Porządkowanie dostępów i haseł w małej organizacji

Porządkowanie dostępów i haseł w małej organizacji zaczyna się od spisu wszystkich kont, potem przychodzi podział uprawnień według zadań, jedna wspólna metoda przechowywania haseł i stała procedura przy dołączaniu oraz odejściu osób z zespołu. Nie wymaga dużego wdrożenia ani kosztownych narzędzi. Wymaga odpowiedzi na kilka pytań: kto ma dostęp, po co, gdzie jest zapisane hasło i jak odebrać dostęp, gdy przestaje być potrzebny.

Chaos zwykle zaczyna się niewinnie: konto założone „na szybko”, hasło przesłane w wiadomości, jeden login dla kilku osób. Problem wychodzi na jaw, gdy trzeba przekazać obowiązki, odzyskać dostęp po odejściu kogoś z zespołu albo ustalić, kto widzi dane podopiecznych i darczyńców.

Spiszcie konta i miejsca dostępu

Zbierzcie wszystkie miejsca, w których organizacja działa cyfrowo: pocztę, media społecznościowe, dyski, formularze, księgowość, bankowość, narzędzie do newslettera, komunikatory, panel strony internetowej, domenę. Wystarczy tabela z kolumnami:

• nazwa usługi;
• do czego służy;
• kto powinien mieć dostęp;
• kto ma dostęp obecnie;
• gdzie jest zapisane hasło lub jak przebiega logowanie;
• co zrobić, gdy osoba odchodzi lub zmienia rolę.

Nie chodzi o perfekcję. Taki spis już sam pokazuje, gdzie dostęp jest tylko „w pamięci” jednej osoby. Sprawdźcie przy okazji:

• które konta są założone na prywatne adresy, a które na adresy organizacji;
• czy każde konto ma osobę odpowiedzialną;
• czy istnieją konta wspólne bez jasnych zasad;
• czy ktoś spoza obecnego zespołu nadal może się logować.

Nie pomijajcie mniej oczywistych usług, takich jak formularze, statystyki strony czy narzędzia do wysyłek.

Ustalcie, kto naprawdę potrzebuje dostępu

W małej organizacji dostęp bywa przyznawany szerzej, niż trzeba, bo tak jest szybciej. Z czasem wiele osób ma uprawnienia administracyjne, choć używa ich okazjonalnie. Stosujcie zasadę minimalnego dostępu: każdy ma tylko te uprawnienia, których potrzebuje do swoich zadań. Osoba prowadząca newsletter nie potrzebuje dostępu do bankowości. Wykonawca strony nie musi widzieć dokumentów kadrowych.

Przydatne poziomy dostępu to:

• administrator;
• edycja;
• odczyt;
• dostęp czasowy do konkretnego zadania.

Dostęp czasowy sprawdza się przy współpracy z wykonawcami zewnętrznymi i wolontariuszami. Przy osobach pracujących z danymi osobowymi pamiętajcie, że RODO wymaga, by dostęp do danych miały tylko osoby upoważnione.

Typowe błędy: te same uprawnienia dla wszystkich, żeby „nie komplikować”, dostęp pozostawiony byłym współpracownikom i mieszanie kont prywatnych z organizacyjnymi.

Uporządkujcie hasła

W małej organizacji najważniejsze jest to, by sposób przechowywania haseł był prosty, wspólny i stosowany przez wszystkich. Podstawowe zasady:

• nie przesyłamy haseł w zwykłych wiadomościach;
• nie zapisujemy ich w dokumentach bez kontroli dostępu;
• nie używamy jednego hasła do wielu ważnych kont;
• korzystamy z menedżera haseł albo innej jednej, uzgodnionej metody.

Ważniejsze od wyboru idealnego narzędzia jest konsekwentne trzymanie się jednej metody. Dostęp do wspólnego sejfu z hasłami powinna mieć więcej niż jedna upoważniona osoba, ale nie cały zespół.

Tam, gdzie usługa to umożliwia, włączcie logowanie dwuetapowe na ważnych kontach. Pilnujcie jednak, by kody nie trafiały wyłącznie na prywatny telefon jednej osoby — to częsta przyczyna utraty dostępu. Opiszcie też ścieżkę awaryjną: jak odzyskać dostęp do kluczowych usług, jeśli osoba odpowiedzialna nagle nie może przekazać obowiązków.

Procedura przy wejściu i wyjściu z zespołu

Przy dołączeniu nowej osoby:

1. ustalcie, do jakich narzędzi naprawdę potrzebuje dostępu;
2. załóżcie jej konto organizacyjne zamiast udostępniać konto wspólne;
3. przekażcie tylko niezbędne dostępy i instrukcje;
4. zapiszcie, kto nadał dostęp i kiedy.

Przy odejściu:

1. odbierzcie dostęp do wszystkich narzędzi;
2. zmieńcie hasła do kont, z których mogła korzystać;
3. sprawdźcie, czy nie była jedynym administratorem;
4. zaktualizujcie spis, żeby kolejna osoba wiedziała, co się zmieniło.

Ten sam obieg stosujcie przy zmianie ról w zespole.

Wprowadźcie stały rytm przeglądu

Spis szybko się dezaktualizuje: dochodzą nowe narzędzia, zmieniają się role, ktoś zakłada profil do kampanii. Ustalcie stały termin przeglądu, na przykład przy zamknięciu projektu lub kwartału, i sprawdzajcie:

• czy wszystkie konta są nadal potrzebne;
• czy lista osób z dostępem jest aktualna;
• czy metody odzyskiwania dostępu znają co najmniej dwie upoważnione osoby;
• czy nowe narzędzia trafiły do spisu.

Najczęstsze pytania

Czy wspólne konto dla kilku osób to zły pomysł?

Zwykle tak. Utrudnia odebranie dostępu jednej osobie i ustalenie, kto co zrobił. Jeśli usługa pozwala na kilku użytkowników, załóżcie konta indywidualne.

Czy mała organizacja potrzebuje menedżera haseł?

To najprostszy sposób, by hasła były w jednym kontrolowanym miejscu i dało się je przekazać bez wysyłania w wiadomościach. Ważniejsze od konkretnego narzędzia jest to, żeby cały zespół korzystał z jednej metody.

Co zrobić najpierw, jeśli nikt nie wie, kto ma dostęp do czego?

Spisać konta, zaczynając od poczty, domeny, bankowości i profili w mediach społecznościowych. Potem sprawdzić administratorów i adresy odzyskiwania dostępu.

Jak możemy pomóc

W ramach konsultacji i badania potrzeb cyfrowych organizacji przeglądamy narzędzia i konta, wskazujemy miejsca zależne od jednej osoby i przygotowujemy spisany plan porządkowania. Jeśli dostęp do danych kontaktów i beneficjentów ma być nadawany według ról w jednym systemie, zobaczcie zakres CRM dla NGO.