Wyobraź sobie taką sytuację. Średniej wielkości firma logistyczna. Certyfikat ISO 27001. Przegląd gotowości na NIS2 zakończony sześć tygodni wcześniej. Czysty raport od zewnętrznego audytora leżący w skrzynce CISO.
A potem przyszło naruszenie.
Atakujący przez 11 dni poruszali się po systemach wewnętrznych, zanim ktokolwiek to zauważył. Punkt wejścia? Konto w Active Directory należące do wykonawcy, który odszedł 14 miesięcy wcześniej. Konto nigdy nie zostało dezaktywowane. Hasło nie zmieniło się od dwóch lat. Nikt nie był jego właścicielem. Żaden alert się nie uruchomił.
Audytor odhaczył pole: „Polityka zarządzania dostępem: udokumentowana i zatwierdzona”.
Polityka istniała. Kontami nikt nie zarządzał.
Iluzja zgodności
Ramy zgodności mają wartość. RODO, NIS2, ISO 27001, SOC 2 — ustanawiają odpowiedzialność, wymuszają dokumentację i wyznaczają punkt odniesienia. Mają jednak fundamentalny martwy punkt: audytują to, co zapisałeś, a nie to, co faktycznie działa.
Audyt ISO 27001 sprawdza, czy istnieje polityka zarządzania dostępem. Nie wylicza Twoich 1200 kont użytkowników i nie pyta, dlaczego 340 z nich nie logowało się od ponad sześciu miesięcy.
Przegląd gotowości na NIS2 bada plan reagowania na incydenty. Nie weryfikuje, czy Twój system HR jest zintegrowany z Active Directory — ani czy proces odejścia pracownika faktycznie uruchamia dezaktywację konta.
Zgodność mówi Ci, że plan ewakuacji wisi na ścianie. Zero Trust pyta, czy drzwi na końcu korytarza są zamknięte na klucz od 2022 roku.
Trzej cisi zabójcy zarządzania tożsamością
1. Konta osierocone
Gdy pracownik, wykonawca lub dostawca odchodzi, jego konto pozostaje. Leży uśpione w Active Directory. Bez właściciela. Bez monitorowania. Bez daty wygaśnięcia. Dla atakującego uśpione konto to prezent.
- Dane logowania mogą zostać pozyskane z historycznego wycieku danych
- Brak właściciela oznacza, że nikt nie zauważa nietypowej aktywności logowania
- Uśpione konta często mają resztkowy dostęp z dawno zakończonych projektów
2. Rozrost uprawnień
Programista potrzebuje tymczasowych praw administratora. Menedżer finansowy potrzebuje dostępu na potrzeby audytu. Sytuacja awaryjna się kończy. Dostęp — nie. Przez trzy do pięciu lat zwykły użytkownik gromadzi uprawnienia w sześciu, ośmiu, dziesięciu systemach. Jeden e-mail phishingowy później i atakujący ma klucze do połowy Twojej infrastruktury.
3. Zepsuty proces odejścia
HR przetwarza odejście. IT zostaje powiadomione — ostatniego dnia albo wcale. Główne konto zostaje wyłączone. Dostęp do platform chmurowych, narzędzi SaaS, sieci VPN i wspólnych skrzynek nie zostaje zweryfikowany. Trzy miesiące później konto Microsoft 365 byłego pracownika wciąż się synchronizuje.
Od odhaczania pól do życia w Zero Trust
Egzekwuj dostęp na zasadzie najmniejszych uprawnień — w rzeczywistości, nie tylko w polityce. Stosuj kontrolę dostępu opartą na rolach z kwartalnymi przeglądami. Dostęp wygasa, o ile nie zostanie odnowiony. Dostęp Just-in-Time do operacji uprzywilejowanych za pośrednictwem Microsoft Entra PIM.
Zautomatyzuj proces odejścia od pierwszego dnia. Połącz systemy HR z dostawcą tożsamości. Gdy rekord pracownika zostaje zamknięty, konta dezaktywują się automatycznie w AD, Entra ID i powiązanych platformach SaaS.
Przeprowadź przegląd praw dostępu przed kolejnym audytem. Nie jako przygotowanie do audytu. Jako standardową higienę. Pobierz każde konto. Oznacz te nieaktywne od ponad 60 dni. Odbierz dostęp, którego nie da się uzasadnić.
Monitoruj zachowanie tożsamości, a nie tylko ruch na obwodzie sieci. Nietypowe wzorce logowania, niemożliwe podróże, próby eskalacji uprawnień — te sygnały już dziś znajdują się w Twoich logach.
Luka między audytem a rzeczywistością to miejsce, w którym żyją naruszenia
Zgodność nie jest strategią bezpieczeństwa. Jest podłogą — minimalną akceptowalną dokumentacją intencji. Zarządzanie tożsamością nie jest jednorazowym projektem. To ciągła dyscyplina operacyjna.
Jeśli Twój ostatni przegląd dostępu użytkowników odbył się podczas audytu certyfikacyjnego, ten przegląd jest już nieaktualny.
ExColo przeprowadza niezależne audyty bezpieczeństwa tożsamości i dostępu, które docierają tam, gdzie nie sięgają przeglądy zgodności. Analizujemy Twoją rzeczywistą warstwę tożsamości — aktywne konta, przypisania uprawnień, luki w procesach odejścia, dostęp podmiotów trzecich — i dostarczamy priorytetyzowany plan naprawczy.
Skontaktuj się z ExColo, aby uzyskać niezależną ocenę bezpieczeństwa tożsamości →