Политика доступа: что делать при увольнениях и смене ролей

Почти все серьезные инциденты безопасности в бизнесе начинаются не с “хакеров”, а с обычных вещей: сотруднику дали лишние права, доступ не отозвали после увольнения, пароли хранятся “в заметках”, а критичные сервисы привязаны к личной почте. Это не про паранойю — это про управляемость.

Вам не нужна сложная “корпоративная безопасность”. Вам нужна понятная политика доступа, которую реально соблюдать.

1) Базовый принцип: доступ — по роли, а не “на всякий случай”

Сотрудник должен иметь ровно то, что нужно для его работы. Не больше.
Причина простая: чем больше прав, тем выше риск:

• случайно удалить/испортить данные;
• унести клиентскую базу;
• “передать” доступ третьим лицам по неосторожности.

Сформулируйте 5–10 типовых ролей: продажник, оператор, бухгалтерия, руководитель, маркетинг, поддержка. Для каждой роли — список систем и уровень доступа (просмотр/редактирование/админ).

2) Назначьте владельцев доступов: кто выдает и кто утверждает

Самая частая проблема — доступы “раздают все”. В результате никто не отвечает.
Нужны две роли:

• кто создает/выдает доступ (администратор, офис‑менеджер, IT/подрядчик — неважно);
• кто утверждает доступ (руководитель направления / владелец процесса).

Это занимает 2 минуты, но убирает хаос.

3) Правило “личные аккаунты запрещены” для критичных сервисов

Если домен, хостинг, платежи, рекламные кабинеты, CRM, почта, облако документов оформлены на личную почту сотрудника — это прямой риск потери управления компанией.

Минимум, который должен быть:

• корпоративные почты для админ‑аккаунтов;
• резервный “владелец” (второй человек с админ‑правами);
• единое место хранения доступов (пароли не в чатах).

4) Увольнение: чеклист “в день ухода”, чтобы не вспоминать потом

Ключевой момент — не через неделю, а в день увольнения/расставания.

Минимальный чеклист:

• отключить корпоративную почту и вход в основные системы (CRM, финансы, облако);
• отозвать доступы в мессенджерах/чатах, где обсуждаются клиенты и процессы;
• сменить общие пароли/ключи, к которым человек мог иметь доступ;
• проверить, нет ли “входа по номеру телефона” в сервисы (и отвязать);
• зафиксировать передачу дел и файлов (где лежит, что передано).

Если у вас есть подрядчик, попросите сделать это формальной процедурой: “заявка на блокировку” с подтверждением выполнения.

5) Смена роли: опаснее, чем увольнение

Увольнение обычно заметно. А смена роли — тихая: человека повысили/перевели, и старые доступы остаются “на всякий случай”. Так накапливаются супер‑права.

Правило: при смене роли доступы пересобираются заново по новой роли. Старые — снимаются.

6) Ежеквартальная ревизия: 30 минут, которые экономят месяцы проблем

Раз в квартал (или хотя бы раз в полгода) делайте простую проверку:

• кто имеет админ‑доступы;
• у кого доступы не соответствуют роли;
• есть ли “мертвые души” (уволенные/подрядчики) в системах;
• какие сервисы привязаны к личным телефонам/почтам.

Это одна из самых окупаемых “управленческих привычек”.

7) Что попросить у подрядчика, если он обслуживает вашу систему

• список всех точек доступа (админки, панели, сервисы, интеграции);
• подтверждение, что доступы оформлены на компанию, а не на людей;
• процедуру блокировки/выдачи доступов с временем реакции.

Политика доступа — это не бумага. Это рабочий механизм, который защищает бизнес от потерь контроля.