מי מחזיק במפתחות למידע בענן?

עובד עוזב, ספק תוכנה מתחלף או שירות מפסיק להיות בשימוש. העבודה ממשיכה, אבל מי בודק מה קרה לגישה שניתנה להם? האם מישהו עדיין יכול לפתוח תיבת דואר משותפת, להגיע למסמכים או להפעיל חיבור אוטומטי?

ב־Microsoft 365, האחריות למידע אינה מסתיימת ביצירת החשבון. הרשאות מצטברות לאורך הזמן: עובד מחליף מנהל בחופשה, ספק מחבר מערכת חדשה, ויישום מקבל גישה כדי לבצע משימה. כל החלטה כזאת יכולה להיות מוצדקת בזמן שניתנה. השאלה היא אם היא עדיין מתאימה לעסק היום.

לכל גישה צריך להיות אחראי

בעל העסק אינו צריך לזכור כל הגדרה טכנית. הוא כן צריך לדעת שיש אדם שמסוגל להסביר למי ניתנה גישה, לאיזה מידע, לשם מה ומי מוסמך לאשר שינוי.

כדאי לרכז רשימה ברורה של החשבונות בעלי הרשאות ניהול, הגישה לתיבות ולתיקיות משותפות, והיישומים שמחוברים לסביבה. ליד כל גישה משמעותית מציינים בעל תפקיד אחראי וצורך עסקי. ליד הרשאה זמנית מציינים גם מועד לבדיקה מחדש.

רשימה כזאת עוזרת גם בשגרה. כשספק מתחלף או כשעובד אינו זמין, אפשר להבין מי אחראי למערכת ומה צריך להעביר הלאה. העסק תלוי פחות בזיכרון של אדם אחד.

חשבון של עובד עשוי להיות מחובר לתהליכים שהארגון צריך להמשיך: טיפול בפניות, מסמכים משותפים, פגישות או גישה למערכת עסקית. לכן צריך לתכנן גם את הפסקת הגישה וגם את המשך העבודה.

לפני מועד העזיבה מגדירים מי מקבל אחריות על המידע והמשימות. איש המחשוב בודק את ההרשאות והחיבורים הרלוונטיים ומבצע את השינוי לפי המדיניות והאישור המתאימים. בסיום בודקים שהעובד שסיים את תפקידו אינו ממשיך לקבל גישה, ושהאנשים שנשארו יכולים לבצע את עבודתם.

כדאי להחיל תהליך דומה גם על מעבר תפקיד. הרשאה שנדרשה במחלקה הקודמת לא בהכרח נחוצה בתפקיד החדש.

גם תוכנה יכולה להחזיק מפתח

מערכת גיבוי, כלי ניהול או יישום עסקי יכולים לקבל הרשאות למידע בענן. חלק מהיישומים פועלים בשם משתמש, ואחרים יכולים לפעול בזהות עצמאית, ללא משתמש מחובר. לכן בדיקת רשימת העובדים לבדה אינה מספיקה.

כאשר מפסיקים להשתמש במוצר, בודקים גם את החיבור שלו ל־Microsoft 365. מי הבעלים שלו? אילו הרשאות ניתנו? האם שירות אחר עדיין תלוי בו? שם מוכר ברשימה אינו הוכחה שהגישה נחוצה, והיעדר פעילות בבדיקה קצרה אינו הוכחה שאפשר להסירה.

צמצום הרשאות צריך להיעשות לאחר בירור התלויות, עם תיעוד ובדיקה שהמערכות הנחוצות ממשיכות לעבוד.

אם מחר מתחלף איש המחשוב, האם אפשר להציג לו תמונה ברורה של מי ניגש למידע ומדוע? אם התשובה אינה ברורה, אפשר להתחיל במיפוי ממוקד. Suntech יכולה לסייע בבדיקת הזהויות וההרשאות, כך שכל גישה משמעותית תהיה קשורה לצורך עסקי ולאדם שאחראי עליה.