„IAM” brzmi jak temat na konferencję dla korporacji. W praktyce potrzeba pojawia się dużo wcześniej niż w firmach z osobnym działem bezpieczeństwa — czasem wystarczą trzy podłączone aplikacje i jeden pracownik na urlopie, żeby ktoś zapomniał, kto ma do czego dostęp.
Sygnały, że czas uporządkować logowanie
- Pracownicy mają po kilka-kilkanaście haseł do firmowych systemów.
- Nikt nie ma pełnej listy, kto ma dostęp do czego.
- Odejście pracownika oznacza ręczne przechodzenie przez każdy system z osobna, żeby odebrać dostęp.
- Reset zapomnianego hasła to codzienne zgłoszenie do IT.
- Nowy pracownik czeka dni na skompletowanie dostępów do wszystkich narzędzi.
Kto zyskuje najwięcej
- Firmy z kilkoma aplikacjami biznesowymi. CRM, poczta, dysk sieciowy, panel administracyjny — im więcej systemów, tym większy chaos bez centralnego logowania.
- Firmy z rotacją pracowników. Onboarding i offboarding bez ręcznego przechodzenia przez każdy system osobno.
- Firmy bez własnego działu IT. Automatyzacja dostępu redukuje ryzyko, że coś zostanie przeoczone, gdy nikt nie pilnuje tego na bieżąco.
Największym zagrożeniem nie jest złe hasło. Jest konto, o którym nikt już nie pamięta, że istnieje.
Mała firma — czy to się w ogóle opłaca?
Tak, i to bardziej, niż mogłoby się wydawać. W małej firmie zwykle nie ma osobnej osoby, która na bieżąco pilnuje kont w każdym systemie — a to właśnie ten brak nadzoru sprawia, że luki w dostępie utrzymują się miesiącami, niezauważone.
Jak Keycloak wypada na tle płatnych alternatyw, piszę w kolejnym artykule: Keycloak vs Azure AD vs Okta.