Managementul conturilor și al drepturilor de acces

În majoritatea standardelor și framework-urilor de securitate, de la ISO/IEC 27001 și CIS Controls până la NIS2, controlul accesului reprezintă una dintre măsurile fundamentale de reducere a riscului. O organizație poate investi în firewall-uri, soluții EDR, backup-uri și monitorizare, însă dacă nu știe cine are acces la sistemele sale și de ce, întreaga strategie de securitate devine vulnerabilă.

Managementul conturilor nu înseamnă doar crearea utilizatorilor în Active Directory, Microsoft 365 sau diverse aplicații de business. Acesta presupune administrarea întregului ciclu de viață al identităților și drepturilor de acces: de la acordare și modificare până la revocare și audit periodic.

De ce este important managementul conturilor?

Fiecare cont de utilizator reprezintă o identitate digitală care poate accesa unul sau mai multe active informaționale ale organizației.

O gestionare deficitară poate conduce la:

• furt sau alterare de date;
  
• incidente cauzate de conturi compromise;
  
• dificultăți în investigarea evenimentelor de securitate;
  
• neconformități identificate în audituri;
  
• încălcarea cerințelor contractuale sau legale.
  

În practică, numeroase incidente apar din cauza conturilor care au rămas active după plecarea unui angajat sau încetarea colaborării cu un furnizor.

Etapa 1: Identificarea activelor și a proprietarilor acestora

Orice proces de control al accesului trebuie să înceapă cu definirea activelor care necesită protecție.

Nu se poate controla accesul la resurse care nu sunt cunoscute.

Inventarul trebuie să includă:

Active hardware

• servere fizice;
  
• stații de lucru;
  
• echipamente de rețea;
  
• dispozitive mobile;
  
• sisteme industriale și IoT.
  

Active software

• ERP;
  
• CRM;
  
• WMS;
  
• aplicații financiare;
  
• aplicații dezvoltate intern;
  
• platforme SaaS.
  

Active informaționale

• baze de date;
  
• documentație tehnică;
  
• informații comerciale;
  
• date cu caracter personal;
  
• proprietate intelectuală.
  

Pentru fiecare activ trebuie stabilit un Asset Owner sau Information Owner, responsabil pentru:

• clasificarea informațiilor;
  
• aprobarea accesului;
  
• validarea drepturilor existente;
  
• participarea la auditurile periodice.
  

Un principiu de bază este că departamentul IT administrează tehnic accesul, însă proprietarul activului aprobă accesul.

Etapa 2: Inventarierea utilizatorilor interni

După identificarea activelor trebuie definită populația de utilizatori.

În multe organizații există diferențe majore între organigrama oficială și accesurile reale existente în sisteme.

Categorii tipice de utilizatori:

• angajați permanenți;
  
• personal temporar;
  
• stagiari;
  
• membrii conducerii;
  
• administratori IT;
  
• utilizatori privilegiați;
  
• utilizatori tehnici.
  

Pentru fiecare utilizator trebuie documentate minimum:

• numele și prenumele;
  
• identificatorul unic;
  
• funcția;
  
• departamentul;
  
• managerul direct;
  
• locația;
  
• statutul contractual;
  
• data angajării;
  
• sistemele necesare activității.
  

Aceste informații trebuie sincronizate cu procesele HR pentru a evita existența utilizatorilor „orfani”, care nu mai au o relație contractuală activă cu organizația.

Etapa 3: Definirea matricii de acces și a rolurilor

Una dintre cele mai frecvente greșeli este acordarea accesului individual, de la caz la caz.

Pe termen lung apare fenomenul de privilege creep: utilizatorii acumulează drepturi pe măsură ce își schimbă responsabilitățile, fără ca vechile accesuri să fie eliminate.

Soluția recomandată este utilizarea unei matrici de acces bazate pe roluri.

Exemplu:

Implementarea modelului RBAC (Role Based Access Control) permite:

• standardizarea accesurilor;
  
• reducerea erorilor;
  
• simplificarea auditului;
  
• aplicarea principiului privilegiului minim.
  

Etapa 4: Validarea și aprobarea accesului utilizatorilor interni

Orice solicitare de acces trebuie să urmeze un flux formal de aprobare.

Verificarea de către HR

Departamentul HR trebuie să confirme:

• existența unui contract activ;
  
• funcția ocupată;
  
• perioada contractuală;
  
• modificările de rol;
  
• încetarea raporturilor de muncă.
  

HR reprezintă sursa oficială a informațiilor privind statutul utilizatorului.

Verificarea de către managerul direct

Managerul direct validează:

• necesitatea accesului;
  
• aplicațiile necesare;
  
• nivelul privilegiilor;
  
• justificarea de business.
  

Aprobarea proprietarului activului

Pentru aplicațiile critice, proprietarul activului trebuie să valideze:

• compatibilitatea accesului cu responsabilitățile utilizatorului;
  
• separarea atribuțiilor (Segregation of Duties);
  
• riscurile asociate accesului solicitat.
  

Aprobarea conducerii

Pentru:

• acces administrativ;
  
• conturi privilegiate;
  
• sisteme financiare;
  
• date sensibile;
  

este recomandată aprobarea suplimentară a managementului.

Etapa 5: Gestionarea furnizorilor și a accesului terților

Accesul furnizorilor reprezintă una dintre cele mai importante surse de risc.

În mediile moderne există numeroși terți care pot necesita acces:

• firme IT;
  
• dezvoltatori software;
  
• furnizori cloud;
  
• consultanți;
  
• auditori;
  
• firme de mentenanță.
  

Fiecare acces acordat unei entități externe trebuie să fie corelat cu un contract și cu un scop clar definit.

Informații care trebuie documentate

Pentru fiecare furnizor trebuie înregistrate:

• numele companiei;
  
• persoanele autorizate;
  
• sistemele care vor fi accesate;
  
• tipul accesului;
  
• intervalul de valabilitate;
  
• responsabilul intern.
  

Verificarea contractuală

Înainte de acordarea accesului trebuie confirmate:

• existența contractului;
  
• existența acordurilor de confidențialitate;
  
• obligațiile privind securitatea informației;
  
• condițiile de protecție a datelor;
  
• perioada de colaborare.
  

Accesul furnizorilor ar trebui să fie întotdeauna:

• nominal;
  
• individual;
  
• limitat temporal;
  
• monitorizat;
  
• revocabil imediat.
  

Conturile partajate între mai mulți furnizori trebuie evitate deoarece elimină trasabilitatea acțiunilor.

Etapa 6: Gestionarea conturilor privilegiate

Conturile administrative necesită controale suplimentare.

Exemple:

• Domain Administrator;
  
• Global Administrator Microsoft 365;
  
• administratori baze de date;
  
• administratori firewall;
  
• administratori ERP.
  

Pentru aceste conturi se recomandă:

• utilizarea unui cont distinct de cel de utilizator obișnuit;
  
• autentificare multifactor (MFA);
  
• monitorizare permanentă;
  
• jurnalizarea activităților;
  
• revizuiri mai frecvente;
  
• acces Just-In-Time acolo unde este posibil.
  

Principiul este simplu: administratorii nu trebuie să utilizeze conturile privilegiate pentru activități de rutină precum e-mail sau navigare web.

Etapa 7: Procesul Joiner-Mover-Leaver (JML)

Un program matur de management al conturilor trebuie să gestioneze cele trei situații fundamentale din ciclul de viață al utilizatorilor.

Joiner (angajare)

La angajare:

• se creează identitatea digitală;
  
• se acordă accesurile inițiale;
  
• se configurează MFA;
  
• se atribuie grupurile și rolurile.
  

Mover (schimbare de funcție)

La schimbarea rolului:

• se elimină accesurile care nu mai sunt necesare;
  
• se acordă noile drepturi;
  
• se actualizează apartenența la grupuri.
  

Această etapă este adesea cea mai neglijată.

Leaver (plecare)

La încetarea colaborării:

• conturile se dezactivează imediat;
  
• accesurile VPN sunt eliminate;
  
• token-urile MFA sunt revocate;
  
• conturile privilegiate sunt eliminate;
  
• accesurile fizice sunt anulate.
  

Pentru plecările involuntare sau situațiile cu risc ridicat, revocarea accesului trebuie realizată înainte sau simultan cu notificarea persoanei.

Etapa 8: Auditul periodic al conturilor

Orice drept de acces acordat ar trebui să fie considerat temporar până la reconfirmare.

De aceea este necesară efectuarea unor recertificări periodice.

Frecvență recomandată

• lunar pentru conturile privilegiate;
  
• trimestrial pentru sistemele critice;
  
• semestrial sau anual pentru restul sistemelor.
  

Elemente care trebuie verificate

• Existența unei justificări valide
  

Pentru fiecare cont trebuie să existe:

• rol;
  
• manager responsabil;
  
• necesitate operațională.
  

Statutul utilizatorului

Se verifică dacă utilizatorul:

• este încă angajat;
  
• este contractor activ;
  
• este furnizor autorizat.
  

Nivelul privilegiilor

Trebuie analizat dacă:

• accesul este în continuare necesar;
  
• există drepturi excesive;
  
• există conflicte de atribuții.
  

Activitatea contului

Trebuie identificate:

• conturi inactive;
  
• conturi neutilizate;
  
• conturi duplicate;
  
• conturi tehnice fără proprietar desemnat.
  

Reguli de bază pentru curățarea conturilor

În timpul auditului se aplică o regulă simplă:

Dacă nu există o justificare documentată pentru existența contului, acesta trebuie dezactivat.

În practică, se elimină:

• conturile foștilor angajați;
  
• conturile furnizorilor fără contract activ;
  
• conturile inactive perioade lungi;
  
• conturile temporare expirate;
  
• conturile de test rămase în producție;
  
• conturile fără proprietar desemnat;
  
• conturile privilegiate neutilizate;
  
• accesurile moștenite din roluri anterioare.
  

O bună practică este dezactivarea inițială pentru o perioadă de retenție definită (30-90 zile), urmată de ștergere definitivă, dacă nu există motive de păstrare.

Managementul conturilor reprezintă unul dintre cele mai eficiente și mai puțin costisitoare controale de securitate pe care o organizație îl poate implementa. Un proces matur include inventarierea activelor, definirea rolurilor, aprobarea formală a accesului, gestionarea furnizorilor, controlul conturilor privilegiate, integrarea cu procesele HR și audituri periodice de recertificare.

În esență, obiectivul nu este doar să știm cine are acces la un sistem, ci să putem demonstra în orice moment că fiecare acces este justificat, aprobat, proporțional cu responsabilitățile utilizatorului și eliminat imediat atunci când necesitatea încetează. Acesta este fundamentul principiului „Zero Trust” și una dintre cerințele de bază ale unui sistem eficient de management al securității informației.