Zdalna konfiguracja dostępu do zasobów firmowych

Dostęp od pierwszego dnia

Nowy pracownik zatrudniony do pracy zdalnej potrzebuje dostępu do firmowych zasobów, zanim pojawi się w biurze — a często zanim w ogóle się tam pojawi. Całą konfigurację da się wykonać przez połączenie zdalne.

Co konfigurujemy

• Konto w domenie albo w systemie firmowym.
• Pocztę służbową na komputerze i telefonie.
• Połączenie VPN z siecią firmy.
• Dostęp do dysków wspólnych z uprawnieniami odpowiadającymi stanowisku.
• Programy firmowe wraz z połączeniem do bazy.
• Drukowanie — do biura albo na urządzenie domowe.
• Objęcie komputera kopią zapasową.

Uprawnienia od razu właściwe

Nowe konto przypisujemy do grup odpowiadających roli, a nie kopiujemy uprawnień od innego pracownika. Kopiowanie „jak u Kowalskiego" jest szybkie i jest najczęstszą przyczyną tego, że po roku połowa zespołu ma dostęp do rzeczy, których nie potrzebuje.

Sprzęt prywatny

Gdy pracownik korzysta z własnego komputera, konfigurujemy wyłącznie część firmową i zabezpieczamy dostęp — bez ingerencji w prywatne dane. Warto ustalić z góry, czy firma na taki wariant się godzi.

Odejście pracownika

Dostęp odcinamy zdalnie tego samego dnia: konto, pocztę, VPN i urządzenia mobilne. Konto wyłączamy, a nie kasujemy — dane utworzone przez tę osobę zwykle są nadal potrzebne.

Czas

Przygotowanie stanowiska zdalnego zajmuje zwykle jedną sesję, umawianą na dogodną porę.

Przygotowanie konfiguracji przed połączeniem z pracownikiem

Sprawna konfiguracja zaczyna się od zebrania informacji o stanowisku. Potrzebna jest nazwa działu, zakres obowiązków, lista używanych aplikacji oraz wskazanie zasobów, do których konto powinno mieć dostęp. Należy też ustalić, czy komputer należy do firmy, czy jest sprzętem prywatnym. Dzięki temu podczas sesji zdalnej można skupić się na uruchomieniu stanowiska, zamiast dopiero ustalać podstawowe wymagania.

Po stronie firmy powinna zostać wyznaczona osoba, która zatwierdza uprawnienia. Sam pracownik może wiedzieć, jakich plików i programów potrzebuje, ale nie powinien samodzielnie decydować o dostępie do danych księgowych, kadrowych, administracyjnych lub zarządczych. Takie rozdzielenie odpowiedzialności ogranicza ryzyko przypadkowego udostępnienia informacji poza właściwy zespół.

Przed rozpoczęciem warto również sprawdzić, czy konto zostało utworzone poprawnie, licencje na wymagane oprogramowanie są dostępne, a przełożony przekazał właściwy zakres roli. Jeżeli stanowisko obejmuje pracę z InsERT, WAPRO ERP, Comarch ERP, Sage Symfonia, Płatnikiem ZUS, enova365 albo innym systemem firmowym, potrzebne mogą być dodatkowe dane połączenia i zgoda administratora aplikacji.

Różne warianty dostępu do zasobów

Nie każde stanowisko zdalne wymaga takiego samego rozwiązania. Czasem wystarcza poczta, pakiet biurowy i dostęp do dokumentów przechowywanych w usłudze chmurowej. W innym przypadku konieczne jest połączenie VPN, czyli zaszyfrowany kanał prowadzący do sieci firmy. VPN pozwala korzystać z wewnętrznych zasobów tak, jakby komputer znajdował się w sieci biurowej, ale nie zastępuje prawidłowo nadanych uprawnień.

Inny wariant to praca przez pulpit zdalny, czyli sterowanie komputerem lub serwerem działającym w firmie. Wtedy dane i programy pozostają w środowisku firmowym, a przez internet przesyłany jest głównie obraz sesji oraz polecenia z klawiatury i myszy. Takie rozwiązanie bywa potrzebne, gdy aplikacja działa wyłącznie w sieci lokalnej albo wymaga bezpośredniego dostępu do firmowej bazy danych.

Dostęp do Microsoft 365, Azure, Google Workspace lub innych usług internetowych nie musi prowadzić przez sieć biura. W takim przypadku najważniejsze stają się właściwe konto, odpowiednia licencja i MFA, czyli uwierzytelnianie wieloskładnikowe. MFA wymaga dodatkowego potwierdzenia logowania, na przykład w aplikacji uwierzytelniającej. Zmniejsza to ryzyko przejęcia konta po poznaniu samego hasła.

Bezpieczne przekazanie danych logowania

Hasło początkowe nie powinno krążyć w otwartej wiadomości przesyłanej do wielu osób. Bezpieczniejszym rozwiązaniem jest przekazanie go uzgodnionym kanałem i wymuszenie zmiany przy pierwszym logowaniu. Nie prosimy domyślnie o podawanie prywatnego hasła pracownika. Jeżeli wykonanie konkretnej czynności bez danych logowania nie jest możliwe, najpierw wyjaśniamy, do czego są potrzebne.

Hasło do konta służbowego powinno być inne niż hasła używane prywatnie. Nie należy też zapisywać go w pliku tekstowym na pulpicie ani przesyłać kolejnym osobom. Jeżeli firma korzysta z menedżera haseł, czyli programu przechowującego dane logowania w zaszyfrowanym sejfie, dostęp do niego można przygotować razem z pozostałymi narzędziami stanowiska.

Podczas konfiguracji sprawdzamy również metody odzyskiwania konta. Prywatny adres e-mail lub numer telefonu pracownika nie zawsze powinien pozostawać jedyną drogą przywrócenia dostępu do zasobu firmowego. Zasady odzyskiwania należy dopasować do polityki firmy, aby administrator mógł zareagować również po zmianie stanowiska albo zakończeniu współpracy.

Testy po zakończeniu konfiguracji

Samo uruchomienie programu lub wyświetlenie ekranu logowania nie potwierdza jeszcze, że stanowisko jest gotowe. Po konfiguracji należy wykonać testy odpowiadające rzeczywistej pracy. Obejmują one wysłanie i odebranie wiadomości, otwarcie właściwego folderu, zapis pliku, uruchomienie wymaganej aplikacji oraz sprawdzenie połączenia z bazą lub serwerem.

Uprawnienia testuje się w obie strony. Pracownik powinien otwierać materiały potrzebne na danym stanowisku, ale nie powinien widzieć zasobów przeznaczonych dla innych działów. Brak dostępu jest zwykle zauważany od razu. Nadmiarowe uprawnienie może natomiast pozostać niewidoczne przez długi czas, dlatego wymaga osobnej kontroli.

Jeżeli skonfigurowano drukowanie, sprawdzamy dostępność właściwego urządzenia i wykonujemy próbę z nieszkodliwym dokumentem. W przypadku kopii zapasowej weryfikujemy nie tylko obecność programu, lecz także wskazanie właściwych danych oraz uruchomienie mechanizmu zabezpieczającego. Kopia zapasowa oznacza dodatkowy zapis danych pozwalający na ich odzyskanie po awarii, usunięciu lub zaszyfrowaniu plików.

Najczęstsze błędy podczas samodzielnej konfiguracji

Jednym z częstych błędów jest instalowanie kilku klientów VPN i wielokrotne zmienianie ustawień sieciowych bez zapisania wcześniejszej konfiguracji. Może to prowadzić do konfliktu wirtualnych kart sieciowych, czyli programowych elementów obsługujących połączenie z siecią firmową. W rezultacie przestaje działać VPN, a czasem również zwykłe połączenie z internetem.

Problemy powoduje także ręczne przepisywanie adresów serwerów, nazw udziałów sieciowych i parametrów poczty z nieaktualnej instrukcji. Pozornie drobna różnica może skierować program do niewłaściwej usługi. Zamiast wielokrotnie zgadywać ustawienia, lepiej potwierdzić je u osoby zarządzającej środowiskiem firmowym.

Nie należy wyłączać zapory systemowej ani programu ochronnego tylko dlatego, że aplikacja nie łączy się z serwerem. Zapora filtruje ruch sieciowy i może wymagać właściwej reguły, lecz jej całkowite wyłączenie usuwa ważną warstwę ochrony. Prawidłowe rozwiązanie polega na ustaleniu, który program i rodzaj połączenia powinny zostać dopuszczone.

Kolejnym błędem jest nadawanie pracownikowi uprawnień administratora lokalnego, czyli możliwości zmiany chronionych ustawień całego komputera, wyłącznie po to, aby uruchomić jeden program. Czasem aplikacja rzeczywiście wymaga dodatkowej konfiguracji, ale stałe rozszerzenie praw nie powinno być pierwszym rozwiązaniem. Najpierw należy ustalić, czego dokładnie brakuje i czy potrzebną zmianę można wprowadzić jednorazowo.

Kiedy problem nie wynika z uprawnień

Komunikat o braku dostępu nie zawsze oznacza źle przypisaną grupę użytkownika. Przyczyną może być przerwane połączenie VPN, wygasłe hasło, brak dostępu do internetu albo próba otwarcia zasobu pod nieaktualnym adresem. Podobny objaw pojawia się również wtedy, gdy komputer ma nieprawidłową datę lub godzinę, co może zakłócić weryfikację zabezpieczonego połączenia.

Jeżeli program uruchamia się, ale nie widzi danych, trzeba odróżnić problem konta od problemu połączenia z bazą. Baza danych to uporządkowany zbiór informacji obsługiwany przez odpowiedni system. Brak kontaktu z serwerem bazy może dotyczyć wszystkich użytkowników, podczas gdy niewłaściwe uprawnienie dotyczy zwykle konkretnej osoby lub roli.

Powolne działanie po połączeniu z firmą również nie musi oznaczać awarii serwera. Znaczenie ma jakość połączenia internetowego po obu stronach, obciążenie komputera oraz sposób działania aplikacji. Diagnostyka powinna więc objąć cały tor połączenia, a nie wyłącznie urządzenie używane przez pracownika.

Dodatkowe pytania o zdalne przygotowanie stanowiska

Czy pracownik musi znać ustawienia techniczne firmy?

Nie. Potrzebne parametry powinien przekazać administrator lub osoba odpowiedzialna za obsługę informatyczną. Od pracownika wystarcza zwykle obecność przy komputerze, możliwość zalogowania się do własnego profilu oraz wykonanie wskazanych czynności wymagających osobistego potwierdzenia. Dotyczy to między innymi akceptacji logowania w aplikacji uwierzytelniającej.

Czy zdalnie można skonfigurować nowy komputer firmowy?

Tak, jeżeli komputer uruchamia się, ma dostęp do internetu i można na nim bezpiecznie rozpocząć sesję pomocy zdalnej. Część ustawień może wymagać wcześniejszego utworzenia kont po stronie usług firmowych. Jeżeli urządzenie ma usterkę sprzętową albo nie łączy się z internetem, samo połączenie zdalne nie wystarczy i potrzebna jest wizyta serwisanta.

Czy można udostępnić tylko jeden folder zamiast całego dysku?

Tak. Zakres dostępu powinien odpowiadać zadaniom wykonywanym na stanowisku. Udostępnienie konkretnego folderu lub przypisanie odpowiedniej grupy jest bezpieczniejsze niż otwieranie całego zasobu. Warto też rozróżnić prawo do odczytu od prawa do edycji i usuwania plików.

Co zrobić, gdy pracownik zmienia dział?

Należy ponownie przejrzeć uprawnienia, odebrać dostęp wynikający z poprzedniej roli i dopiero potem dodać zasoby potrzebne w nowym dziale. Samo dopisywanie kolejnych grup powoduje stopniowe gromadzenie niepotrzebnych praw. Zmiana stanowiska powinna być traktowana jak kontrolowana aktualizacja dostępu, a nie tylko instalacja kolejnego programu.

Czy pomoc zdalna obejmuje poufne dane firmy?

Zakres sesji można ograniczyć do czynności koniecznych do konfiguracji. Nie ma potrzeby otwierania dokumentów niezwiązanych z zadaniem. Na życzenie możliwe jest bezpłatne zawarcie NDA, czyli umowy o zachowaniu poufności. Prace wykonujemy bez przekazywania napraw podwykonawcom.

Gotowe stanowisko oznacza kontrolowany dostęp

Dobrze przygotowane stanowisko zdalne pozwala rozpocząć pracę bez przypadkowego rozszerzania uprawnień i bez omijania zabezpieczeń. Końcowym rezultatem powinien być nie tylko działający komputer, ale też jasna informacja, do jakich zasobów konto ma dostęp, kto ten zakres zatwierdził oraz jak zostanie on zmieniony przy przejściu do innego działu lub zakończeniu współpracy.