Modulul 7 · 7.1
Drepturi și administrare minimă
Modulul 7: Acces, furnizori și cloud · Timp de citire: 10 minute
Obiectiv: După această lecție veți putea organiza drepturile de acces conform principiului „minimul necesar”: fiecare persoană cu cont propriu, drepturi de administrator separate, parteneri externi cu acces temporar și limitat, și o abordare fixă pentru momentul în care cineva începe, își schimbă funcția sau pleacă.
Noțiuni-cheie: least privilege (privilegiul minim), cont personal, cont partajat, cont de administrator, separarea sarcinilor, intrare, tranziție și ieșire, registru de acces
Principiul: cât mai puțin posibil
Least privilege (în română: privilegiul minim) înseamnă că fiecare persoană primește exact accesul necesar pentru activitatea sa, și nimic în plus. NIST descrie acest lucru ca fiind principiul conform căruia utilizatorii au doar drepturile strict necesare pentru sarcinile lor.
De ce este important acest lucru? Pentru că orice cont poate fi, mai devreme sau mai târziu, compromis: prin phishing (modulul 3), o parolă scursă (lecția 1.4) sau un laptop infectat. Ceea ce poate face un atacator depinde în totalitate de drepturile acelui cont. Contul unui stagiar care se ocupă doar de rețelele sociale oferă puțin acces. Contul cuiva care este, „de comoditate”, administrator peste tot oferă acces la tot: e-mail, plăți, site-ul web, copiile de siguranță.
Drepturile minime nu reduc, așadar, șansa unei intruziuni, dar reduc pagubele. Este aceeași logică ca la cheile unei clădiri: persoana de curățenie are cheie de la ușa principală, nu de la seiful de valori.
Fiecare persoană cu cont propriu
Un cont partajat este un cont la care mai multe persoane se autentifică folosind aceeași parolă: „folosim cu toții info@example.com pentru a ne autentifica în programul de contabilitate”. Pare practic, dar are patru dezavantaje majore:
- Nu știți cine a făcut ce. În jurnal apare doar „info”. Dacă o plată a fost modificată, nu puteți stabili cine a făcut-o.
- Nu puteți dezactiva accesul unei singure persoane. Când cineva pleacă, trebuie să schimbați parola pentru toată lumea, lucru care, în practică, de multe ori nu se întâmplă.
- Autentificarea în doi pași funcționează prost. Codul ajunge pe un singur telefon, deci fie se dezactivează 2FA, fie codul este transmis mai departe tuturor.
- Parola circulă prin WhatsApp, bilețele și e-mail, și astfel nu mai este secretă.
Un cont personal rezolvă toate aceste probleme: autentificare proprie, 2FA proprie, jurnal propriu, poate fi dezactivat individual. Aproape orice serviciu profesional permite mai mulți utilizatori cu drepturi proprii. O adresă partajată precum info@ poate continua să existe ca adresă; permiteți persoanelor care o citesc să aibă acces prin propriul cont, dacă sistemul dumneavoastră de e-mail permite acest lucru.
Drepturi de administrator separate
Un cont de administrator poate crea utilizatori, modifica drepturi, schimba setări și, adesea, șterge date. Tocmai de aceea îl folosiți cât mai rar posibil.
- Lucrați zilnic cu un cont obișnuit și autentificați-vă ca administrator doar atunci când trebuie să administrați ceva. Acest lucru este valabil și pentru laptopul dumneavoastră (lecția 5.2).
- Asigurați-vă că există cel puțin două persoane cu drepturi de administrator la serviciile cele mai importante, sau un cont de urgență păstrat în siguranță. Dacă singurul administrator este bolnav sau absent, rămâneți blocați.
- Dar nici mai mulți decât e necesar. Cinci administratori într-o firmă de opt persoane înseamnă patru în plus.
- Activați autentificarea în doi pași pe fiecare cont de administrator, de preferință una rezistentă la phishing (lecția 2.4).
Separarea sarcinilor merge și mai departe: o singură persoană nu are voie să efectueze singură, de la început până la sfârșit, o acțiune sensibilă. Cel mai cunoscut exemplu l-ați văzut în lecția 1.2: cine introduce un nou IBAN al unui furnizor nu aprobă și plata respectivă. Într-o firmă mică, acest lucru poate fi simplu: unul pregătește plata, celălalt o aprobă în aplicația bancară.
Parteneri externi: acces temporar și limitat
Dezvoltatorii de site-uri web, contabilii, firmele de IT și liber-profesioniștii au adesea nevoie de acces. Greșeala clasică este să li se dea propria dumneavoastră parolă. Astfel, aceștia pot face tot ce puteți și dumneavoastră, iar ulterior nu mai știți cine mai are acces.
Mai bine:
- Oferiți un cont propriu cu doar drepturile necesare. Unui contabil îi este suficient accesul la facturi; unui dezvoltator de site-uri web, la fișierele unui singur site.
- Oferiți acces cu o dată de expirare dacă este vorba de o lucrare punctuală. Multe sisteme pot expira automat un cont sau o cheie.
- Limitați, acolo unde este posibil, din ce rețea se poate autentifica cineva.
- Notați cine are ce acces extern și de ce.
Intrare, tranziție și ieșire
Drepturile cresc de la sine. Cineva începe în vânzări, ajută câteva luni la contabilitate, apoi trece la producție. Dacă nimeni nu este atent, după doi ani acea persoană are drepturile tuturor celor trei funcții. De aceea, reglați drepturile în trei momente:
| Moment | Ce faceți |
|---|---|
| Intrare (angajat nou) | Creați conturi proprii cu drepturile aferente funcției, configurați imediat 2FA, explicați unde se găsește ce |
| Tranziție (altă funcție) | Adăugați noile drepturi și eliminați-le pe cele vechi |
| Ieșire (plecare) | În ultima zi de lucru dezactivați conturile, revocați sesiunile pe dispozitive, schimbați parolele partajate, transferați fișierele |
La ieșire, ordinea este importantă. Mai întâi transferați, apoi dezactivați, abia mai târziu ștergeți. Dacă ștergeți un cont imediat, la multe servicii dispar și fișierele, calendarele și e-mailurile persoanei respective. La unele servicii cloud acest lucru devine definitiv după un termen scurt: Microsoft 365 păstrează, conform documentației proprii, OneDrive-ul unui utilizator șters implicit timp de 30 de zile. Dezactivarea păstrează datele și blochează accesul.
La plecarea unei persoane, nu uitați nici de: regulile de redirecționare pe care persoana respectivă le-a configurat (lecția 2.5), parolele de aplicație, accesul la aplicația bancară, rețelele sociale și registrarul domeniului dumneavoastră, precum și cheile sau cardurile de acces în clădire.
Registrul de acces
Un registru de acces este un tabel simplu: pentru fiecare serviciu, cine are acces, cu ce drepturi și dacă este un cont propriu sau extern. Verificați această listă cel puțin de două ori pe an, și întotdeauna după o plecare. Pentru fiecare rând, puneți-vă o singură întrebare: are această persoană nevoie și astăzi de acest acces?
În practică: cum arată
În mediul de exemplu Contul meu WebOké invitați un coleg, un contabil sau un dezvoltator de site-uri web ca utilizator. Acesta se autentifică cu propriile date, iar dumneavoastră bifați pentru fiecare permisiune ce are voie să facă, de exemplu doar Facturi pentru contabil. Doar proprietarul contului poate invita utilizatori și modifica drepturi, iar cu un singur buton puteți revoca accesul oricând. În DirectAdmin puteți oferi unui dezvoltator de site-uri web un cont FTP propriu pentru un singur director, sau o cheie de autentificare cu dată de expirare, comenzi limitate și acces doar de la anumite adrese IP.
În Nextcloud, pentru un coleg care pleacă, alegeți mai întâi Disable: acesta nu se mai poate autentifica, dar fișierele rămân păstrate. Manualul este clar: ștergeți utilizatorul abia după ce totul a fost preluat, deoarece un utilizator șters dispare definitiv împreună cu toate fișierele sale. În alte sisteme acest lucru funcționează similar, dar denumirile și termenele diferă; verificați acest lucru înainte ca cineva să plece.
Rezumat
- Drepturile minime limitează pagubele atunci când un cont este compromis.
- Fiecare persoană cu cont propriu: astfel știți cine a făcut ce și puteți dezactiva accesul individual.
- Drepturile de administrator se folosesc doar când este necesar, pentru un număr mic de persoane, cu 2FA puternică.
- Partenerii externi primesc un cont propriu, limitat și, acolo unde este posibil, temporar, niciodată parola dumneavoastră.
- Reglați drepturile la intrare, tranziție și ieșire; la plecare: transferați, dezactivați, ștergeți mai târziu.
Test
Exercițiu
Exercițiul A7.1: Cine primește ce tip de acces? Primiți o serie de situații dintr-o firmă mică (un contabil nou, un dezvoltator de site-uri web pentru o lucrare, un coleg care pleacă, un stagiar). Alegeți pentru fiecare situație cea mai bună modalitate de a acorda sau de a bloca accesul. Programul vă verifică alegerea și explică de ce.
Exercițiul D7.1: Registrul dumneavoastră de acces. Întocmiți un registru de acces pentru cele mai importante cinci servicii ale dumneavoastră: cine are acces, cu ce drepturi, cont propriu sau partajat, intern sau extern. Eliminați cel puțin un drept inutil sau un cont partajat și scrieți lista dumneavoastră de proceduri pentru următoarea plecare a cuiva.
Exercițiul D7.1: Inventarul dumneavoastră de acces
Iată cum procedați: (1) Alegeți cele mai importante cinci servicii ale dumneavoastră (de exemplu e-mail, contabilitate, bancă, panoul de găzduire (hosting), stocare cloud, registrarul domeniului dumneavoastră). (2) Realizați un inventar pentru fiecare serviciu: cine are acces (rol, nu sunt necesare nume), ce drepturi, cont propriu sau partajat, intern sau extern, autentificare în doi pași (2FA) activată, data ultimei autentificări dacă serviciul o afișează. (3) Căutați în fiecare serviciu lista de utilizatori și comparați-o cu inventarul dumneavoastră. Notați diferențele. (4) Eliminați cel puțin un drept inutil, un cont vechi sau un cont partajat, sau înlocuiți un cont partajat cu conturi personale. (5) Verificați pentru fiecare serviciu câți administratori există; urmăriți să aveți doi. (6) Scrieți lista dumneavoastră de ieșire: ce faceți în ultima zi de lucru a cuiva (dezactivarea conturilor, revocarea sesiunilor, verificarea regulilor de redirecționare și a parolelor de aplicație, schimbarea parolelor partajate, transferul fișierelor, banca, rețelele sociale, registrarul, cheile și cardurile). (7) Programați o întâlnire recurentă (de două ori pe an) pentru a verifica inventarul.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lecturi suplimentare
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.
- Manual WebOké 11.3: Invitarea utilizatorilor și acordarea de drepturi
- Manual Nextcloud 14.2: Crearea, editarea, dezactivarea și ștergerea utilizatorilor
- Manual Nextcloud 14.7: Drepturi: cine administrează ce în Nextcloud al dumneavoastră?
- Manual Nextcloud 16.7: Un coleg pleacă: preluarea în siguranță a fișierelor, calendarului și dosarelor partajate
- Manual DirectAdmin 3.5: Login Keys: autentificare pentru scripturi și programe
- Manual DirectAdmin 11.6: Crearea și gestionarea conturilor FTP
- NIST, Glossary: least privilege (în engleză): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (în engleză): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion