Плейбук: доступ уволенного сотрудника не отозван

Заблокируйте все входы уволенного, если учётка, VPN или почта ещё живы — это уже инцидент, не «потом в обходе». Ежемесячный поиск неактивных: неактивные в AD, неактивные в Linux. Процесс заявки: заявка и отзыв. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Кадры и юрист решают трудовую часть; ИБ закрывает доступ.

Признаки и что не делать

Вход после даты увольнения, письмо «с той же почты», VPN-сессия, ключ в git от бывшего. Не пишите ему на корпоративную почту «это вы?». Не удаляйте ящик до сохранения журнала и пересылки дел. Не наказывайте «в чате» до кадров: взыскания.

Первые шаги

1. Блок учётки, сессий, VPN, почты, облака, токенов API, ключей SSH/git.
2. Сохраните журналы входов за период после увольнения (время, адрес, система).
3. Если был вход — смотрите, что скачивали и куда писали. При выгрузке ПДн — сроки РКН и сценарий утечки сотрудником в обзоре пяти.
4. Смените пароли общих ящиков и сервисных учёток, к которым он имел доступ, с чистой машины.
5. Кадры и руководитель: факт, без публичного разбора в общем чате.

Приоритет: высокий всегда; критический при входе после увольнения в финансы или ИСПДн. Эскалация директору при факте входа, не только при «учётка не выключена».

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Заявка и неактивные — гигиена доступа. Плейбук — когда гигиена уже сорвалась.

Как проверить

1. Есть список систем на отзыв в день увольнения, не только AD.
2. Плейбук отделяет «не выключили» от «уже входили».
3. Ящик не уничтожают до снятия журнала.

Источники

• CIS Control 17: cisecurity.org/controls.