![\"Kto](\"https:\/\/prolimes.com\/pl\/wp-content\/uploads\/sites\/2\/2026\/09\/Publikacja_1_small-900x472.png\")
<\/p>\n<\/p>\n
Mariusz Przyby\u0142a | <\/strong>08.09.2026<\/strong><\/p>\n Firma mo\u017ce mie\u0107 w miar\u0119 sprawny proces zak\u0142adania kont, mo\u017ce mie\u0107 wdro\u017cone uwierzytelnianie wielosk\u0142adnikowe i\u00a0dobrze skonfigurowany firewall, a\u00a0mimo to nie potrafi\u0107 odpowiedzie\u0107 na podstawowe pytanie: kto ma dost\u0119p do jej kluczowych system\u00f3w, dlaczego go ma i\u00a0czy nadal powinien go mie\u0107?<\/strong> \u00a0Podobny brak szybkiej i poprawnej odpowiedzi na tak zadane pytanie mo\u017cna b\u0119dzie spotka\u0107 r\u00f3wnie\u017c w tych organizacjach, kt\u00f3re maj\u0105 uruchomione systemy klasy IDM, kt\u00f3rych wdro\u017cenie skupi\u0142o si\u0119 tylko na zarz\u0105dzaniu podstawowymi dost\u0119pami. Problem zaczyna si\u0119 tam, gdzie informacje o\u00a0uprawnieniach nie nad\u0105\u017caj\u0105 za zmianami w\u00a0organizacji.<\/p>\n Wyobra\u017amy sobie pracownika, kt\u00f3ry przeszed\u0142 z\u00a0finans\u00f3w do sprzeda\u017cy. Otrzyma\u0142 dost\u0119p do CRM i\u00a0raport\u00f3w handlowych, ale zachowa\u0142 rol\u0119 w\u00a0systemie finansowym. Ka\u017cde z\u00a0uprawnie\u0144 zosta\u0142o kiedy\u015b nadane zgodnie z\u00a0procedur\u0105. Nikt jednak nie sprawdzi\u0142, czy po zmianie stanowiska nadal jest potrzebne.<\/p>\n Podobny mechanizm dotyczy administratora z\u00a0dost\u0119pem rozszerzonym na czas zako\u0144czonego projektu, dostawcy po wyga\u015bni\u0119ciu umowy czy konta serwisowego, kt\u00f3rego w\u0142a\u015bciciela trudno dzi\u015b wskaza\u0107. To hipotetyczne sytuacje, ale dobrze pokazuj\u0105, jak ryzyko mo\u017ce narasta\u0107 w\u00a0codziennej pracy \u2014 nawet wtedy gdy nie m\u00f3wimy o sytuacjach zwi\u0105zanych z incydentami bezpiecze\u0144stwa.<\/p>\n Uwierzytelnianie pomaga potwierdzi\u0107 to\u017csamo\u015b\u0107 u\u017cytkownika. Kontrola uprawnie\u0144 okre\u015bla, jakie operacje mo\u017ce on wykona\u0107. Ocena, czy ten zakres nadal odpowiada jego obowi\u0105zkom, wymaga dodatkowo informacji o\u00a0stanowisku, procesie biznesowym i\u00a0znaczeniu zasobu.<\/p>\n Firewall mo\u017ce ogranicza\u0107 ruch, a\u00a0MFA utrudnia\u0107 przej\u0119cie konta. Same nie rozstrzygn\u0105 jednak, czy pracownik powinien nadal zatwierdza\u0107 p\u0142atno\u015bci albo przegl\u0105da\u0107 dokumenty dzia\u0142u, z\u00a0kt\u00f3rego odszed\u0142. Nadmiarowy dost\u0119p zwi\u0119ksza zar\u00f3wno mo\u017cliwo\u015bci nieuprawnionego dzia\u0142ania, jak i\u00a0potencjalne skutki przej\u0119cia konta.<\/p>\n Dlatego kontrol\u0119 warto oprze\u0107 na zasadzie najmniejszych uprawnie\u0144: przyznawa\u0107 u\u017cytkownikom i\u00a0procesom tylko taki dost\u0119p, jakiego potrzebuj\u0105 do wykonywania zada\u0144. Tak definiuje t\u0119 zasad\u0119 NIST<\/a>. Jej stosowanie wymaga ponownej oceny uprawnie\u0144, gdy zadania si\u0119 zmieniaj\u0105.<\/p>\n Informacje o\u00a0dost\u0119pie mog\u0105 by\u0107 rozproszone mi\u0119dzy Active Directory, Entra ID, ERP, aplikacjami SaaS i\u00a0systemami rozwijanymi wewn\u0119trznie. Konto domenowe nie musi ujawnia\u0107 wszystkich r\u00f3l w\u00a0aplikacjach zintegrowanych z Active Direcotry, a\u00a0cz\u0142onkostwo w\u00a0grupie nie zawsze pokazuje pe\u0142ny zakres wynikaj\u0105cych z\u00a0niego mo\u017cliwo\u015bci.<\/p>\n Potrzebne jest powi\u0105zanie osoby z\u00a0jej kontami, kont z\u00a0rolami i\u00a0grupami, a\u00a0tych z\u00a0konkretnymi zasobami oraz procesami. Trzeba uwzgl\u0119dni\u0107 tak\u017ce nadania bezpo\u015brednie, dziedziczenie i\u00a0regu\u0142y w\u0142a\u015bciwe dla aplikacji. W\u00a0przypadku kont technicznych odpowiednikiem powi\u0105zania z\u00a0pracownikiem jest wskazanie w\u0142a\u015bciciela oraz obs\u0142ugiwanego procesu lub systemu.<\/p>\n Ryzyko mo\u017ce pojawi\u0107 si\u0119 r\u00f3wnie\u017c na styku aplikacji. Mo\u017cliwo\u015b\u0107 zmiany danych rachunku kontrahenta w\u00a0jednym systemie i\u00a0samodzielnego zatwierdzenia jego p\u0142atno\u015bci w\u00a0drugim mo\u017ce narusza\u0107 przyj\u0119ty rozdzia\u0142 obowi\u0105zk\u00f3w, czyli SoD. Ocena zale\u017cy od procesu, zakresu transakcji i\u00a0dzia\u0142aj\u0105cych zabezpiecze\u0144. Sama zbie\u017cno\u015b\u0107 nazw r\u00f3l nie wystarcza do stwierdzenia konfliktu.<\/p>\n Wiarygodny obraz dost\u0119pu musi mie\u0107 okre\u015blony zakres i\u00a0dat\u0119 aktualno\u015bci.<\/strong> Raport z\u00a0trzech aplikacji mo\u017ce by\u0107 u\u017cyteczny, ale nie opisuje automatycznie ca\u0142ej organizacji. Brak danych z\u00a0systemu trzeba pokaza\u0107 jako luk\u0119 w\u00a0widoczno\u015bci. Podobnie brak informacji o\u00a0u\u017cyciu uprawnienia nie jest dowodem, \u017ce nikt z\u00a0niego nie korzysta\u0142.<\/p>\n Dyrektywa NIS2 wymienia polityk\u0119 kontroli dost\u0119pu i\u00a0zarz\u0105dzanie aktywami w\u015br\u00f3d \u015brodk\u00f3w zarz\u0105dzania ryzykiem w\u00a0cyberbezpiecze\u0144stwie. Wskazuje r\u00f3wnie\u017c ocen\u0119 skuteczno\u015bci tych \u015brodk\u00f3w, a\u00a0organom zarz\u0105dzaj\u0105cym przypisuje ich zatwierdzanie i\u00a0nadz\u00f3r nad wdra\u017caniem. Podstaw\u0105 s\u0105 art. 20 oraz art. 21 ust. 1 i\u00a0ust. 2 lit. f oraz i\u00a0NIS2<\/a>.<\/p>\n W\u00a0Polsce nowelizacja ustawy o\u00a0krajowym systemie cyberbezpiecze\u0144stwa wesz\u0142a w\u00a0\u017cycie 3\u00a0kwietnia\u00a02026\u00a0r. Zmieniony art. 8 KSC przewiduje wdro\u017cenie systemu zarz\u0105dzania bezpiecze\u0144stwem informacji, obejmuj\u0105cego m.in. polityki kontroli dost\u0119pu, zarz\u0105dzanie aktywami oraz ocen\u0119 skuteczno\u015bci \u015brodk\u00f3w technicznych i\u00a0organizacyjnych. Wynika to z\u00a0ustawy z\u00a023\u00a0stycznia\u00a02026\u00a0r., Dz.U. 2026 poz. 252<\/a>.<\/p>\n To istotny kontekst dla CISO, CIO i\u00a0w\u0142a\u015bcicieli proces\u00f3w. Kontrola dost\u0119pu wymaga wsp\u00f3\u0142pracy pomi\u0119dzy IT, kt\u00f3re odtwarza stan techniczny i\u00a0wykonuje zmiany, biznesem, kt\u00f3ry ocenia potrzeb\u0119 dost\u0119pu, oraz osobami odpowiedzialnymi za bezpiecze\u0144stwo i\u00a0ryzyko, kt\u00f3re ustalaj\u0105 zasady oraz priorytety kontroli.<\/p>\n Zakres obowi\u0105zk\u00f3w trzeba ustali\u0107 dla konkretnego podmiotu. Przyk\u0142adowo dla bankowo\u015bci i\u00a0infrastruktury rynk\u00f3w finansowych istotne s\u0105 odr\u0119bno\u015bci zwi\u0105zane z\u00a0DORA oraz art. 8i KSC. Sam przyk\u0142ad dotycz\u0105cy procesu p\u0142atno\u015bci nie oznacza jednak, \u017ce organizacja nale\u017cy do sektora finansowego.<\/p>\n Przepisy nie wskazuj\u0105 jednego obowi\u0105zkowego produktu IAM ani konkretnego formatu raportu z\u00a0przegl\u0105du. Zakres \u015brodk\u00f3w powinien odpowiada\u0107 ryzyku i\u00a0w\u0142a\u015bciwym wymaganiom. Posiadanie narz\u0119dzia lub polityki jest wi\u0119c dopiero cz\u0119\u015bci\u0105 odpowiedzi \u2014 organizacja potrzebuje tak\u017ce informacji, czy przyj\u0119te zasady dzia\u0142aj\u0105 w\u00a0praktyce.<\/p>\n Dla podmiot\u00f3w spe\u0142niaj\u0105cych kryteria podmiot\u00f3w kluczowych i wa\u017cnych data 3\u00a0pa\u017adziernika\u00a02026\u00a0r. jest terminem z\u0142o\u017cenia wniosku o\u00a0wpis do Wykazu KSC (je\u017celi podlegaj\u0105 samo rejestracji). Cz\u0119\u015b\u0107 podmiot\u00f3w wpisywana jest z\u00a0urz\u0119du. Zasadniczy okres dostosowawczy dla tej grupy ko\u0144czy si\u0119 3\u00a0kwietnia\u00a02027\u00a0r.; szczeg\u00f3\u0142y zale\u017c\u0105 od statusu podmiotu i\u00a0przepis\u00f3w przej\u015bciowych. Ministerstwo Cyfryzacji opisuje te terminy i\u00a0odr\u0119bno\u015bci<\/a>.<\/p>\n Rejestracja jest obowi\u0105zkiem formalnym. Nie potwierdza, \u017ce uprawnienia s\u0105 uzasadnione, przegl\u0105dy skuteczne, a\u00a0niepotrzebne dost\u0119py rzeczywi\u015bcie odebrane. Prace nad tymi mechanizmami warto prowadzi\u0107 r\u00f3wnolegle z\u00a0przygotowaniami formalnymi. Po zako\u0144czeniu okresu dostosowawczego trzeba je nadal utrzymywa\u0107 i\u00a0doskonali\u0107.<\/p>\n Samo posiadanie IAM nie rozstrzyga o\u00a0kompletno\u015bci kontroli. System mo\u017ce dobrze obs\u0142ugiwa\u0107 nowe nadania uprawnie\u0144, a\u00a0jednocze\u015bnie nie obejmowa\u0107 cz\u0119\u015bci starszych aplikacji, kont lokalnych lub zmian wykonywanych bezpo\u015brednio przez administrator\u00f3w. Warto sprawdzi\u0107, czy informacje w\u00a0procesie centralnym odpowiadaj\u0105 stanowi w\u00a0systemach \u017ar\u00f3d\u0142owych.<\/p>\n Dobrym pocz\u0105tkiem jest wyb\u00f3r jednego krytycznego procesu i\u00a0prze\u015bledzenie dost\u0119pu kilku reprezentatywnych to\u017csamo\u015bci: pracownika po zmianie stanowiska, administratora oraz konta technicznego lub dostawcy. Dla ka\u017cdej z\u00a0nich ustalmy zakres uprawnie\u0144, aktualne uzasadnienie, osob\u0119 odpowiedzialn\u0105 za decyzj\u0119 i\u00a0wynik ostatniej weryfikacji.<\/p>\n Takie \u0107wiczenie pomaga odr\u00f3\u017cni\u0107 brak danych od braku odpowiedzialno\u015bci lub nieskutecznego odbierania dost\u0119p\u00f3w. Ka\u017cdy z\u00a0tych problem\u00f3w wymaga innego dzia\u0142ania. Wsp\u00f3lna pozostaje potrzeba odpowiedzi, kt\u00f3r\u0105 mo\u017cna sprawdzi\u0107: kto ma dost\u0119p, do czego i\u00a0na jakiej podstawie?<\/strong><\/p>\n W kolejnym artykule z\u00a0serii \u201eKTO MA DOST\u0118P?\u201d zamieniamy ten problem w\u00a0praktyczny test. Ka\u017cdemu pytaniu towarzyszy przyk\u0142ad informacji lub dowodu, kt\u00f3ry pozwala oceni\u0107 stan kontroli.<\/p>\nPoprawne logowanie nie wyja\u015bnia zasadno\u015bci dost\u0119pu<\/h2>\n
Lista kont pokazuje tylko cz\u0119\u015b\u0107 obrazu<\/h2>\n
NIS2 i\u00a0KSC wzmacniaj\u0105 odpowiedzialno\u015b\u0107 za kontrol\u0119 dost\u0119pu<\/h2>\n
Wpis do wykazu nie potwierdza skuteczno\u015bci zabezpiecze\u0144<\/h2>\n
Zacznij od sprawdzenia tego, co ju\u017c masz<\/h2>\n
Sprawd\u017a swoj\u0105 organizacj\u0119 w\u00a0siedmiu pytaniach<\/h2>\n