Привилегированный доступ и увольнение сотрудника: чек-лист отзыва прав

Самые болезненные утечки часто связаны не с внешним взломом, а с забытыми правами: бывший сотрудник сохраняет доступ к почте, VPN и облаку, а общий пароль администратора знают шестеро. Управление доступом строится на трёх вещах: права выдаются по заявке и по минимуму, привилегированные записи отделены и подконтрольны, отзыв прав при уходе сотрудника происходит в день события. Ниже правила и чек-лист с командами.

Статья опирается на логику направления «Управление доступом» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Перед применением проверьте команды на тестовых учётных записях. Кадровые решения (когда и как сообщать об увольнении) согласуйте с кадровой службой и юристом.

Что должно получиться

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Привилегированные учётные записи

Привилегированная запись — любая, которая может менять систему: администраторы серверов, баз данных, сети, облака, учётных записей. Правила:

• Отдельная учётная запись для администрирования. Повседневная почта и браузер работают под обычной записью.
• Никаких общих паролей. Каждое действие должно быть связано с человеком. Для встроенных учётных записей (root, Administrator) — уникальные пароли в защищённом хранилище, доступ по процедуре с записью об использовании.
• Минимум прав. Выдавайте нужные права, а не полный доступ: sudo и sudoers.
• Усиленная аутентификация. MFA для удалённого входа и для привилегированных операций: MFA для SSH и WireGuard.
• Журналы. Входы и привилегированные команды попадают на сервер сбора и не редактируются администраторами: сбор логов.
• Аварийный доступ. Одна запись «на случай сбоя» с паролем в запечатанном конверте или сейфе паролей, использование — только с уведомлением руководителя и последующей сменой пароля.

Жизненный цикл доступа: приём, перевод, увольнение

Ключ к скорости — договорённость с кадровой службой: ИТ получает уведомление в день решения (а при плановом увольнении заранее) и не ждёт приказа.

Чек-лист при увольнении

1. Заблокируйте основную учётную запись (каталог, почта, VPN) в согласованное время дня увольнения.
2. Отзовите сеансы и токены: закройте активные сессии, сбросьте токены приложений и мобильных клиентов.
3. Отзовите SSH-ключи, ключи доступа к облаку и API, сертификаты.
4. Смените общие пароли и секреты, которые он знал (учётные записи служб, пароли от сетевого оборудования, доступ к хранилищу паролей).
5. Заберите оборудование и носители, отзовите доступ к мобильному устройству (удалённая очистка корпоративных данных).
6. Передайте данные и права владельца: почту, файлы, задачи, владение системами назначенному сотруднику.
7. Проверьте журналы за последние дни на необычные действия: массовая выгрузка, пересылка на личную почту.
8. Зафиксируйте выполнение: кто, когда, что сделал. Через 30 дней удалите или заархивируйте учётную запись по политике хранения.

Команды для типовых систем

Linux

sudo usermod -L ИМЯ
sudo chage -E 0 ИМЯ
sudo pkill -KILL -u ИМЯ
sudo mkdir -p /root/archive
sudo sh -c 'mv /home/ИМЯ/.ssh/authorized_keys /root/archive/ИМЯ.authorized_keys 2>/dev/null'
sudo crontab -l -u ИМЯ

Что делают команды: блокируют пароль, ставят срок учётной записи в прошлое, завершают процессы, убирают ключи SSH в архив, показывают задачи планировщика. Риск: завершение процессов пользователя может прервать нужные задания; сначала передайте их другому владельцу. Проверка: sudo passwd -S ИМЯ (статус L — заблокирован) и sudo chage -l ИМЯ.

Active Directory (PowerShell)

Disable-ADAccount -Identity ИМЯ
Get-ADUser -Identity ИМЯ -Properties Enabled, MemberOf | Select-Object Enabled, MemberOf
Get-ADUser -Filter 'Enabled -eq $true' -Properties LastLogonDate | Where-Object { $_.LastLogonDate -lt (Get-Date).AddDays(-90) } | Select-Object Name, LastLogonDate

Первая команда отключает учётную запись, вторая показывает состояние и членство в группах, третья находит активные записи без входа за 90 дней: кандидаты на отключение. Другие типовые проверки AD: аудит Active Directory.

Облачные и сторонние сервисы

Для каждого сервиса (почта, хранилища, трекеры, облачные консоли) есть своя команда отзыва, поэтому ведите перечень систем, где у сотрудника есть доступ, и проходите по нему. Основа — реестр: реестр ИТ-активов с указанием владельцев систем.

Регулярный пересмотр прав

• Раз в квартал. Владельцы систем подтверждают список пользователей и их права; лишние права снимаются.
• Привилегированные записи. Проверяются ежемесячно: состав групп администраторов, неиспользуемые записи, срок действия паролей.
• Неактивные записи. Автоматический поиск записей без входа дольше 90 дней и отключение по решению владельца.
• Общие и служебные записи. У каждой есть владелец и описание; смена пароля при уходе владельца.

Показатели

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление доступом» (материалы направления, карта зрелости). Уровень 1 закрывают личные записи и выдача по заявке, уровень 2 добавляет роли и минимум прав, пересмотр, быструю блокировку при увольнении и MFA для привилегированного и удалённого доступа. Реестр активов и ответственный за ИБ — условия работы процесса.

Как проверить

1. У каждого сотрудника личные учётные записи, общих паролей у администраторов нет.
2. Последние три увольнения закрыты по чек-листу, время блокировки зафиксировано.
3. Привилегированные записи отделены от повседневных и защищены MFA.
4. Квартальный пересмотр прав выполнен, лишние права сняты.

Источники

• Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
• NIST SP 800-53 Rev. 5, семейство мер AC (контроль доступа) и PS (безопасность персонала): csrc.nist.gov. Международная практика, не российский норматив.