Иногда разговор с новым клиентом доходит до интересного момента. Мы обсуждаем инфраструктуру, задачи, сроки. И вдруг – стоп.
«Доступы мы не дадим. Это небезопасно».
И дальше пауза. Потому что с одной стороны – логично. С другой – именно в этом месте часто и прячется настоящая уязвимость.
Откуда вообще берется этот страх
Он вполне понятный.
Внутренний сотрудник – «свой». Его знают, с ним работают, его можно дернуть в любой момент. Есть ощущение, что он под контролем.
А подрядчик – внешний. Где-то там. Делает свою работу и уходит. И в голове сразу картинка: а вдруг что-то сломает, а вдруг «утащит» данные, а вдруг исчезнет.
Это не про технологии. Это про психологию.
Но безопасность, к сожалению, не строится на ощущениях.
Где на самом деле слабое место
Теперь давайте без иллюзий.
В 80% компаний доступы уже есть у внутреннего айтишника. Полные. Ко всему.
Серверы, базы, почта, резервные копии. Иногда – даже без нормальной фиксации, что именно и где хранится.
И вот тут вопрос: это безопасно?
Потому что:
пароли часто лежат в заметках или в браузере,
доступы не ограничены по ролям,
нет логирования – кто и что делал,
нет принципа «минимально необходимого доступа».
И если что-то случится – вы даже не поймете, где искать.
Но при этом есть уверенность: «это же свой человек».
Почему «свой» не равно «безопасно»
Я не демонизирую внутренних сотрудников. Вопрос не в людях.
Вопрос в системе.
Человек может ошибиться. Может что-то не учесть. Может работать в авральном режиме и упрощать, где не стоит.
И если все держится на доверии, без процессов и контроля – это уже не безопасность. Это надежда, что «все будет нормально».
А надежда в ИТ – слабый инструмент.
Как обычно работают нормальные подрядчики
Когда у вас появляется адекватная ИТ-команда снаружи, первое, что она делает – наводит порядок в доступах.
Не потому что «так принято», а потому что иначе работать невозможно.
Доступы разделяются по ролям.
Фиксируется, кто и куда имеет вход.
Включается логирование действий.
Пароли перестают жить в блокнотах и чатах.
И, что важно, появляется прозрачность.
Не «у нас есть доступ», а «вот список доступов, вот кто их использует, вот когда и зачем».
Почему уровень безопасности часто выше
Парадокс, но факт.
Внешняя команда чаще работает по регламентам. Потому что это их работа. У них нет роскоши «сделать по-быстрому и забыть».
У них есть:
чек-листы,
процедуры,
внутренний контроль,
ответственность по договору.
И самое главное – разделение ролей.
Один человек не имеет полного контроля над всем. И это снижает риски.
Где бизнес сам создает себе угрозу
Самая частая ошибка – это попытка «оставить все как есть, но при этом добавить подрядчика».
Доступы не даем.
Ничего не документируем.
Просто «помогайте, когда что-то сломается».
В итоге подрядчик работает вслепую. Реакция медленнее. Ошибок больше.
И потом звучит: «ну вот, мы же говорили».
Хотя проблема не в подрядчике, а в том, что система не изменилась.
Что такое реальный контроль
Контроль – это не запретить доступ.
Контроль – это:
понимать, кто имеет доступ,
ограничивать его рамками задач,
видеть, что происходит в системе,
иметь возможность в любой момент все это проверить.
И вот здесь как раз внешний подрядчик часто усиливает контроль, а не ослабляет его.
Потому что приносит структуру.
Немного из практики
Был клиент, где доступы «берегли». Никому ничего не давали, даже внутри команды.
В итоге один человек имел «супердоступ», а остальные работали через него.
Когда начались проблемы с сервером, время реакции выросло в разы. Просто потому, что все упиралось в одного человека.
После перехода на нормальную модель доступов ситуация изменилась за пару недель. Не потому что мы что-то «магическое» сделали.
Просто убрали узкое место.
Где на самом деле граница безопасности
Безопасность – это не про «доверять или не доверять подрядчику».
Это про то, как устроены процессы.
Можно не дать доступ и остаться с дырявой системой.
Можно выстроить доступы грамотно – и спокойно работать с внешней командой.
И разница будет колоссальной.
Вопрос не в том, есть ли у подрядчика доступ.
Вопрос в том, как этот доступ устроен и кто это контролирует.
А у вас сейчас доступы – это система с правилами или просто список паролей, которые «где-то записаны»?