Cine poate ce într-o echipă: rolurile de proprietar, administrator și membru și ce nu vede nimeni din seifurile celorlalți

Într-o firmă cu cinci oameni, întrebarea „cine are acces la ce" pare simplă. Peste un an, cu doi angajați noi, un contabil extern și un fost asociat, nu mai este. Un manager parole pentru echipe trebuie să răspundă la ea fără să creeze o a doua problemă: dacă administratorul poate citi totul, atunci oricine ajunge administrator ajunge să știe tot. Articolul explică cele trei roluri din SpokPass, ce poate și ce nu poate face fiecare și cum le folosești într-o firmă mică sau într-o asociație.

De ce rolurile contează mai mult decât parolele

Majoritatea incidentelor de acces nu vin dintr-o spargere spectaculoasă, ci din lucruri banale: un om care a plecat și mai are parole, un cont partajat pe care îl știu șapte oameni, o persoană care a primit „drepturi de administrator" fiindcă a fost mai simplu. Despre situația plecării, vezi Plecarea unui angajat: ce faci cu parolele și conturile firmei. Aici ne ocupăm de ce vine înainte: cum împarți drepturile ca să nu ajungi acolo.

Un principiu bun este să dai fiecărui om cât îi trebuie pentru munca lui, nu mai mult. Un model cu douăzeci de bife pe care nu-l mai înțelege nimeni peste șase luni nu ajută. De aceea SpokPass folosește trei roluri.

Cele trei roluri

Proprietarul

Este omul pe numele căruia stă organizația și abonamentul. Proprietarul nu poate fi retrogradat, nu poate fi suspendat și nu poate fi scos din organizație, ca să nu rămână firma fără responsabil din greșeală sau dintr-o decizie luată într-un moment prost. Proprietarul decide planul ales și locurile plătite.

Administratorul

Poate invita oameni și îi poate suspenda. Pentru cei cărora li se dă o responsabilitate mai mică, drepturile se pot acorda separat, de exemplu pentru invitarea de oameni sau pentru consultarea jurnalului de autentificări. Administratorul organizează accesul, nu parolele. Aici este diferența care contează cel mai mult:

• nu poate citi seiful nimănui;
• nu poate reseta parola master a nimănui;
• vede când s-a autentificat cineva, niciodată ce are înăuntru.

Membrul

Își are seiful lui și atât. Își alege singur parola master, își generează parolele cu generatorul și își păstrează kitul de recuperare. Invitația doar îl leagă de organizație, nu-i dă nimănui acces la parolele lui, și nici lui la ale altora.

De ce un administrator nu ar trebui să poată citi seifurile

Ar părea comod ca administratorul să poată „ajuta" când cineva uită parola. Dar un administrator care poate citi tot este, practic, o cheie universală: dacă contul lui e păcălit prin phishing sau dacă omul își schimbă loialitatea, un atacator sau un fost coleg are tot. În SpokPass nu este vorba de o setare pe care administratorul ar putea-o schimba. Serverul primește doar blocuri criptate cu AES-256-GCM, iar cheia fiecărui seif se derivă pe dispozitivul omului, din parola lui master, cu Argon2id. Ce nu putem citi noi, nu poate citi nici administratorul organizației.

Consecința, spusă deschis: dacă un membru uită parola master și își pierde și kitul de recuperare, nimeni nu-i poate reda datele. De aceea merită ca fiecare om să știe cum funcționează kitul de recuperare din prima zi.

Invitații, locuri și suspendare

Planul Echipă costă 16 lei pe utilizator pe lună sau 160 de lei pe utilizator pe an, fără TVA, cu minim 3 utilizatori. Pentru ca plata să urmeze oamenii reali, locurile se numără simplu:

• un om activ ocupă un loc;
• o invitație trimisă ține un loc ocupat până e acceptată sau anulată;
• un om suspendat eliberează locul;
• dacă nu mai sunt locuri libere, suspenzi pe cineva sau treci la un plan mai mare.

Suspendarea face două lucruri deodată: închide sesiunile deschise ale omului și îi eliberează locul. Este instrumentul potrivit când cineva pleacă din firmă sau își schimbă rolul și nu mai are nevoie de acces. Fiecare autentificare și fiecare schimbare importantă rămân în jurnal, cu metadate, niciodată cu conținut.

Ce nu rezolvă rolurile: parolele de serviciu

Aici apare cea mai frecventă confuzie. Să suspendezi un om din organizație înseamnă să îi iei accesul la organizație, dar parolele conturilor firmei pe care le știa, adică banca, emailul comun, portalurile instituțiilor, nu se schimbă singure. Ele se schimbă la sursă, în fiecare serviciu. Parolele personale din seiful lui rămân ale lui.

De aceea, o practică sănătoasă este să știi dinainte ce conturi de serviciu are fiecare, ca la plecare să ai o listă. Pașii sunt descriși în Predarea parolelor la schimbarea administratorului. Iar pentru cum se organizează conturile comune ale firmei într-un seif, vezi Seif de parole pentru firmă.

Să fim sinceri și despre ce nu există încă: partajarea parolelor între membri, autentificarea în doi pași (TOTP) pe contul SpokPass, extensia de browser cu completare automată și verificarea parolelor compromise sunt planificate, nu disponibile. Azi, fiecare om își ține seiful lui, iar organizația se ocupă de oameni, locuri și acces.

Cum împarți rolurile într-o firmă mică

1. Proprietar: un singur om, cel care răspunde de firmă și de abonament.
2. Administrator: unul sau doi oameni de încredere, de obicei cei care angajează și care ar face suspendarea în ziua în care cineva pleacă. Fiecare administrator în plus înseamnă încă un cont de păzit cu grijă.
3. Membru: toți ceilalți. Fiecare cu seiful lui și cu o parolă master bună, pentru care există ghidul Cum alegi parola master.

Aceeași logică se aplică în asociații de proprietari, unde și rolurile din aplicația de administrare trebuie să fie clare. Un exemplu din alt domeniu, cu aceleași idei, este ghidul SpokAdmin despre drepturile președintelui, cenzorului și casierului în aplicația de administrare.

Pe scurt

Un manager de parole pentru echipă trebuie să facă două lucruri în același timp: să dea fiecărui om un loc sigur pentru parolele lui și să dea firmei control asupra accesului, fără ca cineva să poată citi seiful altcuiva. Cele trei roluri, proprietar, administrator și membru, sunt făcute exact pentru asta. SpokPass face parte din ecosistemul SpokApp.