Pontosan ki vállal jogosultságbeállítást Budapesten?

Tizenöt éve állítok be hozzáférési jogokat mindenféle rendszerhez

Szakemberként az egyik leggyakoribb panasz, amit hallok, az a jogosultságbeállítás bonyolultsága. Az emberek nem értik, miért kell ennyi munka. Miért nem lehet egyszerűen mindenkit beengedni mindenhova. Aztán amikor ellopnak valamit, vagy valaki hozzáfér bizalmas adatokhoz, akkor jön a felismerés.

A jogosultságbeállítás az alapja minden biztonsági rendszernek. Nem számít, milyen drága kamerád van, milyen okos zárad. Ha bárki bemehet bárhova, az egész értelmét veszti. Láttam már céget, ahol mindenki hozzáfért a szerverteremhez. Aztán csodálkoztak, hogy miért lopnak adatokat.

Budapesten dolgozom sok éve, és mindig ugyanazt látom. A rendszer telepítésekor mindenki kapja a maximális jogosultságot. Aztán senki sem szűkíti le. Egy takarító ugyanolyan hozzáféréssel rendelkezik, mint a vezérigazgató. Ez abszurd, de sajnos gyakori.

Személyes meggyőződésem, hogy a jogosultságok helyes beállítása fontosabb, mint maga a beléptető rendszer. Egy jól konfigurált egyszerű rendszer biztonságosabb, mint egy drága okos megoldás rossz beállításokkal. De ezt kevesen értik meg.

Miért szenvednek az ügyfelek ezzel a témával

Az emberek nem látják át, hogy ki mire jogosult. Van egy ötven fős cég, mindenkinek más munkája, más szükségletei. De a jogosultságok rendszere olyan bonyolult, hogy senki sem érti. Aztán vagy mindenki kap mindent, vagy senki sem kap semmit. Egyik sem jó megoldás.

Második fájdalom a változások kezelése. Jön egy új munkatárs, kap jogosultságot. Elmegy egy régi, de senki nem törli. Fél év múlva húsz inaktív felhasználó van a rendszerben, akik még mindig be tudnak lépni. Ez óriási biztonsági rés. De senki nem figyel rá.

Harmadik probléma a túl sok jog adása. Könnyebb mindenkinek mindent megadni, mint végiggondolni, kinek mire van szüksége. De akkor jön a baj. Valaki véletlenül töröl egy fontos fájlt. Vagy szándékosan visszaél a jogával. És akkor mindenki csodálkozik.

Negyedik nehézség a dokumentáció hiánya. Senki sem jegyzi fel, ki miért kapott jogot. Ki hagyta jóvá. Mikor járnak le ezek a jogok. Fél év múlva senki nem emlékszik, miért fér hozzá valaki egy bizonyos helyiséghez. De törölni sem merik, hátha fontos.

Ötödször a felelősség kérdése. Ki felel azért, hogy a jogosultságok rendben vannak. A rendszergazda, a HR, a vezető. Ha ez nincs tisztázva, akkor senki sem csinálja. És közben az egész rendszer értelmetlenné válik.

Volt egy eset, amikor egy budapesti irodaházban felfedezték, hogy egy takarítócég alkalmazottja éjszakánként átjár a zárt irodákba. Semmi rosszat nem csinált, csak kíváncsi volt. De hozzáfért mindenhez, mert valaki négy éve beállította neki a teljes jogosultságot. És senki sem ellenőrizte azóta.

Mit tartalmaz egy professzionális jogosultság-kezelés

Első lépés mindig a felmérés. Ki dolgozik az épületben vagy cégnél. Milyen szerepkörök vannak. Ki mit csinál naponta. Ezen adatok alapján lehet megtervezni, kinek mire van szüksége. Nem elég azt mondani, mindenki kapja meg az alapot. Ez nem működik.

Második elem a szerepkörök definiálása. Például van recepciós, van könyvelő, van raktáros, van vezető. Mindegyiknek más jogosultságokra van szüksége. A recepciósnak kell a bejárat, a könyvelőnek az iroda, a raktárosnak a raktár. Ezt előre meg kell tervezni.

Harmadik komponens a időkorlátozások beállítása. Van, akinek csak munkaidőben kell hozzáférés. Van, akinek hétvégén is. Van, akinek éjszaka is. Ezt mind be lehet állítani a rendszerben. De csak akkor, ha valaki végig gondolja.

Negyedik rész a jogok dokumentálása. Minden beállítást le kell írni. Ki, mikor, miért kapott jogot. Ki hagyta jóvá. Mikor jár le. Ez unalmas munka, de elengedhetetlen. Ha fél év múlva kérdés merül fel, tudni kell a választ.

Ötödik tétel a rendszeres ellenőrzés. Havonta vagy negyedévente végig kell nézni a listát. Ki az, aki már nem dolgozik itt. Ki az, aki más pozícióba került. Ki az, akinek megváltoztak a feladatai. És frissíteni a jogosultságokat ennek megfelelően.

Hatodik elem a riasztások beállítása. Ha valaki próbál belépni oda, ahova nincs joga, az jelzést kell adjon. Ha valaki szokatlan időben használja a kártyáját, az is. Ezek automatikusak lehetnek, csak be kell állítani őket. De sokan elfelejtik.

Hetedik dolog a tartalék mechanizmus. Mi van, ha valaki sürgősen hozzá kell férjen valahova, de nincs joga. Kell lennie egy átmeneti jogosultság-adási folyamatnak. De ez ne legyen túl könnyű, mert akkor visszaélnek vele. Meg kell találni az egyensúlyt.

Reális árak különböző mélységű beállításokra

A jogosultságbeállítás ára függ a rendszer méretétől, a felhasználók számától, a bonyolultságtól. Egy tíz fős kisvállalkozás más, mint egy százfős cég. Itt van egy áttekintő, amit saját tapasztalataim és a Qjob.hu alapján állítottam össze.

Ezek az összegek munkadíjat jelentenek. Ha speciális szoftvert kell használni, az lehet plusz költség. De 20000 forint alatt ne várj alapos munkát. Láttam már olcsó megoldásokat, ahol össze-vissza voltak a jogok, és később sokkal többe került rendbe tenni.

Személyes véleményem az, hogy a jogosultságbeállítás az a terület, ahol nem érdemes spórolni. Egy rossz beállítás komoly biztonsági kockázatot jelent. És utána javítani mindig drágább, mint elsőre jól csinálni.

Két eset, ami megmutatta, mennyire fontos ez

Első történet egy budapesti ügyvédi irodáról szól. Volt nekik egy titkárnőjük, aki tíz éve dolgozott náluk. Aztán felmondott. Elment, de senki nem törölte a jogosultságát. Három hónap múlva kiderült, hogy éjszakánként bejár, és átmásolja az ügyféladatokat egy konkurens irodának. A kamerák rögzítették, de senki nem nézte. Ha rendszeres jogosultság ellenőrzés lett volna, ez nem történhetett volna meg.

Tanulság ebből az, hogy az elköltözött emberek jogait azonnal törölni kell. Nem holnap, nem jövő héten. Aznap. És ellenőrizni kell, hogy tényleg törlődött. Mert egy rossz beállítás hónapokig ott lehet a rendszerben.

Második eset egy társasházban történt. Volt egy lakó, aki kapott jogot a közös helyiségekhez, mert rendezvényt szervezett. Időkorlátozás nélkül. Aztán fél év múlva rájöttek, hogy éjszakánként használja a közösségi termet magáncélra. Senki nem szólt neki, mert mindenki azt hitte, joga van hozzá. Pedig csak egyszer kellett volna neki.

Ebből a tanulság, hogy minden jogosultságnak legyen lejárati ideje. Ha valaki egyszer kér valamit, ne adj neki végtelen hozzáférést. Adj egy hónapot, egy hetet, ami kell. Aztán automatikusan járjon le. És ha még kell neki, újra kérje. Ez egyszerű szabály, de kevesen alkalmazzák.

Amit tanácsként adnék minden vezetőnek vagy üzemeltetőnek

Ne halaszd a jogosultságok rendbe tételét. Tudom, hogy unalmas munka. Tudom, hogy sok idő. De ez az alapja a biztonságnak. Ha ezt nem csinálod meg rendesen, minden más felesleges. A legdrágább kamera, a legokosabb zár mind semmit nem ér, ha bárki bemegy bárhova.

Jelölj ki valakit, aki felelős érte. Ez lehet egy rendszergazda, egy HR-es, egy biztonsági szakember. De legyen egy személy, aki tudja, mi a helyzet. Aki havonta ellenőriz. Aki frissít, amikor kell. És aki válaszol, ha kérdés van.

Dokumentálj mindent. Unalmas, tudom. De fél év múlva megköszönöd magadnak. Amikor nem emlékszel, miért kapott valaki jogot, a dokumentáció megmondja. Amikor vita van, a papír nem hazudik. Ezt komolyan vedd.

Végül pedig keress szakembert, ha nem megy. Ne próbáld meg egyedül, ha nem értesz hozzá. A jogosultságbeállítás bonyolult tud lenni. És egy hiba komoly következményekkel járhat. Itt az oldalon találsz embereket, akik értik ezt. Nézz meg értékeléseket, kérdezz ajánlatot. És ha megtaláltad a megfelelőt, hallgass rá. Ez a te biztonságod.