Oprávnění a minimální správa přístupů
Modul 7: Přístupy, dodavatelé a cloud · Doba čtení: 10 minut
Cíl lekce: Po této lekci dokážete nastavit oprávnění podle zásady "co nejméně práv": každý má vlastní účet, správcovská práva jsou oddělená, externí strany mají přístup dočasný a omezený, a máte pevný postup pro situace, kdy někdo nastoupí, změní pozici nebo odejde.
Klíčové pojmy: least privilege (princip nejnižších oprávnění), osobní účet, sdílený účet, správcovský účet, oddělení funkcí, nástup, přechod a odchod, přehled přístupů
Princip: co nejméně práv
Least privilege (česky: princip minimálních oprávnění) znamená, že každý dostane přesně takový přístup, jaký potřebuje pro svou práci, a nic navíc. NIST to popisuje jako princip, podle kterého mají uživatelé pouze oprávnění, která jsou nezbytně nutná pro plnění jejich úkolů.
Proč je to důležité? Protože každý účet může dříve nebo později někdo převzít: phishingem (modul 3), uniklým heslem (lekce 1.4) nebo nakaženým notebookem. Co pak útočník dokáže, závisí zcela na oprávněních daného účtu. Účet stážisty, který se stará jen o sociální sítě, poskytne málo. Účet někoho, kdo je "pro pohodlí" správcem všeho, poskytne vše: poštu, platby, web, zálohy.
Minimální oprávnění tedy nesnižují pravděpodobnost průniku, ale snižují jeho škodu. Je to stejná myšlenka jako u klíčů od budovy: uklízečka má klíč od vchodových dveří, ne od trezoru.
Každý vlastní účet
Sdílený účet je účet, ke kterému se více lidí přihlašuje stejným heslem: "všichni se přihlašujeme pod info@example.com do účetního programu". Je to praktické, ale má to čtyři velké nevýhody:
- Nevíte, kdo co udělal. V protokolu je uvedeno jen "info". Pokud byla změněna platba, nelze dohledat, kdo to udělal.
- Nikoho nemůžete odpojit samostatně. Když někdo odejde, musíte změnit heslo všem, a v praxi se to často neděje.
- Dvoufázové ověření funguje špatně. Kód přijde na jeden telefon, takže se 2FA buď vypne, nebo se kód posílá dál.
- Heslo koluje přes WhatsApp, lístečky a e-mail, a přestává tak být tajné.
Osobní účet to všechno řeší: vlastní přihlášení, vlastní 2FA, vlastní protokol, lze samostatně odpojit. Téměř každá firemní služba podporuje více uživatelů s vlastními oprávněními. Sdílená e-mailová adresa jako info@ může klidně zůstat jako adresa; lidé, kteří ji čtou, by k ní pak měli mít přístup přes svůj vlastní účet, pokud to Váš e-mailový systém podporuje.
Správcovská práva zvlášť
Správcovský účet dokáže vytvářet uživatele, měnit oprávnění, upravovat nastavení a často i mazat data. Právě proto ho používejte co nejméně.
- Pracujte denně s běžným účtem a jako správce se přihlašujte jen tehdy, když opravdu něco spravujete. Totéž platí pro Váš notebook (lekce 5.2).
- Zajistěte si alespoň dva lidi se správcovskými právy u nejdůležitějších služeb, nebo dobře uschovaný nouzový účet. Pokud je jediný správce nemocný nebo nedostupný, zůstanete bez přístupu.
- Ale zároveň ne více, než je nutné. Pět správců ve firmě s osmi lidmi je o čtyři víc, než je třeba.
- Na každém správcovském účtu zapněte dvoufázové ověření, nejlépe odolné proti phishingu (lekce 2.4).
Oddělení funkcí jde ještě o krok dál: jedna osoba nesmí sama od začátku do konce provést citlivou operaci. Nejznámější příklad jste viděli v lekci 1.2: kdo zadá nové číslo účtu dodavatele, sám tu platbu neschvaluje. V malé firmě to lze zařídit jednoduše: jeden platbu připraví, druhý ji schválí v bankovní aplikaci.
Externí strany: dočasně a omezeně
Tvůrci webů, účetní, IT firmy a freelanceři často potřebují přístup. Klasickou chybou je dát jim vlastní heslo. Pak mohou dělat vše, co můžete Vy, a po skončení práce nevíte, kdo se ještě může dostat dovnitř.
Lepší postup:
- Dejte jim vlastní účet jen s oprávněními, která jsou potřeba. Účetnímu stačí faktury; tvůrci webu stačí soubory jedné webové stránky.
- Dejte přístup s koncovým datem, pokud jde o jednorázovou zakázku. Mnoho systémů umí účet nebo klíč automaticky nechat vypršet.
- Kde je to možné, omezte, z jaké sítě se dotyčný může přihlásit.
- Zaznamenejte si, kdo má jaký externí přístup a proč.
Nástup, přechod a odchod
Oprávnění sama od sebe rostou. Někdo začne v prodeji, pár měsíců pomáhá s administrativou a poté přejde do výroby. Pokud na to nikdo nedohlíží, má po dvou letech oprávnění ze všech tří pozic. Proto oprávnění řešte ve třech okamžicích:
| Okamžik | Co uděláte |
|---|---|
| Nástup (nový zaměstnanec) | Vytvořit vlastní účty s oprávněními dané role, hned nastavit 2FA, vysvětlit, kde co je |
| Přechod (jiná role) | Přidat nová oprávnění a odebrat ta stará |
| Odchod (ukončení) | V poslední pracovní den vypnout účty, zrušit relace na zařízeních, změnit sdílená hesla, předat soubory |
Při odchodu je důležité pořadí. Nejprve předat, pak vypnout a teprve později smazat. Pokud účet smažete okamžitě, u mnoha služeb spolu s ním zmizí i soubory, kalendáře a pošta dané osoby. U některých cloudových služeb je to po krátké lhůtě nevratné: Microsoft 365 podle vlastní dokumentace standardně uchovává OneDrive smazaného uživatele 30 dní. Vypnutí účtu zachová data a zároveň uzavře přístup.
Při odchodu nezapomeňte také na: pravidla přeposílání, která si daná osoba nastavila (lekce 2.5), hesla pro aplikace, přístup k bankovní aplikaci, sociálním sítím a registrátorovi Vaší domény, a klíče nebo karty od budovy.
Přehled přístupů
Přehled přístupů je jednoduchá tabulka: u každé služby kdo má přístup, s jakými oprávněními a zda jde o vlastní, nebo externí účet. Tento seznam projděte alespoň dvakrát ročně, a vždy po odchodu někoho z týmu. U každého řádku si položte jednu otázku: potřebuje to dotyčný dnes ještě opravdu?
V praxi: jak to vypadá
Ve vzorovém prostředí Můj WebOké pozvete kolegu, účetní nebo tvůrce webu jako uživatele. Ten se přihlásí s vlastními údaji a Vy u jednotlivých oprávnění zaškrtnete, co smí dělat, například jen Faktury pro účetní. Přizvat uživatele a měnit oprávnění může pouze vlastník účtu a přístup lze jedním kliknutím zase odebrat. V DirectAdmin můžete dát tvůrci webu vlastní FTP účet pro jednu složku, nebo přihlašovací klíč s datem vypršení, omezenými příkazy a přístupem pouze z určitých IP adres.
V Nextcloud u odcházejícího kolegy nejprve zvolte Vypnout: nemůže se už přihlásit, ale soubory zůstanou zachovány. Návod je jasný: uživatele smažte až poté, co je vše předáno, protože smazaný uživatel zmizí nenávratně i se všemi svými soubory. V jiných systémech to funguje podobně, ale názvy a lhůty se liší; než někdo odejde, ověřte si to předem.
Shrnutí
- Minimální oprávnění omezují škodu, pokud je účet převzat.
- Každý vlastní účet: víte, kdo co udělal, a můžete kohokoli samostatně odpojit.
- Správcovská práva používejte jen tehdy, je li to nutné, pro malý počet lidí, se silným 2FA.
- Externí strany dostávají vlastní, omezený a pokud možno dočasný účet, nikdy Vaše heslo.
- Oprávnění řešte při nástupu, přechodu i odchodu; při odchodu: předat, vypnout, teprve později smazat.
Kvíz
Úkol
Úkol A7.1: Kdo dostane jaký přístup? Dostanete sérii situací z malé firmy (nová účetní, tvůrce webu na zakázku, odcházející kolega, stážista). Pro každou situaci zvolte nejlepší způsob, jak přístup udělit nebo ukončit. Program Vaši volbu vyhodnotí a vysvětlí proč.
Úkol D7.1: Váš přehled přístupů. Vytvořte přehled přístupů pro svých pět nejdůležitějších služeb: kdo má přístup, s jakými oprávněními, vlastní, nebo sdílený účet, interní, nebo externí. Odeberte alespoň jedno zbytečné oprávnění nebo sdílený účet a sepište si postup pro odchod, který použijete příště, až někdo odejde.
Úkol D7.1: Váš přehled přístupů
Postupujte takto: (1) Vyberte svých pět nejdůležitějších služeb (například poštu, účetnictví, banku, hostingový panel, cloudové úložiště, registrátora domény). (2) Vytvořte přehled pro každou službu: kdo má přístup (role, jména nejsou potřeba), jaká práva, vlastní nebo sdílený účet, interní nebo externí, zapnuté dvoufázové ověření, datum posledního přihlášení, pokud to služba zobrazuje. (3) V každé službě vyhledejte seznam uživatelů a porovnejte ho se svým přehledem. Zapište si rozdíly. (4) Odeberte alespoň jedno zbytečné právo, jeden starý účet nebo jeden sdílený účet, případně nahraďte sdílený účet osobními účty. (5) Zkontrolujte u každé služby, kolik má administrátorů; usilujte o dva. (6) Napište si odchodový seznam: co děláte poslední pracovní den někoho (deaktivace účtů, zrušení relací, kontrola přesměrování a aplikačních hesel, změna sdílených hesel, předání souborů, banka, sociální sítě, registrátor, klíče a karty). (7) Nastavte si opakující se schůzku (dvakrát ročně) na kontrolu přehledu.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Další čtení
Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.
- Příručka WebOké 11.3: Pozvání uživatelů a nastavení oprávnění
- Příručka k Nextcloud 14.2: Uživatele vytvářet, upravovat, vypínat a mazat
- Příručka k Nextcloud 14.7: Oprávnění: kdo spravuje co ve Vašem Nextcloud
- Příručka k Nextcloud 16.7: Kolega odchází: jak bezpečně převzít soubory, kalendář a sdílené složky
- Příručka k DirectAdmin 3.5: Přihlašovací klíče: přihlašování pro skripty a programy
- Příručka k DirectAdmin 11.6: FTP účty vytváření a správa
- NIST, Glosář: least privilege (anglicky): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, uchovávání a mazání v OneDrive (anglicky): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion