Ваш IT-специалист увольняется. Вот что это на самом деле означает для вашего бизнеса.
В небольших офисах постоянно случается такая ситуация: возможно, это произошло и с вами — сотрудник, который «занимается компьютерами», отправляет письмо об увольнении, предупреждает о двух неделях, возможно, обучает кого-то в течение короткого времени, а затем уходит.
В большинстве случаев переход проходит гладко. Их ноутбук забирают. Их электронная почта перенаправляется. Кто-то берет на себя обработку заявок в службу поддержки. Жизнь продолжается.
То, что обычно не учитывается — почти всегда — это все, что они знали, но никто не удосужился задокументировать, и все, к чему они могли получить доступ, но никто не удосужился отключить.
Проблема не в том, что они забрали. Проблема в том, что они оставили.
Когда ключевой сотрудник или подрядчик уходит, большинство менеджеров беспокоятся о следующем: они что-то забрали? Это вполне разумная обеспокоенность. Исследование, проведенное OneLogin в 2019 году, показало, что 50% бывших сотрудников по-прежнему имели доступ к корпоративным системам после ухода, и из опрошенных компаний 20% уже столкнулись с утечкой данных, вызванной бывшим сотрудником. Независимые исследования, проведенные Ponemon Institute, показали, что 59% сотрудников уходили с компанией, унося с собой данные.
Но более серьезный и постоянный риск — это обратная проблема: доступ, который оставался открытым, и никто об этом не знал.
В течение нескольких месяцев или лет, IT-специалист накапливает точки доступа, о которых никто другой не знает. Они создали учетную запись администратора на файрволе. Они настроили службу резервного копирования в облако под своим личным адресом электронной почты. Они знают пароль администратора для сервера в задней комнате. Они настроили учетные данные VPN для инструмента удаленного доступа. Они зарегистрировали домен через свой личный аккаунт GoDaddy, потому что это было быстрее в то время. Они сохранили логин для системы видеонаблюдения в своем браузере.
Ничего из этого не было злонамеренным. Это просто то, как делались в небольшом офисе. Но когда они уходят, все эти точки доступа остаются активными. И в зависимости от того, кто это был и как они ушли, эти открытые двери представляют собой риск, варьирующийся от неудобного до серьезного.
Три сценария, ни один из которых не является теоретическим
Дружелюбный уход, который все равно идет не по плану. Ваш сотрудник ушел, оставив хорошие отношения ради лучшей возможности. Никаких обид. Но через шесть месяцев, его личный ноутбук — который все еще содержит сохраненные учетные данные — становится объектом взлома в результате нарушения безопасности другого сайта, где он использовал свой пароль. Теперь злоумышленники имеют имя пользователя и пароль, которые все еще работают в вашем инструменте удаленного доступа, потому что никто не проверил, какие учетные данные необходимо было обновить при уходе сотрудника. Взлом происходит из учетной записи, которая не должна была существовать уже несколько месяцев.
Недокументированная система, которая превращается в кризис. Ваш сотрудник управлял системой резервного копирования, которая работала в фоновом режиме. Когда он ушел, он объяснил основные принципы, но никто не запросил документацию для восстановления. Через четырнадцать месяцев на ваш файловый сервер нападает вредоносное ПО. Обращаются в службу технической поддержки. Система резервного копирования не функционировала правильно с тех пор, как восемь месяцев назад произошла конфигурация, которая никогда не была доведена до сведения. Резервные копии есть, но данные — нет.
Доступ к поставщику, который никто не проверял. Перед уходом ваш сотрудник настроил удаленный доступ для стороннего поставщика программного обеспечения — учетную запись с собственными учетными данными, используемую для удаленной поддержки. Этот договор с поставщиком был расторгнут год назад, но учетная запись все еще активна в вашей системе. Ни вы, ни ваша текущая служба технической поддержки об этом не знали. Она не отображается в вашем стандартном списке пользователей, потому что была создана как локальная учетная запись на одном конкретном сервере. Злоумышленники, которые взломали этого поставщика в отдельном инциденте, использовали эти учетные данные для доступа к вашей среде спустя несколько месяцев после того, как все уже перешли к другим решениям.
Что на самом деле включает в себя правильный уход сотрудника
Большинство руководителей считают, что уход сотрудника из IT включает в себя: собрать ноутбук, отключить электронную почту, и все. Это охватывает, возможно, 20% от реальной области.
Правильный уход сотрудника из IT включает в себя систематическую проверку всех учетных записей, к которым имел доступ уходящий сотрудник — не только его личный логин, но и все общие учетные записи, учетные данные администратора, порталы поставщиков, облачные сервисы и консоли управления оборудованием. Этот список длиннее, чем вы ожидаете, даже в небольшом офисе.
Включает в себя временные учетные данные для доступа ко всем ресурсам, к которым они имели доступ, поскольку Изменение пароля для одного аккаунта не оказывает никакого влияния на шесть общих аккаунтов, которые использовали те же учетные данные. Опрос, проведенный Cloud Security Alliance в 2024 году, показал, что 52% организаций столкнулись с инцидентом безопасности, который был напрямую связан с неправильным управлением доступом — с использованием учетных данных, которые никогда не отзывались или не обновлялись после изменений в составе персонала.
Это включает в себя проверку, какие системы были созданы под их личными аккаунтами или личными адресами электронной почты — регистраторы доменов, центры сертификации SSL, аккаунты хостинга в облаке, платформы резервного копирования. Именно они перестают работать во время обновления, когда никто не имеет доступа к адресу электронной почты, на который отправляются уведомления.
Это включает в себя документирование того, что они знали. Не как прощальную услугу для сотрудника, а потому что управление ИТ-средой, в которой критические системы известны только одному человеку, не является управляемой средой — это единая точка отказа, носящая имя ИТ-отдела.
Одна вещь, которую можно проверить прямо сейчас
Если вы используете Microsoft 365, вы можете быстро провести аудит через административный портал, не имея технических знаний. Перейдите в Центр администрирования Microsoft 365, перейдите в раздел «Пользователи» и отфильтруйте их по «Недавно удаленные». Также отдельно проверьте активных пользователей. Ищите аккаунты, принадлежащие людям, которые больше не работают в организации.
Когда аккаунт удаляется в Microsoft 365, он находится в состоянии «мягкого удаления» в течение 30 дней, прежде чем будет удален навсегда. Но, что более важно, активные аккаунты для ушедших сотрудников могут существовать неограниченно, если никто специально их не отключил — и, к удивлению, многие небольшие офисы имеют активные аккаунты электронной почты и, следовательно, активные учетные данные для людей, ушедших год или более назад.
Это видимая часть. Менее видимая часть — учетные данные для брандмауэра, доступ к системе резервного копирования, порталы поставщиков, регистраторы доменов — требует структурированной проверки, которая выходит за рамки того, что показывает административный портал.
Часть, которую сложно сделать самостоятельно
Основная сложность при уходе за сотрудником в ИТ не в технической сложности — большинство отдельных шагов просты. Сложность заключается в том, что вы не знаете, чего не знаете.
Если уходящий сотрудник ИТ был тем, кто создавал и управлял средой, то он также является наиболее подходящим человеком, чтобы знать, что необходимо передать. Когда эта передача не происходит должным образом — что, к сожалению, чаще всего происходит, поскольку увольнения происходят быстро, а документация редко является приоритетом, когда люди сосредоточены на своей следующей работе — пробелы не становятся очевидными сразу. Они становятся очевидными через шесть месяцев, когда резервная копия не работает, или домен истекает, или аудит обнаруживает активный аккаунт для человека, который не работал там в течение года.
Правильный ответ — это среда, которая изначально не зависит от памяти одного человека — где аккаунты централизованно управляются, доступ документируется, системы инвентаризируются, а увольнение — это контрольный список, а не хаотичная попытка. Это не особенность наличия подходящего сотрудника ИТ. Это особенность наличия подходящей структуры ИТ. И именно такую структуру и предназначена для предоставления партнерская программа по управлению ИТ.
Если ваша организация недавно перешла на новую ИТ-систему — или если вы просто не уверены, кто имеет доступ к чему — сама эта неопределенность уже стоит обсуждения.
Также рекомендуется проверить аутентификацию электронной почты после перехода на новые IT-решения, особенно если ранее настройка домена, DNS или Microsoft 365 осуществлялась одним человеком. Для более подробного технического руководства, смотрите наше руководство. Реализация, настройка и мониторинг DMARCвключая политики SPF, DKIM, DMARC, а также отчетность.
