Uprawnienia i poufność w firmowym systemie wiedzy

Firmowy system wiedzy staje się użyteczny dopiero wtedy, gdy pracownik może łatwo znaleźć potrzebną informację. Nie oznacza to jednak, że każdy powinien widzieć wszystko.

Dobre rozwiązanie musi łączyć wygodny dostęp z zasadą: użytkownik otrzymuje tylko te informacje, których rzeczywiście potrzebuje do swojej roli i zadania.

Zacznij od informacji, nie od narzędzia

Najpierw podziel wiedzę według wrażliwości i sposobu użycia.

Przykładowe poziomy to:

• publiczna;
• wewnętrzna;
• poufna;
• dostępna tylko dla określonych ról lub projektów.

Dopiero potem odwzoruj te zasady w systemie.

Stosuj najmniejszy potrzebny dostęp

Pracownik powinien mieć dostęp do informacji potrzebnych do wykonania zadania, ale nie do całej bazy tylko dlatego, że korzysta z asystenta.

Ograniczenie zakresu zmniejsza skutki błędu, przypadkowego ujawnienia i nieuprawnionego użycia.

Uprawnienia źródła muszą obowiązywać również w odpowiedzi

Asystent nie może ujawniać treści dokumentu osobie, która nie ma prawa go otworzyć.

Kontrola dostępu powinna działać już podczas wyszukiwania informacji. Próba „ukrycia” poufnej treści dopiero po wygenerowaniu odpowiedzi jest zbyt późna i zwiększa ryzyko ujawnienia.

Oddziel role od konkretnych osób

Łatwiej zarządzać dostępem według ról, zespołów i projektów niż budować osobny zestaw wyjątków dla każdego użytkownika.

Indywidualny dostęp powinien być świadomym wyjątkiem, a nie podstawowym sposobem konfiguracji systemu.

Rejestruj zmiany i istotne użycie

Firma powinna móc ustalić:

• kto nadał dostęp;
• kiedy został zmieniony;
• kto odebrał uprawnienie;
• jakie działania wykonano na szczególnie poufnych zasobach, jeśli wymaga tego poziom ryzyka.

Rejestr nie zastępuje zabezpieczeń, ale pomaga wykrywać błędy i wyjaśniać zdarzenia.

Zaplanuj odebranie dostępu

Zmiana stanowiska, zakończenie współpracy lub zamknięcie projektu powinny prowadzić do przeglądu uprawnień.

Dostęp nadany „na chwilę” nie powinien pozostawać bezterminowo.

Warto połączyć proces nadawania dostępu z procesem jego odebrania.

Nie wprowadzaj ważnych danych bez właściciela

Każdy istotny zbiór informacji powinien mieć osobę lub rolę odpowiedzialną za:

• aktualność;
• zakres udostępniania;
• zatwierdzanie zmian;
• rozstrzyganie wątpliwości.

Bez właściciela trudno utrzymać zarówno jakość wiedzy, jak i właściwe uprawnienia.

Regularnie sprawdzaj rzeczywiste potrzeby

Uprawnienia, które były poprawne w dniu uruchomienia, z czasem przestają odpowiadać organizacji.

Okresowy przegląd powinien odpowiadać na dwa pytania:

1. czy dana osoba nadal potrzebuje dostępu;
2. czy zakres dostępu nie jest szerszy niż potrzebny.

To prosty sposób na ograniczanie uprawnień, które narastają wraz z kolejnymi projektami i zmianami ról.