Делегирование доступа на время отпуска сотрудника: как передать рабочие функции без обмена паролями и общей учётной записи
Сотрудник уходит в отпуск, и его задачи нужно передать коллегам. В небольших компаниях и в среднем бизнесе это обычно решают по-простому: отдают пароль от личной учётной записи или заранее заводят один обезличенный аккаунт вроде «маркетолог» или «админ».
Базовым принципам информационной безопасности такая практика противоречит. Михаил Ванин, генеральный директор Identity Blitz, рассказывает, чем грозит совместное пользование аккаунтами и как организовать делегирование доступа безопасно в компании любого размера.
Главная опасность: утрата принципа подотчётности
Когда сотрудники передают друг другу пароли от личных учётных записей или работают из общих аккаунтов, система теряет такое свойство безопасности, как подотчётность, то есть возможность связать действие с конкретным человеком. Если случится сбой, утечка данных или кто-то поменяет настройки, служба ИБ не сможет точно определить, кто это сделал. Пользователь общего аккаунта всегда сошлётся на то, что был в отпуске или что под его записью работал кто-то другой.
Есть и нормативная сторона: передача личных паролей напрямую противоречит требованиям документов по ИБ, в том числе стандартам ФСТЭК России. Для государственных организаций и компаний с регулируемыми контурами ИБ это прямое нарушение.
1. Автоматизация через Identity Management (IDM/IGA)
В организациях, где работают тысячи и десятки тысяч человек, доступами управляют автоматически, через специализированные системы управления учётными записями и правами — IDM/IGA (Identity Management / Identity Governance and Administration). Такой подход исключает передачу паролей и сохраняет полную прозрачность аудита.
Схема работает так:
- Как только оформляется отпуск, система запускает бизнес-процесс делегирования по регламенту.
- Замещающий сотрудник получает полномочия уходящего коллеги — все или только часть.
- Права привязываются только к личной учётной записи замещающего и получают временную метку.
- Когда основной сотрудник возвращается из отпуска, IDM-система сама отзывает выданные на время права.
2. Привилегированный доступ и администрирование: PAM и Vault
Если в отпуск уходит системный администратор, инженер или другой привилегированный пользователь, права нельзя передавать напрямую и на постоянной основе. Для таких случаев применяют специализированные защитные решения.
Подход на основе PAM-систем
Системы управления привилегированным доступом (Privileged Access Management, PAM) работают по принципу «точно в срок». Права повышенного уровня замещающему сотруднику навсегда не выдаются: PAM-система открывает нужные привилегии к конкретным ресурсам только на время выполнения задачи и фиксирует все действия.
Централизованные хранилища секретов (Vault)
Если PAM в компании не внедрена, доступ к технологическим и сервисным учётным записям организуют через корпоративные хранилища секретов. Аутентификационные данные хранятся в них централизованно, а доступом к ним управляют строгие правила разграничения прав.
3. Делегирование в системах единого входа (SSO) и функция имперсонификации
В средних и малых компаниях доступ к бизнес-приложениям можно передавать без раскрытия паролей с помощью современных систем единого входа (Single Sign-On, SSO). В продвинутых SSO-решениях для этого есть имперсонификация, то есть переключение пользователя. Её нужно жёстко ограничивать правилами: переключаться можно только на определённый круг коллег и только в служебных бизнес-системах, а личная почта и персональные сервисы исключаются.
Выглядит это так:
- Замещающий сотрудник входит в систему единого входа под собственными учётными данными.
- В интерфейсе SSO он выбирает переключение на аккаунт отсутствующего сотрудника для нужного приложения, если эта функция ему доступна.
- Сервер SSO передаёт приложению данные профиля ушедшего в отпуск специалиста, а его пароль остаётся нераскрытым.
- В журнале аудита SSO-сервера остаётся точная запись: аутентификацию прошёл сотрудник А, а в приложение Б зашли от имени сотрудника В.
4. Внешние сервисы и общие аккаунты: регулярная ротация и Passkeys
Во внешних облачных сервисах часто ограничено количество лицензий или технически нельзя завести отдельную персональную учётную запись для каждого сотрудника. Так бывает, например, с корпоративными аккаунтами на видеохостингах и профилями компании в социальных сетях. В таком случае подходы к управлению доступом нужно чётко разделять:
| Внутренние корпоративные системы | Внешние ресурсы и сервисы |
| Только персональные учётные записи | Общие учётные записи допускаются с ограничениями |
| Передавать пароли запрещено | Пароли хранятся в менеджере паролей |
| SSO, IDM, PAM | Пароль генерируется автоматически |
| Имперсонификация | Пароли регулярно меняются (раз в месяц) |
Корпоративные менеджеры паролей
Для доступа к неперсонализированным внешним аккаунтам необходим гигиенический минимум правил. Личные и простые пароли не годятся: их нужно генерировать автоматически, и они должны быть стойкими. Учётные данные хранят в корпоративном менеджере паролей. Уходя в отпуск, сотрудник открывает заместителю доступ к записи в менеджере паролей, а не отправляет пароль в мессенджере. Пароли регулярно меняют, например раз в месяц или сразу после выхода сотрудника из отпуска, и после смены пароля временный доступ у замещающего сотрудника прекращается автоматически.
Шеринг беспарольных ключей (Passkeys)
Если внешний сервис поддерживает беспарольные стандарты (FIDO2 / Passkeys), сотрудник может поделиться ключом доступа через защищённые механизмы операционной системы, например встроенное в ОС управление паролями. Пароль при этом остаётся скрытым, а после отпуска ключ доступа легко отозвать или выпустить заново, и временный доступ полностью закрывается.
5. Доступ от задач: подход Zero Trust
Самый современный подход к управлению доступом строится на концепции нулевого доверия (Zero Trust) и минимальных привилегий: права получает не человек, а конкретная рабочая задача.
Если бизнес-процессы компании выстроены вокруг задач, действовать можно так:
- Доступ к ресурсам открывается автоматически, когда сотрудника назначают ответственным за задачу в CRM или таск-трекере.
- Уходя в отпуск, сотрудник просто передаёт активные задачи коллегам.
- Вместе с задачей заместители получают нужный контекстный доступ к связанным ресурсам.
- Когда задачу закрывают или основной сотрудник возвращается, доступ аннулируется автоматически.
Резюме: чек-лист безопасного делегирования доступа
Замещение на время отпуска не должно создавать бреши в периметре защиты компании. Чтобы передать рабочие функции и не рисковать утечкой данных и нарушением нормативных требований, стоит придерживаться базовых правил:
- Запретите передавать личные пароли — в регламентах и корпоративных политиках ИБ.
- Не заводите безымянных аккаунтов для внутренних систем, иначе подотчётность пропадёт.
- Для безопасного переключения между профилями без раскрытия паролей берите SSO с имперсонификацией.
- Привилегированный доступ администраторов держите под контролем PAM-систем или хранилищ секретов.
- Для неизбежных общих аккаунтов во внешних сервисах заведите корпоративный менеджер паролей и настройте регулярную автоматическую ротацию.
Используемые термины
Identity Management, IDM — комплекс процессов, технологий и программного обеспечения для централизованного управления цифровыми учетными записями, идентификационными данными пользователей и их правами доступа к корпоративным информационным системам.
Identity Governance and Administration, IGA — концепция и класс программных решений в сфере информационной безопасности, предназначенных для управления цифровыми учетными записями, правами доступа сотрудников и контроля соблюдения корпоративных политик.
Privileged Access Management, PAM — класс решений кибербезопасности для контроля, мониторинга и защиты учетных записей с расширенными правами (системных администраторов, баз данных, внешних подрядчиков), который скрывает реальные пароли и предоставляет временный доступ по принципу наименьших привилегий.
Vault — специализированная система для безопасного хранения, управления и контроля доступа к конфиденциальным данным (секретам).
Single Sign-On, SSO — технология единого входа.
Passkeys — метод аутентификации без пароля, который позволяет входить в приложения и на сайты с помощью отпечатка пальца, сканирования лица (Face ID) или PIN-кода.
Автор: Михаил Ванин, генеральный директор Identity Blitz
