W artykule wyjaśniamy, czym jest IAM, jakich wymogów prawnych (NIS2, RODO, DORA, ustawa o KSC) i norm (ISO/IEC 27001, NIST SP 800-63, SOC 2) dotyczy, z jakimi realnymi problemami (privilege creep, orphan accounts, silosy tożsamości, MFA fatigue) mierzą się organizacje oraz jak local content i suwerenność technologiczna wpływają na wybór systemu IAM.
Tożsamość jako nowy obwód bezpieczeństwa
Kto dziś, o drugiej w nocy, może zalogować się do systemu sterującego krytyczną instalacją technologiczną? Kto zatwierdził dostęp do bazy danych klientów byłemu pracownikowi, który odszedł trzy tygodnie temu? Czy ktokolwiek w organizacji potrafi w ciągu pięciu minut odpowiedzieć, kto i na jakiej podstawie ma dziś dostęp do systemu finansowo-księgowego?
Zarządzanie tożsamością (IDM) i zarządzanie prawami dostępu (ARM) to fundamentalny proces biznesowy i technologiczny, który gwarantuje, że właściwe osoby mają dostęp do odpowiednich zasobów, we właściwym czasie i z właściwych powodów. W czasach pracy zdalnej, wielochmurowej infrastruktury i rosnącej liczby ataków opartych na skradzionych danych logowania, klasyczny „mur ochronny” wokół sieci firmowej przestał wystarczać. Dlatego współczesne organizacje coraz częściej traktują tożsamość jako nowy obwód bezpieczeństwa (ang. identity is the new perimeter) – to nie zapora sieciowa, lecz właśnie tożsamość użytkownika, urządzenia i aplikacje stają się pierwszą i najważniejszą linią obrony.
W wielu polskich organizacjach – zarówno prywatnych, jak i publicznych – zarządzanie użytkownikami i kontrola dostępu wciąż odbywa się jednak w sposób ręczny: poprzez mail, przez komunikator, w niespójnych arkuszach Excel. W erze NIS2 (Dyrektywa NIS2), rozporządzenia DORA, RODO, znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC) oraz rosnącej presji na suwerenność technologiczną to nie jest już wyłącznie problem operacyjny działu IT, weryfikacja tożsamości użytkownika i jego uprawnień staje się jednym z fundamentów bezpieczeństwa i zgodności regulacyjnej całej organizacji.
W tym artykule wyjaśniamy, czym jest zarządzanie tożsamością i dostępami, jakim regulacjom prawnym i normom branżowym podlega, z jakimi realnymi, codziennymi problemami mierzą się organizacje przy wdrażaniu kontroli dostępu oraz zarządzaniu tożsamością i uprawnieniami, oraz jak wpisuje się to w szerszy kontekst suwerenności technologicznej.
Regulacje prawne i normy branżowe dotyczące zarządzania tożsamością i dostępami
Systemy klasy IAM i skuteczne zarządzanie użytkownikami nie są już tylko dobrą praktyką IT – stały się wymogiem prawnym, obwarowanym wysokimi karami finansowymi. Poniżej najważniejsze regulacje i normy, które wprost odnoszą się do zarządzania tożsamością, uprawnieniami i kontrolą dostępu.
Kluczowe regulacje prawne
- RODO (GDPR): wymaga ścisłej kontroli nad tym, kto ma dostęp do danych osobowych (zasada wiedzy koniecznej) oraz możliwości pełnego audytu operacji wykonywanych na danych.
- NIS2 (Dyrektywa NIS2): nakłada na podmioty kluczowe i ważne obowiązek wdrożenia rygorystycznej kontroli dostępów, MFA (Uwierzytelnianie wieloskładnikowe) oraz zarządzania uprawnieniami w całym łańcuchu dostaw.
- DORA (Digital Operational Resilience Act): unijne rozporządzenie dla sektora finansowego, wymagające bezwzględnej kontroli nad uprawnieniami użytkowników uprzywilejowanych oraz ciągłego monitorowania incydentów związanych z dostępem.
- Ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC): polska implementacja unijnych przepisów dotyczących ochrony infrastruktury krytycznej, obowiązująca w znowelizowanej wersji od 3 kwietnia 2026 r. Operatorzy usług kluczowych oraz podmioty istotne mają dziś formalne obowiązki w zakresie zarządzania ryzykiem, zgłaszania incydentów, utrzymania ciągłości działania oraz weryfikacji łańcucha dostaw. Zarządzanie tożsamością i uprawnieniami wpisuje się w te wymogi bezpośrednio i na kilku poziomach jednocześnie:
- Zarządzanie ryzykiem – kontrola nad tym, kto ma dostęp do systemów krytycznych, jest jednym z podstawowych mechanizmów ograniczania powierzchni ataku;
- Wykrywanie i zgłaszanie incydentów – pełny, wiarygodny ślad audytowy uprawnień jest niezbędny, by ustalić, jak doszło do naruszenia i kto miał do niego techniczną możliwość;
- Odpowiedzialność zarządu – to zarząd, a nie wyłącznie dział IT, ponosi odpowiedzialność za brak nadzoru nad dostępami do infrastruktury kluczowej;
- Zgodność (compliance) i gotowość audytowa – regulator oczekuje, że organizacja będzie w stanie w każdej chwili wykazać, kto, kiedy i na jakiej podstawie uzyskał dostęp do danego zasobu.
Innymi słowy zarządzanie cyklem życia tożsamości poprzez ręczne, rozproszone nadawanie uprawnień e-mailem czy w arkuszu Excel – opisane w pierwszej części artykułu – w świetle NIS2 (Dyrektywa NIS2) i KSC przestaje być jedynie niewygodną praktyką operacyjną. Staje się realnym ryzykiem regulacyjnym, które może skutkować karą finansową i osobistą odpowiedzialnością kadry zarządzającej. Rozwiązaniem jest wdrażanie kontroli dostępu i zarzadzanie użytkownikami w sposób systemowy.
Standardy i normy branżowe
- ISO/IEC 27001: główna norma zarządzania bezpieczeństwem informacji. Załącznik A wprost definiuje wymagania dotyczące kontroli dostępu, zarządzania prawami dostępu oraz tożsamościami użytkowników.
- NIST SP 800-63 (Digital Identity Guidelines): globalny standard definiujący poziomy zapewnienia tożsamości, zasady tworzenia haseł oraz standardy MFA (Uwierzytelnianie wieloskładnikowe).
- SOC 2 (Type II): standard raportowania audytów, kluczowy dla firm dostarczających usługi SaaS, weryfikujący m.in., jak organizacja autoryzuje i uwierzytelnia użytkowników.
Wspólnym mianownikiem wszystkich powyższych regulacji i norm jest jedno: organizacja musi wiedzieć, kto ma dostęp, do czego, na jakiej podstawie i przez jaki okres oraz, co nie mniej ważne, musi być w stanie to w każdej chwili udowodnić. To właśnie ta zdolność jest sercem dojrzałego systemu IAM.
Realne, codzienne problemy i wyzwania zarządzania użytkownikami i kontrolą dostępu
Wdrażanie i utrzymanie procesów IAM wiąże się z barierami ludzkimi, procesowymi i technologicznymi. Poniżej najczęstsze problemy, z którymi mierzą się organizacje niezależnie od branży i wielkości.
- Rozproszenie tożsamości: pracownicy mają konta w wielu różnych systemach i usługach, bez centralnego zarządzania dostępem.
- Ręczne procesy nadawania dostępów: zakładanie kont przez e-maile czy arkusze Excela generuje ogromne opóźnienia przy zatrudnianiu nowych osób i znacząco zwiększa ryzyko błędów ludzkich.
- Kumulacja uprawnień: pracownicy zmieniają działy lub projekty, zyskując nowe uprawnienia, ale rzadko tracąc stare. Po kilku latach posiadają niebezpiecznie szeroki, niekontrolowany zakres dostępów. Brak zachowania zasady najmniejszych uprawnień.
- Konta widma: konta byłych pracowników lub zewnętrznych kontrahentów, które nie zostały zablokowane po zakończeniu współpracy. To jedno z najczęściej wykrywanych niezgodności podczas audytów i jeden z najczęstszych wektorów cyberataków.
- Brak właścicieli uprawnień: nie wiadomo kto może zatwierdzić wymagane dostępy danemu pracownikowi, a w przypadku audytu nie można zweryfikować kto i kiedy wyraził zgodę na nadanie danego uprawnienia.
- Konta współdzielone: często w obszarze OT i utrzymaniu ruchu nadal spotyka się loginy typu: operator1, serwis, admin_scada, współdzielone przez wielu pracowników.
- Tożsamość maszyn i usług: Liczba „nieludzkich” tożsamości (API, kontenery, IoT, PLC, roboty) rośnie szybciej niż liczba pracowników. Gartner szacuje, że w wielu organizacjach stanowią one już większość wszystkich tożsamości.
W praktyce te problemy nakładają się na siebie i pogłębiają w kluczowych momentach cyklu życia pracownika. Skutkuje to konkretnymi, kosztownymi konsekwencjami:
- brak pełnego i wiarygodnego śladu audytowego – nikt nie jest w stanie odtworzyć historii nadawania i odbierania dostępów;
- ograniczona kontrola nad tym, kto i na jakiej podstawie zatwierdził dany dostęp;
- opóźniony onboarding – nowy pracownik, mimo otrzymania sprzętu, nierzadko czeka kilka dni na możliwość rozpoczęcia pracy z powodu brakujących dostępów;
- ryzykowny offboarding – brak natychmiastowego odebrania uprawnień po odejściu pracownika stwarza realne zagrożenie, umożliwiając np. usunięcie lub modyfikację kluczowych danych przez osobę, która formalnie nie powinna mieć już żadnego dostępu.
W efekcie organizacja traci nie tylko efektywność operacyjną, ale przede wszystkim odporność na incydenty bezpieczeństwa – a to właśnie odporność, obok ciągłości działania, jest dziś przedmiotem twardych wymogów prawnych opisanych w poprzedniej sekcji.
IAM jako odpowiedź: właściwe osoby, właściwy dostęp, właściwy czas
Odpowiedzią na te wyzwania jest wdrożenie systemowego podejścia do zarządzania tożsamością (IDM) oraz zarządzania prawami dostępu (ARM) – zestawu procesów i technologii, których celem jest jedno proste założenie: właściwe osoby mają mieć właściwy dostęp do właściwych zasobów, we właściwym czasie. Zarządzanie tożsamością i dostępem (IAM - Identity and Access Management) opiera się na czterech filarach:
- Identyfikacja – jednoznaczne określenie, kim jest użytkownik;
- Uwierzytelnianie – potwierdzenie tożsamości, np. za pomocą SSO (jednokrotne logowanie) lub MFA (Uwierzytelnianie wieloskładnikowe);
- Autoryzacja – przypisanie konkretnych uprawnień i ról do aplikacji i systemów, zgodnie z zasadą wiedzy koniecznej i zasadą najmniejszych uprawnień;
- Odpowiedzialność (audyt) – rejestrowanie i logowanie każdej zmiany w uprawnieniach.
Kluczowym elementem dojrzałego modelu IAM jest także integracja z centralną bazą pracowników i profili organizacyjnych, dzięki czemu dane o tożsamości i strukturze organizacyjnej pozostają spójne w całej firmie.
Wdrożenie zarządzania dostępem użytkowników przekłada się na wymierne korzyści biznesowe: szybsze nadawanie i odbieranie dostępów, pełną i dostępną historię decyzji oraz zmian w uprawnieniach, elastyczne procesy akceptacyjne, a przede wszystkim centralny widok uprawnień – jedno źródło prawdy, które eliminuje niespójności pomiędzy systemami. Istotną zmianą jest też przesunięcie odpowiedzialności na biznes: to właściciel procesu lub aplikacji, a nie wyłącznie dział IT, decyduje o nadaniu i odebraniu dostępu, co zwiększa realną kontrolę i zgodność z rzeczywistymi potrzebami organizacji. Efektem jest mniejsze ryzyko nadmiarowych dostępów, np. przy zmianie stanowiska lub działu pracownika i większe bezpieczeństwo organizacji.
Na rynku dostępnych jest wiele platform IAM – od rozwiązań chmurowych i hybrydowych (np. Microsoft Entra ID, Okta, IBM Security Verify, Oracle Identity Governance), po systemy lokalne, rozwijane on-premise. Wybór modelu wdrożenia nie jest jednak wyłącznie kwestią technologiczną – w coraz większym stopniu determinują go inne regulacje i wymagania.
Suwerenność technologiczna: kto naprawdę kontroluje wasze dostępy?
Suwerenność technologiczna to zdolność organizacji do niezależnego zarządzania swoimi systemami cyfrowymi i danymi oraz do niezależnego podejmowania decyzji technologicznych – bez znaczącego wpływu podmiotów zewnętrznych.
Trzy niezależne siły sprawiają, że temat ten przestał być abstrakcją, a stał się kwestią operacyjną: napięcia geopolityczne, które pokazują, że dostawca zagraniczny może zniknąć z dnia na dzień w wyniku sankcji lub decyzji politycznych; postępująca cyfryzacja infrastruktury, zwiększająca powierzchnię ataku; oraz właśnie regulacje – NIS2 (Dyrektywa NIS2) i ustawa o KSC – które wprost wymagają weryfikacji łańcucha dostaw.
System zarządzania tożsamością i uprawnieniami jest jednym z najbardziej wrażliwych elementów tej układanki. To w nim przechowywane są dane o strukturze organizacyjnej, rolach, uprawnieniach i – często – dane poufne umożliwiające weryfikację tożsamości pracowników. Warto zadać sobie kilka pytań: Gdzie fizycznie działa system IAM i gdzie przechowywane są jego dane? Kto ma do niego zdalny dostęp serwisowy i z jakiej jurysdykcji? Czy w sytuacji kryzysowej – awarii, sankcji, zerwania umowy przez zagranicznego dostawcę – organizacja jest w stanie samodzielnie utrzymać ciągłość procesu nadawania i odbierania dostępów?
Brak jednoznacznych odpowiedzi na te pytania sam w sobie jest odpowiedzią: oznacza lukę w suwerenności technologicznej dokładnie w tym miejscu, gdzie – zgodnie z NIS2 (Dyrektywa NIS2) i KSC – wymagana jest szczególna kontrola.
Pułapka pozornej lokalności a local content w IAM
Odpowiedzią na wyzwania geopolityczne i regulacyjne jest koncepcja local content, czyli komponentu krajowego, promowana m.in. przez rządowy program „Local Content. Z korzyścią dla Polski” pod egidą Ministerstwa Aktywów Państwowych. Zgodnie z jego założeniami podmiot krajowy to taki, który ma siedzibę i rezydencję podatkową w Polsce oraz generuje co najmniej połowę obrotów na terytorium kraju. Przy ocenie ofert w sektorze publicznym i w spółkach z udziałem Skarbu Państwa lokalizacja kapitału, podatków i specjalistów staje się kryterium punktowym obok ceny.
Trzeba jednak unikać pułapki tzw. „polskiej etykiety”. Sama pieczątka polskiej spółki nie gwarantuje automatycznie suwerenności ani bezpieczeństwa – w praktyce zdarza się, że kontrakt wygrywa firma zarejestrowana w Polsce, podczas gdy kod oprogramowania powstaje w niesprawdzonych lokalizacjach zagranicznych, dane trafiają na serwery poza polską jurysdykcją, a klucze kryptograficzne i realny nadzór nad rozwojem systemu pozostają poza zasięgiem organizacji. Rzeczywisty local content w kontekście systemu IAM oznacza więc odpowiedź na konkretne pytania: gdzie fizycznie powstaje kod aplikacji zarządzającej tożsamością i uprawnieniami, gdzie przechowywane są dane pracowników, kto ma do nich dostęp serwisowy i w jakim czasie reaguje wsparcie techniczne.
Wybór lokalnie rozwijanego, autorskiego systemu IAM – zamiast globalnego rozwiązania chmurowego – daje w tym kontekście kilka konkretnych przewag: pełną kontrolę nad danymi i kodem źródłowym, możliwość niezależnego audytu bezpieczeństwa, wsparcie techniczne świadczone w Polsce, w polskim języku i czasie odpowiadającym realiom operacyjnym organizacji, a także zgodność z wymogami NIS2 (Dyrektywa NIS2)/KSC dotyczącymi jurysdykcji nad danymi osobowymi i procesowymi.
Jak to wygląda w praktyce: model dojrzałego zarządzania uprawnieniami dostępu
Dojrzałe podejście do IAM, odpowiadające zarówno na wyzwania operacyjne, jak i na wymogi NIS2 (Dyrektywa NIS2)/KSC oraz postulaty suwerenności technologicznej, powinno obejmować co najmniej pięć elementów, które razem tworzą pełny cykl życia uprawnienia:
Katalog pracowników jako źródło prawdy
Centralny, jednoznaczny rejestr tożsamości i struktury organizacyjnej – z pełną historią zmian oraz szczegółowym rejestrem każdego wglądu w dane pracownika, co ma kluczowe znaczenie zarówno dla bezpieczeństwa, jak i dla zgodności z RODO.
Schematy oparte na rolach i szablonach
Elastyczne zarządzanie dostępami zarówno na poziomie pojedynczych uprawnień, jak i gotowych zestawów przypisanych do konkretnych stanowisk. Gotowe szablony pozwalają na błyskawiczny, powtarzalny onboarding zgodny z odgórnymi standardami organizacji, a uprawnienia czasowe – automatycznie wygasające po określonym terminie – drastycznie ograniczają narastanie nadmiarowych dostępów, np. przy projektach krótkoterminowych czy zastępstwach.
Konfigurowalne ścieżki akceptacji
Jednoznacznie zdefiniowany, w pełni konfigurowalny proces decyzyjny, dopasowany do krytyczności systemu i wewnętrznych procedur. Każda decyzja o zatwierdzeniu lub odrzuceniu wniosku – wraz z czasem, identyfikatorem akceptującego i uzasadnieniem – jest trwale rejestrowana, co stanowi solidną podstawę pod audyty zgodności.
Realizacja i śledzenie statusów
Każde uprawnienie generuje zestaw zadań trafiających do konkretnych osób, zespołów IT lub mechanizmów automatycznych (np. wywołań API). Bieżące śledzenie statusu realizacji pozwala identyfikować wąskie gardła i przyspieszać cały proces.
Raportowanie i audytowalność
Zaawansowany moduł raportowania, umożliwiający generowanie przekrojowych zestawień według systemów, uprawnień czy jednostek organizacyjnych, a także indywidualnych raportów pracowniczych z pełną, chronologiczną historią nadawania i odbierania dostępów. To właśnie ta funkcja pozwala organizacji przejść od tygodni przygotowań do audytu do gotowości „na jedno kliknięcie”.
Przykładem takiego podejścia jest rozwiązanie wytwarzane lokalnie przez JSW IT Systems, system SZUP2 (System Zarządzania Uprawnieniami Pracowników), działający w modelu on-premise, co oznacza pełną kontrolę organizacji nad danymi i infrastrukturą. Rozwiązania tego typu, powstające i utrzymywane w Polsce, eliminują zależność od zewnętrznych licencji oraz zagranicznego wsparcia serwisowego, wpisując się jednocześnie w wymogi local content i w rekomendacje dotyczące ograniczania ryzyka regulacyjnego związanego z NIS2 (Dyrektywa NIS2) i KSC.
Podsumowanie: kontrola nad dostępami to kontrola nad bezpieczeństwem
Zarządzanie tożsamością i uprawnieniami przestało być wyłącznie tematem technicznym, którym zajmuje się dział IT. W świetle NIS2 (Dyrektywa NIS2) i ustawy o KSC to obszar bezpośredniej odpowiedzialności zarządu, podlegający twardym wymogom prawnym i finansowym sankcjom za brak zgodności. Jednocześnie, w kontekście suwerenności technologicznej i programu local content, wybór modelu i dostawcy systemu IAM staje się decyzją strategiczną – decyzją o tym, kto naprawdę kontroluje dostęp do najbardziej wrażliwych zasobów organizacji.
Decyzja o wyborze dostawcy to decyzja o bezpieczeństwie. Local content to nie etykieta – to odpowiedź na pytanie, gdzie faktycznie powstaje kod, gdzie przechowywane są dane i kto ma do nich dostęp.
Organizacje, które już dziś wdrażają dojrzały, audytowalny i w pełni kontrolowany proces zarządzania dostępami – najlepiej oparty na lokalnie rozwijanym rozwiązaniu, które umożliwia centralne zarządzanie dostępem – zyskują nie tylko zgodność z NIS2 (Dyrektywa NIS2) i KSC, ale przede wszystkim realną odporność operacyjną. Te, które odłożą tę decyzję na później, będą musiały podjąć ją pod presją czasu, kontroli regulatora albo – co gorsza – w trakcie incydentu bezpieczeństwa.
Pytanie, które warto zadać sobie już dziś, brzmi: czy wiemy dokładnie, kto, kiedy i na jakiej podstawie ma dostęp do naszych najważniejszych systemów – i czy potrafimy to udowodnić w ciągu kilku minut, a nie kilku tygodni?
