Prowadząc biznes, zatrudniając pracowników – zwracamy szczególną uwagę na to, aby każdy z nich dbał o swoje hasła – nie ujawniał ich oraz aby były trudne do odgadnięcia.
Jako pracodawcy również możemy (a wręcz musimy) w znacznym stopniu zadbać o bezpieczeństwo wykorzystując przydzielanie odpowiednich poziomów dostępu do zasobów baz danych. Magazynier nie musi, a wręcz nie powinien mieć takich uprawnień systemowych, jak handlowiec oraz odwrotnie. Pracownik zarządzający stroną internetową nie zna klientów i nie powinien mieć możliwości ustawiania rabatów – tak jak robi to handlowiec.
Uwaga! Zanim przeczytasz ten tekst – zapoznaj się z zasadami tworzenia haseł w firmie.
Poziomy uprawnień
Jest to bardzo ważna forma zabezpieczenia danych wewnątrz firmy, między współpracownikami w różnych działach i szczeblach.
Gdy w nasza przykładowa firma, która zajmuje się handlem, zaczyna się rozrastać, zdobywamy co raz więcej klientów, przychodzi czas, gdy potrzebujemy pracowników, którzy zadbają o prawidłowe działanie poszczególnych działów.
Mamy więc naszych handlowców, magazynierów, marketingowców oraz ich przełożonych. Co by się stało, gdy każdemu nadamy tak samo wysokie uprawnienia?
Zwróć uwagę by poszczególne osoby w firmie nie miały takich samych uprawnień.
Magazynierzy będą mogli zmieniać rabaty, które nadają handlowcy;
handlowcy zaczną na własną rękę aktualizować stronę internetową, która zajmują się marketingowcy.
Marketingowcy zaczną poprawiać stany magazynowe, którymi zajmują się magazynierzy.
Czy ktoś to będzie w stanie kontrolować? Przełożeni? Nikt!
Przedstawię teraz bardzo prostą sytuację, która zobrazuje jak niebezpieczne jest rezygnacja z poziomu uprawnień:
Magazynier, który w dobrej wierze, słuchając narzekającego klienta na wysokie ceny, pomyśli: „a co? przecież mogę zmieniać rabaty, nic się przecież złego nie stanie jeśli raz zmienię cenę”.
I chociaż robi to w dobrej wierze, to niestety nie zdaje sobie sprawy z tego, że na marne idzie cała praca handlowca, który mógł długi czas pracował nad klientem, aby ten kupował na odpowiednio wysokiej marży, a dzięki temu firma miała większe dochody.
Aby temu zapobiec korzystamy z poziomów uprawnień.
W zależności, jak bardzo jest rozbudowany system do zarządzania sklepem, będziemy mieli dostęp do ustawienia dla danej grupy pracowników odpowiednich uprawnień.
W naszym przykładzie każdy z pracowników danego działu NIE BĘDZIE miał możliwości ingerowania w pracę innych.
Jeżeli odpowiednio zarządzasz poziomami uprawnień – minimalizujesz ryzyko wycieku danych.
Poza tym ograniczamy możliwość niekontrolowanego wycieku danych. Nawet jeśli do niego dojdzie to krąg osób za to odpowiedzialnych jest bardzo mocno zawężony.
Mamy więc rozwiązany problem uprawnień, gdy mowa o pracownikach na tym samym poziomie. Pamiętajmy, że w firmie mamy też ludzi ustawionych w pewnej hierarchii – pracownicy szeregowi, kierownicy, dyrektorzy.
Tutaj znów należy określić, jak szeroki zakres uprawnień każdy powinien mieć.
Przykładowo, w dziale handlowym mając sprzedawców, kierownika oraz dyrektora handlowego trzeba zastanowić się kto będzie miał dostęp do danych newralgicznych oraz jak szeroki.
Tak poważne dane, jak np. kontrakty z dostawcami, nie powinny być udostępnione tak szerokiej grupie pracowników, jak handlowcy. Nawet przypadkowe wypłynięcie takich informacji na zewnątrz może doprowadzić do ogromnych strat, a wykrycie winnego i wyciągnięcie konsekwencji, ze względu na szeroki krąg osób, będzie wręcz niemożliwe. Określając tylko jedną osobę za to odpowiedzialną, kontrolujemy bardzo dobrze do tego dostęp.
Awaryjny dostęp do newralgicznych danych
W sytuacji kiedy szeregowy pracownik jest niedostępny, to jego uprawnienia powinien posiadać jego przełożony – i tutaj mamy prostą sprawę – osobie wyżej w hierarchii, która już ma podstawowe uprawnienia, nadajemy dodatkowe. W ten sposób przy nieobecności pracownika, w wyjątkowych sytuacjach zastąpić może go przełożony.
Co w sytuacji odwrotnej? Co możemy zrobić gdy, to osoba która ma większe uprawnienia jest niedostępna, a wymagany jest dostęp do newralgicznych danych?
Rozwiązaniem będzie dodatkowe uszczegółowienie uprawnień, tzn, określenie czy dany pracownik może modyfikować czy tylko odczytywać.
Jeżeli macie szczegółowe pytania jak rozwiązać problem uprawnień w przypadku konkretnych działów/pracowników – śmiało piszcie w komentarzu, na pewno pomożemy 🙂
___
Artykuł powstał dzięki CORE – polskiemu dystrybutorowi antywirusów AVAST i AVG. Zobacz AVG – antywirus dla małej firmy. Jesteś właścicielem małego biznesu? Zadbaj o bezpieczeństwo swojego komputera.
Podobał Ci się ten artykuł?
Zapisz się na listę i nie przegap nowych ciekawostek, porad i konkursów!
i zadaj pytanie.
Dodaj komentarz