Управление доступом: практика и уровни зрелости

Кто и к чему имеет доступ, как это выдаётся, пересматривается и отзывается.

С чего начать

Большинство серьёзных инцидентов начинается с чужой учётной записи: украденного пароля, лишних прав или забытого доступа уволенного сотрудника. Управление доступом отвечает на вопрос, кто и к чему имеет доступ и почему.

Выдавайте минимальные права, достаточные для работы, и не используйте общие учётные записи.
Включите многофакторную аутентификацию для удалённого доступа и администраторов: MFA для SSH и WireGuard.
Ограничьте привилегированные права: sudo и sudoers.
Регулярно проверяйте каталог: типовые ошибки Active Directory.
Отработайте процесс увольнения и смены ролей: привилегированный доступ при увольнении.

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	Используются личные учётные записи вместо общих; права выдаются по заявке.
2. Гигиенический	Права выданы по ролям и по принципу минимума, регулярно пересматриваются, при увольнении блокируются быстро; для удалённого и привилегированного доступа включена MFA.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

CRM и персональные данные: права доступа, аудит и чистка базы
Практика безопасной работы с CRM: инвентаризация данных, роли и права доступа, ограничение экспорта, журнал действий и оповещения, срок хранения и чистка устаревших записей, удаление по запросу, подрядчики и…
MFA для SSH и WireGuard без вендорского PAM
Двухфакторный вход по SSH через TOTP и аппаратные ключи, а также способы добавить второй фактор к доступу через WireGuard.
sshd_config: безопасная настройка SSH и проверка командой sshd -T
Безопасная настройка OpenSSH-сервера с проверкой до перезапуска: готовый файл настроек, правило «первое значение побеждает» и порядок Include, блоки Match, команды sshd -t и sshd -T, защита от потери…
sudo и sudoers в Linux: как выдать минимум прав
Настройка sudo по принципу минимальных прав: группы, sudoers.d, запрет лишнего NOPASSWD, журнал и проверка.
Аудит Active Directory: типовые ошибки конфигурации и проверки
Набор проверок Active Directory с командами PowerShell: администраторы, устаревшие учётные записи, Kerberos, делегирование и LAPS.
Как добавить пользователя в группу Linux
Как добавить пользователя в группу через usermod -aG и не затереть sudo.
Привилегированный доступ и увольнение сотрудника: чек-лист отзыва прав
Практика управления доступом в небольшой компании: правила для привилегированных учётных записей, чек-лист блокировки при увольнении, команды для Linux и Active Directory, регулярный пересмотр прав и показатели.