Қызметкердің жұмыстан шығуы — ноутбукті қайтару мен Windows есептік жазбасын жою ғана емес. Пайдаланушыда белсенді сеанстар, корпоративтік поштаға, VPN-ге, бұлттық сервистерге, файлдық ресурстарға, 1С-ке, қашықтағы жұмыс үстеліне және басқа жүйелерге қол жеткізу сақталуы мүмкін.
Шағын компанияда қол жеткізулер көбіне біртіндеп беріледі: алдымен пошта, кейін ортақ бума, содан соң VPN, бұлттық диск, 1С базасы, CRM, қашықтағы жұмыс үстелі немесе әкімшілік құқықтар. Мәселе кейін пайда болады: қызметкер жұмыстан кеткен кезде осы қол жеткізулердің бірыңғай тізімі мүлде болмауы мүмкін.
Жергілікті немесе домендік есептік жазба өшірілгеннен кейін де пайдаланушы
басқа сервистерде авторизацияланған күйде қалуы немесе сыртқы жүйелер үшін бөлек тіркелгі деректеріне ие болуы мүмкін.
Неге парольді жай ғана ауыстыру жеткіліксіз
Пароль — авторизация элементтерінің бірі ғана. Заманауи сервистер белсенді пайдаланушы сеанстарын, қол жеткізу токендерін, мобильді қолданбаларды, API-кілттерді және бөлек авторизация механизмдерін пайдалана алады.
Сондықтан парольді өзгертуді қол жеткізуді жабудың әмбебап тәсілі деп санауға болмайды. Критикалық жүйелерде белсенді сеанстарды бөлек аяқтап, мұндай мүмкіндік бар жерде қол жеткізуді кері қайтарып алу қажет.
Қандай қол жеткізулерді жабуды жиі ұмытады
Корпоративтік пошта
Пароль өзгертілгеннен кейін де белсенді веб-сеанстар, мобильді қолданбалар, пошта клиенттері және бұрын қол жеткізу берілген үшінші тарап сервистері сақталуы мүмкін.
VPN және қашықтан қол жеткізу
Қызметкерде бөлек VPN есептік жазбалары, сертификаттар, RDP, AnyDesk, RustDesk баптаулары немесе басқа қашықтан қосылу құралдары болуы мүмкін.
Бұлттық сервистер
Google Workspace, Microsoft 365, корпоративтік дискілер, CRM, жобалық жүйелер, бұлттық сақтау орындары және басқа SaaS-сервистер көбіне өз авторизация жүйесіне ие.
Файлдық ресурстар және NAS
Пайдаланушының топтарға мүшелігін ғана емес, жеке берілген құқықтарды, ашық сілтемелерді және бумаларға сыртқы рұқсаттарды да тексерген жөн.
1С және басқа бизнес-жүйелер
1С-тегі пайдаланушы есептік жазбасы Windows немесе Active Directory-ден тәуелсіз болуы мүмкін. Сондықтан домен пайдаланушысын өшіру ақпараттық базаға қол жеткізу жабылды деген кепілдік бермейді.
Физикалық қол жеткізу
СКУД карталары, рұқсатнамалар, кілттер, USB-токендер, SIM-карталар және басқа жабдықтар да қызметкерді жұмыстан шығару процесіне кіреді.
Қызметкердің қол жеткізуін дұрыс жабу тәртібі
1. Қол жеткізуді жабу туралы растау алу
Жүйелік әкімші бұғаттау уақытын өз бетінше анықтамауы тиіс. Түсінікті процесс болуы керек: жұмыстан шығу туралы кім хабарлайды, қол жеткізу қашан жабылады және қандай деректерді сақтау қажет.
Егер қызметкер соңғы жұмыс күнінің соңына дейін жұмысын жалғастырса, қол жеткізуді өшірудің нақты уақытын белгілеу әсіресе маңызды.
2. Негізгі есептік жазбаны бұғаттау
Домендік инфрақұрылымда бұл Active Directory пайдаланушысы, Microsoft Entra ID немесе басқа орталықтандырылған идентификация болуы мүмкін. Шағын компанияда бұл жергілікті есептік жазба болуы ықтимал.
Көп жағдайда пайдаланушыны бірден жоймай, алдымен бұғаттаған дұрыс. Бұл деректерді тапсыру аяқталғанша файлдармен, пошта жәшігімен, құқықтармен және басқа ресурстармен байланысын сақтауға мүмкіндік береді.
3. Белсенді сеанстарды аяқтау
Негізгі есептік жазбаны бұғаттағаннан кейін пайдаланушы қай жерлерде авторизацияланғанын тексеру қажет.
- веб-пошта;
- корпоративтік бұлттық сервистер;
- VPN;
- қашықтағы жұмыс үстелі;
- CRM;
- мобильді қолданбалар;
- әкімшілік панельдер;
- корпоративтік авторизацияны пайдаланатын үшінші тарап сервистері.
Егер сервис барлық пайдаланушы сеанстарын аяқтауды немесе токендерді кері қайтаруды қолдаса,
тек парольді ауыстыруға сенбей, дәл осы механизмді қолданған дұрыс.
4. Бөлек есептік жазбаларды тексеру
Компанияның орталық авторизациясымен байланыспаған жүйелер әсіресе жиі ұмыт қалады.
Мысалы, пайдаланушы 1С, CRM, бейнебақылау жүйесі, VPN-шлюз, NAS, WordPress немесе хостинг басқару панелінде бөлек құрылуы мүмкін.
5. Жұмыс деректерін тапсыру
Пайдаланушыны бұғаттау компанияға тиесілі және басқа қызметкерлерге қажет ақпараттың жоғалуына әкелмеуі тиіс.
Қызметкердің жеке есептік жазбасы мен корпоративтік жұмыс деректері — екі бөлек нәрсе. Аккаунтты жоймас бұрын бизнес үшін маңызды ақпараттың сақталғанына және жауапты қызметкерге тапсырылғанына көз жеткізу қажет.
6. Жабдық пен физикалық қол жеткізу құралдарын қайтарып алу
- ноутбук;
- смартфон;
- USB-токен;
- кілттер;
- СКУД картасы;
- рұқсатнама;
- SIM-карта;
- басқа корпоративтік жабдық.
7. Әкімшілік құқықтарды тексеру
Егер қызметкер жүйелік әкімші, әзірлеуші болып жұмыс істесе немесе кеңейтілген өкілеттіктерге ие болса, пайдаланушының кәдімгі есептік жазбасын бұғаттау жеткіліксіз.
Әкімшілік аккаунттарды, API-кілттерді, SSH-кілттерді, қызметтік есептік жазбаларды, DNS-ке, хостингке, домендерге, бұлттық инфрақұрылымға және басқа критикалық жүйелерге қол жеткізуді бөлек тексеру қажет.
Негізгі жүйелерде нені тексеру керек
| Жүйе | Нені тексеру керек | Нені жиі ұмытады |
|---|---|---|
| Windows / Active Directory | Пайдаланушыны бұғаттау, қауіпсіздік топтары, әкімшілік құқықтар және қашықтан қосылулар. | Бөлек әкімшілік есептік жазбалар. |
| Microsoft 365 | Есептік жазба, белсенді сеанстар, пошта, лицензиялар және корпоративтік деректерге қол жеткізу. | Авторизацияланған қолданбалар мен мобильді құрылғылар. |
| Google Workspace | Аккаунт, белсенді сеанстар, үшінші тарап қолданбалары және деректерге қол жеткізу. | Бұрын үшінші тарап қолданбаларына берілген рұқсаттар. |
| VPN | Пайдаланушы, сертификат, MFA және белсенді қосылулар. | Доменмен байланыспаған бөлек VPN-аккаунт. |
| 1С | Ақпараттық база пайдаланушысы, рөлдер мен құқықтар. | Қашықтағы жұмыс үстелі арқылы қол жеткізу. |
| NAS / файлдық сервер | Пайдаланушы, топтар, желілік бумалар, ACL және сыртқы сілтемелер. | Бұрын жасалған ашық сілтемелер. |
| Сайт және хостинг | WordPress, Plesk, FTP/SFTP, SSH, DNS және домен тіркеушісіне қол жеткізу. | Ескі API-кілттер мен жеке аккаунттар. |
Бөлек мәселе — ортақ парольдер
Егер бірнеше қызметкер бір есептік жазбаны пайдаланса, нақты кімнің қол жеткізе алатынын анықтау әлдеқайда қиындайды.
Бір адам жұмыстан кеткенде қалғандардың бәріне парольді ауыстыру, сақталған деректерді жаңарту және кейде байланысты қолданбаларды қайта баптау қажет болады.
Мүмкін болған жерде әр қызметкерге тек өзіне қажет құқықтары бар жеке есептік жазба берген дұрыс.
Бұл қол жеткізуді кері қайтаруды жеңілдетеді және инциденттерді талдауға көмектеседі.
Жүйелік әкімшінің чек-парағы
Негізгі есептік жазба бұғатталды
Белсенді пайдаланушы сеанстары аяқталды
Корпоративтік пошта қызметкерге енді қолжетімсіз
VPN және қашықтан қол жеткізу кері қайтарылды
1С, CRM және басқа бөлек жүйелер тексерілді
Бұлттық сервистерге қол жеткізу жабылды
Желілік бумалар, NAS және сыртқы сілтемелер тексерілді
Жұмыс деректері сақталып, жауапты қызметкерге тапсырылды
Ноутбук, токендер, кілттер мен рұқсатнамалар қайтарылды
Әкімшілік аккаунттар мен кілттер бөлек тексерілді
Қызметкердің корпоративтік жүйелерге енді кіре алмайтыны тексерілді
Ең дұрыс шешім — жұмыстан шығатын күні қол жеткізулерді еске түсіріп отырмау
Сенімді процесс қызметкерді жұмысқа қабылдаған сәттен басталады. Компания оған қандай жүйелер қолжетімді болғанын, қандай құқықтар тағайындалғанын және қандай жабдық берілгенін білуі тиіс.
Сонда қызметкер жұмыстан кеткенде жүйелік әкімші есте сақтауына емес, алдын ала жасалған тізімге сүйенеді.
Қорытынды
Қызметкердің жұмыстан шығуы — ақпараттық қауіпсіздіктің толыққанды кезеңі. Негізгі міндет — пайдаланушыны жай ғана жою емес, барлық қол жеткізу нүктелерін ретімен жабу: есептік жазбалар, белсенді сеанстар, қашықтан қосылулар, бұлттық сервистер, ішкі жүйелер және физикалық қол жеткізу.
Компанияда берілген құқықтарды есепке алу неғұрлым жақсы ұйымдастырылса, бұл процесс соғұрлым жылдам әрі қауіпсіз өтеді.
Киберқауіпсіздік дұрыс әрекеттерден басталады.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.