Қызметкер жұмыстан шықты: бірінші күні қандай қол жеткізулерді өшіру керек

Қызметкер жұмыстан шыққанда, әдетте алдымен құжаттар, істерді тапсыру, жабдық және есеп айырысу ойға келеді. Ал IT-қол жеткізулер көбіне тізімнің соңында қалады.

Қауіп дәл осы жерде пайда болады: адам компанияда енді жұмыс істемейді, бірақ оның Windows есептік жазбасы әлі белсенді, VPN әлі қосылады, корпоративтік пошта жеке телефоннан ашылады, ал ортақ сервистің құпиясөзі өзгертілмеген.

Мәселе әрдайым жаман ниеттен туындамайды. Кейде бұрынғы қызметкердің қол жеткізуі жай ғана сақталып қалады, өйткені оған бұрын қай жүйелерде қол жеткізу берілгенінің толық тізімін ешкім жүргізбеген.

Негізгі мәселе — қол жеткізулер жылдар бойы жиналады

Қызметкер жұмысқа қабылданғанда құқықтар әдетте біртіндеп беріледі.

Алдымен Windows есептік жазбасы жасалады. Кейін ортақ бумаға қол жеткізу керек болады. Бір аптадан соң — 1С-ке. Одан кейін қашықтан жұмыс істеу үшін VPN, корпоративтік пошта, бұлттық қойма, CRM және тағы бірнеше сервис қосылады.

Бір жылдан кейін оның барлық қол жеткізулерінің толық тізімін ешкім нақты есіне түсірмеуі мүмкін.

Егер компанияда қол жеткізуді басқарудың бірыңғай процесі болмаса, жұмыстан шығару бәрін қолмен еске түсіруге айналады.

Дәл сол кезде бір нәрсе ұмыт қалады.

Алдымен персоналдық есептік жазбаны өшіру керек

Егер қызметкер жеке Windows немесе домендік есептік жазбаны пайдаланса, жұмыс жүйелеріне қол жеткізу тоқтаған бойда оны бұғаттау қажет.

Есептік жазбаны бірден жою әдетте қажет емес. Алдымен кіруді бұғаттап, журналдарды талдау, деректерді көшіру немесе пайдаланушыға тиесілі файлдарды тексеру қажет болған жағдайда есептік жазбаны сақтап қойған пайдалы.

Осылайша тарихи оқиғалар мен нақты пайдаланушы арасындағы байланыс сақталады.

Бұл әсіресе серверде кірулер, RDP-сеанстар немесе файлдармен әрекеттер аудиті жүргізілсе маңызды.

RDP-ді бөлек тексеру керек

Windows есептік жазбасын өшіру әдетте сол есептік жазбамен RDP арқылы кіруді де тоқтатады, бірақ қашықтан қол жеткізудің өзін бәрібір жеке тексерген жөн.

Мысалы, қызметкер мыналарды пайдалануы мүмкін:

• қашықтан қосылуға арналған басқа есептік жазбаны;
• ортақ RDP-логинді;
• жеке компьютердегі жергілікті есептік жазбаны;
• RDP алдында VPN-ді;
• үшінші тараптың қашықтан басқару бағдарламасын.

Сондықтан сұрақ тек «пайдаланушыны өшірдік пе?» емес, «бұл адам жалпы қандай тәсілдермен қашықтан қосыла алатын еді?» деп қойылуы тиіс.

Қашықтан қол жеткізу архитектурасын біз «RDP, AnyDesk және Radmin: қашықтан қол жеткізуді қалай қауіпсіз ұйымдастыруға болады» мақаласында егжей-тегжейлі қарастырдық.

VPN — бөлек кіру нүктесі

Егер қызметкер корпоративтік желіге VPN арқылы қосылса, оның VPN-қол жеткізуін Windows-аккаунт жағдайына қарамастан бөлек қайтарып алу қажет.

Қолданылатын шешімге байланысты бұл бөлек есептік жазба, сертификат, кілт, қосылу профилі немесе сыртқы аутентификация сервисіне байланыс болуы мүмкін.

VPN бірнеше қызметкерге ортақ бір логинді пайдаланатын жағдайларға ерекше назар аудару керек.

Мұндай жағдайда ортақ реквизиттерді өзгертпей бір адамның қол жеткізуін өшіру мүмкін емес.

Бұл жеке есептік жазбалардың аудит үшін ғана емес, құқықтарды қалыпты қайтарып алу үшін де ыңғайлы болуының себептерінің бірі.

AnyDesk, Radmin, TeamViewer және басқа қашықтан басқару құралдары

Іс жүзінде дәл осындай бағдарламалар жиі ұмытылады.

Қызметкер AnyDesk, Radmin Server, TeamViewer немесе басқа құрал арқылы жұмыс компьютеріне тұрақты unattended-қол жеткізу алуы мүмкін.

Windows құпиясөзі өзгертілгеннің өзінде бөлек қашықтан басқару механизмі жұмысын жалғастыруы мүмкін.

Сондықтан жұмыстан шыққаннан кейін мыналарды тексеру қажет:

• оның жұмыс компьютерінде қандай қашықтан басқару бағдарламалары орнатылған;
• тұрақты қол жеткізу қосылған ба;
• бағдарламаға қандай аккаунттар байланыстырылған;
• ортақ құпиясөз қолданылған ба;
• бұрынғы қызметкердің жеке құрылғысынан сақталған қол жеткізуі жоқ па.

Корпоративтік пошта

Корпоративтік поштаны ең маңызды аккаунттардың бірі ретінде қарастыру керек.

Ол хат алмасуға ғана емес, құпиясөздерді қалпына келтіруге, кірулерді растауға және басқа сервистерге тіркелуге де жиі пайдаланылады.

Егер бұрынғы қызметкер поштаға қол жеткізуді сақтаса, онымен байланысты жүйелерге де қол жеткізу мүмкіндігі қалуы ықтимал.

Жұмыстан шыққаннан кейін:

• пошта аккаунтына кіруді бұғаттау;
• белсенді сеанстарды аяқтау;
• егер қолданылса, қолданба құпиясөздерін қайтарып алу;
• бағыттау ережелерін тексеру;
• поштаны өңдеу ережелерін тексеру;
• жеке құрылғыларды ажырату;
• қалпына келтіру email-дары мен телефондарын тексеру қажет.

Жұмыс хаттарын сақтау қажет болса, пошта жәшігін бірден жоюдың орнына бұғаттап, компанияның ішкі тәртібіне сәйкес жауапты қызметкерге бақылауды беруге болады.

MFA факторларын да қайтарып алу керек

Кейде есептік жазба бұғатталады, бірақ екінші фактор ұмытылады.

Мысалы, корпоративтік аккаунтқа бұрынғы қызметкердің жеке телефоны, аутентификатор қолданбасы немесе аппараттық кілті байланыстырылған болуы мүмкін.

Ағымдағы құпиясөз өзгертілгеннің өзінде ескі MFA-факторды аккаунт баптауларынан алып тастаған дұрыс.

Бұл әсіресе мыналар үшін маңызды:

• пошта;
• VPN;
• бұлттық сервистер;
• хостинг;
• CRM;
• әкімшілік панельдер;
• қаржылық және мемлекеттік сервистер.

1С және басқа ішкі жүйелер

Егер қызметкерде жеке 1С есептік жазбасы болса, оны да өшіру қажет.

Бұл ретте пайдаланушыны жай жойып жібермей, алдымен осы есептік жазбамен қандай құқықтар мен әрекеттер байланысты болғанын түсінген дұрыс.

1С-тегі жеке пайдаланушылар бұл процесті айтарлықтай жеңілдетеді.

Ал бірнеше қызметкер бір логинмен жұмыс істесе, таныс мәселе туындайды: бір адамды өзгелерге әсер етпей өшіру мүмкін емес.

Ортақ логиндердің аудит пен қол жеткізуді басқаруға неліктен кедергі келтіретінін «Бір логин бәріне: ортақ есептік жазбалар компания үшін неге қауіпті» мақаласында егжей-тегжейлі қарастырдық.

Желілік бумалар мен файлдық серверлер

Жеке Windows есептік жазбалары қолданылса, пайдаланушыны бұғаттау әдетте оның желілік ресурстарға қол жеткізуін де автоматты түрде жабады.

Бірақ тек мұнымен шектелуге болмайды.

Мыналарды тексерген жөн:

• ортақ желілік логин қолданылған ба;
• реквизиттер жеке компьютерде сақталған ба;
• сервердегі бөлек жергілікті есептік жазба арқылы қол жеткізу берілген бе;
• файлдар жеке құрылғыға синхрондалған ба;
• құжаттардың бұлттық көшірмелеріне ашық сілтемелер қалды ма.

Егер компанияда файлдық аудит бапталған болса, кейін тексеру қажет болған жағдайда қызметкердің жұмыс кезеңіндегі журналдарды сақтап қойған пайдалы.

Бұлттық қоймалар

Google Drive, OneDrive, Dropbox және басқа бұлттық сервистер көбіне жүйелік әкімшінің назарынан тыс қалады, әсіресе қызметкерлер оларды өздері пайдалана бастаған болса.

Жұмыстан шыққаннан кейін аккаунттың өзін ғана емес, бумалар мен құжаттарға ортақ қол жеткізуді де тексеру қажет.

Бұрынғы қызметкер қол жеткізуді:

• корпоративтік аккаунт арқылы;
• жеке email арқылы;
• ашық сілтеме бойынша;
• жеке бумаға шақыру арқылы;
• синхрондалған жергілікті клиент арқылы алуы мүмкін.

Сондықтан негізгі есептік жазбаны бұғаттау кейде жеткіліксіз.

CRM, тапсырма жүйелері және корпоративтік сервистер

Қазіргі компанияда қол жеткізудің елеулі бөлігі жергілікті желіден тыс орналасқан.

Олар мыналар болуы мүмкін:

• CRM;
• тапсырмаларды басқару жүйелері;
• корпоративтік мессенджерлер;
• бұлттық телефония;
• құжат айналымы сервистері;
• бейнебайланыс жүйелері;
• аналитика;
• сайттарды басқару панельдері;
• жарнама кабинеттері;
• хостинг пен домендер.

Негізгі қиындық — IT-қызмет қызметкер пайдаланған барлық сервисті әрдайым біле бермейді.

Сондықтан корпоративтік жүйелер тізімін жұмыстан шығару күні емес, алдын ала жүргізген дұрыс.

Хостинг, сайттар және домендер

Егер қызметкер сайтпен, жарнамамен, маркетингпен немесе IT-мен айналысса, оның маңызды сыртқы сервистерге қол жеткізуі болуы мүмкін.

Мысалы:

• WordPress;
• хостинг панелі;
• домен тіркеушісі;
• Cloudflare;
• Google Search Console;
• Яндекс Вебмастер;
• аналитика;
• бастапқы код репозиторийлері;
• FTP/SFTP;
• SSH.

Жеке пайдаланушы орнына ортақ әкімшілік құпиясөз берілген болса, бұл әсіресе қауіпті.

Мұндай жағдайда жұмыстан шыққаннан кейін құпиясөзді ауыстыру қажет.

Ортақ құпиясөздер — ең қолайсыз бөлік

Жеке есептік жазбаны жай ғана өшіруге болады.

Ортақ реквизиттермен бәрі күрделірек.

Егер бұрынғы қызметкер Wi-Fi, VPN, роутер, NAS, бейнебақылау жүйесі, хостинг немесе басқа сервистің ортақ құпиясөзін білсе, жұмыстан шығу фактісінің өзі бұл құпиясөзді жарамсыз етпейді.

Сондықтан қызметкер білген барлық ортақ реквизиттерді қажет болған жағдайда ауыстыру керек.

Бұл ыңғайсыз, бірақ дәл сондықтан жүйе мүмкіндік беретін жерлерде ортақ құпиясөздерді біртіндеп жеке аккаунттармен алмастырған дұрыс.

Жергілікті әкімшілік құпиясөздер

Қызметкер жұмыс компьютерлерінің жергілікті әкімшілік құпиясөздерін білді ме — соны тексеру ерекше маңызды.

Егер ұйымдағы бірнеше компьютерде жергілікті Administrator үшін бірдей құпиясөз қолданылса, оны білу бірден бірнеше құрылғыға қол жеткізу мүмкіндігін беруі мүмкін.

Мұндай жағдайда әкімші немесе техникалық маман жұмыстан шыққаннан кейін ортақ құпиясөзді ауыстыру қажет.

Мұндай схеманың тәуекелдері туралы «Жұмыс компьютеріндегі жергілікті әкімші: бұл неге қауіпті және құқықтар қашан шынымен қажет» мақаласында бөлек жаздық.

Wi-Fi да қол жеткізу болып саналады

Корпоративтік Wi-Fi көбіне қол жеткізуді қайтарып алу тізіміне мүлде кірмейді.

Егер ортақ WPA2/WPA3-Personal құпиясөзі қолданылса, бұрынғы қызметкер жұмыстан шыққаннан кейін де оны біледі.

Оны ауыстыру қаншалықты маңызды екені желі архитектурасына, кеңсенің физикалық қолжетімділігіне және корпоративтік сегменттердің бөлінуіне байланысты.

Бірақ ескі ортақ құпиясөздің белгілі болған фактісін ескеру қажет.

Басқарылуы жақсы инфрақұрылымда қызметкерлер үшін жеке реквизиттер немесе корпоративтік аутентификация қолданылуы мүмкін. Бұл бүкіл компания үшін құпиясөзді ауыстырмай-ақ нақты пайдаланушыны өшіруге мүмкіндік береді.

Телефон, ноутбук және басқа құрылғылар

Жабдықты қайтару — тек мүлік мәселесі емес.

Құрылғыда мыналар қалуы мүмкін:

• белсенді пошта сеанстары;
• сақталған құпиясөздер;
• VPN-профильдер;
• компания файлдары;
• браузер токендері;
• бұлттық синхрондау;
• сертификаттар;
• ЭЦП кілттері;
• мессенджер деректері.

Корпоративтік құрылғы қайтарылғаннан кейін оны тексеріп, келесі пайдаланушыға дайындаған дұрыс. Ескі Windows профилімен бірге жай ғана бере салмаған жөн.

Қызметкердің жұмыс деректерімен не істеу керек

Қол жеткізуді өшіру жұмыс құжаттарының жоғалуына әкелмеуі тиіс.

Профильді жоймас бұрын мыналардың қайда сақталғанын анықтау қажет:

• жұмыс құжаттары;
• шарттар;
• хат алмасу;
• клиенттік деректер;
• жобалар;
• жергілікті архивтер;
• бетбелгілер мен қызметтік ақпарат;
• жұмыс үстеліндегі және пайдаланушы бумаларындағы файлдар.

Барлығын қайда екені белгісіз орынға автоматты түрде көшіре салмаған жөн. Жұмыс деректері жауапты қызметкерге берілуі немесе компанияда қабылданған тәртіпке сәйкес корпоративтік қоймаға көшірілуі тиіс.

Белсенді сеанстармен не істеу керек

Құпиясөзді ауыстыру барлық бар сеансты бірден аяқтай бермейді.

Кейбір сервистер бұрын берілген токендер бойынша олардың мерзімі біткенше немесе мәжбүрлі түрде қайтарылғанша жұмысын жалғастырады.

Сондықтан маңызды жүйелерде бөлек мына функцияларды қолданған пайдалы:

• «Барлық сеансты аяқтау»;
• «Барлық құрылғыдан шығу»;
• «Токендерді қайтарып алу»;
• «Сенімді құрылғыларды өшіру».

Бұл әсіресе пошта, бұлттық сервистер және әкімшілік жүйелер үшін маңызды.

API-кілттер мен токендерді ұмытпаңыз

Техникалық мамандар мен әзірлеушілерде қарапайым логиндер мен құпиясөздерден бөлек басқа да қол жеткізу құралдары болуы мүмкін.

Қол жеткізу мыналар арқылы жүзеге асуы ықтимал:

• API-кілттер;
• SSH-кілттер;
• қол жеткізу токендері;
• қолданба құпиясөздері;
• сертификаттар;
• интеграция кілттері.

Мұндай реквизиттерді де қайтарып алу немесе ауыстыру қажет.

Пайдаланушының кәдімгі құпиясөзін ауыстыру ескі токенді әрдайым жарамсыз етпейтінін ескеру керек.

Жұмыстан шыққаннан кейін журналдардан нені тексеру керек

Маңызды рөлдер үшін қол жеткізуді жай жабу ғана емес, жұмыстан шыққан күннен кейін осы есептік жазбамен жаңа кірулер болмағанына көз жеткізу пайдалы.

Мыналарды тексеруге болады:

• Windows Security;
• RDP-журналдар;
• VPN-логтар;
• поштаға кірулер;
• бұлттық сервистер логтары;
• әкімшілік панельдер тарихы.

Ол үшін журналдар жеткілікті тереңдіктегі тарихты сақтауы тиіс.

Қажет болған жағдайда біздің Windows Security журналының тарих тереңдігін есептеу калькуляторын пайдалануға болады.

Бірінші күні нені өшіру керек

Жүйелік әкімші үшін тізім кеңірек болуы тиіс

Қарапайым пайдаланушы жұмыстан шықса, оның құқықтар жиынтығы әдетте шектеулі болады.

Ал жүйелік әкімші, әзірлеуші, IT-қызметкер немесе сыртқы мердігер жағдайы мүлде басқа.

Мұндай адамның қолында мыналар болуы мүмкін:

• жергілікті әкімшілік құпиясөздер;
• Domain Admin немесе басқа артықшылықты рөлдер;
• серверлерге қол жеткізу;
• VPN;
• желілік жабдық;
• гипервизорлар;
• NAS;
• резервтік көшіру жүйелері;
• антивирустық консольдер;
• хостинг;
• домендер;
• бұлттық инфрақұрылым;
• SSH-кілттер;
• жабдық құпиясөздері.

Мұндай маман ауысқан кезде бір есептік жазбаны бұғаттаумен шектелмей, артықшылықты қол жеткізуді толық түгендеу орынды.

Қол жеткізулерді жұмыстан шығару күні еске түсірмеген дұрыс

Дұрыс схема қызметкерді жұмысқа қабылдау сәтінен басталады.

Егер компания берілген қол жеткізулердің тізімін жүргізсе, жұмыстан шығару рәсімі айтарлықтай жеңілдейді.

Әр қызметкер бойынша мынаны білу пайдалы:

• оған қандай есептік жазбалар жасалған;
• қандай жүйелерге қол жеткізуі бар;
• қандай құқықтар берілген;
• қандай құрылғылар бекітілген;
• қандай қашықтан қол жеткізу құралдары рұқсат етілген;
• қандай қосымша кілттер немесе сертификаттар берілген.

Сонда жұмыстан шығару ұмыт қалған құпиясөздерді іздеуге емес, қалыпты бақыланатын рәсімге айналады.

Минималды қағида: бір адам — бір есептік жазба

Компанияда жеке аккаунттар көп, ортақ логиндер аз болған сайын жұмыстан шығару кезіндегі қол жеткізуді басқару оңайырақ болады.

Жеке аккаунтты бір әрекетпен өшіруге болады.

Ал ортақ құпиясөзді барлығы үшін ауыстыру қажет.

Жеке есептік жазба нақты адамның әрекеттер тарихын сақтауға мүмкіндік береді.

Ортақ логин бұл байланысты бұзады.

Сондықтан жұмыстан шығару процесін басқару компаниядағы қол жеткізу құқықтарының жалпы архитектурасымен тікелей байланысты.

Компания неден бастауы керек

Бірден күрделі Identity Management жүйесін енгізу міндетті емес.

Шағын ұйым үшін қарапайым ішкі чек-лист пен негізгі корпоративтік сервистер тізімінің өзі пайдалы.

Қызметкер жұмыстан шыққанда жауапты адам осы тізім бойынша ретімен өтіп, әр қол жеткізудің қайтарып алынғанын белгілейді.

Ал компания қазір өзінің инфрақұрылымында қандай есептік жазбалар, қашықтан қосылулар және әкімшілік құқықтар бар екенін нақты айта алмаса, алдымен оларды түгендеу керек.

WEB-LABS IT-инфрақұрылымға техникалық тексеру жүргізеді. Оның аясында пайдаланушыларды, әкімшілік құқықтарды, RDP, VPN, қашықтан қосылуларды, желілік ресурстарды, Windows журналдарын және басқа қол жеткізу нүктелерін тексеруге болады.

Мәселені жұмыстан шығудан немесе инциденттен кейін бұрынғы қызметкердің неге әлі де жұмыс жүйесіне қосыла алатынын анықтағаннан гөрі, алдын ала тапқан оңай.