zarządzanie tożsamością i dostępem

Zarządzanie tożsamością i dostępem (identity and access management, IAM) to procesy i narzędzia, które obejmują cały cykl życia tożsamości cyfrowych i ich uprawnień: od założenia konta, przez uwierzytelnianie i zmiany ról, po odebranie dostępu przy odejściu. Kapitan Hack opisuje je jako obszar zarządzania IT, który zapewnia właściwym użytkownikom dostęp do narzędzi potrzebnych do pracy ^[8]. Dyrektywa NIS2 wymienia zarządzanie tożsamością i dostępem wśród podstawowych praktyk cyberhigieny, obok segmentacji sieci i świadomości użytkowników ^[1].

Jak działa

Zarządzanie tożsamością i dostępem odpowiada na trzy pytania: kim jest użytkownik, jak to potwierdzić i co wolno mu zrobić. Pierwsze dotyczy tożsamości cyfrowej. NIST zauważa, że tożsamość cyfrowa jest unikalna w kontekście danej usługi, ale jedna osoba może mieć ich wiele ^[3]. Drugie to uwierzytelnianie, które według NIST pozwala stronie ufającej uznać, z określonym poziomem pewności, że użytkownik jest tym, za kogo się podaje ^[3]. Trzecie to autoryzacja, czyli decyzja o dostępie do zasobu.

NIST ocenia siłę każdego etapu osobnym poziomem pewności: IAL dla potwierdzenia tożsamości, AAL dla uwierzytelniania i FAL dla federacji ^[3]. Federacja to wymiana informacji o tożsamości między różnymi domenami zaufania ^[3], w praktyce SSO przez identity providera (IdP).

Tożsamość i uprawnienia zmieniają się w czasie. Zarządzanie tożsamością i dostępem obejmuje więc cały cykl pokazany na schemacie poniżej.

RYS. 1Cykl życia tożsamości

Składniki

Autoryzację realizuje się według jednego z modeli. OWASP opisuje RBAC, czyli uprawnienia przypisane do ról, oraz modele oparte na atrybutach (ABAC) i relacjach (ReBAC) ^[4]. Zaleca ABAC albo ReBAC w złożonych systemach, bo RBAC przy rosnącej liczbie ról trudno utrzymać ^[4]. Obok tego rozwija się IGA, które według Kapitan Hack dodaje do IAM automatyzację i certyfikację uprawnień na potrzeby audytu i zgodności ^[8]. Konta o najszerszych uprawnieniach obejmuje osobna dziedzina: zarządzanie dostępem uprzywilejowanym (PAM).

W WordPressie

WordPress ma własny, prosty system tożsamości i uprawnień. Każda rola to zestaw uprawnień (capabilities), na przykład publish_posts, moderate_comments albo edit_users ^[6]. Domyślne role to administrator, redaktor, autor, współpracownik i subskrybent, a w sieci Multisite także superadministrator ^[6]. Dokumentacja zaznacza, że rola nie jest stopniem starszeństwa, tylko opisem obowiązków użytkownika w witrynie ^[6]. Szczegóły opisuje hasło role i uprawnienia użytkowników.

Przy instalacji WordPress automatycznie zakłada konto administratora ^[6]. Rolę dla nowych kont ustawia się w ustawieniach ogólnych ^[6]; zob. default_role. Uprawnienia można dodawać i odbierać funkcjami add_cap() i remove_cap(), a role tworzyć funkcją add_role() ^[6].

Zasady zarządzania tożsamością przekładają się na konkretne czynności:

• każda osoba ma własne konto, bez wspólnego loginu „admin” ^[5];
• rola odpowiada zadaniom; autor tekstów nie potrzebuje roli administratora, zgodnie z zasadą najmniejszych uprawnień ^[4];
• konta administratorów mają uwierzytelnianie wieloskładnikowe (MFA) ^[5];
• po zakończeniu współpracy konto się usuwa; WordPress pyta wtedy, czy usunąć wpisy tej osoby, czy przypisać je innemu użytkownikowi ^[7].

Na ekranie Użytkownicy da się filtrować konta według roli i zmieniać role wielu osobom naraz ^[7]. To podstawowe narzędzie okresowego przeglądu.

Zagrożenia i skutki

Zaniedbane zarządzanie tożsamością otwiera kilka dróg ataku:

• Osierocone konta. CERT Polska zwraca uwagę, że wspólne dane logowania często przetrwają odejście pracownika o lata ^[5]. Konto byłego współpracownika lub agencji to gotowy punkt wejścia.
• Narastanie uprawnień (privilege creep). OWASP opisuje sytuację, w której użytkownik zachowuje uprawnienia wykraczające poza obecne zadania ^[4].
• Wspólne konta. Uniemożliwiają przypisanie zmian konkretnej osobie i utrudniają odebranie dostępu ^[5].
• Brak kontroli przy każdym żądaniu. OWASP wymaga sprawdzania uprawnień przy każdym żądaniu, niezależnie od jego źródła ^[4]. Pominięcie tego prowadzi do Broken Access Control.

Skutkiem bywa przejęcie konta, eskalacja uprawnień albo nieautoryzowane konto administratora założone przez atakującego.

Dobre praktyki

CERT Polska zaleca dla dostępu administracyjnego indywidualne konta, zasadę najmniejszych uprawnień, obowiązkowe MFA i osobne stanowiska do zadań uprzywilejowanych ^[5]. Zaleca też konta awaryjne (break glass) z silnymi, unikalnymi danymi logowania, używane tylko przy awarii centralnego systemu i z natychmiastowym alarmem po użyciu ^[5]. Po odejściu pracownika konta należy od razu wyłączyć albo usunąć ^[5].

OWASP dodaje zasadę domyślnej odmowy: każde nadane uprawnienie powinno dać się uzasadnić ^[4]. Okresowy przegląd uprawnień wykrywa ich narastanie ^[4]. Podejście Zero Trust rozciąga te zasady na każde żądanie, a nie tylko na moment logowania.

Obowiązki prawne

Zarządzanie dostępem jest także obowiązkiem prawnym. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych systemu zarządzania bezpieczeństwem informacji ^[2]. Wśród środków wymienia wprost bezpieczeństwo zasobów ludzkich, uwierzytelnianie wieloskładnikowe w stosownych przypadkach i polityki kontroli dostępu ^[2]. Nowelizację ogłoszono w Dzienniku Ustaw 2 marca 2026 roku jako poz. 252 ^[2]. Wdraża ona dyrektywę NIS2, która zalicza zarządzanie tożsamością i dostępem do podstaw cyberhigieny ^[1].