Pracownik odchodzi z urzędu w piątek, a w poniedziałek jego konto nadal loguje się do systemu EZD. Administrator ma prawa domenowe, których nikt nie audytował od czterech lat. Wójt korzysta z tego samego hasła co dwa lata temu. To nie hipotezy — to obraz z audytów, które przeprowadzamy w JST co miesiąc. Zarządzanie tożsamością i dostępem (IAM) to obszar, w którym najmniejszym nakładem można uzyskać największą redukcję ryzyka. Poniżej pokazujemy, co powinno działać w każdym urzędzie.

Dlaczego IAM jest fundamentem cyberbezpieczeństwa w JST

Ponad 60% naruszeń bezpieczeństwa w administracji publicznej wykorzystuje przejęte lub niekontrolowane konta użytkowników. Ransomware wchodzi zwykle nie przez lukę zero-day, tylko przez konto administratora z hasłem „Wiosna2023!” bez MFA. Dlatego audyt KSC i wymagania KRI stawiają zarządzanie tożsamością obok backupu jako mechanizm o krytycznym znaczeniu.

Dobrze wdrożone IAM w urzędzie odpowiada na cztery pytania: kto ma dostęp, do czego, na jakiej podstawie i kto to potwierdził. Odpowiedzi muszą być udokumentowane, aktualne i weryfikowalne.

MFA — obowiązkowe dla całego urzędu, nie tylko dla adminów

Uwierzytelnianie wieloskładnikowe (MFA) redukuje ryzyko przejęcia konta o ponad 99%. Wymaganie MFA powinno obejmować:

• wszystkie konta z dostępem do systemów dziedzinowych (EZD, systemy finansowe, ewidencyjne);
• wszystkie konta administracyjne — bez wyjątku;
• dostęp zdalny (VPN, RDP, terminale);
• pocztę urzędu (szczególnie skrzynki funkcyjne i kierownictwa);
• panele administracyjne dostawców zewnętrznych.

Preferowane metody: aplikacje mobilne (TOTP, push), klucze sprzętowe FIDO2/U2F dla kont administracyjnych. SMS jako drugi składnik należy stopniowo wycofywać — jest podatny na SIM swap.

Cykl życia konta użytkownika — proces JML

W dojrzałych JST istnieje udokumentowany proces Joiners, Movers, Leavers:

Joiner — nowy pracownik

Zgłoszenie z kadr → utworzenie konta z uprawnieniami wynikającymi z roli, nie z „konta koleżanki obok” → wymuszona zmiana hasła i włączenie MFA przy pierwszym logowaniu → podpisany dokument o zapoznaniu się z polityką bezpieczeństwa.

Mover — zmiana stanowiska

Reset uprawnień do wartości domyślnych dla nowej roli. To najczęściej pomijany krok — pracownik po latach kariery ma dostępy do wszystkich wydziałów, w których kiedykolwiek pracował. Efekt: skarbnik z 15-letnim stażem widzi rzeczy, których nie powinien.

Leaver — koniec pracy

Automatyczne zablokowanie konta w dniu wyjścia (nie dzień później, nie tydzień później). Wyłączenie dostępu do poczty, VPN, systemów dziedzinowych. Zarchiwizowanie skrzynki. Odebranie kart dostępu i tokenów. Ten proces musi być natychmiastowy i udokumentowany — z podpisem kierownika bezpośredniego i informatyka.

Zasada najmniejszych uprawnień i przeglądy okresowe

Każde konto powinno mieć minimalny zestaw uprawnień niezbędny do wykonania pracy — nie więcej. W praktyce oznacza to:

• rozdzielenie kont zwykłych i administracyjnych (jeden użytkownik = dwa konta);
• brak stałych uprawnień administracyjnych — przyznawane just-in-time po zatwierdzeniu;
• segregacja obowiązków — osoba wprowadzająca dane nie zatwierdza własnych operacji finansowych.

Do tego przeglądy okresowe: raz na kwartał kierownik wydziału potwierdza listę osób i ich uprawnień. Konta bez potwierdzenia są automatycznie wyłączane. To jedno działanie potrafi wyeliminować dziesiątki „martwych dusz” w Active Directory.

Konta uprzywilejowane — najcenniejsze klucze do urzędu

Konta administratorów domeny, administratorów baz danych i systemów dziedzinowych to najwyższe ryzyko w organizacji. Standardem powinno być rozwiązanie klasy PAM (Privileged Access Management), które:

• przechowuje hasła kont uprzywilejowanych w sejfie (nie na karteczce, nie w Excelu);
• wymusza zatwierdzanie sesji administracyjnych i ich nagrywanie;
• rotuje hasła po każdym użyciu lub cyklicznie;
• rejestruje każde użycie konta uprzywilejowanego w logach audytowych.

W mniejszych urzędach, gdzie budżet nie pozwala na dedykowane PAM, minimum to sejf haseł (np. Vaultwarden, Passbolt), MFA sprzętowe na wszystkich kontach administracyjnych i osobny komputer administracyjny (Privileged Access Workstation) nieużywany do poczty i przeglądania Internetu.

Konta serwisowe i integracje — cichy obszar wysokiego ryzyka

Konta używane przez aplikacje (dostęp do bazy, integracja EZD z systemem finansowym) często mają uprawnienia szersze niż to konieczne i hasła niezmieniane od wdrożenia. Powinny być:

• imiennie przypisane do systemu, z odpowiedzialnym administratorem;
• oznaczone w AD (np. prefiks „svc_”) i wyłączone z interaktywnego logowania;
• z hasłami rotowanymi automatycznie;
• uwzględniane w przeglądach kwartalnych na równi z kontami użytkowników.

Od czego zacząć — mapa działań na pierwsze 90 dni

1. Inwentaryzacja kont w AD, w każdym systemie dziedzinowym i u dostawców.
2. Wymuszenie MFA na wszystkich kontach administracyjnych i kierownictwie.
3. Pierwszy przegląd uprawnień z podpisem kierowników wydziałów.
4. Wdrożenie procedury JML w porozumieniu z działem kadr.
5. Wdrożenie sejfu haseł dla kont uprzywilejowanych.

Kompleksowe zarządzanie tożsamością i dostępem w urzędzie to jedno z tych działań, gdzie zwrot z inwestycji jest natychmiastowy — nawet podstawowy program IAM zamyka drogę większości realnych ataków. Pomagamy JST projektować politykę dostępu, wdrażać MFA i PAM oraz przeprowadzać pierwsze przeglądy uprawnień.