Kontrola dostępu do danych i dokumentów
Kontrola dostępu do danych to zestaw zasad i mechanizmów, które decydują, kto i w jakim zakresie może korzystać z informacji, dokumentów i systemów: odczytać, zmienić, zatwierdzić, pobrać lub usunąć. Składa się z identyfikacji użytkownika, uwierzytelnienia, autoryzacji według nadanych uprawnień oraz rejestrowania każdej próby dostępu.
Jak działa kontrola dostępu - od logowania do śladu
W wyszukiwarce „kontrola dostępu” to najczęściej karty zbliżeniowe, czytniki i zamki w drzwiach biura. To kontrola fizyczna. Kontrola logiczna chroni systemy i dane, a działa według tych samych czterech kroków:
- identyfikacja - kim jesteś, czyli login albo konto w katalogu firmowym,
- uwierzytelnienie - udowodnij to hasłem, a lepiej także drugim składnikiem, np. kodem w telefonie,
- autoryzacja - co ci wolno: czytać, edytować, akceptować, eksportować,
- rozliczalność - zapis, kto, kiedy i do czego sięgnął.
Pomylenie drugiego i trzeciego kroku to częsty błąd projektowy. Silne logowanie nic nie da, jeśli po zalogowaniu każdy widzi wszystkie umowy.
Modele kontroli dostępu: DAC, MAC, RBAC, ABAC
- DAC (uznaniowa) - właściciel zasobu sam decyduje, komu go udostępnić. Tak działają foldery sieciowe i dyski w chmurze. Wygodne, ale po kilku latach nikt nie wie, kto ma dostęp do czego.
- MAC (obowiązkowa) - dostęp wynika z klauzul nadanych centralnie informacjom i poziomów dostępu nadanych ludziom, a użytkownik nie może go zmienić. Typowa dla informacji niejawnych.
- RBAC (oparta na rolach) - uprawnienia przypisuje się rolom, np. „księgowa” albo „akceptujący - finanse”, a ludzi do ról. Najpopularniejszy model w firmach.
- ABAC (oparta na atrybutach) - decyzję podejmuje reguła łącząca cechy osoby, dokumentu i sytuacji, np. dział, kwotę faktury, klauzulę poufności, godzinę.
W praktyce systemy łączą modele, najczęściej opierając się na rolach. Budowę ról, ich hierarchię i reguły rozdziału obowiązków opisuje osobne hasło RBAC.
Kontrola dostępu w przepisach
- RODO (art. 29 i art. 32 ust. 4) - osoby działające z upoważnienia administratora przetwarzają dane wyłącznie na jego polecenie. Upoważnienia z określonym zakresem są najprostszym sposobem, by to wykazać.
- Ustawa o ochronie sygnalistów (art. 27) - procedura ma uniemożliwiać nieupoważnionym osobom dostęp do informacji ze zgłoszenia, a do przyjmowania i weryfikacji zgłoszeń wewnętrznych mogą być dopuszczone wyłącznie osoby z pisemnym upoważnieniem.
- Ustawa o krajowym systemie cyberbezpieczeństwa - nowelizacja obowiązująca od 3 kwietnia 2026 r. wymienia polityki kontroli dostępu wśród środków systemu zarządzania bezpieczeństwem informacji, który wdrażają podmioty kluczowe i ważne. Mają na to 12 miesięcy od spełnienia przesłanek uznania za taki podmiot.
- ISO/IEC 27001 - norma zawiera zabezpieczenia dotyczące nadawania, przeglądu i odbierania uprawnień.
Kontrola dostępu w obiegu dokumentów
W systemie obiegu uprawnienia wynikają z procesu: kierownik widzi faktury swojego działu, kadry widzą akta osobowe, zarząd umowy powyżej progu. Obowiązują trzy zasady. Minimalne uprawnienia - tylko to, co potrzebne do pracy. Rozdział obowiązków - osoba, która dodaje kontrahenta z numerem rachunku, nie zatwierdza przelewu. Zastępstwa na czas nieobecności, a nie trwałe dopisywanie ludzi do cudzych ról.
W platformie JobRouter®, na której e-MSI wdraża procesy, użytkownik loguje się przez SSO lub Active Directory, a system sprawdza jego role i otwiera tylko autoryzowane procesy i dane. Każda operacja trafia do logów audytowych, archiwum jest codziennie weryfikowane pod kątem nieuprawnionych zmian, a zastępstwa obsługuje moduł JobSub. Więcej na stronie bezpieczeństwo systemów i w artykule uprawnienia w systemie obiegu dokumentów.
Najczęstsze błędy w nadawaniu uprawnień
- Uprawnienia nadawane osobom „na prośbę”, bez roli i bez akceptacji przełożonego.
- Kopiowanie uprawnień „jak u kolegi”, razem z dostępami, których kolega już nie powinien mieć.
- Brak odebrania dostępu po zmianie stanowiska - uprawnienia tylko przybywają.
- Wspólne konta działu, przy których ślad audytowy nie wskazuje człowieka.
- Administratorzy z pełnym dostępem do treści dokumentów, choć potrzebują tylko konfiguracji.
- Brak okresowego przeglądu, w którym właściciel danych potwierdza listę osób z dostępem.
Przykłady zastosowania
Pracownik działu zakupów loguje się do systemu obiegu kontem domenowym, więc uwierzytelnienie przechodzi. Autoryzacja otwiera mu jednak tylko wnioski zakupowe, a rejestr umów i akta osobowe pozostają niedostępne.
Dział kadr ma dostęp do całej e-teczki pracownika, przełożony do wybranych dokumentów, a pracownik w trybie samoobsługi tylko do własnych. Każde otwarcie pliku zapisuje się w historii.
Zgłoszenie sygnalisty otwierają wyłącznie dwie osoby z pisemnym upoważnieniem zarządu. Członek zarządu bez upoważnienia nie widzi nawet tematu zgłoszenia.
W sekretariacie spółki pismo oznaczone jako „do rąk własnych” widzi tylko adresat i osoba, która je zarejestrowała - reguła opiera się na atrybucie dokumentu, a nie na dziale.
Raz na kwartał kierownik działu prawnego dostaje listę osób z dostępem do rejestru umów, potwierdza zasadne dostępy, a pozostałe są odbierane.
Najczęstsze pytania
Co to jest kontrola dostępu do danych?
To zasady i mechanizmy, które decydują, kto może korzystać z danych, dokumentów i systemów oraz co wolno mu z nimi zrobić: odczytać, zmienić, zatwierdzić, pobrać lub usunąć. Opiera się na identyfikacji użytkownika, uwierzytelnieniu, autoryzacji według nadanych uprawnień i zapisie każdej próby dostępu. Obok takiej kontroli logicznej istnieje fizyczna, działająca na drzwiach i bramkach.
Jakie są rodzaje kontroli dostępu?
Pierwszy podział to kontrola fizyczna, czyli karty, czytniki i zamki, oraz logiczna, czyli dostęp do systemów i danych. W kontroli logicznej wyróżnia się modele: DAC, w którym decyduje właściciel zasobu, MAC z centralnymi klauzulami, RBAC oparty na rolach i ABAC oparty na atrybutach osoby, dokumentu i sytuacji.
Czym różni się uwierzytelnianie od autoryzacji?
Uwierzytelnianie potwierdza, że użytkownik jest tym, za kogo się podaje - hasłem, kodem, kluczem sprzętowym. Autoryzacja następuje później i ustala, co wolno mu zrobić po zalogowaniu: które dokumenty otworzyć, co zmienić, co zatwierdzić. Silne logowanie bez dobrze ustawionej autoryzacji nie chroni danych.
Na czym polega zasada minimalnych uprawnień?
Każdy użytkownik, konto techniczne i administrator dostaje tylko te uprawnienia, które są mu potrzebne do bieżącej pracy, i tylko na tak długo, jak są potrzebne. Ogranicza to skutki pomyłki, przejęcia konta i nadużyć, a w razie incydentu zawęża krąg osób, które mogły mieć dostęp do danych.
Czy RODO wymaga kontroli dostępu do danych?
Tak. RODO wymaga, by osoby działające z upoważnienia administratora przetwarzały dane wyłącznie na jego polecenie, a administrator musi to umieć wykazać. W praktyce oznacza to nadane upoważnienia, uprawnienia w systemach ograniczone do zakresu obowiązków i zapis, kto miał dostęp do danych.
Jak często przeglądać uprawnienia użytkowników?
Przepisy ogólne nie podają jednego terminu, więc częstotliwość wynika z polityki bezpieczeństwa i oceny ryzyka. W praktyce firmy przeglądają uprawnienia co najmniej raz w roku, dostęp administratorów i do danych wrażliwych częściej, a dodatkowo zawsze przy zmianie stanowiska lub odejściu pracownika.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
