Эксперт предупредил бизнес, что уволенный администратор может получить контроль над всей инфраструктурой компании

Бывший системный администратор с неотозванными привилегиями способен представлять для компании более серьёзную угрозу, чем внешний хакер, ведь по данным руководителя направления информационной безопасности ГК ОТР Кирилла Уголева, на 1000 обычных пользователей в организациях в среднем приходится около 1500 учётных записей с расширенными правами. Если вовремя не закрыть доступы ушедшего специалиста, он может сохранить возможности управлять корпоративными системами даже спустя месяцы после увольнения.

Проблема начинается с обычной кадровой процедуры, ведь пока кадровая служба оформляет документы, а ИТ-отделу нужно закрыть десятки аккаунтов в разных системах, неавтоматизированный процесс оставляет часть доступов активной на несколько дней или недель. Администраторы с широкими полномочиями управляют серверами, создают учётные записи и назначают привилегии, и если их права не отозваны, бывший сотрудник может вмешиваться в работу инфраструктуры.

Самая опасная лазейка спрятана внутри сервисов, и Кирилл Уголев назвал Газете.ру категории доступов, которые забывают в первую очередь:

• технологические учётные записи, которые нужны приложениям для обмена данными, работы с базами и централизованной авторизации и редко пересматриваются;
• персональные записи во внешних сервисах, прежде всего в электронной почте и CRM;
• доступы к общим хранилищам и облачным ресурсам с документами и рабочими материалами.

Менять пароли технологических записей непросто, потому что неосторожное обновление может нарушить обмен данными между системами или остановить приложение, и компании откладывают замену секретов, а порой забывают, кто создал доступ и кто следит за его актуальностью.

Такие проблемы знакомы промышленности, финансовому сектору и госорганизациям, а IAM-системы, которые централизованно назначают и отзывают права, требуют денег и координации нескольких подразделений, поэтому ручные процедуры сохраняются.

По рекомендации Кирилла Уголева, ещё до завершения трудовых отношений нужно усилить контроль действий увольняемого с помощью DLP-систем и оставить ему минимум полномочий, а в день увольнения полностью заблокировать все доступы, сохранив саму учётную запись на случай нештатных ситуаций и удалив её через несколько месяцев. Процедура должна охватывать не только корпоративную почту и основной аккаунт, но и сторонние сервисы, административные панели, облачные платформы, общие хранилища и технологические записи, а пароли и доступы, которыми пользовались несколько сотрудников или которые встроены в автоматизированные процессы, нужно проверять отдельно.

Корпоративная защита зависит не только от противостояния внешним атакам, ведь серьёзная уязвимость иногда возникает из-за обычной кадровой процедуры, в которой никто не проверил, закрыты ли все цифровые двери, и пока уволенный администратор сохраняет привилегии, его прежняя должность остаётся для компании реальным источником риска.

Ранее сообщалось, что МВД призвало россиян скрывать содержимое SMS с кодами на заблокированном экране. В ведомстве посоветовали установить пароль не короче шести символов, настроить удалённую блокировку и не оставлять мобильный без присмотра.