Administrator S46 zarządza dostępem użytkowników do przestrzeni podmiotu, przypisuje role i grupy oraz konfiguruje powiadomienia. Pełne uprawnienia techniczne nie oznaczają jednak prawa do samodzielnego składania oświadczeń, kwalifikowania incydentów ani reprezentowania firmy przed CSIRT. Dlatego zakres tej funkcji powinien wynikać nie tylko z konfiguracji systemu, lecz także z decyzji organizacyjnej, procedury i właściwego umocowania.
Rolą administratora jest zapewnienie, aby właściwe osoby miały bezpieczny i ciągły dostęp do potrzebnych funkcji S46. Treść zgłoszeń, kwalifikacja incydentu, odpowiedź na ostrzeżenie oraz decyzje o ryzyku wymagają współpracy IT, prawa, biznesu, osób kontaktowych i zarządu.
Zakrespełne prawa w przestrzeni
Główne zadaniekontrola dostępów
Powinien tworzyć konta imienne, nadawać minimalne uprawnienia, organizować zastępstwo, kontrolować powiadomienia i natychmiast odbierać dostęp osobom, które przestały wykonywać zadania. Nie przejmuje przez to odpowiedzialności zarządu ani kompetencji osób kontaktowych z CSIRT.
Wskazanie w Wykazie KSC
Pierwszymi administratorami są osoby podane w sekcji F wpisu. System automatycznie nadaje im wszystkie uprawnienia dostępne po stronie podmiotu.
Link ważny 7 dni
Każdy administrator wskazany w Wykazie otrzymuje indywidualną wiadomość. Pierwsze poprawne logowanie aktywuje dostęp do przestrzeni.
Wniosek w terminie 14 dni
Konta administratora pochodzącego z Wykazu nie można zmienić ani usunąć w Cyber Hub. Wymagany jest wniosek o zmianę wpisu.
Kim jest administrator S46?
Administrator S46 to użytkownik posiadający pełne uprawnienia do zarządzania przestrzenią podmiotu w S46 Cyber Hub. Pierwsi administratorzy są wskazywani w części dotyczącej osób kontaktowych we wniosku do Wykazu KSC. Po prawidłowym wpisie podmiotu system tworzy przestrzeń i dodaje do niej te osoby z predefiniowaną rolą Administrator.
Rola ta umożliwia tworzenie kont współpracowników, zmianę ich konfiguracji, przypisywanie ról i grup, aktywowanie dostępu przez Węzeł Krajowy oraz zarządzanie zakresem uprawnień. Administrator widzi również kod przestrzeni i może organizować dystrybucję powiadomień związanych z ostrzeżeniami, analizami technicznymi oraz komunikacją z CSIRT.
Nie oznacza to, że administrator staje się automatycznie reprezentantem prawnym firmy. Uprawnienia w aplikacji są czym innym niż umocowanie do składania oświadczeń w imieniu podmiotu. Jeżeli administrator ma podpisywać wnioski, zatwierdzać zgłoszenia lub prowadzić formalną komunikację, zakres ten powinien wynikać z przepisów, pełnomocnictwa, uchwały, umowy albo wewnętrznego podziału kompetencji.
Administrator S46, osoba kontaktowa i pełnomocnik – różne funkcje
Jedna osoba może w praktyce wykonywać kilka funkcji, ale nie należy ich ze sobą utożsamiać. Każda odpowiada za inny fragment procesu i wymaga odrębnego określenia odpowiedzialności.
| Funkcja | Główne zadanie | Czego sama funkcja nie zapewnia |
|---|---|---|
| Administrator S46 | Zarządza kontami, rolami, grupami, aktywacją dostępu i ustawieniami powiadomień w przestrzeni. | Nie daje automatycznie prawa do podpisywania wniosków ani podejmowania decyzji za zarząd. |
| Osoba kontaktowa z KSC | Utrzymuje operacyjny kontakt z właściwymi podmiotami systemu, współpracuje przy incydentach i wyjaśnieniach. | Nie musi posiadać pełnych praw administracyjnych do wszystkich użytkowników. |
| Użytkownik operacyjny | Pracuje w zakresie przyznanych funkcji, np. analizuje ostrzeżenia, przygotowuje dane albo obsługuje zgłoszenie. | Nie może wykonywać czynności, których nie obejmuje rola i wewnętrzne umocowanie. |
| Osoba podpisująca wniosek | Składa oświadczenie woli lub wiedzy w imieniu podmiotu zgodnie z reprezentacją albo pełnomocnictwem. | Sam podpis nie tworzy konta ani roli Administratora w Cyber Hub. |
| Pełnomocnik ds. cyberbezpieczeństwa | Koordynuje część formalnoprawną, nadzór nad SZBI, terminy i współpracę z zarządem oraz IT. | Nie zastępuje zespołu technicznego, SOC ani odpowiedzialności kierownika podmiotu. |
Ta sama osoba może pełnić kilka ról
Administrator może być jednocześnie osobą kontaktową lub pełnomocnikiem, jeżeli organizacja świadomie tak zdecyduje, nada odpowiednie uprawnienia i zapewni zastępstwo. Nie powinno się jednak wyprowadzać umocowania prawnego wyłącznie z faktu posiadania roli technicznej w systemie.
Szerzej funkcję kontaktową opisuje poradnik Pełnomocnik ds. cyberbezpieczeństwa jako osoba kontaktowa z CSIRT. Z kolei budowę samego środowiska organizacji wyjaśnia artykuł Przestrzeń podmiotu w S46 – co zawiera i co zrobić po jej utworzeniu?.
Pierwsze logowanie administratora S46
Po prawidłowym wpisie organizacji do Wykazu KSC każdy wskazany administrator otrzymuje wiadomość e-mail z unikatowym linkiem. Link pozostaje ważny przez 7 dni. Administrator przechodzi przez Węzeł Krajowy, potwierdza tożsamość wybraną metodą, akceptuje regulamin i zostaje przekierowany do przestrzeni podmiotu.
Pierwsze poprawne logowanie aktywuje dostęp. Następne odbywają się bez ponownego używania linku aktywacyjnego. Jeżeli osoba działa w kilku organizacjach, każdy podmiot musi dodać ją do własnej przestrzeni, a aktywację przeprowadza się oddzielnie dla każdego dostępu.
Wiadomość może trafić do spamu, osoba może być nieobecna, a dane we wniosku mogą zawierać błąd. Dostęp administratorów należy aktywować i sprawdzić bezpośrednio po utworzeniu przestrzeni. Przynajmniej dwie osoby powinny praktycznie potrafić wykonać niezbędne czynności, nawet jeśli wewnętrzny model formalny opiera się na jednym głównym administratorze i zastępcy.
Najważniejsze obowiązki administratora S46
Dokumentacja techniczna S46 opisuje możliwości systemu. Konkretne obowiązki administratora powinny dodatkowo zostać określone w dokumentacji organizacji, ponieważ zależą od jej struktury, liczby użytkowników, udziału zewnętrznego SOC oraz podziału odpowiedzialności.
Utrzymanie ciągłości dostępu
Administrator zapewnia, aby właściwe osoby mogły wejść do przestrzeni również podczas urlopu, choroby, zmiany kadrowej albo incydentu poza standardowymi godzinami pracy.
Tworzenie kont imiennych
Każda osoba powinna działać na własnym koncie. Wspólne loginy uniemożliwiają rzetelne ustalenie, kto zmienił konfigurację lub odpowiedział w imieniu podmiotu.
Nadawanie minimalnych praw
Zakres dostępu powinien odpowiadać zadaniom użytkownika. Nie ma potrzeby nadawania pełnych praw osobie, która tylko odczytuje ostrzeżenia albo przygotowuje dane techniczne.
Konfiguracja powiadomień
Administrator przypisuje odpowiednie role i grupy oraz sprawdza, czy właściwe osoby rzeczywiście otrzymują wiadomości w aplikacji i pocztą elektroniczną.
Przeglądy i offboarding
Po zmianie stanowiska, odejściu pracownika lub zakończeniu umowy z dostawcą trzeba niezwłocznie odebrać zbędne prawa i udokumentować wykonane czynności.
Wsparcie obsługi incydentu
Administrator zapewnia dostęp i prawidłową konfigurację procesu, ale treść zgłoszenia oraz decyzje wymagają udziału odpowiednich właścicieli technicznych, prawnych i biznesowych.
Jak utworzyć konto użytkownika w S46?
Administrator przechodzi do ustawień użytkowników i wybiera utworzenie nowego konta. Formularz wymaga przypisania podstawowych danych oraz określenia roli i grupy. Przed zapisaniem należy ustalić, dlaczego dana osoba potrzebuje dostępu, kto go zatwierdził i na jaki okres ma zostać nadany.
| Pole | Znaczenie | Dobra praktyka |
|---|---|---|
| Nazwa użytkownika | Musi być unikalna w skali całego Systemu S46. | Stosuj trwałą konwencję i nie używaj nazw wspólnych typu „SOC” albo „administrator1”. |
| Hasło początkowe | Jest wymagane w konfiguracji konta. Przy dostępie przez internet użytkownik loguje się przez Węzeł Krajowy. | Przekazuj dane bezpiecznym kanałem i nie umieszczaj hasła w tej samej wiadomości co pozostałe informacje dostępowe. |
| Imię i nazwisko | Identyfikuje osobę wykonującą czynności w przestrzeni. | Konto zawsze powinno być imienne i zgodne z rzeczywistym użytkownikiem. |
| E-mail i telefon | Służą do komunikacji, przekazania zaproszenia oraz odbierania odpowiednich powiadomień. | Używaj aktualnych danych służbowych kontrolowanych przez organizację. |
| Role | Określają dostępne czynności, m.in. odczyt, tworzenie, modyfikację i usuwanie. | Nadaj najmniejszy zestaw praw wystarczający do wykonywania zadań. |
| Grupy | Określają kategorie powiadomień trafiających do użytkownika. | Powiąż grupę z jego rolą w procedurze incydentowej i ścieżce eskalacji. |
| Czas nieaktywności | System pozwala ustawić maksymalny czas nieaktywności; wartość domyślna wynosi 15 minut. | Nie wydłużaj czasu bez uzasadnienia wynikającego z warunków pracy i analizy ryzyka. |
Aktywacja użytkownika przez Węzeł Krajowy
Dla użytkownika łączącego się przez internet administrator generuje jednorazowy kod. System wysyła na zapisany adres e-mail indywidualny link, a kod administrator przekazuje użytkownikowi. Link i kod są ważne przez 72 godziny. Jeżeli termin upłynie, operację trzeba przeprowadzić ponownie.
Kod powinien zostać przekazany innym kanałem niż wiadomość zawierająca link, szczególnie gdy użytkownikiem jest osoba zewnętrzna. Po aktywacji administrator powinien uzyskać potwierdzenie poprawnego logowania i sprawdzić, czy użytkownik widzi tylko właściwą przestrzeń oraz funkcje.
Link ważny 7 dni
Konto powstaje automatycznie na podstawie danych z wpisu. Administrator sam potwierdza tożsamość przez Węzeł Krajowy i aktywuje dostęp.
Link i kod ważne 72 godziny
Konto tworzy administrator przestrzeni. Użytkownik potrzebuje linku wysłanego przez system oraz jednorazowego kodu przekazanego przez administratora.
Role i uprawnienia użytkowników
Rola jest zbiorem uprawnień do poszczególnych funkcji aplikacji. S46 przewiduje role predefiniowane, przykładowo Administrator, Analityk i Czytelnik. Organizacja może też tworzyć role własne, dopasowane do podziału odpowiedzialności między IT, SOC, prawników, pełnomocnika i kierownictwo.
Dla większości funkcji można oddzielnie przyznać prawo odczytu, tworzenia, modyfikacji i usuwania. Jeżeli użytkownik otrzyma kilka ról, wynikające z nich uprawnienia sumują się. Próba ograniczenia jednej roli nie zadziała, jeśli druga nadal daje szersze prawa.
- rola Administrator posiada wszystkie dostępne uprawnienia i nie można jej edytować ani usunąć;
- nie można usunąć roli, która pozostaje przypisana do któregokolwiek użytkownika;
- role własne powinny mieć nazwę opisującą faktyczny zakres, a nie stanowisko służbowe;
- zmianę praw warto powiązać z akceptacją właściciela procesu i rejestrem dostępów;
- konto audytora lub konsultanta powinno mieć ograniczony zakres i termin przeglądu.
Grupy i powiadomienia e-mail
Grupa nie określa, co użytkownik może zrobić, lecz jakie kategorie powiadomień będzie otrzymywał. Mogą one dotyczyć ostrzeżeń, analiz technicznych albo komunikacji z CSIRT prowadzonej w ramach zgłoszenia incydentu. Użytkownik może należeć do kilku grup, a ich zakresy powiadomień również się sumują.
Aby wiadomości były przekazywane na e-mail, muszą jednocześnie działać dwa ustawienia: prawo otrzymywania powiadomień e-mail w roli oraz wysyłanie powiadomień e-mail w grupie. Wyłączenie jednego z nich zatrzymuje wysyłkę. Samo wpisanie poprawnego adresu e-mail nie wystarcza.
Dwa ustawienia, jeden rezultat
Jeżeli użytkownik nie otrzymuje wiadomości, administrator powinien sprawdzić równocześnie jego rolę, grupę, przypisanie obu elementów do konta oraz poprawność adresu. Po zmianie warto przeprowadzić kontrolowany test powiadomienia, zamiast czekać na prawdziwy incydent.
Jak podzielić dostęp między IT, prawo, SOC i zarząd?
| Funkcja organizacyjna | Rekomendowany zakres | Granica odpowiedzialności |
|---|---|---|
| Administrator S46 | Użytkownicy, role, grupy, aktywacja, ciągłość dostępu i wsparcie konfiguracji. | Nie zatwierdza samodzielnie każdego komunikatu ani ryzyka biznesowego. |
| IT lub SOC | Dane techniczne, analiza zdarzeń, wskaźniki kompromitacji i działania ograniczające skutki. | Nie przesądza samodzielnie kwalifikacji prawnej i treści oświadczeń. |
| Prawo lub Pełnomocnik | Kwalifikacja obowiązków, terminy, zakres informacji, kontakty z organami i kontrola prawna. | Nie zastępuje monitoringu infrastruktury i ustaleń technicznych. |
| IOD | Ocena naruszenia danych osobowych i obowiązków wynikających z RODO. | Nie powinien przejmować zarządzania środkami, które następnie sam kontroluje. |
| Zarząd | Decyzje o ryzyku, zasobach, akceptacji kluczowych działań i nadzorze nad systemem. | Nie powinien być jedynym użytkownikiem potrzebnym do operacyjnej obsługi S46. |
W mniejszych organizacjach jedna osoba może występować w kilku wierszach, ale decyzja powinna być świadoma i udokumentowana. Należy także określić, kto przejmuje jej obowiązki podczas niedostępności.
Czego administrator S46 nie powinien robić samodzielnie?
Kwalifikować każdego incydentu
Decyzja wymaga danych technicznych, oceny wpływu na usługę, analizy prawnej oraz informacji od właścicieli biznesowych.
Odpowiadać bez uzgodnienia
Pierwsza odpowiedź na ostrzeżenie może reprezentować cały podmiot i nie podlegać późniejszej korekcie. Potrzebna jest ścieżka akceptacji.
Podpisywać bez umocowania
Dostęp techniczny nie daje prawa do złożenia wniosku ani oświadczenia w imieniu firmy. Podstawą musi być reprezentacja albo pełnomocnictwo.
Nadawać pełne prawa na zapas
Rola Administratora zwiększa skutki błędu i przejęcia konta. Powinna pozostać ograniczona do osób rzeczywiście zarządzających przestrzenią.
Akceptować ryzyko za zarząd
Administrator może opisać ryzyko dostępowe i zalecić działanie, ale decyzja o jego przyjęciu należy do właściwego właściciela.
Używać wspólnych kont
Konta współdzielone zacierają ślad audytowy i utrudniają odtworzenie przebiegu czynności podczas kontroli lub obsługi incydentu.
Jak zmienić administratora S46?
Najpierw trzeba ustalić, czy chodzi o administratora utworzonego na podstawie danych z Wykazu KSC, czy o zwykłego użytkownika, któremu później przyznano szerokie uprawnienia. Dla tych kont obowiązują różne ścieżki.
Zmiana przez wniosek
Takiego konta nie można zmodyfikować ani usunąć w S46 Cyber Hub. Zmiana danych lub odebranie dostępu wymaga wniosku o zmianę wpisu. Obowiązek aktualizacji powstaje zasadniczo w terminie 14 dni od zmiany danych.
Zmiana przez administratora
Administrator może zmienić konfigurację konta, role i grupy, aktywować dostęp albo dezaktywować konto. Czynność powinna wynikać z zaakceptowanego wniosku dostępowego lub procesu offboardingu.
Instrukcję formalnej zmiany administratora zawiera poradnik Aktualizacja danych w Wykazie KSC – termin 14 dni. Sama zmiana użytkownika w Cyber Hub nie zastępuje aktualizacji danych objętych wpisem.
Offboarding użytkownika S46
Odebranie dostępu powinno być elementem firmowego procesu zakończenia zatrudnienia, zmiany stanowiska oraz zakończenia umowy z dostawcą. Nie należy czekać na kwartalny przegląd, jeżeli osoba przestała mieć podstawę do korzystania z systemu.
- ustal datę i godzinę odebrania dostępu odpowiednią do zakończenia funkcji;
- sprawdź, czy użytkownik prowadzi aktywną komunikację lub przygotowuje zgłoszenie;
- przenieś odpowiedzialność na wskazanego następcę;
- usuń albo dezaktywuj konto i sprawdź jego role oraz grupy;
- zaktualizuj listę osób kontaktowych i wewnętrzną książkę kryzysową;
- jeżeli osoba pochodzi z Wykazu, uruchom wniosek o zmianę wpisu;
- zachowaj potwierdzenie wykonania czynności i osobę zatwierdzającą.
Rola administratora podczas incydentu
Administrator zapewnia dostęp do właściwej przestrzeni i sprawność kont osób uczestniczących w obsłudze zdarzenia. Może także pomóc w nadaniu użytkownikowi odpowiedniej roli, sprawdzeniu powiadomień i usunięciu problemu dostępowego. Nie powinien jednak samodzielnie tworzyć całej treści zgłoszenia, jeżeli nie posiada informacji technicznych i upoważnienia.
Procedura powinna wskazywać, kto ustala moment wykrycia, kto ocenia wpływ na usługi, kto przygotowuje opis techniczny, kto analizuje obowiązki prawne oraz kto zatwierdza przekazanie informacji. Terminy 24 i 72 godzin omawia artykuł Zgłoszenie incydentu NIS2.
Jeżeli ostrzeżenie wymaga potwierdzenia lub informacji, czy dotyczy organizacji, odpowiedź pierwszego uprawnionego użytkownika reprezentuje stanowisko całego podmiotu i nie można jej skorygować. Uprawnienie techniczne do odpowiedzi powinno więc otrzymać tylko takie grono, które zna ścieżkę weryfikacji i zatwierdzania.
Najczęstsze błędy w zarządzaniu użytkownikami
Jeden aktywny administrator
Urlop, choroba lub odejście jednej osoby może odciąć organizację od sprawnej konfiguracji dostępu podczas incydentu.
Pełne prawa dla wszystkich
Niepotrzebnie zwiększa to ryzyko błędu, usunięcia informacji albo wysłania komunikatu bez właściwej konsultacji.
Role ograniczone tylko z nazwy
Uprawnienia z kilku ról sumują się. Użytkownik może nadal mieć szeroki dostęp przez inną przypisaną rolę.
Niedziałające powiadomienia
Włączenie e-maila tylko w roli albo tylko w grupie nie wystarcza. Obie konfiguracje muszą być aktywne.
Brak procesu offboardingu
Konto zewnętrznego konsultanta lub byłego pracownika pozostaje aktywne, mimo że ustała podstawa dostępu.
Mylenie roli z pełnomocnictwem
Administrator wykonuje czynność w aplikacji, choć firma nie określiła, czy może złożyć dane o takim znaczeniu.
Checklista administratora S46
Kontrola dostępu i gotowości
Checklistę można wykorzystać podczas uruchamiania przestrzeni oraz cyklicznych przeglądów użytkowników.
Najczęściej zadawane pytania
Kto może zostać administratorem S46?
Może nim zostać osoba wskazana przez podmiot i ujęta jako administrator we właściwych danych Wykazu KSC. Powinna posiadać zdolność korzystania z wybranej metody identyfikacji przez Węzeł Krajowy, dostęp do służbowej poczty oraz faktyczną możliwość wykonywania obowiązków.
Czy administrator S46 musi być pracownikiem firmy?
Materiały systemowe nie ograniczają tej funkcji wyłącznie do pracownika. Przy osobie zewnętrznej trzeba jednak szczególnie precyzyjnie uregulować umocowanie, poufność, zasady dostępu, dostępność, odpowiedzialność i natychmiastowy offboarding po zakończeniu współpracy.
Czy administrator jest automatycznie osobą kontaktową z CSIRT?
Nie należy tego zakładać. Dane administratora występują w obszarze osób kontaktowych wpisu, ale funkcja techniczna i odpowiedzialność za kontakt operacyjny powinny zostać rozdzielone lub świadomie połączone w dokumentacji organizacji.
Jak długo jest ważny kod aktywacyjny dla nowego użytkownika?
Link wysyłany przez system oraz jednorazowy kod wygenerowany przez administratora są ważne przez 72 godziny. Po upływie tego czasu aktywację należy przeprowadzić ponownie.
Czy można usunąć administratora wskazanego w Wykazie KSC?
Nie bezpośrednio w S46 Cyber Hub. Zmiana danych takiego konta albo odebranie mu dostępu wymaga złożenia wniosku o zmianę wpisu w Wykazie KSC. Inaczej obsługuje się zwykłych użytkowników utworzonych później przez administratora.
Czy administrator może zgłosić incydent?
Techniczna możliwość zależy od posiadanych uprawnień. Prawo do działania w imieniu podmiotu i zakres odpowiedzialności powinny jednak wynikać z procedury oraz umocowania. Administrator nie powinien samodzielnie tworzyć i zatwierdzać całego zgłoszenia bez danych od właściwych osób.
Dlaczego użytkownik nie otrzymuje powiadomień e-mail?
Najczęściej trzeba sprawdzić jednocześnie rolę, grupę, przypisanie ich do konta i poprawność adresu. Otrzymywanie wiadomości wymaga aktywnego ustawienia w roli oraz aktywnego wysyłania w grupie.
Czy jedna osoba może zarządzać kilkoma przestrzeniami?
Tak. Musi zostać dodana oddzielnie do każdej przestrzeni i aktywować każdy dostęp. Po zalogowaniu system może wyświetlić listę przestrzeni, w których użytkownik posiada konto.
Jak często przeglądać konta i uprawnienia?
Po każdej zmianie kadrowej lub organizacyjnej oraz cyklicznie według przyjętej procedury. Praktyczny przegląd kwartalny pozwala szybko wykryć nieaktualne konta, ale nie zastępuje natychmiastowego odebrania dostępu po ustaniu jego podstawy.
Potrzebujesz uporządkować role, dostęp i obsługę S46?
Możemy przeprowadzić przegląd kont i uprawnień, przygotować matrycę odpowiedzialności, procedurę zarządzania użytkownikami oraz ścieżkę obsługi ostrzeżeń i incydentów. Stały nadzór nad obowiązkami S46 i SZBI pozwala połączyć konfigurację systemu z rzeczywistą gotowością organizacji.