupov
Prehľad prístupov je jednoduchá tabuľka: pre každú službu, kto má prístup, s akými právami, a či ide o vlastný alebo externý účet. Tento zoznam prejdite aspoň dvakrát ročne, a vždy po odchode niekoho. Pri každom riadku si položte jednu otázku: potrebuje táto osoba tento prístup ešte aj dnes?
V praxi: ako to vyzerá
Vo vzorovom prostredí Môj WebOké pozvete kolegu, účtovníka alebo tvorcu webovej stránky ako používateľa. Prihlási sa vlastnými údajmi a vy pri každom oprávnení zaškrtnete, čo môže robiť, napríklad len Faktúry pre účtovníka. Iba vlastník účtu môže pozývať používateľov a meniť práva, a jedným tlačidlom prístup znovu odoberiete. V DirectAdmin môžete tvorcovi webovej stránky dať vlastný FTP účet len pre jeden priečinok, alebo prihlasovací kľúč s dátumom platnosti, obmedzenými príkazmi a prístupom len z určitých IP adries.
V Nextcloud pri odchádzajúcom kolegovi najprv zvolíte Vypnúť: už sa nemôže prihlásiť, ale súbory zostanú zachované. Návod je jednoznačný: používateľa odstráňte až vtedy, keď je všetko prevzaté, pretože odstránený používateľ zmizne definitívne aj so všetkými svojimi súbormi. V iných systémoch to funguje podobne, ale názvy a lehoty sa líšia; overte si to ešte predtým, než niekto odíde.
Zhrnutie
- Minimálne práva obmedzujú škodu, keď je účet prevzatý.
- Každý má svoj vlastný účet: viete, kto čo urobil, a môžete niekomu samostatne zrušiť prístup.
- Administrátorské práva používate len vtedy, keď je to potrebné, pre malý počet ľudí, so silným 2FA.
- Externé strany dostanú vlastný, obmedzený a kde je to možné dočasný účet, nikdy nie vaše heslo.
- Práva riešite pri nástupe, zmene funkcie a odchode; pri odchode: odovzdať, vypnúť, neskôr odstrániť.
Kvíz
Úloha
Úloha A7.1: Kto dostane aký prístup? Dostanete sériu situácií z malej firmy (nový účtovník, tvorca webovej stránky na zákazku, odchádzajúci kolega, brigádnik). Pre každú situáciu vyberte najlepší spôsob, ako udeliť alebo zrušiť prístup. Program vyhodnotí váš výber a vysvetlí prečo.
Úloha D7.1: Váš prehľad prístupov. Vytvorte prehľad prístupov pre päť vašich najdôležitejších služieb: kto má prístup, s akými právami, vlastný alebo zdieľaný účet, interný alebo externý. Odstráňte aspoň jedno zbytočné právo alebo zdieľaný účet a napíšte si zoznam krokov pre nasledujúci odchod niekoho z firmy.
Úloha D7.1: Váš prehľad prístupov
Postupujte takto: (1) Vyberte svojich päť najdôležitejších služieb (napríklad e-mail, účtovníctvo, banku, hostingový panel, cloudové úložisko, registrátora vašej domény). (2) Vytvorte pre každú službu prehľad: kto má prístup (rola, mená nie sú potrebné), aké oprávnenia, vlastný alebo zdieľaný účet, interný alebo externý, dvojfaktorové overenie zapnuté, dátum posledného prihlásenia, ak to služba zobrazuje. (3) V každej službe si vyhľadajte zoznam používateľov a porovnajte ho so svojím prehľadom. Zapíšte si rozdiely. (4) Odstráňte minimálne jedno nadbytočné oprávnenie, jeden starý účet alebo jeden zdieľaný účet, alebo nahraďte zdieľaný účet osobnými účtami. (5) Skontrolujte v každej službe počet administrátorov; usilujte sa o dvoch. (6) Napíšte svoj zoznam pre ukončenie spolupráce: čo urobíte v posledný pracovný deň niekoho (deaktivácia účtov, zrušenie relácií, kontrola presmerovaní a hesiel aplikácií, zmena zdieľaných hesiel, odovzdanie súborov, banka, sociálne siete, registrátor, kľúče a karty). (7) Naplánujte opakujúcu sa pripomienku (dvakrát ročne) na kontrolu prehľadu.
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Čítajte ďalej
Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Príručka WebOké 11.3: Pozývanie používateľov a udeľovanie oprávnení
- Návod na Nextcloud 14.2: Vytváranie, úprava, deaktivácia a mazanie používateľov
- Návod na Nextcloud 14.7: Oprávnenia: kto spravuje čo vo vašom Nextcloud?
- Návod na Nextcloud 16.7: Kolega odchádza: bezpečné prevzatie súborov, kalendára a zdieľaných priečinkov
- Návod na DirectAdmin 3.5: Prihlasovacie kľúče: prihlasovanie pre skripty a programy
- Návod na DirectAdmin 11.6: FTP účty, vytváranie a správa
- NIST, Glossary: least privilege (po anglicky): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (po anglicky): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion