{"id":4773,"date":"2026-08-11T20:58:59","date_gmt":"2026-08-11T18:58:59","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4773"},"modified":"2026-08-11T22:47:42","modified_gmt":"2026-08-11T20:47:42","slug":"identity-and-access-management-iam","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/identity-and-access-management-iam","title":{"rendered":"Identity and Access Management (IAM)"},"content":{"rendered":"<p><strong>Identity and Access Management (IAM)<\/strong>, czyli zarz\u0105dzanie to\u017csamo\u015bci\u0105 i dost\u0119pem, to obszar cyberbezpiecze\u0144stwa, kt\u00f3ry odpowiada na dwa proste pytania: <em>kto lub co prosi o dost\u0119p<\/em> oraz <em>do czego ma prawo<\/em>. Pierwsze z nich to uwierzytelnianie, drugie to autoryzacja. Celem IAM jest to, \u017ceby w\u0142a\u015bciwe osoby, us\u0142ugi i urz\u0105dzenia mia\u0142y dost\u0119p tylko do tych zasob\u00f3w, kt\u00f3rych naprawd\u0119 potrzebuj\u0105, tylko wtedy, gdy go potrzebuj\u0105. Inaczej m\u00f3wi\u0105c: ka\u017cdy dostaje dok\u0142adnie tyle uprawnie\u0144, ile trzeba, i ani troch\u0119 wi\u0119cej. T\u0119 zasad\u0119 nazywa si\u0119 regu\u0142\u0105 najmniejszych uprawnie\u0144.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 uwierzytelnianie (AuthN) od autoryzacji (AuthZ)?<\/h2>\n<p>To dwa r\u00f3\u017cne kroki, kt\u00f3re \u0142atwo pomyli\u0107. Uwierzytelnianie sprawdza, kim jeste\u015b. Autoryzacja decyduje, co mo\u017cesz zrobi\u0107.<\/p>\n<ul>\n<li><strong>Uwierzytelnianie (authentication, w skr\u00f3cie AuthN)<\/strong> to potwierdzenie, \u017ce kto\u015b jest tym, za kogo si\u0119 podaje. Opiera si\u0119 na trzech rodzajach dowod\u00f3w: czym\u015b, co wiesz (has\u0142o, PIN), czym\u015b, co masz (token sprz\u0119towy, klucz FIDO2, jednorazowy kod TOTP), oraz czym\u015b, czym jeste\u015b (biometria, np. odcisk palca). Na tym etapie dzia\u0142aj\u0105 takie mechanizmy jak SSO, MFA i federacja to\u017csamo\u015bci.<\/li>\n<li><strong>Autoryzacja (authorization, w skr\u00f3cie AuthZ)<\/strong> przyznaje konkretny zakres uprawnie\u0144, ale dopiero po udanym uwierzytelnieniu. Tutaj wchodz\u0105 w gr\u0119 modele kontroli dost\u0119pu (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rbac\">RBAC<\/a>, ABAC) i pilnowanie, \u017ceby nikt nie mia\u0142 wi\u0119cej ni\u017c musi.<\/li>\n<\/ul>\n<p>\u0141atwo to zapami\u0119ta\u0107 tak: AuthN sprawdza to\u017csamo\u015b\u0107, AuthZ przyznaje dost\u0119p. Najpierw trzeba wiedzie\u0107, kto puka, a dopiero potem zdecydowa\u0107, co mu wolno.<\/p>\n<h2>Jak dzia\u0142a IAM?<\/h2>\n<p>IAM zarz\u0105dza to\u017csamo\u015bci\u0105 przez ca\u0142e jej \u017cycie, od za\u0142o\u017cenia konta a\u017c po jego wy\u0142\u0105czenie. Typowy cykl wygl\u0105da tak:<\/p>\n<ol>\n<li><strong>Za\u0142o\u017cenie to\u017csamo\u015bci (provisioning)<\/strong> \u2014 utworzenie konta i nadanie uprawnie\u0144, na przyk\u0142ad gdy firma zatrudnia pracownika albo rejestruje now\u0105 us\u0142ug\u0119.<\/li>\n<li><strong>Uwierzytelnianie<\/strong> \u2014 sprawdzenie to\u017csamo\u015bci przy logowaniu, coraz cz\u0119\u015bciej z dodatkowym czynnikiem (MFA).<\/li>\n<li><strong>Autoryzacja<\/strong> \u2014 ustalenie zakresu dost\u0119pu na podstawie roli lub atrybut\u00f3w.<\/li>\n<li><strong>Zarz\u0105dzanie sesj\u0105 i monitorowanie<\/strong> \u2014 \u015bledzenie aktywno\u015bci, zapis zdarze\u0144, ponowne sprawdzenie przy ryzykownych operacjach.<\/li>\n<li><strong>Odebranie dost\u0119pu (de-provisioning)<\/strong> \u2014 zabranie uprawnie\u0144, gdy kto\u015b zmienia rol\u0119 albo odchodzi z firmy.<\/li>\n<\/ol>\n<p>Ten ostatni krok bywa zaniedbywany, a to cz\u0119sty problem. Gdy nikt na czas nie odbierze dost\u0119pu, zostaj\u0105 porzucone konta (<em>orphaned accounts<\/em>), a uprawnienia z czasem si\u0119 nawarstwiaj\u0105 (<em>privilege creep<\/em>) \u2014 i jedno, i drugie u\u0142atwia atak.<\/p>\n<h2>Z jakich element\u00f3w sk\u0142ada si\u0119 IAM?<\/h2>\n<ul>\n<li><strong>Single Sign-On (SSO)<\/strong>, czyli jednokrotne logowanie \u2014 logujesz si\u0119 raz i masz dost\u0119p do wielu aplikacji bez ponownego wpisywania has\u0142a. Dzia\u0142a zwykle przez federacj\u0119 (SAML, OIDC).<\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/multi-factor-authentication-mfa\">Multi-Factor Authentication<\/a> (MFA)<\/strong>, czyli uwierzytelnianie wielosk\u0142adnikowe \u2014 wymaga co najmniej dw\u00f3ch niezale\u017cnych dowod\u00f3w to\u017csamo\u015bci. Im dalej od kod\u00f3w SMS i TOTP w stron\u0119 kluczy sprz\u0119towych <code>FIDO2<\/code>\/WebAuthn, tym trudniej oszuka\u0107 taki mechanizm phishingiem.<\/li>\n<li><strong>Role-Based Access Control (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rbac\">RBAC<\/a>)<\/strong>, czyli kontrola dost\u0119pu oparta na rolach \u2014 uprawnienia przypisuje si\u0119 do roli powi\u0105zanej ze stanowiskiem. Jest skalowalna, ale liczba r\u00f3l potrafi szybko urosn\u0105\u0107.<\/li>\n<li><strong>Attribute-Based Access Control (ABAC)<\/strong>, czyli kontrola oparta na atrybutach \u2014 decyzje zale\u017c\u0105 od cech takich jak rola, lokalizacja, typ urz\u0105dzenia, pora dnia czy wra\u017cliwo\u015b\u0107 zasobu. Jest bardziej precyzyjna i elastyczna ni\u017c RBAC.<\/li>\n<li><strong>Provisioning i SCIM<\/strong> \u2014 automatyczne zak\u0142adanie, aktualizowanie i usuwanie kont mi\u0119dzy systemami za pomoc\u0105 standardu <code>SCIM<\/code> (System for Cross-domain Identity Management).<\/li>\n<li><strong>Federacja to\u017csamo\u015bci (identity federation)<\/strong> \u2014 uznawanie to\u017csamo\u015bci z innej, zaufanej organizacji bez znajomo\u015bci jej has\u0142a. Dzia\u0142a to przez relacj\u0119 mi\u0119dzy dostawc\u0105 to\u017csamo\u015bci (IdP) a dostawc\u0105 us\u0142ugi (SP).<\/li>\n<li><strong>Audyt i raportowanie<\/strong> \u2014 rejestr zdarze\u0144 dost\u0119pu na potrzeby zgodno\u015bci z przepisami i analizy bezpiecze\u0144stwa.<\/li>\n<\/ul>\n<h2>Jakie protoko\u0142y federacji stosuje IAM (SAML, OIDC, OAuth)?<\/h2>\n<ul>\n<li><strong>SAML 2.0<\/strong> \u2014 standard oparty na formacie XML, s\u0142u\u017c\u0105cy do wymiany informacji o uwierzytelnieniu i uprawnieniach mi\u0119dzy domenami. To klasyczna podstawa firmowego SSO w aplikacjach webowych.<\/li>\n<li><strong>OAuth 2.0<\/strong> \u2014 framework do <em>autoryzacji<\/em> (nie do uwierzytelniania). Pozwala aplikacji uzyska\u0107 ograniczony dost\u0119p do zasob\u00f3w w imieniu u\u017cytkownika za pomoc\u0105 token\u00f3w, bez pokazywania jej jego has\u0142a.<\/li>\n<li><strong>OpenID Connect (OIDC)<\/strong> \u2014 warstwa to\u017csamo\u015bci dobudowana nad OAuth 2.0. Dodaje <em>token ID<\/em> (w formacie JWT), kt\u00f3ry potwierdza, kim jest u\u017cytkownik. Dominuje w aplikacjach chmurowych i mobilnych.<\/li>\n<\/ul>\n<p>Cz\u0119sty b\u0142\u0105d to traktowanie OAuth 2.0 jako protoko\u0142u logowania. OAuth tylko przekazuje dost\u0119p; to\u017csamo\u015b\u0107 u\u017cytkownika potwierdza dopiero OIDC zbudowany na jego bazie.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 IAM od PAM i IGA?<\/h2>\n<ul>\n<li><strong>IAM<\/strong> to szeroka dziedzina obejmuj\u0105ca wszystkie to\u017csamo\u015bci: pracownik\u00f3w, klient\u00f3w, partner\u00f3w, konta us\u0142ug i to\u017csamo\u015bci maszynowe.<\/li>\n<li><strong>PAM (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/privileged-access-management\">Privileged Access Management<\/a>)<\/strong>, czyli zarz\u0105dzanie dost\u0119pem uprzywilejowanym, to w\u0105ska cz\u0119\u015b\u0107 IAM skupiona na kontach z du\u017cymi uprawnieniami (administratorzy, root, konta serwisowe). Obejmuje sejf na has\u0142a, ich rotacj\u0119, dost\u0119p przyznawany na czas (<em>just-in-time<\/em>) i nagrywanie sesji. Takie konta s\u0105 \u0142akomym celem atak\u00f3w, bo daj\u0105 szerok\u0105 kontrol\u0119 nad infrastruktur\u0105.<\/li>\n<li><strong>IGA (Identity Governance and Administration)<\/strong>, czyli nadz\u00f3r nad to\u017csamo\u015bciami, to warstwa kontroli: zarz\u0105dzanie cyklem \u017cycia, okresowy przegl\u0105d uprawnie\u0144 (<em>access reviews<\/em>), wnioskowanie o dost\u0119p, rozdzia\u0142 obowi\u0105zk\u00f3w (SoD) i raportowanie zgodno\u015bci.<\/li>\n<\/ul>\n<h2>Jak IAM \u0142\u0105czy si\u0119 z Zero Trust?<\/h2>\n<p>W modelu Zero Trust to to\u017csamo\u015b\u0107, a nie sie\u0107, staje si\u0119 g\u0142\u00f3wn\u0105 granic\u0105 bezpiecze\u0144stwa. Zaufanie nie bierze si\u0119 z tego, \u017ce kto\u015b jest \u201ew \u015brodku&#8221; sieci albo za firewallem. IAM dostarcza trzech filar\u00f3w tego podej\u015bcia: <strong>sprawdzaj ka\u017cde \u017c\u0105danie<\/strong>, <strong>dawaj jak najmniej uprawnie\u0144<\/strong> i <strong>zak\u0142adaj, \u017ce dosz\u0142o ju\u017c do naruszenia<\/strong>. W praktyce oznacza to uwierzytelnianie adaptacyjne, kt\u00f3re ocenia ryzyko na podstawie sygna\u0142\u00f3w takich jak urz\u0105dzenie, lokalizacja czy zachowanie, ci\u0105g\u0142e sprawdzanie sesji i \u015bcis\u0142e ograniczanie zakresu dost\u0119pu.<\/p>\n<h2>Dlaczego IAM jest kluczowy dla bezpiecze\u0144stwa i wykrywania zagro\u017ce\u0144?<\/h2>\n<p>To\u017csamo\u015b\u0107 to dzi\u015b jedna z najcz\u0119stszych dr\u00f3g ataku: kradzie\u017c hase\u0142, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/phishing\">phishing<\/a>, <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/credential-stuffing\">credential stuffing<\/a><\/em> (podstawianie wykradzionych hase\u0142), przej\u0119cie sesji i nadu\u017cycie kont uprzywilejowanych. Co istotne, atakuj\u0105cy, kt\u00f3ry zdob\u0119dzie prawdziwe has\u0142o, cz\u0119sto nie musi ju\u017c niczego w\u0142amywa\u0107 \u2014 po prostu si\u0119 loguje. Dlatego klasyczne metody \u0142atwo to przeoczaj\u0105.<\/p>\n<p>Dla zespo\u0142u <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> oraz monitoringu sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a>) dane z IAM s\u0105 cennym \u017ar\u00f3d\u0142em sygna\u0142\u00f3w ostrzegawczych:<\/p>\n<ul>\n<li>logi logowa\u0144 i przyznawania dost\u0119pu \u2014 nietypowe logowania, takie, kt\u00f3re geograficznie nie maj\u0105 prawa si\u0119 zdarzy\u0107 (<em>impossible travel<\/em>), pr\u00f3by si\u0142owe i <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/password-spraying\">password spraying<\/a><\/em> (testowanie jednego has\u0142a na wielu kontach);<\/li>\n<li>zdarzenia MFA \u2014 masowe odrzucenia pr\u00f3\u015bb albo tak zwane zm\u0119czenie potwierdzaniem (<em>MFA fatigue<\/em>), kt\u00f3re bywa oznak\u0105 ataku;<\/li>\n<li>zmiany uprawnie\u0144 \u2014 nag\u0142e nadanie roli administratora lub modyfikacja polityk dost\u0119pu;<\/li>\n<li>aktywno\u015b\u0107 kont serwisowych i to\u017csamo\u015bci maszynowych \u2014 odst\u0119pstwa od normy, kt\u00f3re w zestawieniu z ruchem sieciowym mog\u0105 wskazywa\u0107 na ruch boczny (<em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">lateral movement<\/a><\/em>), czyli przemieszczanie si\u0119 atakuj\u0105cego po sieci.<\/li>\n<\/ul>\n<p>Gdy po\u0142\u0105czy si\u0119 logi to\u017csamo\u015bci z danymi o ruchu w sieci, wida\u0107 nie tylko <em>kto<\/em> si\u0119 zalogowa\u0142, ale te\u017c <em>co robi w sieci<\/em>. To podstawa wykrywania nadu\u017cy\u0107 kont i atak\u00f3w opartych na to\u017csamo\u015bci.<\/p>\n<h2>Jak IAM wspiera zgodno\u015b\u0107 z regulacjami?<\/h2>\n<p>IAM dostarcza mechanizm\u00f3w, kt\u00f3rych wymagaj\u0105 normy i przepisy, w tym <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr\">RODO<\/a>, ISO\/IEC 27001 oraz dyrektywa <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nis2\">NIS2<\/a>: pilnowanie najmniejszych uprawnie\u0144, MFA, rozdzia\u0142 obowi\u0105zk\u00f3w, okresowy przegl\u0105d dost\u0119pu oraz pe\u0142ne \u015bcie\u017cki audytowe. Dzi\u0119ki nim mo\u017cna odpowiedzie\u0107 na pytanie, kto, kiedy i do czego mia\u0142 dost\u0119p.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/zero-trust-architecture\">Zero Trust Architecture<\/a> \u2014 IAM wspiera Zero Trust przez \u015bcis\u0142e uwierzytelnianie i kontrol\u0119 dost\u0119pu do zasob\u00f3w.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/bledy-konfiguracji-sieci-jak-ich-uniknac-i-poprawic-konfiguracje-routera\">B\u0142\u0119dy konfiguracji sieci \u2013 jak unika\u0107 network configuration errors i poprawi\u0107 konfiguracj\u0119 routera<\/a> \u2014 IAM wymaga poprawnej konfiguracji sieci, by polityki dost\u0119pu dzia\u0142a\u0142y zgodnie z za\u0142o\u017ceniami.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/podatnosc-idor-jak-wykryc-atak-na-aplikacje-webowe-przez-analize-ruchu-http\">Podatno\u015b\u0107 IDOR \u2013 jak wykry\u0107 atak na aplikacje webowe przez analiz\u0119 ruchu HTTP<\/a> \u2014 IDOR dotyczy b\u0142\u0119d\u00f3w autoryzacji, czyli obszaru obj\u0119tego kontrol\u0105 IAM.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4773","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Identity and Access Management (IAM)","ikona":"","krotki_opis":"Zarz\u0105dzanie cyfrowymi to\u017csamo\u015bciami i kontrola dost\u0119pu do zasob\u00f3w: \u0142\u0105czy uwierzytelnianie (kto) z autoryzacj\u0105 (do czego) wedle zasady najmniejszych uprawnie\u0144."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4773","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4773"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}