Доступы, которые пережили сотрудника
Почему отзыв прав при увольнении - это не формальность, и как систематически не упускать это из виду.
Когда сотрудник увольняется, компания думает об оформлении документов, передаче дел и, если повезёт, о замене. Отзыв прав доступа часто оказывается в конце этого списка - или вообще выпадает из него.
Я не говорю о злом умысле. Чаще это просто организационный пробел: HR закрывает кадровый вопрос, ИТ не знает, что человек ушёл, а сам сотрудник ещё несколько недель может войти в корпоративную почту или в систему с клиентскими данными - не потому что хочет навредить, а потому что так получилось.
Масштаб проблемы
Это не редкая ситуация. В компаниях среднего размера с десятками систем и сотнями сотрудников отслеживать все доступы вручную сложно. У каждого сотрудника может быть корпоративный аккаунт, доступ к нескольким SaaS-сервисам, учётная запись в системе документооборота, возможно - VPN, удалённый доступ к серверам, аккаунты в облачных сервисах.
Если нет процесса, который явно связывает увольнение с отзывом каждого из этих доступов - часть из них останется активной. Это вопрос времени.
Почему это риск, а не только неаккуратность
Большинство случаев, когда бывший сотрудник использует сохранившийся доступ, - это не целенаправленная атака. Это либо случайность, либо порыв в момент конфликта, либо использование данных для нового места работы. Все три варианта могут нанести ущерб.
Данные клиентов, переданные конкуренту. Доступ к финансовой системе, использованный для просмотра данных, которые уже не должны быть доступны. Переписка в корпоративной почте, которая продолжается месяцами после ухода человека из компании.
Помимо прямого ущерба есть регуляторное измерение. Если компания обрабатывает персональные данные или работает в регулируемой отрасли - активный доступ бывшего сотрудника к данным может быть нарушением, которое нужно будет объяснять.
Где обычно теряется контроль
В крупных компаниях с развитым ИТ есть системы управления идентификацией, которые автоматизируют процесс. В небольших и средних компаниях чаще работает ручной процесс - или не работает никакого.
Типичные места потери контроля:
Сторонние SaaS-сервисы. Когда компания использует десяток облачных инструментов - каждый со своими учётными записями - отзыв доступа к ним при увольнении требует явного шага для каждого. Это легко пропустить.
Общие пароли. Если несколько сотрудников использовали общий логин для какого-то сервиса - увольнение одного из них не меняет ничего автоматически.
Технические аккаунты. Разработчики и системные администраторы часто имеют доступ к серверам и системам через SSH-ключи или персональные токены. Если они хранятся только локально - о них легко забыть.
Что помогает
Практический минимум - это чеклист при увольнении, который явно перечисляет все системы и сервисы и требует подтверждения отзыва каждого доступа. Чеклист должен включать и очевидные вещи - корпоративную почту, CRM - и менее очевидные - облачные хранилища, внешние сервисы, инструменты разработки.
Следующий шаг - Single Sign-On. Если большинство сервисов используют единую систему аутентификации, отключение одного аккаунта закрывает доступ к большинству из них одним действием. Это не решает проблему полностью, но сильно упрощает.
Регулярный аудит. Раз в квартал или полугодие стоит сверять список активных учётных записей в ключевых системах с актуальным списком сотрудников. Несоответствия почти всегда находятся.
Простой вопрос для проверки
Если сегодня уволится ключевой человек - за сколько времени все его доступы будут гарантированно закрыты, и кто за это отвечает? Если ответа нет - это риск, который стоит устранить до того, как он материализуется.