Polityki dostępu do sieci w firmie: NAC, role użytkowników i zgodność z RODO

Dlaczego polityki dostępu do sieci stały się krytyczne dla firm

Nowy model pracy i jego wpływ na bezpieczeństwo sieci

Firmowa sieć przestała być zamkniętym, przewidywalnym środowiskiem. Praca zdalna, hybrydowa, mobilność pracowników i model BYOD oznaczają, że do zasobów firmy łączą się laptopy, telefony, tablety i urządzenia zewnętrznych dostawców, często z miejsc i sieci, nad którymi organizacja nie ma żadnej kontroli. Jeśli dostęp do sieci opiera się wyłącznie na haśle do Wi‑Fi lub „otwartym porcie w ścianie”, ryzyko eskaluje bardzo szybko.

Dotyczy to zarówno dostępu z zewnątrz (VPN, dostęp do aplikacji w chmurze), jak i ruchu wewnątrz sieci LAN. Coraz częściej punkt wejścia ataku znajduje się na urządzeniu mobilnym użytkownika, które następnie po podłączeniu do biurowej sieci pozwala przestępcy przemieszczać się po infrastrukturze. Bez jasno zdefiniowanych polityk dostępu do sieci i narzędzi typu Network Access Control, administratorzy działają „na wyczucie”, reagując dopiero po pojawieniu się poważnych incydentów.

Model pracy hybrydowej dodatkowo utrudnia życie: część zespołu jest na miejscu, część zdalnie, część okresowo. Dostosowanie poziomów dostępu „na oko” prowadzi do chaosu: jedni mają za dużo uprawnień „na wszelki wypadek”, inni blokują się na prostych czynnościach, bo VPN nie daje dostępu do kluczowych aplikacji. Dobrze zaprojektowana polityka dostępu do sieci z NAC i rolami użytkowników sprawia, że miejsce pracy (biuro, dom, podróż) staje się tylko jednym z parametrów oceny ryzyka, a nie początkiem chaotycznych wyjątków.

Typowe scenariusze zagrożeń związane z brakiem kontroli dostępu

Brak spójnej kontroli dostępu do sieci skutkuje powtarzalnymi scenariuszami incydentów, które można przewidzieć, a jednak wciąż się zdarzają. Najczęstsze z nich to:

• Nieautoryzowane urządzenia w sieci LAN – ktoś podłącza do gniazda sieciowego własny laptop, starą drukarkę, access point lub nawet prosty switch. Dla przełącznika to tylko kolejny port „up”, więc ruch zaczyna płynąć, często bez żadnych ograniczeń.
• Przejęte konta użytkowników – jeśli użytkownik po zalogowaniu otrzymuje szeroki dostęp do całej sieci biurowej, kompromitacja jego konta (phishing, malware) pozwala agresorowi skanować sieć, wyszukiwać podatne systemy, przeprowadzać ataki lateralne.
• Ransomware rozprzestrzeniający się po LAN – brak segmentacji i kontroli ruchu między stacjami roboczymi, serwerami i urządzeniami specjalistycznymi powoduje, że zainfekowany komputer użytkownika może w ciągu minut wpłynąć na dziesiątki lub setki innych systemów.
• Urządzenia IoT jako słaby punkt – kamery, drukarki, systemy BMS, terminale produkcyjne często działają latami na tych samych firmware’ach, bez aktualizacji i bez możliwości instalacji agentów bezpieczeństwa. Podpięcie ich do tej samej sieci, co komputery pracowników, bywa zaproszeniem dla intruza.

Każdy z tych scenariuszy da się w dużym stopniu ograniczyć poprzez sensownie zaprojektowane polityki dostępu do sieci: segmentację, role użytkowników, weryfikację stanu urządzenia oraz dynamiczne przypisywanie uprawnień na podstawie kontekstu (kto, skąd, na czym, do czego).

Skutki biznesowe słabej kontroli dostępu

Konsekwencje słabych polityk dostępu rzadko kończą się tylko na „technicznych” problemach. Jeśli sieć jest płaska, nie ma NAC, a dostęp do zasobów opiera się na pojedynczym haśle do Wi‑Fi, to skutki udanego ataku lub błędu użytkownika obejmują zwykle trzy główne obszary:

• Przestoje operacyjne – szyfrowanie dysków przez ransomware, wyłączenie systemu produkcyjnego, awaria kluczowego serwera plików. Brak segmentacji powoduje, że incydent dotyka całej organizacji, a nie jednej wydzielonej strefy.
• Utrata lub wyciek danych – przy swobodnym ruchu w sieci atakujący mogą dotrzeć do systemów HR, CRM, finansów, baz danych z klientami. To bezpośrednie naruszenie poufności danych osobowych i tajemnicy przedsiębiorstwa.
• Kary i roszczenia – incydenty z danymi osobowymi mogą skutkować karami administracyjnymi, obowiązkiem powiadomienia osób, których dane wyciekły, a także roszczeniami kontrahentów z tytułu niewywiązania się z umów i SLA.

Znaczna część tych konsekwencji wynika nie z pojedynczego błędu użytkownika, ale z faktu, że sieć nie „broni się sama” poprzez polityki dostępu. Jeśli każda stacja robocza widzi wszystkie inne, a każdy pracownik może wpiąć do gniazda dowolne urządzenie i natychmiast dostać pełny dostęp, to nawet najlepiej przeszkoleni ludzie nie są w stanie zrekompensować braku technicznych barier.

Regulacje: RODO, wymogi branżowe i oczekiwania klientów

Regulacje nie wskazują konkretnych technologii, ale jasno mówią o konieczności wdrożenia adekwatnych środków bezpieczeństwa. RODO wymaga m.in. zapewnienia poufności, integralności i dostępności danych osobowych oraz zdolności do ciągłego zapewniania odporności systemów i usług. Jeśli sieć jest zorganizowana w sposób, który umożliwia swobodny, niekontrolowany dostęp do systemów przetwarzających dane osobowe, trudno uznać, że organizacja spełnia te wymogi.

Do tego dochodzą regulacje i wytyczne branżowe: w sektorze finansowym, medycznym czy energetycznym oczekuje się szczególnej staranności w zakresie segmentacji sieci, kontroli dostępu i monitoringu ruchu. Coraz częściej także klienci w umowach wymagają udokumentowanych polityk bezpieczeństwa sieci, audytu dostępu i mechanizmów szybkiej izolacji incydentów. NAC i dobrze zdefiniowane role użytkowników w sieci są jednym z najbardziej przejrzystych sposobów, aby wykazać, że te wymagania nie są tylko na papierze.

Podstawy polityk dostępu do sieci: pojęcia, zakres, odpowiedzialności

Co obejmuje polityka dostępu do sieci

Polityka dostępu do sieci to zestaw reguł określających, kto, z jakiego urządzenia, z jakiej lokalizacji i w jakich warunkach może uzyskać dostęp do konkretnych zasobów sieciowych. Chodzi nie tylko o „czy ma dostęp”, ale również „jak szeroki”, „jak długo” i „na jakich zasadach jest to monitorowane i dokumentowane”.

Typowa, dobrze ujęta polityka dostępu do sieci dotyka kilku obszarów:

• Użytkownicy i ich role – pracownicy, kontrahenci, goście, administratorzy; zakres uprawnień zależny od roli, a nie od samego stanowiska.
• Urządzenia końcowe – komputery firmowe, prywatne, smartfony, tablety, urządzenia IoT, systemy OT; zasady dopuszczenia do sieci zależą od ich klasy i stanu bezpieczeństwa.
• Lokalizacje i typy dostępu – sieć przewodowa, Wi‑Fi, zdalny dostęp VPN, dostęp z chmury, dostęp z sieci gościnnej.
• Usługi i aplikacje – serwery, systemy biznesowe, bazy danych, aplikacje w chmurze, usługodawcy zewnętrzni.

Polityka powinna również określać, jakie warunki muszą zostać spełnione przed przyznaniem dostępu (np. aktualny antywirus, szyfrowanie dysku, aktualne łatki systemowe) oraz jakie są działania korygujące (np. przeniesienie do VLAN-u kwarantanny, przekierowanie do portalu aktualizacji, zgłoszenie do helpdesku).

Polityka, procedura i konfiguracja – trzy różne poziomy

Dużym błędem jest mieszanie polityki z konkretnymi ustawieniami technicznymi. Polityka powinna pozostać dokumentem biznesowo-analitycznym, który opisuje reguły ogólne i intencje: kto ma dostęp, w jakim zakresie, na jakiej podstawie, w jakich warunkach, z jakim uzasadnieniem biznesowym i ryzykiem.

Procedura to krok po kroku opis działań dla ludzi: jak dział IT nadaje dostęp, jak kierownik działu wnioskuje o nowe uprawnienia, jak zgłaszane są wyjątki, jak postępuje się w razie incydentu, jak przebiega przegląd uprawnień. Procedura łączy świat polityki (co chcemy osiągnąć) z praktyką operacyjną (jak to robimy).

Konfiguracja techniczna to konkretne ustawienia na przełącznikach, kontrolerach Wi‑Fi, serwerach RADIUS, rozwiązaniach NAC, zaporach ogniowych czy systemach IAM. To tutaj pojawiają się detale: nazwy VLAN-ów, reguły ACL, profile ról, certyfikaty 802.1X, mapowanie grup AD na polityki NAC. Jeśli polityka i procedura są spójne, konfiguracja jest „tylko” konsekwentnym odwzorowaniem przyjętych zasad, a nie zbiorem indywidualnych decyzji administratora.

Zakres sieci objętej polityką w typowej firmie

Nowoczesna polityka dostępu nie może ograniczać się do biurowej sieci przewodowej. Realny zakres obejmuje zwykle:

• Sieć przewodową LAN – wszystkie porty przełączników, zarówno w biurach, jak i w serwerowniach, halach produkcyjnych czy szafach technicznych.
• Sieci bezprzewodowe Wi‑Fi – SSID dla pracowników, sieć gościnna, ewentualne sieci dla IoT, magazynu, urządzeń produkcyjnych.
• Dostęp zdalny VPN – klienci VPN na komputerach firmowych, zdalny dostęp administratorów, dostęp kontrahentów do wybranych systemów.
• Dostęp do chmury – aplikacje SaaS (np. CRM, systemy HR), IaaS/PaaS, gdzie częściowo kontrola dostępu przenosi się na poziom tożsamości i polityk w chmurze.
• Połączenia między sieciami – integracje z sieciami oddziałów, partnerów, dostawców, systemami OT.

Polityka powinna jasno wskazywać, że te wszystkie środowiska podlegają spójnym zasadom: użytkownik o danej roli ma podobny zakres dostępu niezależnie od tego, czy jest w biurze, w domu, czy korzysta z aplikacji w chmurze. Realizuje to zwykle kombinacja NAC w sieci lokalnej, kontroli VPN i polityk opartych na tożsamości (IdP, SSO, RBAC w aplikacjach).

Odpowiedzialności: kto decyduje o poziomach dostępu

Polityki dostępu do sieci są często błędnie postrzegane jako wyłączna domena działu IT. W praktyce odpowiedzialności są współdzielone, a jasne przypisanie ról ułatwia później egzekwowanie zasad.

• Zarząd / właściciele – określają apetyt na ryzyko, zatwierdzają główne założenia polityki (np. obowiązkowe 802.1X, zakaz BYOD w działach przetwarzających dane szczególnej kategorii, wymogi segmentacji dla systemów krytycznych).
• Dział IT / administratorzy sieci – projektują i wdrażają techniczne mechanizmy: NAC, 802.1X, VLAN-y, listy ACL, reguły na firewallach, narzędzia do monitoringu i audytu.
• Dział bezpieczeństwa (CISO, SOC) – określa wymagania bezpieczeństwa, nadzoruje zgodność implementacji z polityką, koordynuje reakcję na incydenty, definiuje scenariusze ryzyka i wytyczne dla segmentacji.
• IOD / zespół RODO – ocenia, jakie dane osobowe są przetwarzane w poszczególnych segmentach sieci, rekomenduje środki techniczne i organizacyjne adekwatne do ryzyka, bierze udział w ocenie skutków dla ochrony danych (DPIA) przy większych zmianach w architekturze.
• Kierownicy działów biznesowych – wskazują, jakie zasoby są potrzebne pracownikom do pracy, uzgadniają poziomy dostępu dla poszczególnych ról, biorą odpowiedzialność za wnioski o nadanie i odebranie uprawnień.

Współpraca tych ról jest kluczowa: jeśli dział IT sam ustali, kto ma do czego dostęp, powstaje ryzyko konfliktów z biznesem i niezgodności z RODO. Z kolei decyzje czysto biznesowe bez udziału IT i bezpieczeństwa mogą być niewykonalne technicznie lub zbyt ryzykowne.

Network Access Control (NAC) – koncepcja, komponenty, modele wdrożenia

Istota NAC w praktyce

Network Access Control to zestaw mechanizmów, które automatycznie weryfikują, kto i na jakim urządzeniu próbuje podłączyć się do sieci oraz czy spełnia przyjęte warunki bezpieczeństwa. NAC działa w punkcie wejścia do sieci: na porcie przełącznika, na punkcie dostępowym Wi‑Fi, na bramie VPN. Zamiast statycznego hasła czy „otwartego portu”, pojawia się proces autentykacji i autoryzacji oparty na politykach.

W uproszczeniu: gdy urządzenie próbuje podłączyć się do sieci, NAC:

1. Identyfikuje użytkownika i/lub urządzenie (np. login/hasło, certyfikat, adres MAC, integracja z AD).
2. Sprawdza kontekst połączenia (lokalizacja, typ portu, typ SSID, pora dnia, rodzaj urządzenia).
3. Opcjonalnie weryfikuje stan urządzenia (antywirus, łatki, szyfrowanie dysku, wersja systemu).
4. Na tej podstawie przypisuje dynamicznie odpowiednią politykę dostępu (VLAN, ACL, rola).

Kluczowe komponenty typowego rozwiązania NAC

Niezależnie od producenta, większość rozwiązań NAC składa się z podobnych elementów. Zrozumienie ich ról ułatwia projektowanie architektury oraz rozmowę z dostawcami.

• Serwer polityk (Policy Server / Policy Manager) – centralny „mózg” rozwiązania. Przechowuje reguły, integruje się z katalogiem użytkowników (AD/LDAP), obsługuje autoryzację i podejmuje decyzje: jaki VLAN, jaka rola, jakie ACL, czy urządzenie trafi do kwarantanny.
• Silnik oceny zgodności (Posture / Compliance Engine) – moduł opcjonalny, który sprawdza stan urządzenia: wersję systemu, aktualność łat, obecność antywirusa, szyfrowanie dysku. Może działać agentowo (software na stacji) lub bezagentowo (skan po sieci, analiza ruchu, dane z EDR/MDM).
• Punkty egzekwowania (Enforcement Points) – przełączniki, kontrolery Wi‑Fi, bramy VPN, firewalle, czasem również systemy SD‑WAN. To one „fizycznie” blokują lub przepuszczają ruch zgodnie z decyzją serwera polityk.
• Serwer uwierzytelniania (np. RADIUS) – komponent logicznie powiązany z NAC, który obsługuje protokoły 802.1X, PAP/CHAP, EAP i przekazuje informacje o użytkowniku/urządzeniu do serwera polityk.
• Konsola administracyjna – interfejs do definiowania polityk, przeglądania logów, wykonywania zmian masowych, raportowania zgodności (np. raporty dla IOD lub audytora zewnętrznego).
• Integracje z systemami tożsamości i bezpieczeństwa – IdP/SSO, MDM/UEM, EDR/XDR, SIEM, CMDB/ITSM. Dzięki nim decyzje NAC mogą uwzględniać dodatkowy kontekst: np. urządzenie zarządzane w MDM dostaje szerszy dostęp niż niezarządzane.

W dojrzałych wdrożeniach NAC przestaje być osobną „wyspą” i staje się centralnym punktem, który łączy świat sieci, tożsamości oraz bezpieczeństwa końcówek. To ma bezpośredni wpływ na możliwość wykazania zgodności z RODO: decyzje o dostępie do systemów z danymi osobowymi są rejestrowane, odtwarzalne i oparte na przejrzystych regułach.

Modele wdrożenia NAC: od monitoringu do pełnej blokady

Największe ryzyko przy wdrożeniu NAC wiąże się z przejściem od stanu „sieć otwarta” do stanu „wszystko autoryzowane”. Dlatego sensowna droga to stopniowanie rygoru. Typowy schemat obejmuje kilka faz.

• Tryb monitoringu (audit only) – NAC zbiera informacje o użytkownikach i urządzeniach, ale nie blokuje dostępu. Pozwala to zidentyfikować „szary” sprzęt, nietypowe scenariusze, a także zbudować realistyczną mapę ról i wyjątków. Dla IOD i działu bezpieczeństwa to cenne źródło wiedzy o rzeczywistym przepływie danych osobowych.
• Częściowe egzekwowanie (limited enforcement) – blokowane są tylko wybrane scenariusze wysokiego ryzyka: np. nieznane urządzenia w segmentach z systemami HR/finansowymi, porty w serwerowni, dostęp z sieci gościnnej. Pozostałe obszary nadal działają w trybie raportowym.
• Pełne egzekwowanie (full enforcement) – docelowy etap, w którym każdy port i każde SSID wymaga autentykacji, a dostęp jest segmentowany zgodnie z rolami i typami urządzeń. Zwykle osiąga się go iteracyjnie, działami lub lokalizacjami.

Przy planowaniu etapów wdrożenia warto skorelować je z analizą ryzyka i DPIA: obszary, gdzie przetwarza się więcej danych osobowych lub dane szczególnych kategorii, powinny szybciej zostać objęte twardymi kontrolami.

Modele kontroli dostępu: przed przyznaniem dostępu i w trakcie sesji

NAC może działać nie tylko „na starcie” połączenia, ale również w jego trakcie. Daje to większą elastyczność, ale komplikuje architekturę.

• Kontrola pre‑admission – decyzja zapada przed przyznaniem jakiegokolwiek dostępu. Urządzenie może zostać wpuszczone do sieci produkcyjnej, trafić do kwarantanny (np. tylko dostęp do serwera aktualizacji) lub zostać całkowicie zablokowane.
• Kontrola post‑admission – NAC monitoruje zachowanie już po przyznaniu dostępu i może zmienić politykę „w locie”: przenieść urządzenie do innego VLAN‑u, zaostrzyć ACL, odłączyć sesję. Powodem może być np. wykrycie złośliwego ruchu przez IDS/EDR albo zmiana stanu zgodności (wyłączony antywirus).

W praktyce w większości firm zaczyna się od prostego modelu pre‑admission opartego głównie na tożsamości użytkownika i typie urządzenia, a dopiero później dołącza się dynamiczne decyzje post‑admission oparte na danych z systemów bezpieczeństwa.

NAC a zgodność z RODO: praktyczne punkty styku

NAC sam w sobie nie jest narzędziem „do RODO”, ale ma bezpośredni wpływ na kilka obowiązków wynikających z rozporządzenia. Najczęściej pojawiają się następujące obszary.

• Minimalizacja dostępu (art. 5 ust. 1 lit. c i art. 25 RODO) – role NAC mogą odzwierciedlać zasady „need‑to‑know”: dział marketingu nie ma bezpośredniego dostępu sieciowego do baz HR, a kontrahent techniczny – do systemu CRM z pełnymi danymi klientów.
• Bezpieczeństwo przetwarzania (art. 32) – segmentacja sieci, autentykacja 802.1X, izolacja sieci gościnnej czy VLAN‑y dla systemów krytycznych to przykłady środków technicznych, które można wykazać podczas audytu.
• Rejestry zdarzeń i dowodowość – logi NAC (kto, kiedy, z jakiego urządzenia podłączył się do jakiego segmentu) pomagają w analizie incydentów i ewentualnym zgłoszeniu naruszenia ochrony danych (art. 33–34). Trzeba jednak zadbać o adekwatne okresy retencji logów i ich ochronę.
• Ograniczenie dostępu dla podmiotów przetwarzających – dla firm zewnętrznych można tworzyć dedykowane role i segmenty, ograniczając ruch tylko do systemów wymaganych umową powierzenia przetwarzania danych osobowych.

Przy projektowaniu NAC dobrze jest zaangażować IOD nie tylko na etapie DPIA, lecz także podczas definiowania ról i zakresów segmentów. Pozwala to zawczasu rozstrzygnąć, gdzie w sieci faktycznie przetwarzane są określone kategorie danych i jaką siatkę kontroli należy tam zastosować.

Role użytkowników i segmentacja dostępu – jak podzielić sieć sensownie

Od stanowisk do ról – dlaczego to rozróżnienie ma znaczenie

Klasyczny błąd przy projektowaniu dostępu to przypisywanie uprawnień „na osobę” albo „na stanowisko”. W praktyce lepiej działa podejście oparte na rolach, które łączą funkcję biznesową, poziom odpowiedzialności i potrzeby dostępu do danych.

Rola powinna być na tyle ogólna, żeby obejmować grupę użytkowników (np. „pracownik biurowy działu sprzedaży”), ale jednocześnie na tyle precyzyjna, aby jasno określać zakres uprawnień: do jakich systemów, z jakiego rodzaju urządzeń, z jakich lokalizacji. To właśnie rola jest najlepszym łącznikiem między światem RBAC w systemach aplikacyjnych a segmentacją sieciową NAC.

Przykładowe kategorie ról w sieci firmowej

Struktura ról będzie różna w zależności od branży, ale w większości organizacji pojawiają się pewne stałe grupy. Ich poprawne zdefiniowanie uprości konfigurację NAC, firewalli oraz przeglądy uprawnień.

• Role pracowników biurowych – standardowi użytkownicy, którzy potrzebują dostępu do poczty, systemu biurowego, kilku aplikacji biznesowych i Internetu. Ich ruch zazwyczaj trafia do wspólnego segmentu z dość restrykcyjnym wyjściem na inne strefy.
• Role specjalistyczne – np. HR, księgowość, dział prawny. Tu dostęp do danych osobowych (w tym danych wrażliwych) jest szerszy, a więc sieć, z której korzystają, musi być lepiej odseparowana oraz objęta silniejszym monitoringiem.
• Administratorzy IT – grupa o najwyższym potencjale ryzyka. Często korzystają z wielu systemów, protokołów administracyjnych (SSH, RDP, SMB) i narzędzi do zarządzania. Zaniedbanie segmentacji tej grupy bywa krytycznym błędem z punktu widzenia RODO i ogólnego bezpieczeństwa.
• Kontrahenci i serwis zewnętrzny – osoby, które muszą mieć dostęp do wybranych aplikacji lub urządzeń (np. system księgowy, system BMS, linia produkcyjna), ale nie powinny „widzieć” reszty sieci.
• Goście – użytkownicy z zewnątrz, którzy potrzebują wyłącznie dostępu do Internetu oraz ewentualnie do kilku publicznych zasobów organizacji (np. portal zgłoszeń). W ich przypadku brak dobrej separacji jest prostą drogą do kompromitacji sieci.

Kluczem jest powiązanie tych ról zarówno z tożsamością w katalogu użytkowników (grupy w AD/IdP), jak i z konfiguracją NAC (role sieciowe, VLAN‑y, ACL). Wtedy zmiana roli użytkownika w systemie HR/AD automatycznie przekłada się na zakres jego dostępu do sieci.

Segmentacja oparta na ryzyku i danych, nie na topologii

Wiele starszych sieci jest podzielonych według lokalizacji lub typu łącza (biuro A, biuro B, Wi‑Fi, LAN). Z perspektywy bezpieczeństwa i RODO bardziej sensowny jest podział według ryzyka i kategorii danych.

Przykładowy podział może wyglądać następująco:

• Strefa użytkowników standardowych – komputery biurowe bez bezpośredniego dostępu do serwerów bazodanowych; ruch do krytycznych systemów przechodzi przez aplikacyjne bramy i firewalle.
• Strefa systemów przetwarzających dane osobowe – serwery aplikacyjne i bazy HR, CRM, systemy płacowe; dostęp wyłącznie z określonych ról i segmentów sieci.
• Strefa administracyjna – sieć, z której możliwe są połączenia administracyjne do serwerów, przełączników, firewalli; dostęp tylko dla administratorów, często z dodatkowymi wymogami (VPN, MFA, stacje uprzywilejowane).
• Strefy specjalne – OT/SCADA, systemy medyczne, systemy bezpieczeństwa fizycznego (monitoring, kontrola dostępu do budynku), sieć laboratoriów. Każda z nich ma własne ryzyka i ograniczenia, w tym często wymogi regulacyjne.
• Strefa gościnna i niezarządzane urządzenia – sieć maksymalnie odseparowana, z ograniczeniami w ruchu przychodzącym i wychodzącym, bez możliwości bezpośredniego skanowania czy „widzenia” zasobów wewnętrznych.

Taki podział jest bliżej tego, czego oczekują audytorzy: zamiast losowego „VLAN 10, VLAN 20”, można wskazać konkretne strefy i ich związek z przetwarzaniem danych oraz zastosowanymi zabezpieczeniami.

Przykład: rola, segment i przepływ danych

Wyobraźmy sobie dział HR korzystający z systemu kadrowo‑płacowego, który przechowuje dane szczególnych kategorii (np. informacje o zdrowiu). Pracownicy HR:

• należą do grupy „HR‑Users” w AD;
• po uwierzytelnieniu 802.1X dostają rolę NAC „HR‑LAN” lub „HR‑WiFi”;
• trafiają do segmentu sieci „HR‑User‑VLAN”, który ma dostęp tylko do serwera aplikacji kadrowej oraz kilku usług wspólnych (DNS, proxy, poczta);
• nie mają bezpośredniego dostępu do serwera bazy danych – łączy się z nim wyłącznie serwer aplikacyjny znajdujący się w osobnym VLAN‑ie „HR‑App‑VLAN”.

W takim rozwiązaniu nie tylko ogranicza się ryzyko lateralnego ruchu w sieci, lecz także łatwiej wykazać, że dostęp do danych jest ograniczony do osób i systemów rzeczywiście go potrzebujących.

Klasyfikacja i kontrola urządzeń: firmowe, prywatne (BYOD), IoT i urządzenia specjalistyczne

Dlaczego rodzaj urządzenia jest tak samo ważny jak rola użytkownika

Użytkownik z rolą „pracownik biurowy” może korzystać z dobrze zabezpieczonego laptopa zarządzanego przez firmę, ale również z prywatnego telefonu lub tabletu. Z punktu widzenia ryzyka to zupełnie inne scenariusze. Dlatego NAC powinien od początku rozróżniać klasy urządzeń i przypisywać im różne polityki.

Podstawowy podział zwykle obejmuje:

• urządzenia firmowe zarządzane (w domenie, w MDM/UEM);
• urządzenia prywatne pracowników (BYOD);
• urządzenia IoT / OT i sprzęty specjalistyczne (drukarki, systemy POS, panele operatorskie, kamery, aparatura medyczna);
• urządzenia gościnne (laptopy, telefony osób z zewnątrz).

Każda z tych kategorii ma inną tolerancję na wymagania bezpieczeństwa i inny wpływ na ryzyko naruszenia danych osobowych.

Urządzenia firmowe: pełna kontrola i silniejsze wymagania

W przypadku sprzętu firmowego organizacja ma najszersze możliwości egzekwowania wymogów. Realistyczny standard obejmuje:

• obowiązkową rejestrację w domenie lub systemie MDM/UEM;
• autentykację 802.1X opartą na certyfikacie urządzenia (machine certificate) oraz/lub użytkownika;

Polityka dostępu dla urządzeń prywatnych (BYOD) – kompromis między wygodą a kontrolą

Sprzęt prywatny pracowników to obszar, w którym bezpieczeństwo ściera się z oczekiwaniami wygody. Można całkowicie zakazać BYOD, ale w wielu firmach jest to nierealne: pracownicy i tak będą korzystać z własnych telefonów do poczty czy komunikatorów. Rozsądniej jest zdefiniować jasną politykę i wymusić minimalny standard techniczny.

Typowe elementy takiej polityki to:

• oddzielny SSID i VLAN dla BYOD – prywatne urządzenia nigdy nie powinny trafiać do tych samych segmentów co laptopy firmowe; dostęp do zasobów wewnętrznych realizowany jest przez kontrolowane proxy, VPN aplikacyjny lub portal reverse proxy;
• rejestracja urządzenia – choćby minimalna, np. akce