Сотрудник уволился, а доступ к сервисам остался: чем это грозит компании

Увольнение сотрудника не гарантирует, что он потеряет доступ ко всем рабочим сервисам компании. Даже после отключения основной учетной записи могут остаться активными облачные хранилища, общие аккаунты и технические ключи. О рисках для бизнеса «Газете.ру» рассказал технический директор одной из компаний Александр Гусев.

По словам эксперта, основную корпоративную учетную запись обычно отключают быстро. Сложнее обнаружить сервисы, зарегистрированные на личную почту, общие аккаунты и самостоятельно созданные технические ключи. Если компания не ведет полный список таких ресурсов, при увольнении сотрудника можно упустить часть доступов.

В частности, не отключенными могут остаться ссылки на документы, облачные папки, CRM, VPN, рабочие чаты, рекламные кабинеты и социальные сети. Еще одна уязвимость возникает, если персональный аккаунт уже отключен, а пароль общей административной учетной записи остался прежним.

Забытый аккаунт может стать точкой входа в корпоративную систему. Даже если им никто не пользуется, учетная запись продолжает действовать. В случае утечки пароля злоумышленник сможет воспользоваться действующими данными для входа и выглядеть для системы как обычный пользователь, пояснил Гусев.

Отдельная проверка нужна после ухода специалистов из ИТ-команд. Как отметил эксперт, API-токены и SSH-ключи могут продолжать работать независимо от личной учетной записи сотрудника.

Чтобы не оставлять такие доступы активными, процедура увольнения должна включать отключение персональных аккаунтов и VPN, завершение активных сессий, отзыв прав на облачные ресурсы и смену общих паролей, которые мог знать бывший сотрудник.

Гусев также рекомендует регулярно сопоставлять списки работников и подрядчиков с действующими учетными записями. Подрядчикам доступы можно предоставлять на срок выполнения проекта, а часть процедур — автоматизировать с помощью единой корпоративной учетной записи.

При этом автоматическое отключение единой учетной записи не заменяет отдельной проверки сервисов и ключей, которые находятся за пределами общего корпоративного контура, заключил эксперт.