Uprawnienia administratora — zmiana o największym wpływie

W większości małych firm każdy pracuje na koncie z prawami administratora lokalnego. Nie z niedbalstwa — tak było wygodniej przy wdrożeniu stacji i nikt tego później nie cofnął.

Konsekwencja jest prosta: cokolwiek uruchomi użytkownik, uruchamia się z jego uprawnieniami. Trafiony załącznik na koncie zwykłego użytkownika psuje pliki tej jednej osoby. Ten sam załącznik na koncie z prawami administratora może wyłączyć ochronę, zainstalować się na stałe, sięgnąć do innych kont na maszynie i ruszyć dalej po sieci.

To jest cała różnica i nie kosztuje ani złotówki.

Dlaczego to działa lepiej niż zakupy

Ochrona antywirusowa wykrywa to, co zna. Uprawnienia działają inaczej — ograniczają skutki niezależnie od tego, czy coś zostało wykryte. Złośliwe oprogramowanie, o którym nikt jeszcze nie słyszał, i tak nie zainstaluje sterownika ani nie wyłączy agenta, jeśli konto nie ma do tego prawa.

Dlatego jeżeli w firmie ma się wydarzyć jedna zmiana w bezpieczeństwie, to ta. Kolejna licencja jest zwykle rozmową o wiele późniejszą, niż się ją prowadzi.

Skąd bierze się opór

Trzy argumenty słyszy się zawsze i wszystkie trzy są rozwiązywalne:

„Nie będę mógł nic zainstalować.” Prawda — i o to chodzi. Pytanie brzmi, jak często naprawdę trzeba coś instalować. W typowej firmie biurowej odpowiedź to kilka razy w roku, a nie kilka razy w tygodniu. Jeżeli okaże się inaczej, to sama w sobie jest ciekawa informacja.

„Program X wymaga uprawnień administratora do działania.” Czasem prawda. Zwykle wymaga ich tylko do instalacji, a źle napisane potrafią wymagać zapisu do własnego katalogu — to da się rozwiązać uprawnieniami do konkretnego katalogu, bez oddawania praw do całej maszyny.

„Prezes musi mieć.” To akurat najgorszy pomysł z możliwych. Konto osoby zarządzającej dostaje najwięcej wiadomości od nieznanych nadawców i jest najczęstszym celem ukierunkowanego phishingu. Jeżeli ktoś ma nie mieć praw administratora, to właśnie ta osoba.

Jak to przeprowadzić

Nie zaczynaj od wszystkich naraz. Zmiana jest odczuwalna i wprowadzona z dnia na dzień gwarantuje falę zgłoszeń w tym samym tygodniu.

Krok 1: ustal stan faktyczny

Sprawdź, ile kont faktycznie ma uprawnienia. Zwykle wychodzi, że więcej niż ktokolwiek zakładał — łącznie z kontami po osobach, które już nie pracują.

Krok 2: osobne konto administracyjne dla obsługi IT

Zanim odbierzesz uprawnienia użytkownikom, upewnij się, że istnieje osobne konto do zadań administracyjnych i że masz do niego dostęp. Odebranie praw bez przygotowania takiego konta kończy się koniecznością ratowania maszyny.

To konto nie służy do codziennej pracy. Nie czyta się na nim poczty i nie przegląda internetu.

Krok 3: jedna osoba na próbę, potem dział

Zacznij od kogoś życzliwego i technicznego. Przez tydzień zbierz listę rzeczy, które przestały działać. Zwykle jest krótsza od oczekiwań i zawiera dwa czy trzy programy do rozwiązania osobno.

Potem jeden dział, potem reszta.

Krok 4: droga podniesienia uprawnień

Musi istnieć przewidywalny sposób, żeby użytkownik dostał to, czego naprawdę potrzebuje. Może to być zgłoszenie do Ciebie, może być narzędzie do kontrolowanego podnoszenia uprawnień. Ważne, żeby czas oczekiwania był znany — jeżeli odpowiedź przychodzi po trzech dniach, ludzie znajdą obejście, a obejścia są gorsze od problemu.

Co jeszcze warto domknąć przy okazji

Odebranie uprawnień to dobry moment na trzy rzeczy, które i tak trzeba zrobić:

• Konta po odejściu pracowników — wychodzą przy przeglądzie i zwykle jest ich kilka.
• Konta lokalne z tym samym hasłem na wszystkich stacjach — jeżeli takie są, to jedna zdobyta maszyna oznacza wszystkie. Windows ma wbudowany mechanizm losowania haseł kont lokalnych i warto go włączyć.
• Wspólne konto „biuro” albo „recepcja” — nie da się ustalić, kto co zrobił, a hasło zna każdy, kto kiedykolwiek tam pracował.

Czego się spodziewać

Pierwsze dwa tygodnie: więcej zgłoszeń, głównie o instalacje i drobne uprawnienia. Potem cisza.

Realny koszt to kilka godzin pracy rozłożonych na miesiąc plus trochę cierpliwości. W zamian dostajesz sytuację, w której trafiony załącznik jest kłopotem jednej osoby, a nie zdarzeniem dla całej firmy. Żaden zakup w tym przedziale cenowym nie daje takiego przesunięcia.