IAM: zarządzanie tożsamością i dostępem jako fundament bezpieczeństwa

Kiedy dane firmy leżą w kilkunastu aplikacjach chmurowych, pracownicy logują się z domu i z urządzeń prywatnych, a kontrahenci potrzebują dostępu do wybranych zasobów, klasyczna granica sieci przestaje cokolwiek chronić. Zabezpieczenie brzegu nie odpowiada na pytanie, kto faktycznie korzysta z systemów i na jakiej podstawie. Odpowiada na nie zarządzanie tożsamością i dostępem, czyli IAM (identity and access management).

Czym jest IAM

IAM to zbiór procesów, polityk i technologii, które zapewniają, że właściwe osoby mają właściwy dostęp do właściwych zasobów, we właściwym czasie i z uzasadnionego powodu. Dziedzina obejmuje cały cykl życia tożsamości cyfrowej: od utworzenia konta nowemu pracownikowi, przez zmiany uprawnień wynikające z awansu lub przeniesienia, aż po natychmiastowe odebranie dostępu w dniu rozstania z organizacją.

Warto rozdzielić dwa pojęcia, które w rozmowach bywają mylone. Uwierzytelnianie odpowiada na pytanie „kim jesteś”, autoryzacja zaś na pytanie „co wolno ci zrobić”. IAM zajmuje się oboma, a dodatkowo dostarcza dowody: kto, kiedy i na jakiej podstawie otrzymał uprawnienie.

Tożsamość jako nowy perymetr

Zmiana modelu pracy przesunęła punkt ciężkości bezpieczeństwa. Aplikacje działają u dostawców chmurowych, dane wychodzą poza sieć firmową, a użytkownik łączy się z dowolnego miejsca. W tych warunkach to konto, a nie zapora sieciowa, stanowi pierwszą i często jedyną linię obrony. Napastnicy dostosowali się do tej rzeczywistości: przejęcie ważnych poświadczeń jest tańsze i mniej ryzykowne niż szukanie luki w oprogramowaniu.

Kolejnym problemem jest rozrost uprawnień. Pracownik zmienia stanowiska, projekty i zespoły, przy każdej zmianie otrzymuje nowe dostępy, ale stare rzadko kiedy ktoś odbiera. Po kilku latach powstają konta z uprawnieniami znacznie wykraczającymi poza rzeczywiste potrzeby, a każde takie konto stanowi gotowy punkt wejścia dla atakującego.

Elementy architektury IAM

Źródło tożsamości i katalog. Centralny rejestr kont wraz z atrybutami: dział, stanowisko, przełożony, lokalizacja, typ zatrudnienia. Coraz częściej dane te pochodzą wprost z systemu kadrowego, który staje się źródłem prawdy o tożsamości.

Uwierzytelnianie i pojedyncze logowanie (SSO). Jedna sesja logowania daje dostęp do wielu aplikacji. Efektem jest nie tylko wygoda: SSO ogranicza liczbę haseł, eliminuje ich powielanie i tworzy jeden punkt, w którym można egzekwować politykę oraz rejestrować zdarzenia.

Uwierzytelnianie wieloskładnikowe. Nieodłączny składnik nowoczesnego IAM, najlepiej w wariancie adaptacyjnym, uwzględniającym ryzyko konkretnej próby logowania.

Autoryzacja. Modele oparte na rolach (RBAC) przypisują uprawnienia do funkcji w organizacji, modele atrybutowe (ABAC) uwzględniają dodatkowo kontekst, na przykład lokalizację, stan urządzenia lub wrażliwość danych.

Zarządzanie cyklem życia konta (JML: joiner, mover, leaver). Automatyczne zakładanie kont, modyfikacja uprawnień przy zmianie roli oraz ich natychmiastowe odbieranie po odejściu pracownika. To obszar, w którym automatyzacja daje najszybszy zwrot, ponieważ ręczna obsługa zawsze zostawia zaległości.

Governance (IGA). Okresowe przeglądy uprawnień, wnioski i akceptacje, kontrola rozdziału obowiązków oraz raportowanie na potrzeby audytu.

Dostęp uprzywilejowany (PAM). Odrębna kategoria narzędzi do ochrony kont administracyjnych: sejf haseł, dostęp przyznawany na czas, nagrywanie sesji.

Wykrywanie zagrożeń tożsamościowych (ITDR). Warstwa analityczna wykrywająca nadużycia już po zalogowaniu: nietypowe wzorce dostępu, podejrzane rejestracje metod uwierzytelnienia, próby eskalacji uprawnień.

Standardy, na których opiera się IAM

Interoperacyjność jest tu warunkiem sensownego wdrożenia, dlatego architektura opiera się na otwartych protokołach:

• SAML 2.0: wymiana zapewnień o tożsamości między dostawcą tożsamości a aplikacją, wciąż powszechny w oprogramowaniu korporacyjnym.
• OAuth 2.0: delegowanie uprawnień bez przekazywania hasła, podstawa integracji API.
• OpenID Connect: warstwa uwierzytelniania nad OAuth 2.0, standard dla nowych aplikacji webowych i mobilnych.
• SCIM: automatyczna synchronizacja kont i grup między systemami, fundament sprawnego provisioningu.
• FIDO2 / WebAuthn: uwierzytelnianie odporne na phishing, oparte na kluczach kryptograficznych i passkeys.

IAM pracowniczy i CIAM

Warto rozróżnić dwa zastosowania. IAM pracowniczy obsługuje użytkowników wewnętrznych oraz kontrahentów, a jego priorytetami są kontrola, zgodność i automatyzacja procesów kadrowych. CIAM (customer identity and access management) obsługuje klientów końcowych, więc na pierwszy plan wysuwają się skalowalność, prostota rejestracji, zarządzanie zgodami oraz wymogi RODO dotyczące danych osobowych. Architektura bywa podobna, ale wymagania biznesowe różnią się na tyle, że projekty prowadzi się osobno.

IAM w modelu Zero Trust

Zero Trust opiera się na założeniu, że żadne żądanie nie jest z góry zaufane, niezależnie od tego, czy pochodzi z sieci firmowej. Realizacja tej zasady bez IAM jest niemożliwa, ponieważ to właśnie warstwa tożsamości dostarcza informacji potrzebnych do decyzji: kim jest użytkownik, jak silnie się uwierzytelnił, z jakiego urządzenia korzysta i czy jego zachowanie odbiega od normy. Dostęp przyznawany jest wtedy na poziomie pojedynczej aplikacji, a nie całej sieci, i podlega ponownej ocenie w trakcie sesji.

Korzyści biznesowe

Argumentacja za IAM nie ogranicza się do bezpieczeństwa:

• Redukcja ryzyka: mniejsza powierzchnia ataku, szybkie odbieranie dostępu, ograniczenie skutków przejęcia jednego konta.
• Oszczędność czasu działu IT: resety haseł i wnioski o dostęp stanowią znaczną część zgłoszeń do helpdesku, a automatyzacja usuwa ich sporą część.
• Szybszy onboarding: nowy pracownik ma komplet dostępów pierwszego dnia, bez serii wniosków rozproszonych po działach.
• Gotowość audytowa: raport pokazujący, kto ma dostęp do jakiego systemu i kto to zatwierdził, powstaje w kilka minut zamiast w kilka tygodni.
• Zgodność regulacyjna: NIS2, DORA, RODO oraz ISO 27001 wymagają kontroli dostępu, rozliczalności i okresowych przeglądów uprawnień.

Typowe wyzwania wdrożeniowe

Projekty IAM rzadko upadają z powodów technicznych. Najczęstsze trudności to nieaktualne dane kadrowe stanowiące podstawę automatyzacji, brak właścicieli biznesowych dla poszczególnych aplikacji, aplikacje starszego typu bez obsługi nowoczesnych protokołów, a także zbyt szeroko zdefiniowane role, które z czasem przestają cokolwiek ograniczać. Osobną kwestią pozostaje opór organizacyjny, ponieważ ograniczanie uprawnień bywa odbierane jako wyraz braku zaufania.