Korisnička prava u IT timu: vodič za razvojne inženjere

Uvod

U IT sektoru i razvoju softvera, upravljanje korisničkim pravima unutar timova mnogo je više od pitanja interne organizacije. To uvjetuje sigurnost sustava, regulatornu usklađenost i kolektivnu produktivnost. Prema istraživanju IBM Security iz 2024., 74 % kršenja podataka uključuje zlouporabu ili krađu povlaštenih prava pristupa. Suočeni s timovima koji su često distribuirani, multi-projektni i visoko automatizirani, definiranje tko ima pristup čemu — i zašto — postalo je strateškim pitanjem prvoga reda. Ovaj članak vas vodi korak po korak kroz strukturiranje korisničkih prava: modeli autorizacije, operacijske najbolje prakse, integracija u workflow razvoja i utjecaj na elektronički potpisivanje tehničkih isporuka.

---

Razumijevanje modela upravljanja pravima pristupa

Prije konfiguriranja bilo čega, bitno je odabrati pravi konceptualni model upravljanja pravima. Svaka arhitektura IT tima zahtijeva drugačiji paradigmu.

RBAC model: industrijski standard

Role-Based Access Control (RBAC) je najčešće korišten model u okruženju razvoja. Sastoji se od dodjeljivanja dozvola ne pojedinicima direktno, već unaprijed definiranim ulogama (junior razvojni inženjer, tech lead, DevOps inženjer, administrator sustava, itd.), zatim povezivanja svakog korisnika s jednom ili više uloga.

Prednosti RBAC-a:

• Pojednostavljena upravljanja prilikom dolaska/odlaska (offboarding)
• Jasna revizija: točno se zna što može svaka uloga
• Smanjenje rizika od namnogo veće eskalacije privilegija

U praksi, junior razvojni inženjer imat će pristup samo okruženjima za razvoj i staging, nikad do produkcije. Tech lead može validirati pull zahtjeve i pokrenuti CI/CD pipeline, dok samo senior DevOps administrator ima ključeve pristupa proizvodnim tajnama.

ABAC model za složena okruženja

Attribute-Based Access Control (ABAC) ide dalje od RBAC-a uvjetujući prava na kontekstne atribute: lokacija korisnika, vrijeme prijave, klasifikacija projekta, osjetljivost spremišta koda. Ovaj model posebno je prikladan za timove koji upravljaju projektima za klijente u financijskom, zdravstvenom ili obrambenom sektoru, gdje su zahtjevi izdvajanja maksimalni.

Konkretno, inženjer može imati pristup Git spremištu ujutro iz poslovnih ureda, ali mu se može odbiti pristup vikendom s neodobrene rezidencijalne IP adrese — čak i sa identičnom ulogom.

Načelo najmanjeg privilegija kao vodena nit

Bez obzira na odabrani model, načelo najmanjeg privilegija (Least Privilege Principle) trebalo bi voditi svu politiku prava. Ovo načelo, navedeno u preporukama ANSSI i formalizirano u normi ISO/IEC 27001, navodi da svaki korisnik ili proces trebao imati samo prava strogo potrebna za obavljanje svojih zadataka.

U DevOps kontekstu, to posebno znači da nikad ne trebate dijeliti generičke račune servisa, trebali bi koristiti tajne s ograničenim vijekom trajanja (efemeralnih tokena), i nikad ne trebate biti administrator po zadanoj vrijednosti.

---

Strukturiranje prava po okruženju i po projektu

Tim razvoja softvera rijetko radi samo na jednom projektu ili jednom okruženju. Segmentacija prava trebala bi odražavati tu operativnu realnost.

Odvajanje okruženja dev, staging i produkcije

Stroga separacija okruženja je temeljna dobra praksa. U većini zrelih timova, prava su strukturirana ovako:

• Razvojno okruženje: dostupno svim razvojnim inženjerima projekta, s širokim dozvolama za poticanje eksperimentiranja
• Okruženje staging/recenzije: ograničen pristup senior razvojnim inženjerima i QA inženjerima; nemoguće ručno pokretanje bez validacije
• Proizvodnjsko okruženje: pristup samo administratorima sustava i automatiziranim pipeline-ima (CI/CD) s obveznom autentifikacijom s više čimbenika

Ova segmentacija drastično smanjuje površinu napada i ograničava posljedice kompromitiranog računa.

Upravljanje pravima u alatima za suradnju razvoja

Platforme poput GitHub, GitLab ili Bitbucket nude granularne sustave prava koji zaslužuju posebnu pozornost. Na GitHub Enterprise, na primjer, razine dozvola uključuju: Read, Triage, Write, Maintain i Admin — svaka s precizno definiranim mogućnostima.

Dobra praksa: definiranje RACI matrice pristupa za svako kritično spremište, formalizirane u internoj dokumentaciji projekta. Ova matrica bilježi tko je Odgovoran, Odobravajući, Konzultiran i Informiran za svaku vrstu radnje na spremiš.

Za alate za upravljanje projektima (Jira, Linear, Notion), također razmislite o primjeni istine razine strogosti: vanjski pružatelj usluga trebao bi pristupiti samo karatama koje ga se tiču, nikad ne cijeloj strateškoj roadmapi.

Automatizacija upravljanja pravima u CI/CD pipeline-ima

Prava ne tiču se samo ljudi. U modernoj arhitekturi, računi servisa, API tokeni i CI/CD agenti jednako su entiteti bez ljudskog karaktera koji imaju dozvole. Njihovo upravljanje često je zanemareno i predstavlja vektor najveće prijetnje.

Praktične preporuke:

• Korištenje dedicated upravitelja tajni (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault) umjesto varijabli okruženja u čistom tekstu
• Konfiguriranje API tokena s kratkim vijekom trajanja s automatskom rotacijom
• Redovito audiranje prava računa servisa i uklanjanje onih koji se više ne koriste

Ove prakse dio su pristupa dokumentarnoj usklađenosti i praćenju koju Certyneo prati posebno kroz elektronički potpisivanje internih politika sigurnosti.

---

Integracija upravljanja pravima u životni ciklus suradnika

Upravljanje pravima nije statička konfiguracija: mora evoluirati stalno s promjenama u timu.

Strukturirani proces onboardinga

Dolazak novog razvojnog inženjer ili pružatelja usluga trebao bi pokrenuti formalizirani proces dodjeljivanja prava, idealno automatiziran kroz alat za Identity Governance and Administration (IGA) ili, najmanje, kroz obrazac zahtjeva za pristup s managerskom validacijom.

Automatsko dodjeljenje iz HR sustava (kroz SCIM konektore prema Active Directory, Okta ili Google Workspace) osigurava da se prava dodjeljuju od prvoga dana i prije svega opozvanu od posljednjeg. Prema istraživanju Ponemon Institute (2023), 58 % tvrtki priznaje da bivši zaposlenici mogu još uvijek pristupiti sustavima nakon odlaska.

Ovaj proces onboardinga često uključuje potpisivanje informatičkih povelji, politika sigurnosti ili odredbi o povjerljivosti — dokumente za koje elektronički potpisivanje u korporaciji nudi nepogrešivu pravnu praćenje.

Periodički pregledi prava (Access Reviews)

DORA (Digital Operational Resilience Act) i referentni okviri sigurnosti kao SOC 2 ili ISO 27001 zahtijevaju periodičke preglede prava pristupa — obično tromjesečno ili polugodišnje. Ovi auditi sastoje se od zahtjeva od svakog menadžera da potvrdi ili opozove prava svakog člana svoga tima.

Ti pregledi trebali bi biti dokumentirani i praćeni. Elektronički potpisivanje izvještaja audita prava čini dobru praksu za osiguranje njihove integriteta i neunovacivosti — temu koju detaljno opisuje naš sveobuhvatni vodič elektroničkog potpisivanja.

Upravljanje posebnim slučajevima: pružatelji, freelanceri i praktikanti

Vanjski sudionici predstavljaju posebnu izazov. Trebali bi pristup dovoljan za učinkovit rad, ali trebali bi biti odvojeni od osjetljivih podataka i kritičnih sustava.

Dobre prakse:

• Kriranje različitih računa za pružatelje (nikad dijeljenje internog računa)
• Primjena datuma isteka računa na vanjske račune automatski
• Ograničenje pristupa mreži kroz detaljan VPN ili Zero Trust arhitekturu
• Potpisivanje sporazuma o povjerljivosti (NDA) prije bilo kojeg pristupa — idealno kroz elektronički potpisivanje sukladno eIDAS za maksimalnu dokaznu vrijednost

---

Usklađenost, audit i upravljanje pravima u IT timu

Upravljanje pravima nije samo tehnička konfiguracija: uključuje se u širi okvir upravljanja.

Vođenje registra ovlaštenja

Svaka organizacija koja obrađuje osobne podatke ili upravlja kritičnim sustavima trebala bi održavati registar ovlaštenja ažuran. Ovaj dokument bilježi, za svaki sustav i svaku aplikaciju:

• Autorizirane korisnike i njihove razine pristupa
• Datume dodjeljenja i revizije prava
• Povezane managerske validacije

U okviru GDPR-a (članak 32), ovaj registar dio je odgovarajućih tehničkih i organizacijskih mjera koje mora pokazati odgovorni za obradu. Njegova odsutnost može biti kaznjena od strane CNIL-a.

Ispis dnevnika i praćenje pristupa

Samo dodjela prava ne dovoljva: trebali bi nadzirati njihovu upotrebu. Rješenja kao SIEM (Security Information and Event Management) poput Splunk, Elastic SIEM ili Microsoft Sentinel omogućavaju otkrivanje abnormalnog ponašanja: prijava izvan redovnih sati, masovno preuzimanje datoteka, pristup neobičnim resursima.

Direktiva NIS2, transponirana u francuskom zakonu koncem 2024., zahtijeva od esencijalne i važne entitete (od kojih su mnogi ESN i kritični izdavači softvera) da primjene robusne mogućnosti detekcije i ispisa dnevnika.

Uloga elektroničkog potpisivanja u upravljanju pravima

Formalizacija politika prava pristupa, korisničkih povelji i sporazuma o povjerljivosti kroz elektronički potpisane dokumente znatno učvršćuje upravljanje. Za razliku od jednostavnog e-maila s dogovorom, dokument potpisane elektronički s rješenjem sukladnim eIDAS nudi dokaz o integritetu i identitetu koji će biti prihvatljiv u slučaju spora.

Certyneo omogućava posebno parametriziranje workflow-a potpisivanja s preciznim ulogama — na primjer, zahtijevanje potpisivanja RSSI-ja prije pokretanja politike sigurnosti — što se prirodno integrira u zrelu politiku upravljanja pravima. Također možete procijeniti operativne dobitke ovoga pristupa zahvaljujući kalkulatoru ROI elektroničkog potpisivanja.

Pravni okvir primjenjiv na upravljanje korisničkim pravima u IT timu

Upravljanje korisničkim pravima u IT organizaciji nije samo pitanje tehnijske konfiguracije: ograničeno je skupom regulatornih tekstova koji obvezuju, čije nepoznavanje izlaže organizacije značajnim kaznama.

GDPR — Uredba (EU) 2016/679

Članak 5 GDPR-a postavi načelo minimizacije podataka, koje se po analogiji proteže na načelo minimizacije pristupa: korisnik trebao bi pristupiti samo podacima strogo potrebnim za njegove zadatke. Članak 25 (zaštita podataka od početka) i članak 32 (sigurnost obrade) zahtijevaju primjenu odgovarajućih tehničkih i organizacijskih mjera, među kojima je eksplicitno kontrola pristupa.

CNIL je pojašnio u svojoj doktini da nepoštivanje pravila ovlaštenja čini kršenje članka 32. Kazne do 4 % godišnjeg svjetskog prometa ili 20 milijuna eura mogu biti izdane.

Direktiva NIS2 — Direktiva (EU) 2022/2555

Transponirana u Francuskoj zakonom od 17. listopada 2024., direktiva NIS2 značajno proširuje opseg entiteta podložnih obvezama kibernetske sigurnosti. Sada uključuje mnoge izdavače softvera, pružatelje IT usluga i ESN. Članak 21 NIS2 posebno zahtijeva mjere za kontrolu pristupa, upravljanje identitetima i ispis dnevnika sigurnosnih događaja.

Uredba eIDAS — Uredba (EU) 910/2014 i eIDAS 2.0

Za formalnu dokumentaciju politika prava (povelje, politike sigurnosti, sporazume o obradi), uredba eIDAS daje punu pravnu vrijednost kvalificiranim elektroničkim potpisima. Članak 25 uredbe pojašnjava da kvalificirani elektronički potpis ima jednaki pravni učinak kao ručni potpis. Članak 26 definira zahtjeve primjenjive na napredne elektroničke potpise, posebno jedinstvenost veze sa signatorom i mogućnost otkrivanja bilo koje kasnije izmjene.

Radnopravni zakon i obveze poslodavca

Prema francuskom zakonu, poslodavac je odgovoran za sigurnost informatičkih sustava dostavljenih zaposlenicima (članak L.4121-1 Kodeksa rada). Jurisprudencija Vrhovnog suda više je puta potvrdila da nedostatak kontrole pristupa angažira odgovornost poslodavca u slučaju kršenja podataka. Interno pravilnik ili informatička povelja, čija je valjanost ograničena člankom L.1321-1 Kodeksa rada, trebala bi formalizirati pravila korištenja sustava i povezana prava.

Scenariji korištenja: upravljanje pravima u IT timu

Scenarij 1 — ESN upravljajući projektima za više klijentima simultano

Poduzeće za numeričke usluge od oko 80 razvojnih inženjera istovremeno radi na desetak projekata za klijente, od kojih su neki u reguliranim sektorima (financije, zdravstvo). Prije primjene strukturirane politike prava, pristup je upravljan ad hoc: razvojni inženjerima su zadržavali pristup starim završenim projektima, a neki API tokeni su bili dijeljena između više timova.

Nakon primjene IGA rješenja s dodjeljom prava na temelju RBAC uloga po projektu i integracije centraliziranog upravitelja tajni, poduzeće je smanjilo 65 % broj sirovih pristupa detektiranih tijekom tromjesečnih audita. Vrijeme opoziva pristupa nakon završetka misije prošlo je s 3 poslovnog dana na manje od 2 sata zahvaljujući automatizaciji deprovisioniranja. Povelje povjerljivosti potpisane elektronički prije pristupa svakom projektu omogućile su konstituiranje pouzdana dosijea tijekom audita klijenta u bankarskom sektoru.

Scenarij 2 — SaaS startup u hiperrastu

SaaS startup koji nudi softvera B2B koristi 45 razvojnih inženjera u 18 mjeseci. Brzi rast generira nakupljanje nekontroliranih prava: otišli stagijerih i dalje imaju pristup spremištima, prava administratora dodijeljena su privremeno za rješavanje incidenta ali nikad opozvana.

Primjenom Zero Trust modela kombiniranog s polugodišnjim pregledima pristupa formaliziranima i elektronički potpisanima od tech lead-a, startup je smanjio 40 % njegovu površinu napada (mjereno brojem aktivnih prava pristupa po korisniku). Primjena dokumentiranog procesa onboardinga — uključujući elektronički potpisivanje informatičke povelje od prvoga dana — također je učvrstila SOC 2 Type II stav potreban za njegove sjevernoameričke klijente.

Scenarij 3 — Interni IT odjel industrijske grupe

IT odjel srednjeveće industrijske grupe (1 200 zaposlenika) upravlja timom od 35 osoba zaduženih za razvoj i održavanje kritičnih poslovnih aplikacija. Tijekom ISO 27001 audita, konstatira se da prava pristupa proizvodnjskim okruženjima nisu formalno dokumentirana i da se nije provode periodički pregledi.

Primjena matrice ovlaštenja, revidirana tromjesečno i od kojih je svaka verzija elektronički potpisana od strane RSSI-ja i DSI-ja, omogućila je pronalaženje ISO 27001 certifikacije tijekom audita obnavljanja. Vrijeme obrade zahtjeva za pristup smanjeno je s 5 dana na manje od 4 sata zahvaljujući integriranome digitalnom workflow-u, smanjujući operativne blokade i poboljšavajući zadovoljstvo poslovnih timova.

Zaključak

Upravljanje korisničkim pravima u IT timu i razvoju softvera je centralni stup sigurnosti, usklađenosti i organizacijske produktivnosti. Primjenom strukturiranog modela — RBAC ili ABAC prema složenosti vašeg okruženja — primjenom načela najmanjeg privilegija, automatizacijom dodjele i opoziva pristupa, i formalnom dokumentacijom vaših politika ovlaštenja, drastično ste smanjili rizike dok ste zadovoljili zahtjeve GDPR-a, NIS2 i referentnih okvira kao ISO 27001.

Elektronički potpisivanje igra rastući uloga u ovoj upravljanju: informatičke povelje, politike sigurnosti, NDA s pružateljima — toliko dokumenata za koje Certyneo nudi rješenja sukladna eIDAS, traciranog i integrabilnog u vaše postojeće workflow-e.

Spremni struktuirati upravljanje vašim pravima i formalizirati vaše sigurnosne dokumente? Otkrij Certyneo ponude ili kontaktiraj naše stručnjake za personalizirano savjetovanje.