Чек-лист безопасности при увольнении сотрудника

Увольнение — не бюрократическая процедура, а окно максимального риска. По разным оценкам, более 20% утечек связаны с внутренними угрозами, и значительная их часть приходится на людей, которые уже не работают в компании, но сохранили доступы.

Картина всегда похожа. Бывший администратор заходит в панель управления через забытую учётную запись спустя три месяца после ухода. Менеджер по продажам выгружает базу клиентов за день до заявления. Разработчик с сохранёнными SSH-ключами удаляет рабочую базу через две недели после расторжения договора. Ни один из этих сценариев не требует сложной внешней атаки — только недоработку в процессе отзыва прав.

Этот чек-лист закрывает разрыв между кадровой службой и ИТ: что сделать в момент увольнения, что в первые три дня, какой аудит провести отдельно и как контролировать остаточные риски месяц после.

Почему увольнение — окно риска

Причины структурные, а не личные. У сотрудника ещё есть доступы, но уже нет мотивации их защищать. Кадровая служба знает дату, ИТ — нет. Часть сервисов подключена к единому входу, часть заведена вручную и живёт отдельно. Итог — «осиротевшие» учётные записи, которые никто не проверяет.

Три типичных ошибки процесса:

Разрыв между HR и ИТ. Уведомление приходит после того, как человек уже попрощался с командой.
Ставка только на SSO. Отключение единого входа не закрывает сервисы, заведённые в обход него.
Отсутствие владельца. Никто не отвечает за то, что чек-лист выполнен полностью.

День ноль: отзыв доступов

Эти действия выполняются в момент подтверждения увольнения: до уведомления сотрудника при расторжении по инициативе работодателя или одновременно с уведомлением при уходе по собственному желанию.

Учётные записи и вход

Отключить (не удалять) учётную запись в SSO: Okta, Entra ID, Google Workspace.
Сбросить пароль в Active Directory или LDAP и принудительно завершить активные сессии.
Отозвать MFA-токены: TOTP, аппаратные ключи, резервные коды.
Отключить VPN и отозвать сертификаты устройств.
В облачных платформах аннулировать активные токены сессий — сброс пароля сам по себе не закрывает уже открытые консоли.

Почта и коммуникации

Запретить отправку, сохранив ящик для истории и преемственности.
Включить автоответ с указанием ответственного.
Проверить правила пересылки: правило, созданное перед уходом, — классический канал вывода данных.
Убрать из списков рассылки, общих ящиков и календарей.

Инструменты совместной работы

Деактивировать Slack и Teams, сохранив историю согласно политике хранения.
Снять права администратора в Zoom и на вебинарах.
Передать владение страницами в Confluence, Notion и SharePoint.
Закрыть задачи в Jira и трекерах, переназначить открытые.

Первые три дня: техника и физический доступ

Оборудование

Ноутбук и рабочую станцию забрать в последний день или ранее; при задержке — удалённая блокировка через MDM (Intune, Jamf).
Корпоративные смартфоны изъять; для BYOD выполнить выборочное стирание рабочих данных, не затрагивая личные.
Собрать аппаратные ключи безопасности и выданные носители.
Проверить возврат специализированного оборудования: тестовых устройств, USB-накопителей, токенов.

Физический доступ

Заблокировать пропуск и удалить серийный номер карты из системы контроля доступа.
Заменить общие коды сигнализации и PIN серверной, если сотрудник их знал, — независимо от подозрений.
При невозможности вернуть ключи заменить замки.

Отдельно стоит зафиксировать состояние устройства: фотографии, серийные номера, отметка о повреждениях. Это не бюрократия, а защита обеих сторон при спорах.

Аудит теневых доступов

Здесь ошибаются чаще всего. Учётные записи, созданные в обход единого входа, не отключаются вместе с SSO и живут месяцами. Проверять нужно вручную и по списку.

Разработка и инфраструктура

Репозитории GitHub, GitLab, Bitbucket: убрать из организации, отозвать токены, сменить пароли сервисных учётных записей.
IAM облачных платформ: удалить пользователей, отключить ключи доступа, проверить сервисные роли и функции, созданные сотрудником.
SSH-ключи: удалить публичный ключ из authorized_keys на всех серверах, особенно после ухода администраторов и DevOps.
CI/CD: снять доступ и сменить секреты, которые были видны сотруднику.
Базы данных: отозвать прямые учётные записи, а не только доступ через приложение.
DNS и регистратор домена: убрать доступ в Cloudflare, Route 53 и панели регистратора.

Общие и сторонние сервисы

Сменить пароли корпоративных аккаунтов в социальных сетях.
Ротировать пароли общих ящиков: support, sales, info.
Проверить сервисы, заведённые на рабочий адрес с отдельным паролем: дизайн-инструменты, аналитика, отраслевые базы.
Убрать из командных хранилищ паролей и передать владение файлами до удаления аккаунта, иначе содержимое может быть потеряно.
Просмотреть журналы CRM на предмет недавних выгрузок и экспорта контактов.

Юридические и комплаенс-шаги

Зафиксировать в документах напоминание об обязательствах по NDA и правах на интеллектуальную собственность.
Получить письменное подтверждение удаления корпоративных данных с личных устройств — это не технический контроль, но правовое основание при последующем споре.
Сохранить журналы доступа за 90 дней до удаления или архивации учётной записи.
При подозрении на кражу данных снять криминалистический образ устройства до очистки.
Проверить сроки уведомления по GDPR и отраслевым требованиям, если инцидент уже произошёл.

Мониторинг в течение 30 дней

Отзыв доступов — начало работы, а не конец. Первый месяц показывает, остались ли обходные пути.

Настроить в SIEM срабатывание на любую попытку аутентификации под учётной записью уволенного.
Отслеживать вход по общим учётным данным с необычных адресов и в нерабочие часы.
Включить правила DLP на упоминания имени, отдела или проектов в исходящих потоках.
Уведомить подрядчиков, где сотрудник был основным контактом, чтобы они тоже отозвали доступ.
Убрать из графиков дежурств, списков экстренных контактов и порталов поддержки вендоров.

Во что обходится ошибка

Три реальных сценария из практики расследований:

Разработчик с сохранённым SSH-доступом удалил рабочую базу: 400 000 долларов на простой и восстановление.
Менеджер по продажам выгрузил CRM перед уходом и передал базу конкуренту: многолетний спор о коммерческой тайне.
Администратор с действующими правами зашёл в сеть через полгода после увольнения: инцидент, подлежащий уведомлению по GDPR, и штраф 180 000 евро.

Ни в одном случае не было изощрённой внешней атаки. Только несостоявшийся отзыв прав. Как такие инциденты выглядят на ранней стадии, разбирает материал о охоте за угрозами, а модель поведения атакующих описана в статье про TTP.

Автоматизация процесса

При штате от 50 человек и заметной текучке ручной чек-лист неизбежно выполняется частично. Что помогает:

Платформы управления идентичностью (SailPoint, Saviynt, Microsoft Identity Governance), которые запускают отзыв прав по событию в HR-системе.
Интеграция с HRIS. Смена статуса в Workday или BambooHR автоматически запускает сценарий отключения.
Ежеквартальный обзор доступов. Отдельно от увольнений — он выявляет забытые учётные записи прошлых периодов.
Единый владелец процесса и таблица с датами выполнения, которую видно руководству.

Отдельно стоит связать увольнение с обучением оставшейся команды: часть инцидентов начинается не с уволенного, а с письма «от его имени» коллегам. Механика таких атак разобрана в материале о социальной инженерии.

Вывод

Безопасное увольнение — это не один скрипт, а последовательность: мгновенный отзыв доступов, возврат техники, аудит теневых сервисов, юридическая фиксация и месяц наблюдения. Самые дорогие инциденты возникают там, где процесс держится на памяти одного администратора.

Хотите проверить, не осталось ли в вашей инфраструктуре действующих учётных записей бывших сотрудников? Свяжитесь с Cyberlord: обзор доступов проводится с письменного согласия заказчика, в согласованных границах, с отчётом о неактивных и осиротевших учётных записях и приоритетами устранения.

Частые вопросы

Какая угроза после увольнения встречается чаще всего? Три сценария лидируют: использование сохранённых учётных данных в сервисах вне SSO, выгрузка данных перед уходом через личную почту или облако и вход по общим паролям, которые не сменили.

Сколько времени нужно наблюдать за попытками доступа? Минимум 90 дней. Для увольнений с повышенным риском — по инициативе работодателя, при доступе к большим массивам данных, при переходе к прямому конкуренту — от 6 до 12 месяцев.

Что делать, если обнаружен действующий доступ бывшего сотрудника? Немедленно отозвать доступ, сохранить журналы за период несанкционированной активности, оценить, были ли обращения к данным, и согласовать дальнейшие шаги с юристами. Если данные затрагивались, может потребоваться уведомление регулятора.

Чек-лист увольнения сотрудника: доступы, данные, контроль