Жизненный цикл пользователя: от приёма до увольнения

Жизненный цикл пользователя — управление учётной записью сотрудника на всём протяжении его работы: от создания при приёме до отключения при уходе, включая все изменения между этими точками.

Смысл в том, чтобы рассматривать доступ не как разовую настройку, а как процесс. Учётная запись, заведённая при приёме и ни разу не пересмотренная за пять лет, почти наверняка накопила лишние права.

Этапы

1. Создание

Появляется учётная запись, привязанная к сотруднику: идентификатор, принадлежность к организации, начальный набор прав по должности.

Здесь важно связать запись с реальным человеком. Безымянные учётные записи вида «менеджер1» ломают весь дальнейший процесс: непонятно, кому они принадлежат и когда их отключать.

2. Изменения

Самый длинный и самый проблемный этап. Сотрудник переходит в другой отдел, получает повышение, временно замещает коллегу, участвует в проекте.

Каждое такое событие меняет набор необходимых прав. На практике новые права выдают охотно, а старые снимают редко.

3. Приостановка

Отпуск по уходу за ребёнком, длительная командировка, отстранение. Учётная запись сохраняется, но доступ приостанавливается.

Этап часто отсутствует в процессе вообще — и тогда запись либо остаётся активной, либо удаляется, а потом создаётся заново с потерей истории.

4. Отключение

Сотрудник уходит. Доступ закрывается, активные сессии завершаются, данные передаются.

Учётная запись при этом обычно не удаляется сразу: журналы должны сохранять связь между действиями и человеком, который их совершил.

Накопление прав

Это главная проблема жизненного цикла, и стоит назвать её прямо.

Сотрудник приходит на позицию в поддержке — получает доступ к системе обращений. Через год переходит в аналитику — получает доступ к отчётности. Ещё через год становится руководителем группы — получает административные права.

Формально у него сейчас права трёх должностей, хотя работу он выполняет одну. Если его учётная запись будет скомпрометирована, злоумышленник получит всё накопленное.

Причина не в халатности, а в асимметрии процесса: выдача прав инициируется потребностью, отзыв — ничем. Никто не приходит с просьбой забрать доступ, который стал не нужен.

Единственное работающее лекарство — регулярный пересмотр. Не по факту события, а по расписанию.

Внешние участники

Подрядчики, временные сотрудники, партнёры — отдельная категория риска.

Их заводят быстро и часто в обход стандартного процесса, потому что «это ненадолго». Затем проект заканчивается, а учётная запись остаётся: формально человек не увольнялся, ведь он и не был в штате.

Практическое правило: у каждой внешней учётной записи должна быть дата окончания, заданная при создании. Продление требует явного действия, а бездействие приводит к автоматическому закрытию доступа — не наоборот.

Аудит

Периодическая проверка отвечает на несколько вопросов:

• Есть ли учётные записи, не привязанные к действующим сотрудникам?
• Соответствуют ли выданные права текущим обязанностям?
• Есть ли записи, которыми не пользовались несколько месяцев?
• У всех ли внешних участников установлен срок?
• Кто имеет административные права и обоснованно ли это?

Ответы удобнее получать из журнала провайдера идентичности, чем обходом систем вручную.

Как это устроено в Keydee

• Сотрудник привязан к организации, а его права определяются ролями в её границах.
• Приглашение — способ добавить сотрудника с сразу назначенными ролями.
• Изменение ролей применяется централизованно и отражается во всех приложениях компании.
• Исключение из организации закрывает доступ к её приложениям.
• Завершение сессий прекращает доступ немедленно, не дожидаясь истечения токенов.
• Журнал событий сохраняет историю входов и изменений с реальным IP-адресом — материал для аудита и разбора инцидентов.

Как выстроить процесс

Определите источник истины о сотрудниках. Без него не будет ясности, кто в компании работает.

Свяжите кадровые события с техническими действиями. Приём, перевод и увольнение должны запускать изменение доступа, а не порождать заявку, которую кто-то когда-нибудь выполнит.

Опишите роли так, чтобы назначение одной роли покрывало типовую должность целиком.

Задайте срок для внешних участников при создании записи.

Заведите регулярный пересмотр прав — квартальный или полугодовой.

Проверяйте отзыв так же тщательно, как выдачу. Ошибка в выдаче проявится сразу, ошибка в отзыве останется незамеченной.