Zarządzanie kontami użytkowników Microsoft w firmie

Bez struktury robi się bałagan

Dopóki firma ma kilku pracowników, konta zakłada się doraźnie. Przy kilkunastu zaczyna brakować odpowiedzi na proste pytania: kto ma jaką licencję, kto ma dostęp do czego i czy konta osób, które odeszły, nadal działają.

Co porządkujemy

• Konta służbowe dla każdego pracownika, zamiast kont prywatnych i wspólnych.
• Przypisanie licencji do osób wraz z terminami odnowień.
• Grupy odpowiadające działom, z uprawnieniami przypisanymi do grup.
• Dostęp do wspólnych zasobów i skrzynek.
• Uwierzytelnianie dwuskładnikowe.
• Procedurę zakładania konta nowemu pracownikowi.

Konta wspólne

Jedno konto używane przez kilka osób uniemożliwia ustalenie, kto co zrobił, a zmiana hasła blokuje pracę całemu zespołowi. Rozdzielamy je na konta osobiste — to podstawowy krok przed jakimkolwiek porządkowaniem uprawnień.

Odejście pracownika

Konto blokujemy tego samego dnia, ale nie kasujemy od razu — na skrzynce i na dyskach są dane potrzebne firmie. Przekazujemy dostęp osobie wskazanej, ustawiamy przekierowanie poczty i dopiero po ustalonym czasie zamykamy konto, zwalniając licencję.

Nowy pracownik

Konto, licencja, poczta i uprawnienia według roli — nie kopiowane od kogoś innego. Kopiowanie „jak u poprzednika" jest szybkie i jest przyczyną tego, że po roku połowa zespołu ma dostęp do rzeczy, których nie potrzebuje.

Dokumentacja

Prowadzimy zestawienie kont, licencji i uprawnień w ramach stałej opieki.

Różne rodzaje kont wymagają innego podejścia

W firmowym środowisku mogą występować konta służbowe, konta lokalne oraz konta prywatne użyte wcześniej do aktywacji usług. Konto lokalne działa tylko na konkretnym komputerze i nie musi być powiązane z usługami chmurowymi. Konto służbowe jest zarządzane przez organizację i może zapewniać dostęp do poczty, aplikacji, plików oraz innych zasobów firmowych. Konto prywatne pozostaje natomiast własnością konkretnej osoby, dlatego nie powinno stanowić podstawy dostępu do danych przedsiębiorstwa.

Porządkowanie rozpoczyna się od ustalenia, które konta rzeczywiście istnieją i do czego są wykorzystywane. Sprawdzane są zależności między użytkownikami, licencjami, skrzynkami pocztowymi, grupami i urządzeniami. Pozwala to uniknąć sytuacji, w której usunięcie pozornie niepotrzebnego konta odcina dostęp do ważnej korespondencji albo plików zespołu.

Uprawnienia zgodne z rolą pracownika

Każda osoba powinna otrzymać tylko taki zakres dostępu, jaki jest potrzebny do wykonywania obowiązków. Jest to zasada najmniejszych uprawnień, czyli ograniczenia dostępu do niezbędnego minimum. Nie chodzi o utrudnianie pracy, lecz o zmniejszenie ryzyka przypadkowego usunięcia danych, nieuprawnionego wglądu w dokumenty lub wykorzystania przejętego konta.

Uprawnienia wygodniej przypisywać do grup niż osobno do każdej osoby. Grupa jest zbiorem użytkowników o podobnej roli, na przykład w księgowości, sprzedaży lub administracji. Po zmianie stanowiska wystarczy przenieść konto między odpowiednimi grupami. Dzięki temu nie trzeba ręcznie odszukiwać wszystkich folderów, skrzynek i aplikacji, do których wcześniej przyznano dostęp.

Wyjątki również wymagają zapisania. Jeżeli konkretna osoba potrzebuje czasowego dostępu do projektu albo dodatkowej skrzynki, warto określić powód, zakres oraz moment ponownej weryfikacji. Bez takiej informacji uprawnienie tymczasowe łatwo staje się uprawnieniem bezterminowym.

Uwierzytelnianie dwuskładnikowe i metody odzyskiwania dostępu

Uwierzytelnianie dwuskładnikowe oznacza potwierdzanie logowania drugim składnikiem oprócz hasła. Ogranicza to ryzyko przejęcia konta, gdy samo hasło zostanie ujawnione. Wdrożenie wymaga jednak przygotowania zasad dla nowych telefonów, utraconych urządzeń i awarii używanej metody potwierdzania.

Dane umożliwiające odzyskanie dostępu powinny być powiązane z kontrolowanym procesem firmowym, a nie wyłącznie z prywatnym numerem telefonu byłego pracownika. Trzeba również ustalić, kto może zatwierdzić zmianę metody logowania. Samo włączenie dodatkowego zabezpieczenia bez procedury odzyskiwania może doprowadzić do blokady konta w najmniej odpowiednim momencie.

Hasło użytkownika nie powinno być domyślnie przekazywane osobie obsługującej środowisko. Większość czynności administracyjnych można wykonać przez odrębne uprawnienia. Jeżeli przy konkretnym problemie dostęp do konta okaże się konieczny, najpierw wyjaśniany jest cel i zakres takiej czynności.

Najczęstsze błędy podczas samodzielnego porządkowania

Pierwszym błędem jest usuwanie kont natychmiast po zauważeniu, że nie są już używane. Konto może nadal być właścicielem plików, skrzynki albo elementów potrzebnych innym osobom. Bez wcześniejszego przekazania danych i sprawdzenia zależności można utracić dostęp do informacji firmowych.

Drugim błędem jest przydzielanie wszystkim użytkownikom uprawnień administratora. Administrator może zmieniać ustawienia o szerokim zakresie, dlatego takie konto powinno być używane wyłącznie do zadań administracyjnych. Codzienna praca na koncie z nadmiernymi uprawnieniami zwiększa skutki pomyłki oraz przejęcia danych logowania.

Kolejny problem to przypisywanie licencji bez sprawdzenia faktycznych potrzeb. Nazwa stanowiska nie zawsze wskazuje, z jakich funkcji korzysta dana osoba. Najpierw warto ustalić wymagane aplikacje i usługi, a dopiero później dobrać licencję. Pozwala to uniknąć zarówno brakujących funkcji, jak i utrzymywania nieużywanych dostępów.

Nie należy też tworzyć prostego arkusza zawierającego hasła wszystkich pracowników. Dokumentacja kont powinna obejmować właściciela, rolę, licencję, grupy, status oraz ważne zależności, ale nie jawne hasła. Hasło jest informacją uwierzytelniającą, czyli służącą do potwierdzenia tożsamości użytkownika, i wymaga osobnej ochrony.

Kiedy problem nie wynika z samego konta

Brak dostępu do poczty lub aplikacji nie zawsze oznacza uszkodzone konto. Przyczyną może być nieprzypisana licencja, błędna konfiguracja programu, nieaktualna sesja logowania albo brak uprawnień do konkretnego zasobu. Sesja logowania to zapisane potwierdzenie, że użytkownik wcześniej przeszedł weryfikację. Jeżeli utraci ważność, aplikacja może ponownie poprosić o zalogowanie mimo poprawnie działającego konta.

Podobnie wygląda sytuacja z plikami. Użytkownik może prawidłowo logować się do środowiska, ale nie widzieć folderu udostępnionego innej grupie. Wtedy resetowanie hasła nie rozwiąże problemu. Potrzebna jest kontrola członkostwa w grupach, sposobu udostępnienia oraz poziomu dostępu, na przykład możliwości odczytu albo edycji.

Jeżeli logowanie działa w przeglądarce, ale nie działa w programie na komputerze, sprawdzana jest konfiguracja lokalna i zapisane poświadczenia. Poświadczenia to dane wykorzystywane przez system do potwierdzania tożsamości. Dopiero rozdzielenie problemu z kontem od problemu z urządzeniem pozwala wybrać właściwe działanie.

Przeglądy kont i licencji

Jednorazowe uporządkowanie nie wystarcza, jeżeli późniejsze zmiany nie są odnotowywane. Zakres obowiązków pracowników się zmienia, powstają nowe zespoły, a projekty są zamykane. Dlatego zestawienie kont powinno być aktualizowane po zatrudnieniu, zmianie stanowiska, dłuższej nieobecności i zakończeniu współpracy.

Podczas przeglądu sprawdzane są konta aktywne i zablokowane, przypisane licencje, członkostwo w grupach oraz dostępy wyjątkowe. Weryfikowane są również konta techniczne, czyli konta wykorzystywane przez aplikacje lub procesy, a nie przez konkretną osobę. Takiego konta nie należy usuwać tylko dlatego, że nie ma nazwiska pracownika. Najpierw trzeba ustalić, z jaką usługą jest powiązane.

Dokumentacja powinna wskazywać także osobę zatwierdzającą dostęp. Dział informatyczny może wykonać zmianę techniczną, ale decyzja o tym, kto powinien widzieć dane finansowe, kadrowe lub handlowe, należy do upoważnionego przedstawiciela firmy.

Dodatkowe pytania dotyczące kont firmowych

Czy można pozostawić jedno konto dla całego działu?

Wspólna skrzynka może służyć do obsługi adresu działowego, ale pracownicy powinni uzyskiwać do niej dostęp ze swoich kont osobistych. Dzięki temu nie trzeba przekazywać jednego hasła wielu osobom, a odejście pracownika nie wymusza zmiany danych logowania całego zespołu. Można też precyzyjniej ustalić, kto posiada dostęp.

Czy konto byłego pracownika trzeba od razu usuwać?

Nie. Najpierw konto jest blokowane, aby nie można było się na nie zalogować. Następnie ustalane jest, które dane należy zachować, komu przekazać dostęp i jak obsłużyć przychodzącą korespondencję. Usunięcie następuje dopiero po zakończeniu uzgodnionego procesu i sprawdzeniu zależności.

Czy zmiana stanowiska wymaga utworzenia nowego konta?

Zwykle wystarcza aktualizacja roli, grup i uprawnień istniejącego konta. Ważne jest nie tylko dodanie nowych dostępów, lecz także odebranie tych, które przestały być potrzebne. Pozostawienie dawnych uprawnień prowadzi do ich stopniowego gromadzenia.

Jak postąpić, gdy pracownik zgubi urządzenie używane do potwierdzania logowania?

Należy uruchomić ustaloną procedurę weryfikacji tożsamości i zmiany metody uwierzytelniania. Nie powinno się wyłączać zabezpieczeń bez sprawdzenia, kto zgłasza problem. Po odzyskaniu dostępu warto usunąć nieaktualną metodę oraz sprawdzić ostatnią aktywność konta pod kątem nieznanych logowań.

Czy uporządkowanie kont wymaga przerwy w pracy całej firmy?

Zakres zmian można podzielić na etapy. Najpierw wykonywany jest spis kont, licencji i dostępów, a następnie przygotowywana jest docelowa struktura. Zmiany dotyczące poszczególnych zespołów można wdrażać kolejno, kontrolując dostęp do potrzebnych zasobów. Sposób realizacji zależy od zastanego środowiska i liczby powiązań między kontami.

Porządek, który pozostaje po zmianach kadrowych

Dobrze zarządzane konta nie są tylko listą nazw użytkowników. Tworzą spójny proces obejmujący rozpoczęcie pracy, zmianę roli, czasowe dostępy i zakończenie współpracy. Gdy każde uprawnienie ma uzasadnienie, licencja ma właściciela, a konto ma określony status, zmiany kadrowe nie pozostawiają po sobie nieaktywnych dostępów i trudnych do wyjaśnienia zależności.