JAK ZARZĄDZAĆ

Dlaczego zarządzanie dostępem wymaga jasnych zasad?

Zarządzanie dostępem do budynków, pomieszczeń i zasobów firmowych nie powinno polegać wyłącznie na wydawaniu kart, kluczy lub kodów osobom pojawiającym się w siedzibie przedsiębiorstwa. Jest to proces, który obejmuje identyfikację użytkownika, określenie zakresu jego uprawnień, kontrolę czasu dostępu, rejestrowanie zdarzeń oraz odbieranie praw w chwili, gdy przestają być potrzebne. Im większa organizacja, tym więcej grup użytkowników, wyjątków i nietypowych sytuacji trzeba uwzględnić.

Pracownik zatrudniony na czas nieokreślony, serwisant pojawiający się raz w miesiącu, ekipa remontowa pracująca przez dwa tygodnie oraz klient zaproszony na spotkanie nie powinni otrzymywać takich samych możliwości poruszania się po obiekcie. Każda z tych osób ma inny cel wizyty, inny zakres obowiązków i inny poziom odpowiedzialności. Dlatego dostęp należy dopasować do roli, miejsca i czasu, a nie jedynie do faktu obecności w firmie.

Brak uporządkowanych reguł może prowadzić do wielu problemów. Karta byłego pracownika pozostaje aktywna, podwykonawca wchodzi do pomieszczeń niezwiązanych z jego zleceniem, a gość samodzielnie porusza się po zapleczu technicznym. Zdarza się również, że pracownicy pożyczają sobie identyfikatory, przekazują kody dostępu albo przytrzymują drzwi nieznanym osobom. Każda taka sytuacja osłabia skuteczność zabezpieczeń.

System kontroli dostępu powinien wspierać codzienną pracę, a nie tworzyć zbędne przeszkody. Jeżeli procedury są zbyt skomplikowane, użytkownicy zaczynają je omijać. Gdy z kolei są zbyt łagodne, organizacja traci możliwość sprawdzenia, kto wszedł do określonej strefy, kiedy to zrobił i czy miał do tego uprawnienia. Potrzebna jest równowaga między bezpieczeństwem, wygodą oraz sprawnym przepływem osób.

Podstawą dobrze działającego modelu jest zasada nadawania wyłącznie takich praw, jakie są rzeczywiście potrzebne do wykonania obowiązków. Pracownik działu administracyjnego nie musi mieć dostępu do serwerowni, a informatyk nie zawsze potrzebuje wejścia do magazynu produktów. Technik zewnętrzny może wejść do pomieszczenia instalacyjnego, lecz tylko w terminie realizacji zlecenia. Ograniczenie uprawnień zmniejsza ryzyko błędu, nadużycia i niekontrolowanego przemieszczania się po obiekcie.

Warto również ustalić, kto odpowiada za zatwierdzanie dostępu. W jednej firmie będzie to bezpośredni przełożony, w innej administrator budynku, dział bezpieczeństwa albo osoba zarządzająca konkretną strefą. Proces powinien być czytelny. Użytkownik musi wiedzieć, gdzie złożyć wniosek, osoba zatwierdzająca powinna rozumieć zakres odpowiedzialności, a administrator systemu musi otrzymać jednoznaczną informację o tym, jakie prawa ma nadać.

Nie mniej ważne jest dokumentowanie zmian. Każde nadanie, rozszerzenie, ograniczenie lub odebranie dostępu powinno pozostawić ślad w systemie albo dokumentacji. Dzięki temu można później ustalić, kto zaakceptował określone uprawnienie i na jakiej podstawie zostało ono przyznane. Historia operacji ułatwia audyty, wyjaśnianie incydentów i okresowe porządkowanie list użytkowników.

Dostęp pracowników powinien wynikać z roli i zakresu obowiązków

Pracownicy są najliczniejszą grupą użytkowników systemu dostępowego, dlatego właśnie w ich przypadku najłatwiej o narastanie nieaktualnych uprawnień. Osoba zmienia stanowisko, przechodzi do innego działu, otrzymuje nowe obowiązki albo zaczyna pracować w kolejnej lokalizacji. Jeżeli każde nowe prawo jest dodawane, ale stare nie są odbierane, po kilku latach pracownik może mieć dostęp do wielu stref, z których już nie korzysta.

Uprawnienia powinny być przypisane do stanowiska lub funkcji, a nie tworzone od początku dla każdej osoby. Takie podejście upraszcza zarządzanie. Recepcjonista otrzymuje zestaw praw związanych z recepcją, kierownik magazynu z magazynem, a pracownik działu technicznego z pomieszczeniami potrzebnymi do realizacji zadań. W razie awansu lub przeniesienia można zmienić profil dostępu, zamiast ręcznie analizować dziesiątki przejść.

Należy jednak pamiętać, że nawet osoby na podobnych stanowiskach nie zawsze potrzebują identycznych uprawnień. Jedna może pracować wyłącznie w głównej siedzibie, druga odwiedza także oddziały, a trzecia wykonuje obowiązki w godzinach nocnych. System powinien umożliwiać tworzenie wyjątków, ale każdy wyjątek musi mieć uzasadnienie, właściciela i określony czas obowiązywania.

Podczas zatrudniania nowej osoby warto powiązać proces nadawania dostępu z onboardingiem. Jeszcze przed pierwszym dniem pracy można przygotować kartę, identyfikator i podstawowy zestaw uprawnień. Pozwala to uniknąć sytuacji, w której pracownik przez kilka dni korzysta z karty współpracownika albo jest każdorazowo wpuszczany przez recepcję. Dostęp od początku powinien być imienny i przypisany do konkretnego użytkownika.

Identyfikator nie powinien być anonimowym przedmiotem krążącym pomiędzy pracownikami. Karta, brelok, aplikacja mobilna lub inny nośnik muszą być powiązane z osobą widoczną w systemie. W przypadku zgubienia użytkownik powinien natychmiast zgłosić ten fakt. Administrator może wtedy zablokować utracony nośnik i wydać nowy, bez konieczności zmieniania konfiguracji całego obiektu.

Duże znaczenie mają także harmonogramy. Nie każdy pracownik musi mieć możliwość wejścia przez całą dobę. Dostęp może być aktywny w dni robocze, w określonych godzinach lub zgodnie z grafikiem zmianowym. Osoby pracujące nocą otrzymają inne przedziały czasowe niż pracownicy biurowi. Ograniczenia czasowe redukują liczbę nieuzasadnionych wejść poza godzinami wykonywania obowiązków.

W pomieszczeniach o podwyższonym poziomie ochrony warto zastosować dodatkowe mechanizmy. Może to być konieczność ponownego potwierdzenia tożsamości, użycie dwóch niezależnych metod identyfikacji albo autoryzacja wejścia przez uprawnionego pracownika. Takie zasady sprawdzają się między innymi w serwerowniach, archiwach, laboratoriach, pomieszczeniach technicznych i strefach przechowywania wartościowego wyposażenia.

Organizacja powinna ustalić sposób postępowania w przypadku czasowej nieobecności. Długotrwały urlop, zawieszenie obowiązków, delegacja lub zwolnienie lekarskie mogą uzasadniać okresowe ograniczenie części praw. Nie zawsze jest to konieczne, ale dla niektórych stref warto stosować automatyczne wygaszanie dostępu po określonym czasie braku aktywności.

Najwięcej uwagi wymaga zakończenie współpracy. Karta pracownika powinna zostać zablokowana najpóźniej w chwili ustania jego uprawnień do przebywania w obiekcie. Nie należy czekać na zwrot fizycznego identyfikatora, ponieważ karta może nie zostać oddana albo mogła zostać skopiowana. Dezaktywacja w systemie powinna być częścią procedury offboardingu, razem z odebraniem dostępu do kont, urządzeń i innych zasobów firmy.

• Nadawaj prawa według roli, a nie na podstawie nieformalnych ustaleń.
• Stosuj harmonogramy zgodne z rzeczywistymi godzinami pracy.
• Usuwaj nieaktualne uprawnienia po zmianie stanowiska lub działu.
• Blokuj utracone identyfikatory natychmiast po zgłoszeniu.
• Łącz odebranie dostępu z offboardingiem, aby żadne konto ani karta nie pozostały aktywne.

Podwykonawcy wymagają dostępu czasowego i dokładnego nadzoru

Podwykonawcy, serwisanci, instalatorzy i ekipy techniczne często muszą wejść do miejsc niedostępnych dla zwykłych gości. Mogą wykonywać prace w rozdzielniach, serwerowniach, magazynach, strefach produkcyjnych lub na zapleczu budynku. Jednocześnie nie są stałymi członkami organizacji, dlatego ich obecność powinna być traktowana jako dostęp czasowy związany z konkretnym zleceniem.

Przed przyznaniem uprawnień należy ustalić, kto przychodzi, w jakim celu, na jaki okres i do jakich pomieszczeń musi wejść. Nie wystarczy informacja, że pojawi się firma zewnętrzna. Potrzebna jest lista osób albo przynajmniej procedura potwierdzania ich tożsamości. Pozwala to uniknąć sytuacji, w której wykonawca przyprowadza dodatkowych pracowników, o których zamawiający nie został wcześniej poinformowany.

Podwykonawca powinien otrzymać dostęp tylko na czas realizacji prac. Jeżeli zlecenie trwa od poniedziałku do piątku, karta nie musi pozostawać aktywna przez kolejne tygodnie. System może automatycznie wygasić uprawnienia po wskazanej dacie i godzinie. Automatyczne terminy ważności ograniczają ryzyko pozostawienia aktywnych kart po zakończeniu współpracy.

Zakres dostępu powinien odpowiadać miejscu wykonywania zlecenia. Serwisant windy nie potrzebuje wejścia do wszystkich biur, a osoba naprawiająca klimatyzację nie powinna swobodnie poruszać się po archiwum. Nawet gdy przejście przez dodatkową strefę skraca drogę, warto sprawdzić, czy nie można wyznaczyć trasy ograniczającej kontakt z dokumentami, sprzętem lub informacjami.

W niektórych sytuacjach konieczna jest obecność opiekuna ze strony firmy. Dotyczy to zwłaszcza prac prowadzonych w strefach chronionych, działań wykonywanych poza standardowymi godzinami oraz zleceń wymagających dostępu do wielu pomieszczeń. Opiekun potwierdza wejście, nadzoruje przebieg prac i odpowiada za zgłoszenie ich zakończenia.

Przed rozpoczęciem zlecenia podwykonawcy powinni poznać podstawowe zasady bezpieczeństwa obowiązujące w obiekcie. Należy poinformować ich o zakazie przekazywania kart, obowiązku noszenia identyfikatora, sposobie zgłaszania zagubienia nośnika, zasadach fotografowania oraz procedurze ewakuacji. Krótkie szkolenie jest szczególnie ważne wtedy, gdy prace trwają dłużej lub dotyczą miejsc o ograniczonym dostępie.

Karty dla podwykonawców powinny być łatwe do odróżnienia od identyfikatorów pracowniczych. Inny kolor, wyraźne oznaczenie albo napis informujący o czasowym charakterze dostępu ułatwiają kontrolę wzrokową. Pracownicy ochrony i recepcji szybciej zauważą wtedy osobę przebywającą poza dozwoloną strefą albo korzystającą z nieaktualnego identyfikatora.

Nie należy tworzyć jednej wspólnej karty serwisowej używanej przez wszystkie firmy zewnętrzne, chyba że sposób jej wydawania i zwrotu jest ściśle kontrolowany. Wspólny nośnik utrudnia ustalenie, kto faktycznie otworzył drzwi. Lepszym rozwiązaniem są identyfikatory imienne albo karty przypisywane konkretnej osobie w chwili wydania.

Po zakończeniu prac trzeba odebrać kartę, zamknąć zlecenie i sprawdzić, czy wykonawca opuścił wszystkie strefy. Warto również potwierdzić, że nie pozostawił otwartych drzwi, niezabezpieczonych pomieszczeń lub tymczasowych kodów. Zamknięcie dostępu powinno być równie uporządkowane jak jego nadanie.

Obsługa gości powinna łączyć bezpieczeństwo z wygodą

Goście pojawiają się w firmie z wielu powodów. Mogą uczestniczyć w spotkaniu, rozmowie rekrutacyjnej, szkoleniu, prezentacji, audycie lub odbiorze zamówienia. Zazwyczaj nie potrzebują szerokiego dostępu, ale ich wejście nadal powinno być zarejestrowane i powiązane z osobą zapraszającą. Proces wizytowy musi być prosty, szybki i czytelny, ponieważ wpływa również na pierwsze wrażenie o organizacji.

Najbezpieczniejszy model zakłada wcześniejsze zgłoszenie wizyty. Pracownik podaje imię i nazwisko gościa, termin, cel spotkania oraz przewidywaną godzinę zakończenia. Recepcja może dzięki temu przygotować identyfikator, sprawdzić dane i poinformować gospodarza o przybyciu zaproszonej osoby. W większych obiektach zgłoszenie może zawierać również numer rejestracyjny pojazdu, nazwę firmy lub listę uczestników spotkania.

Podczas wejścia należy potwierdzić tożsamość w zakresie odpowiednim do charakteru obiektu. Nie każda firma potrzebuje rozbudowanej kontroli dokumentów, jednak gość nie powinien otrzymać identyfikatora wyłącznie na podstawie podania nazwiska pracownika. Recepcja musi mieć możliwość sprawdzenia, czy wizyta została rzeczywiście umówiona.

Identyfikator gościa powinien być widoczny przez cały czas pobytu. Ułatwia to pracownikom rozpoznanie osoby z zewnątrz i ocenę, czy znajduje się ona we właściwym miejscu. Oznaczenie nie może jednak ujawniać zbędnych danych osobowych. W wielu przypadkach wystarczy numer identyfikatora, nazwa organizacji albo ogólna informacja o statusie gościa.

Większość gości powinna poruszać się po obiekcie w towarzystwie osoby zapraszającej. Jest to szczególnie istotne w biurach otwartych, zakładach produkcyjnych, magazynach oraz miejscach, w których znajdują się dokumenty, ekrany komputerów lub urządzenia techniczne. Gospodarz wizyty odpowiada wtedy za trasę przejścia i dopilnowuje, aby gość nie wszedł do nieprzeznaczonej dla niego strefy.

Nie każdy odwiedzający wymaga jednak stałej opieki. Dostawca posiłków, kurier lub osoba odbierająca przesyłkę może pozostać w wyznaczonej strefie recepcyjnej. Kandydat na rozmowę rekrutacyjną może otrzymać dostęp do sali spotkań i toalety. Uczestnik szkolenia może poruszać się pomiędzy recepcją, salą konferencyjną i miejscem przerwy. Zakres powinien wynikać z celu wizyty, a nie z jednego schematu stosowanego wobec wszystkich.

System może generować identyfikatory aktywne tylko przez określony czas. Po zakończeniu wizyty karta automatycznie traci ważność, nawet gdy gość zapomni ją zwrócić. Jest to szczególnie przydatne w obiektach obsługujących wiele spotkań każdego dnia. Automatyzacja nie zwalnia jednak recepcji z obowiązku kontrolowania zwrotu nośników wielokrotnego użytku.

Warto ustalić zasady dotyczące rzeczy wnoszonych do budynku. Aparaty fotograficzne, urządzenia rejestrujące, prywatne pamięci masowe lub duże torby mogą wymagać dodatkowej kontroli w niektórych strefach. Reguły powinny być komunikowane przed wejściem, a nie dopiero wtedy, gdy gość znajdzie się w chronionym pomieszczeniu.

Po zakończeniu spotkania gospodarz powinien odprowadzić gościa do recepcji albo potwierdzić jego wyjście w systemie. Dzięki temu lista osób znajdujących się w budynku pozostaje aktualna. Ma to znaczenie nie tylko dla bezpieczeństwa, lecz także podczas ewakuacji, gdy trzeba ustalić, czy wszyscy odwiedzający opuścili obiekt.

• Rejestruj wizyty z wyprzedzeniem, gdy tylko jest to możliwe.
• Powiąż gościa z osobą zapraszającą i celem pobytu.
• Stosuj czytelne identyfikatory ważne przez ograniczony czas.
• Wyznacz dozwolone strefy oraz zasady poruszania się po obiekcie.
• Potwierdzaj wyjście, aby lista osób obecnych była aktualna.

Kontrola, przeglądy i reagowanie na nieprawidłowości

• Nawet dobrze zaprojektowany system z czasem traci uporządkowanie, jeżeli nikt nie sprawdza list użytkowników i zakresu ich praw. Pracownicy zmieniają role, umowy podwykonawców wygasają, a identyfikatory gości trafiają do szuflad zamiast do recepcji. Dlatego organizacja powinna prowadzić regularne przeglądy uprawnień dostępowych.
• Przegląd może odbywać się co miesiąc, kwartał lub pół roku, zależnie od wielkości firmy i poziomu ryzyka. W jego trakcie warto porównać aktywne konta z listą zatrudnionych osób, aktualnymi umowami i ewidencją wydanych nośników. Kierownicy działów mogą potwierdzać, czy ich pracownicy nadal potrzebują przyznanych praw.
• Szczególnej uwagi wymagają uprawnienia rozszerzone, dostęp całodobowy oraz wejścia do stref o zwiększonej ochronie. Powinny być analizowane częściej niż zwykłe wejście do biura. Każde szerokie uprawnienie musi mieć aktualne uzasadnienie biznesowe, a jego właściciel powinien wiedzieć, że odpowiada za właściwe wykorzystanie przyznanych możliwości.
• Rejestry zdarzeń pozwalają wykryć nietypowe zachowania. Wejście w środku nocy, wielokrotne próby otwarcia niedostępnych drzwi, używanie tej samej karty w odległych miejscach w krótkim czasie lub częste wizyty poza zatwierdzonym harmonogramem mogą wskazywać na błąd albo nadużycie. Analiza powinna uwzględniać kontekst, ponieważ pojedyncze odstępstwo nie zawsze oznacza incydent.
• System powinien umożliwiać szybkie blokowanie identyfikatorów. Gdy karta zostanie zgubiona, skradziona lub przekazana innej osobie, liczy się czas reakcji. Użytkownicy muszą wiedzieć, gdzie i w jaki sposób zgłosić problem. Proces nie może zależeć wyłącznie od obecności jednego administratora, zwłaszcza w firmach działających przez całą dobę.
• Pracownicy powinni reagować na próby wejścia za cudzą osobą. Zjawisko polegające na przejściu przez zabezpieczone drzwi bez użycia własnego identyfikatora bywa traktowane jako uprzejmość, ale osłabia kontrolę. Nie chodzi o tworzenie atmosfery podejrzliwości. Wystarczy kulturalnie poprosić nieznaną osobę o użycie karty albo skierować ją do recepcji.
• W przypadku wykrycia naruszenia trzeba ustalić, co się wydarzyło, jakie dane zostały zarejestrowane oraz czy należy ograniczyć dostęp użytkownika. W zależności od sytuacji wystarczy rozmowa i przypomnienie zasad, ale czasem konieczna jest natychmiastowa blokada karty, zabezpieczenie nagrań lub zmiana konfiguracji przejścia. Procedura reagowania powinna wskazywać osoby odpowiedzialne za podejmowanie decyzji.
• Nie można zapominać o ochronie informacji zgromadzonych przez system. Rejestry wejść, dane identyfikacyjne i historia wizyt powinny być dostępne tylko dla uprawnionych osób. Okres przechowywania danych musi odpowiadać rzeczywistym potrzebom organizacji. Kontrola dostępu nie powinna prowadzić do zbierania informacji bez wyraźnego celu.
• Sprawność techniczna urządzeń również wymaga kontroli. Czytniki, zamki, elektrozaczepy, zwory, bramki i kontrolery mogą ulec zużyciu albo uszkodzeniu. Drzwi, które nie domykają się prawidłowo, niwelują działanie nawet najlepiej skonfigurowanego systemu. Regularne testy powinny obejmować zarówno oprogramowanie, jak i elementy fizyczne.
• Warto także analizować wygodę użytkowania. Jeżeli przy recepcji codziennie tworzą się kolejki, podwykonawcy czekają godzinami na wydanie kart, a pracownicy regularnie proszą o ręczne otwieranie drzwi, proces wymaga poprawy. Bezpieczeństwo i sprawność organizacyjna mogą się uzupełniać, o ile zasady są dobrze zaprojektowane i dostosowane do rzeczywistych potrzeb.