บัญชีที่ระบบอัตโนมัติใช้ ใครเป็นเจ้าของและควรทบทวนเมื่อไร
งานทำเองได้ ก็ยังต้องมีผู้รับผิดชอบ
รายงานที่ส่งทุกคืนหรืองานดึงข้อมูลเข้าบัญชีอาจทำงานผ่านบัญชีที่โปรแกรมใช้ ไม่ได้มีคนกดเข้าสู่ระบบทุกครั้ง หากไม่มีใครรู้ว่าบัญชีนั้นผูกกับงานใด การเปลี่ยนสิทธิ์หรือเลิกระบบอาจกระทบงานอื่นโดยไม่ตั้งใจ เริ่มจากระบุผู้รับผิดชอบทางธุรกิจและผู้ดูแลเทคนิคของแต่ละงาน แยกบทบาทนี้ออกจากการมีรหัสผ่านอยู่ในมือ เพราะผู้เก็บข้อมูลเข้าถึงไม่จำเป็นต้องเป็นผู้ตัดสินใจว่างานยังจำเป็นหรือไม่
เลือกชนิดตัวตนตามระบบที่รองรับ
Microsoft อธิบายบัญชีบริการในบริบท Entra ว่ามีทั้ง managed identity, service principal และบัญชีผู้ใช้ที่นำมารันงาน โดยแนะนำชนิดที่เหมาะกับระบบแทนการใช้บัญชีคนเมื่อทำได้ ไม่ควรแปลคำแนะนำนี้เป็นการเปลี่ยนบัญชีทุกระบบทันที ให้ผู้ดูแลตรวจผลิตภัณฑ์ที่เชื่อมต่อ วิธีพิสูจน์ตัวตนและข้อจำกัดจริงก่อนเลือกแบบ การเปลี่ยนชนิดบัญชีต้องมีแผนทดสอบ ไม่ใช่เพียงตั้งชื่อใหม่แล้วถือว่าปลอดภัยขึ้น
ทำทะเบียนที่อ่านความสัมพันธ์กับงานได้
ต่อหนึ่งบัญชี ให้บันทึกชื่องาน ระบบต้นทางและปลายทาง เจ้าของงาน ผู้ดูแล สิทธิ์ที่ขอ และวันทบทวน รวมทั้งตำแหน่งอ้างอิงวิธีเก็บข้อมูลรับรองโดยไม่บันทึกรหัสลับลงตาราง ตัวอย่างสมมติคือบัญชีสำหรับอ่านยอดขายรายวันจากโฟลเดอร์หนึ่ง ควรระบุโฟลเดอร์และรายงานที่ต้องส่งให้ชัด ไม่ใช้คำว่าเชื่อมระบบทั้งหมดจนผู้ทบทวนไม่รู้ว่าจะประเมินขอบเขตจากอะไร
ให้สิทธิ์ตามงานที่ยืนยันแล้ว
ขอให้เจ้าของงานระบุว่าต้องอ่าน เพิ่ม แก้ไข หรือลบข้อมูลชนิดใด จากนั้นให้ทีม IT จัดสิทธิ์ตามความจำเป็นและทดสอบผลร่วมกัน เช่น งานอ่านยอดขายเพื่อสรุปอาจไม่ต้องมีสิทธิ์แก้รายการต้นทาง หากพบว่างานต้องใช้สิทธิ์กว้าง ให้บันทึกเหตุและผู้อนุมัติ ไม่ขยายสิทธิ์ทั้งหมดเพียงเพราะทดสอบครั้งแรกยังไม่ผ่าน และไม่รวมหลายงานที่ไม่เกี่ยวกันไว้ในบัญชีเดียวจนแยกผลกระทบไม่ได้
ทบทวนก่อนหมดอายุและก่อนเลิกใช้งาน
กำหนดจุดทบทวนทั้งตามรอบและเมื่อเปลี่ยนเจ้าของงาน ย้ายระบบ หรือเลิกสัญญากับผู้ให้บริการ ตรวจว่าบัญชียังจำเป็น มีงานใดพึ่งพา และข้อมูลรับรองมีผู้ดูแลต่อหรือไม่ ก่อนยุติบัญชีให้ตรวจการใช้งานและการพึ่งพาจริง แล้ววางช่วงดำเนินการกับแผนตรวจผล ไม่ลบทันทีเพียงเพราะไม่มีใครร้องเรียน แต่ไม่ปล่อยบัญชีไร้เจ้าของไว้ถาวรเพราะกลัวงานหยุดโดยไม่กำหนดผู้แก้ไข
เริ่มจากงานหนึ่งที่ตรวจผลได้ครบ
เมื่อนำเรื่องไปหารือกับ Chawinnix ให้เลือกงานอัตโนมัติหนึ่งงาน พร้อมผังข้อมูลและทะเบียนบัญชีที่ปิดข้อมูลลับแล้ว ตกลงว่าใครอนุมัติการเปลี่ยน ใครทดสอบผลธุรกิจ และจะบันทึกข้อค้างไว้ที่ใด ลองตรวจให้ครบตั้งแต่สิทธิ์เข้าถึงจนรายงานหรือรายการปลายทางที่ต้องได้ ไม่ถือว่าการเข้าสู่ระบบสำเร็จเท่ากับงานสำเร็จทั้งหมด แนวทางนี้ช่วยให้ดูแลต่อได้ แต่ไม่ได้รับรองว่าจะไม่มีเหตุขัดข้องหรือความเสี่ยงทุกประเภท
