Tijekom vremena organizacije otvaraju brojne korisničke račune za zaposlenike, dobavljače i vanjske suradnike na različitim sustavima, poput elektroničke pošte, pohrane u oblaku (engl. cloud), društvenih mreža, financijskih sustava i drugih poslovnih alata.
Kada zaposlenici napuste organizaciju ili im pristup više nije potreban, njihovi računi mogu ostati aktivni bez odgovarajućeg nadzora. Neaktivni i zaboravljeni korisnički računi predstavljaju sigurnosni rizik jer mogu imati zastarjele lozinke ili sigurnosne postavke koje povećavaju mogućnost kompromitacije.
Ako takav račun bude kompromitiran ili zloupotrijebljen, posljedice mogu uključivati:
- krađu osjetljivih podataka
- financijske gubitke
- narušavanje ugleda organizacije
- napade ucjenjivačkim softverom (engl. ransomware) ili druge oblike ucjene.
Uklanjanjem ili onemogućavanjem nepotrebnih korisničkih računa smanjuje se sigurnosni rizik i povećava razina zaštite organizacije.
1. Popišite važne korisničke račune i mrežne usluge
Najprije evidentirajte mrežne usluge i sustave koje organizacija koristi u poslovanju. Uobičajeni primjeri uključuju:
- elektroničku poštu
- društvene mreže
- pohranu u oblaku
- mrežne stranice i domene organizacije, uključujući usluge smještaja (engl. hosting)
- bankarske i financijske usluge
- sustave za upravljanje ljudskim resursima i obračun plaća.
Za svaki sustav evidentirajte tko ima pristup i tko njime upravlja. Ako takva evidencija već postoji, redovito je pregledavajte i ažurirajte.
2. Uklonite ili onemogućite račune koji više nisu potrebni
Za svaki sustav pregledajte popis korisnika i provjerite trebaju li svi korisnici i dalje imati pristup. Ako zaposlenik, dobavljač ili vanjski suradnik više ne treba pristup, račun uklonite ili onemogućite.
Razlika između uklanjanja i onemogućavanja računa:
- uklanjanje računa trajno uklanja korisnički račun, a ovisno o sustavu može dovesti i do brisanja povezanih podataka
- onemogućavanje računa sprječava prijavu korisnika, ali omogućuje ponovno aktiviranje računa ako za to poslije bude potrebe.
Prije uklanjanja korisničkog računa provjerite postoje li važne datoteke ili drugi podaci pohranjeni u korisnikovu privatnom prostoru. Ako postoje, prema potrebi ih prenesite u zajedničke mape ili prenesite vlasništvo nad dokumentima na odgovarajuću osobu.
3. Redovito provjeravajte tko ima pristup
Zaposlenici dolaze i odlaze, a njihove se uloge i odgovornosti mijenjaju. Redovito provjeravajte tko ima pristup poslovnim sustavima kako biste osigurali da ga imaju samo osobe kojima je doista potreban.
Takve provjere provodite periodično, primjerice svakih nekoliko mjeseci, te bez odgode uklonite ili onemogućite pristup korisnicima kojima više nije potreban.
4. Obuhvatite i sustave kojima upravljaju vanjski pružatelji usluga
Neki ključni sustavi, primjerice oni kojima upravljaju računovođe, IT partneri ili drugi vanjski administratori, možda nisu pod izravnom kontrolom organizacije.
U takvim slučajevima zatražite od odgovorne osobe ili pružatelja usluge da redovito pregleda popis korisnika i ukloni ili onemogući pristup osobama kojima više nije potreban. To uključuje bivše zaposlenike, suradnike kojima je istekao ugovor i korisnike čija se uloga promijenila.
Periodično zatražite potvrdu da je provjera provedena kako biste bili sigurni da pristup sustavima imaju samo osobe kojima je doista potreban.