Dostępy po poprzednim wykonawcy: higiena, o której się zapomina

Zmieniasz firmę od strony internetowej, sklepu albo serwerów i wydaje ci się, że wystarczy odebrać hasło do panelu? Dostępy po poprzednim wykonawcy to zwykle kilkanaście miejsc naraz: konta administratorów, klucze SSH, hasła do baz, skrzynki pocztowe, panele domen i usług w chmurze. Część z nich nadal działa, chociaż nikt już ich nie używa. Poniżej opisuję, gdzie te dostępy się chowają, co może pójść źle i jak przejąć je po kolei, bez blokowania pracy firmy.

Gdzie zostają dostępy po poprzednim wykonawcy

Najwięcej starych dostępów zostaje tam, gdzie zakładano je doraźnie, żeby coś szybko naprawić. Nikt ich potem nie zapisał, więc nikt ich nie wyłączył. Przy przejmowaniu systemów od innej firmy zwykle szukam w tych miejscach:

• Konta administratorów w CMS, sklepie, panelu hostingu i w usługach chmurowych, często założone na prywatny adres dawnego programisty.
• Klucze SSH dopisane do serwerów przez kolejne osoby, bez opisu, do kogo należą.
• Hasła do baz danych i kont technicznych, wpisane na stałe w plikach konfiguracyjnych i skryptach.
• Klucze API do płatności, kurierów, wysyłki maili i map, wygenerowane na koncie, do którego firma nie ma dostępu.
• Hasła przesłane mailem albo w komunikatorze, które nadal leżą w skrzynkach kilku osób.
• Domena i DNS zarejestrowane na wykonawcę, a nie na firmę.

Ostatni punkt jest najbardziej ryzykowny. Kto ma domenę, ten decyduje, dokąd trafia poczta i strona. Jeśli domena nie jest na firmę, przeniesienie jej jest pierwszą sprawą do załatwienia.

Jedno stare hasło potrafi zablokować całe biuro

Stare hasła szkodzą nie tylko wtedy, gdy ktoś obcy je zna. Szkodzą też wtedy, gdy zostają w urządzeniach, o których wszyscy zapomnieli. Z praktyki znam sytuację, w której po zmianie hasła do poczty telefon jednego pracownika dalej próbował logować się starym hasłem.

Mechanizm jest prosty. Serwer widzi serię nieudanych logowań z jednego adresu i uznaje ją za atak. Zabezpieczenie blokuje ten adres, a ponieważ całe biuro wychodzi do internetu przez to samo łącze, nagle nikt w firmie nie ma poczty. Szukanie przyczyny trwa, bo z perspektywy pracowników po prostu przestało działać wszystko naraz.

Wniosek dla właściciela firmy: rotacja haseł to nie tylko zmiana w panelu. Trzeba też wiedzieć, na jakich urządzeniach i w jakich programach to hasło było zapisane, i zaktualizować je tam w tym samym czasie.

Jak przejąć dostępy po poprzednim wykonawcy krok po kroku

Bezpieczne przejęcie zaczyna się od listy, a dopiero potem przechodzi do zmian. Jeśli zaczniesz od zmiany haseł bez inwentaryzacji, wyłączysz coś, co po cichu działało, na przykład integrację z magazynem albo wysyłkę faktur. Kolejność, którą stosuję:

1. Spisz wszystkie systemy i konta. Dla każdego: adres, typ konta, właściciel po stronie firmy, kto ma dziś dostęp. Pomaga lista faktur za usługi IT, bo każda usługa ma gdzieś konto.
2. Ustal, czego używają integracje. Klucze API i konta techniczne opisz osobno, bo ich zmiana wymaga poprawki w konfiguracji, a nie tylko w panelu.
3. Przenieś własność. Domena, konta w chmurze, sklepy z aplikacjami i konta reklamowe mają należeć do firmy, z firmowym adresem e-mail jako głównym.
4. Zmień hasła i klucze w zaplanowanym oknie. Najpierw konta administratorów, potem techniczne, a na końcu skrzynki pracowników, z informacją, gdzie zaktualizować hasło w telefonie.
5. Usuń konta i klucze, których nikt nie rozpoznaje. Jeśli nie wiadomo, czyj jest klucz SSH, wyłącz go i obserwuj, czy coś przestało działać.
6. Zapisz stan końcowy. Jedna aktualna lista dostępów to dokument, który przyda się przy każdej następnej zmianie wykonawcy.

Ten porządek dobrze łączy się z szerszym przeglądem systemów. Opisałem go w tekście o tym, jak przeprowadzam audyt odziedziczonej infrastruktury IT.

Menedżer haseł i uprawnienia minimalne

Gdy dostępy po poprzednim wykonawcy są już przejęte, trzeba zadbać, żeby za rok nie było tego samego bałaganu. Dwa narzędzia robią tu największą różnicę: firmowy menedżer haseł i zasada uprawnień minimalnych.

Menedżer haseł zastępuje maile, karteczki i arkusze. Hasła leżą w jednym miejscu, dostęp nadaje się osobom albo zespołom, a po odejściu pracownika lub wykonawcy odbiera się go jednym ruchem. Ważne, żeby konto główne menedżera należało do firmy, a nie do zewnętrznego informatyka.

Uprawnienia minimalne oznaczają, że każdy dostaje tylko to, czego potrzebuje do swojej pracy. Programista od sklepu nie potrzebuje dostępu do poczty zarządu. Agencja reklamowa nie potrzebuje roli administratora w sklepie. Wykonawca, który przychodzi na jedno zlecenie, dostaje konto czasowe, które po zleceniu wygasa. Więcej o podstawach ochrony danych piszę w tekście o zabezpieczaniu danych firmowych.

Co zapisać w umowie z nowym wykonawcą

Najprostszy sposób, żeby nie powtórzyć problemu, to opisać dostępy w umowie od pierwszego dnia współpracy. Wtedy przy kolejnej zmianie nikt nie musi niczego odtwarzać z pamięci. W umowie albo w załączniku warto zapisać:

• że domeny, konta w chmurze i klucze API są zakładane na firmę,
• że wykonawca prowadzi aktualną listę dostępów i przekazuje ją na żądanie,
• że przy zakończeniu współpracy przekazuje wszystkie dostępy i potwierdza usunięcie swoich kont,
• kto po stronie firmy zatwierdza nadanie nowego dostępu.

To dobre pytanie także przy wyborze firmy. Jeśli wykonawca nie ma odpowiedzi na pytanie, jak oddaje dostępy po zakończeniu pracy, to sygnał ostrzegawczy. Szerzej piszę o tym w tekście o tym, jak wybrać software house.

Jeśli właśnie zmieniasz wykonawcę, zacznij od spisania listy systemów i kont, zanim zmienisz pierwsze hasło. Dostępy po poprzednim wykonawcy przejęte w tej kolejności nie zatrzymają firmy na dzień, a dadzą ci pełną kontrolę nad tym, kto co może. Jeśli chcesz, żebym przejrzał tę listę razem z tobą, napisz do mnie przez formularz kontaktowy.