Управление пользователями: что это и как выстроить

Управление пользователями — совокупность процессов, отвечающих за то, чтобы у каждого сотрудника был нужный доступ: не больше и не меньше, и ровно столько времени, сколько требуется.

Звучит как административная рутина, но именно здесь возникает большинство практических проблем безопасности. Не потому, что кто-то взломал шифрование, а потому, что у уволенного полгода назад сотрудника остался работающий доступ.

Что входит

Учётные записи — создание, изменение, отключение. Каждая запись должна быть привязана к конкретному человеку: безымянные записи вида «оператор2» ломают всю дальнейшую логику.

Права — что пользователю позволено. Выдаются через роли, а не индивидуально каждому.

Аутентификация — как пользователь подтверждает личность: пароль, второй фактор, passkey.

Сессии — сколько времени действует вход и можно ли его прервать.

Журналирование — записи о входах и изменениях прав.

Аудит — регулярная проверка того, что фактическое состояние соответствует замыслу.

Три подхода

Каждое приложение само по себе. Учётные записи заводятся отдельно в каждой системе. Работает, пока систем две-три. Дальше начинается: пароли повторяются, отзыв доступа выполняется неполно, второй фактор внедрён в одном месте из десяти.

Собственный каталог. Централизованное хранилище учётных записей во внутренней сети. Решает проблему разрозненности, но плохо приспособлено к облачным приложениям, мобильным клиентам и внешним пользователям.

Провайдер идентичности. Аутентификация вынесена в отдельный сервис, приложения ему доверяют. Пароли хранятся в одном месте, второй фактор внедряется однократно, отзыв доступа выполняется одним действием.

Для многоарендных сценариев — когда сервис обслуживает несколько компаний-клиентов — третий вариант практически безальтернативен: изоляция данных между компаниями должна быть архитектурной.

Признаки того, что процесс не работает

Проверить состояние можно по нескольким вопросам. Если ответ вызывает затруднение — это и есть проблемное место.

Сколько времени занимает полный отзыв доступа у уволенного? Если ответ измеряется днями или «зависит от того, где он был заведён» — процесс не выстроен.

Кто имеет доступ к финансовым данным? Если для ответа нужно обойти системы вручную — нет централизованного управления правами.

Есть ли учётные записи без владельца? Записи, о которых никто не может сказать, чьи они и зачем нужны, — типичная находка первого же аудита.

Что произойдёт, если перехватят учётную запись рядового сотрудника? Если ответ «получит доступ ко всему» — права не ограничены.

Можно ли прервать активную сессию? Если единственный способ реагирования — смена пароля, инцидент будет разбираться дольше, чем нужно.

Что стоит выстроить в первую очередь

Одна точка входа. Пока аутентификация размазана по приложениям, ни один из остальных пунктов нормально не заработает.

Роли вместо индивидуальных прав. Права описываются наборами, соответствующими обязанностям.

Обязательный второй фактор. Начиная с администраторов.

Управляемые сессии. Ограниченное время жизни и возможность немедленного прекращения.

Журнал, который читают. Записи без регулярного просмотра защищают только формально.

Регулярный пересмотр. Раз в квартал или полгода — проверка соответствия прав обязанностям.

Как это устроено в Keydee

• Организация объединяет сотрудников компании; данные компаний изолированы друг от друга.
• Приглашение сотрудника с сразу назначенными ролями.
• Роли описывают права в границах организации, изменения применяются централизованно.
• Аутентификация: пароль, TOTP, passkeys; требование второго фактора задаётся политикой компании.
• Сессии: активные видны, любую можно завершить — доступ прекращается сразу вместе с выданными приложениям разрешениями.
• Журнал фиксирует входы и изменения прав с реальным IP-адресом.
• Самообслуживание: пользователь управляет своими факторами и видит свои сессии, не обращаясь в поддержку.

Главное

Управление пользователями редко выглядит приоритетной задачей: оно не приносит новой функциональности и незаметно, пока работает.

Заметным оно становится в двух случаях: когда новый сотрудник неделю ждёт доступ и когда выясняется, что доступ был у того, у кого его быть не должно. Первое стоит денег, второе — гораздо больше.