Kje se skrivajo grožnje
Nečloveške identitete (NHI - Non Human Identity) niso abstrakcija. V vsakem podjetju, ki uporablja Microsoft 365, oblačne integracije ali avtomatizacijo, že danes obstajajo servisni računi, API ključi in agenti – in večina od njih ni ustrezno zavarovana.
Pozabljeni API ključi
Servisni računi in API ključi, ustvarjeni za testiranje ali začasne integracije, ostanejo aktivni leta po koncu projekta. Napadalec jih pridobi – in ima administratorski dostop.
Prekomerna dovoljenja AI agentov
AI agenti se hitro konfigurirajo z »dovolj širokimi« dovoljenji. Microsoft Copilot vidi vse, do česar ima dostop prijavljeni uporabnik – tudi tisto, kar ne bi smel.
Nevidnost v varnostnih orodjih
Klasični varnostni sistemi so kalibrirani na človeške vzorce. Avtomatiziran agent, ki pošlje 50.000 zahtevkov na interni API, varnostnega alarma ne sproži.
Brez lifecyle managementa
Ko se projekt zaključi, zaposleni odide ali se zamenja zunanja storitev – procesa za deaktivacijo NHI pogosto ni. Identitete ostanejo aktivne v nedogled.
Resnični scenariji v MSP okoljih
Spodnji scenariji niso teoretični. Dogajajo se v podjetjih podobnih velikosti – danes.
Zunanja ERP integracija — pozabljeni servisni račun
Podjetje poveže računovodsko programsko opremo z Microsoft 365 preko API-ja. Integrator ustvari servisni račun s pravicami branja in pisanja v SharePoint ter Exchange. Dve leti pozneje podjetje zamenja sistem. Servisni račun ostane aktiven.
AI agent za avtomatizacijo naročilnic
IT ekipa implementira AI agenta za odobritve. Za hitro delovanje ga konfigurira z administratorskim dostopom do Teams, SharePointa in ERP sistema. Agent deluje odlično – a ima dostop do celotnega poslovnega okolja.
Microsoft Copilot z neurejenimi dovoljenji
Podjetje uvede Microsoft 365 Copilot. Copilot vidi vso vsebino, dostopno prijavljenemu uporabniku. Ker dovoljenja niso bila ustrezno nastavljena, imajo zaposleni dostop do podatkov, ki jim ne bi smeli biti vidni.
Pristop do polne varnosti: 5 korakov
Reševanje tega problema ne zahteva revolucionarnih sprememb. Zahteva sistematičen pristop in pravo kombinacijo orodij.
Inventar vseh nečloveških identitet
Popišite vse servisne račune, API ključe, OAuth aplikacije, Power Automate tokove in AI agente. Microsoft Entra ID nudi pregled vseh registriranih aplikacij in servisnih principalov – to je vaše izhodišče.
Načelo najmanjšega privilegija
Vsaka identiteta dostopa le do tega, kar nujno potrebuje. Preglejte dovoljenja vseh servisnih računov, ukinite prekomerne dostope in za AI agente definirajte natančen obseg pred implementacijo.
Lifecycle management NHI
Dokumentirajte vsako NHI identiteto in njen namen. Določite konkretnega lastnika (oseba, ne ekipa). Vzpostavite proces za deaktivacijo ob zaključku projektov in zamenjavi storitev.
Monitoring in zaznavanje anomalij
Definirajte "normalno" vedenje za vsak servisni račun. Nastavite alerte za odstopanja: nenavadni časi, neobičajne količine podatkov, novi dostopi. Klasični monitoring ni dovolj.
Zero Trust arhitektura
Noben dostop ni zaupanja vreden – ne glede na to, ali prihaja od znotraj, od človeka ali stroja. Začnite z Entra ID in pogojnim dostopom, implementirajte MFA povsod, segmentirajte omrežje.
Varnostni checklist — kje se nahajate?
Kliknite na vsako trditev, ki velja za vaše podjetje. Na koncu boste prejeli oceno varnostne zrelosti in konkretna priporočila.
- Inventar in vidnost
-
Imamo popis vseh nečloveških identitet v našem okolju Visoko tveganjeServisni računi, API ključi, OAuth aplikacije, Power Automate tokovi, Copilot agenti
-
Vemo, kdo je lastnik vsake servisne identitete Visoko tveganjeKonkretna oseba (ne ekipa ali oddelek) je odgovorna za vsako NHI
- Dovoljenja in dostopi
-
V zadnjem letu smo pregledali dovoljenja servisnih računov Visoko tveganjeVključno z OAuth integracijami in Power Platform dovoljenji
-
Naši AI agenti so konfigurirani z minimalnimi potrebnimi dovoljenji Visoko tveganjeNobeden nima širših pravic, kot jih potrebuje za svojo specifično nalogo
- Lifecycle management
-
Imamo postopek za deaktivacijo NHI ob zaključku projektov Srednje tveganjeVključno ob zamenjavi zunanjih storitev ali odhodu odgovornih oseb
-
Imamo politike za upravljanje API ključev in tokenov Srednje tveganjeVključno z rotacijo ključev in samodejno deaktivacijo neuporabljenih
- Monitoring in varnost
-
Imamo monitoring za anomalije v vedenju NHI identitet Srednje tveganjeNe le za človeške, ampak specifično za servisne račune in AI agente
-
Varnost je del procesa pri uvajanju novih AI rešitev Dobra praksaVarnostno načrtovanje je vgrajeno v vsak AI projekt od samega začetka