Доступ к корпоративным системам должен одновременно решать две задачи — не мешать сотрудникам работать и при этом оставаться управляемым с точки зрения безопасности. Когда систем становится больше, сценарии входа усложняются, а единая логика доступа размывается, этот баланс теряется.
Редакция «Компьютерры» с экспертами компании Avanpost разобралась, как выстроить доступ к рабочим местам и корпоративным ресурсам для офисных, удаленных и гибридных сотрудников так, чтобы сохранить удобство и контроль. Для удобства, результаты исследования мы представили в формате чек-листа по защите рабочих мест и удаленного доступа.
Что такое «идеальный доступ» и почему его не существует
Идеальный доступ — это такая схема, при которой сотрудник быстро попадает в нужные рабочие системы и получает только те права, которые нужны ему для работы. При этом компания понимает, кто, откуда и с какого устройства заходит в корпоративные ресурсы. В чистом виде такой подход возможен только в небольшой и хорошо спроектированной инфраструктуре, где мало систем, понятные роли, известные устройства и нет десятков исключений под разные рабочие сценарии.
Как только инфраструктура начинает расти, единая логика доступа постепенно распадается. Появляются новые системы с отдельной аутентификацией, часть сервисов не подключается к общей схеме входа, доступы выдаются под конкретные задачи и потом не пересматриваются, а временные решения остаются в работе дольше, чем планировалось. К этому добавляются удаленные сотрудники, личные устройства и подрядчики, которых сложнее контролировать так же, как штатных офисных пользователей. В результате сотрудникам приходится проходить разные дополнительные проверки, а компания постепенно теряет цельную картину доступа.
По данным Okta, офисный сотрудник в течение дня может взаимодействовать примерно с сотней корпоративных систем. Параллельно в корпоративной инфраструктуре накапливаются избыточные права, разные сценарии входа и неучтенные точки доступа.
Сотруднику приходится проходить все больше дополнительных аутентификаций, запоминать разные способы входа и постоянно переключаться между ними. Доступ усложняется не из-за одной конкретной меры безопасности, а из-за их накопления и разнородности.
Кроме того, долгое время считалось, что безопасность можно усилить за счет усложнения правил — вводили обязательную смену паролей, добавляли дополнительные проверки и требовали запоминать все больше комбинаций. Однако исследования, в том числе рекомендации NIST (американского агентства по информационной безопасности), показывают обратное — частая смена паролей снижает защищенность.
Больше всего сотрудников раздражает:
- необходимость запоминать дополнительные кодовые фразы, особенно если они используются редко;
- многократная аутентификация в течение дня, когда приходится постоянно входить в разные системы, даже если используется одна учетная запись;
- токены, пин-коды от них (особенно если их много), что создает дополнительные сложности.
Сотрудники устают от постоянной смены, начинают упрощать пароли, чтобы их запомнить, вместо использования сложных и случайных комбинаций. На фоне усиления контроля даже появились специальные методики, но они работают для небольшого количества паролей или для мастер-пароля к хранилищу.
Когда сотрудники сталкиваются с избыточной сложностью аутентификации, они начинают искать обходные пути. Например, создается общая учетная запись на несколько человек. Она легко отслеживается по перманентной работе под одной учетной записью с разных устройств или избыточно большого количества устройств.
«Обход» правил может быть и через непредусмотренные политикой компании сетевые туннели (например, реверсивные каналы, когда агент сам подключается к интернет-сервису) или использование решений типа AnyDesk для удаленного доступа к офисному компьютеру, чтобы обойти сложную корпоративную схему.
Избыточная сложность аутентификации приводит к формированию альтернативных способов организации доступа и облегчает компрометацию. Отсюда вывод — проблема не в пользователях. Когда число систем и паролей к ним исчисляется десятками, задача уже не в том, как запомнить их, а в том, как сократить их количество и упростить саму модель доступа.
Чек-лист по оценке баланса между удобством и безопасностью
Этот гайд не рассчитан на то, чтобы менять всю модель доступа за одну итерацию. Его задача — помочь увидеть, где система уже перестала быть целостной и в каких точках контроль ослаблен. Для этого достаточно идти по шагам, а в конце, по чек-листу, проверить, какие зоны требуют пересмотра в первую очередь.
Шаг 1. Зафиксируйте текущую модель доступа
Сначала соберите фактическую схему доступа — кто с чем работает в течение дня, сколько систем использует, сколько у него отдельных учетных записей, как он входит в рабочую среду и с каких устройств это делает. На этом этапе важно смотреть не на усредненную картину по компании, а на реальные типы доступа, которые уже сложились внутри инфраструктуры. Чаще всего их четыре:
- Обычный офисный доступ. Последнее время он усложняется — у сотрудника копятся варианты входа, растут учетные записи и появляются дополнительные проверки. Постепенно начинается повторное использование паролей, пароли записываются или хранятся в небезопасном виде. Формально доступ сохраняется, но компании уже сложнее контролировать, кто, как и через какие учетные записи входит в рабочие системы.
- Доступ сотрудников с повышенными правами. Если у пользователя есть доступ к важным системам, риски становятся выше. Это касается администраторов, финансистов, сотрудников, которые работают с данными клиентов, и других пользователей с расширенными правами. Для них обычной защиты входа уже недостаточно — нужно отдельно контролировать, какие действия они выполняют, в какие системы заходят и не остаются ли у них лишние права. Это большая отдельная тема, поэтому в текущем чек-листе подробно ее не разбираем.
- Удаленный и гибридный доступ. Как только сотрудник выходит за пределы офиса, он попадает в среду, где гораздо больше неопределенности и меньше контроля. В работе появляются разные устройства, домашние сети, нестабильные подключения и несколько способов входа в корпоративную среду. Обычно это заканчивается появлением дополнительных точек входа, которые уже не контролируются централизованно. Кроме того, в последнее время, на фоне ситуации с Telegram, многократно увеличилось число подключений через небезопасные прокси.
- Доступ подрядчиков и работа с личных устройств. Это самый сложный вариант с точки зрения контроля — устройство не принадлежит компании, доступ нужен на ограниченный срок, а требования к безопасности при этом остаются высокими. Если такие случаи заранее не учтены в общей модели, доступ начинает выдаваться вручную, по частным правилам и временным договоренностям.
После определите, какое число сценариев аутентификации и доступа реально используется сотрудниками. Часть сервисов может быть включена в основной «безопасный» сценарий входа, а часть — иметь какие-то слабые стороны и альтернативные варианты аутентификации. Например, где-то используется пароль, где-то токен, где-то доступ проходит через аутентифицирующий прокси с общими учетными данными, а где-то требуется запрашивается фактор.
У одних специалистов может быть все настроено по общему правилу, у других — по старой привычке, а у третьих — как временное решение, которое давно стало постоянным. Чем больше разных вариаций входа, тем выше нагрузка на сотрудника и тем сложнее держать доступ под контролем.
Отдельно определите и зафиксируйте, какие классы устройств с какими ключевыми характеристиками используются сотрудниками и прочими пользователями при доступе к корпоративным ресурсам. Корпоративный ноутбук, домашний компьютер, личный смартфон, планшет, терминальный доступ, удаленное подключение к офисной машине — все это формирует контур доступа. Если компания не понимает общую картину, с каких устройств сотрудники работают с корпоративными системами, значит, часть модели уже находится вне контроля.
То же касается удаленного доступа. Здесь важно понять, как именно сотрудник попадает во внутренние сервисы вне офиса. Уже на этом этапе видно, где доступ выстроен по понятным правилам, а где он просто сложился со временем из разных решений.
Результатом этого шага должна стать простая и понятная картина — какие системы используются, какие способы входа применяются, как сотрудники подключаются к ним и с каких устройств работают. Это позволяет увидеть, где все работает предсказуемо, а где уже появились разрывы.
Шаг 2. Проверьте удобство доступа офисных сотрудников
Удобство офисного сотрудника можно оценить с помощью простого вопроса: «Насколько быстро он может приступить к работе?». Если человеку нужно открыть несколько систем, ввести разные пароли, подтвердить входы и вспомнить, где и какие правила аутентификации действуют, это уже влияет на комфорт.
Для того чтобы проанализировать ситуацию, в первую очередь оцените, одинаково ли устроен вход в корпоративные системы. Разнобой в способах входа превращает начало работы в рутину, которая отнимает время и внимание.
Отдельно нужно посмотреть на повторные входы в течение дня. Если человек уже начал работу, но при переходе между сервисами снова и снова сталкивается с запросом пароля, кода или подтверждения, это уже сигнал, что доступ организован неудобно. То же касается ситуаций, когда одна и та же учетная запись выглядит как единая, но на практике не избавляет от постоянных повторных входов.
Еще один важный момент — насколько просто сотруднику получить доступ в начале рабочего дня и после типичных сбоев. Если при блокировке учетной записи, истечении сессии или смене пароля процесс восстановления превращается в цепочку ручных действий, это снижает удобство так же сильно, как и лишние входы.
На этом этапе полезно проверить и доступ новых сотрудников. Интервал времени, когда у нового сотрудника есть только пароль, а двухфакторная аутентификация еще не настроена, может ослабить защиту компании. За это время пароль могут перехватить и получить доступ.
Отдельно в логах или через систему мониторинга оцените повторные входы в течение дня. Если человек уже начал работу, но при переходе между сервисами снова и снова сталкивается с запросом пароля, кода или подтверждения, это уже знак, что доступ организован неудобно. То же касается ситуаций, когда одна и та же учетная запись выглядит единой, но на деле не избавляет сотрудника от постоянных повторных входов.
Еще один важный момент — насколько просто сотруднику начать работу утром, вернуться в систему после блокировки учетной записи, истечения сессии или смены пароля. Если восстановление доступа превращается в цепочку ручных действий, это снижает удобство так же сильно, как и лишние входы.
На этом этапе полезно проверить и доступ новых сотрудников. Интервал времени, когда у нового сотрудника есть только пароль, а двухфакторная аутентификация еще не настроена, может серьезно ослабить защиту компании. Злоумышленники могут перехватить пароль и получить доступ.
Наконец, важно оценить, видит ли сотрудник пользу в том способе входа, который предлагает компания. Если он экономит время, убирает лишние действия и дает понятный доступ к рабочим сервисам, им будут пользоваться. Если нет, он начнет восприниматься как помеха — это уже прямой путь к обходным практикам, которые потом приходится выявлять службе безопасности.
Удобство офисных сотрудников помогают повысить инструменты, которые сокращают количество повторных входов в рабочие системы и снимают с сотрудника необходимость запоминать десятки разных комбинаций:
- базовый уровень — хранилища паролей, такие как KeePass или встроенные решения в операционных системах;
- продвинутый уровень — корпоративные хранилища паролей и механизмы SSO, которые позволяют централизованно упростить вход в рабочие системы и снизить количество ручных действий в течение дня.
Шаг 3. Оцените безопасность доступа офисных сотрудников
Офис больше не является полностью доверенной зоной — офисная сеть, к которой подключается множество недоверенных устройств (личные ноутбуки, смартфоны), не может считаться безопасной по умолчанию. Это лишь одна из точек входа в распределенную инфраструктуру.
Здесь важно понять, насколько доступ привязан к конкретному сотруднику. От этого зависит, какие меры безопасности действительно работают. Например, ротация паролей может быть полезной, но только при определенных условиях:
- если она автоматизирована или является простой операцией для человека;
- если система аутентификации выступает единым входом (Single Sign-On, SSO) для остальных сервисов.
Однако ротация паролей вредит, если в компании используется LDAP-аутентификация для десятка разных приложений, и сотрудник меняет пароль только в одном месте, это приводит к хаосу и раздражению. Менеджеры паролей будут подставлять старые пароли, и сотрудник, скорее всего, придумает простой пароль, который легко запомнить.
Дальше проверьте, как отделены сотрудники с повышенными правами — администраторы, финансисты, сотрудники с доступом к клиентским данным и другие специалисты, которые могут менять настройки, видеть чувствительную информацию или управлять важными процессами. Если такие пользователи работают под обычными учетными записями, без дополнительных ограничений и контроля действий, компания фактически не отделяет важный доступ от повседневного.
Отдельный вопрос — устройства. В офисе часто предполагается, что среда доверенная, и на этом проверки заканчиваются. Но если доступ к системам не привязан к конкретному устройству, а определяется только логином, паролем и 2FA, это означает, что граница доверия размыта. В такой модели контроль держится только на учетных данных.
Стоит также посмотреть, как долго сотрудник остается в системе после входа. Есть ли ограничения по времени, по активности, требуется ли повторное подтверждение. Если доступ остается открытым слишком долго или не закрывается при смене устройства, это создает дополнительные точки риска.
Еще один важный момент — избыточные права. Доступы часто выдаются под конкретные задачи и потом не пересматриваются. В результате у сотрудника со временем накапливаются права, которые ему уже не нужны. Формально это не ошибка, но именно такие накопления чаще всего и используются при компрометации.
На этом этапе не нужно усложнять систему дополнительными мерами. Задача — увидеть, где контроль уже ослаблен. Если доступ не привязан к пользователю и устройству, права не разделены по уровню критичности, а сессии не контролируются, значит, безопасность существует только частично.
Безопасность доступа офисных сотрудников усиливается не за счет усложнения входа, а за счет предсказуемой и управляемой модели:
- разделение прав доступа, когда критичные системы и привилегированные учетные записи вынесены в отдельный контур;
- привязка доступа к устройству и пользователю, чтобы вход определялся не только процессом аутентификации;
- обязательная многофакторная аутентификация для чувствительных ролей и операций закрывает базовые риски компрометации;
- параллельно важно регулярно пересматривать выданные права и убирать избыточные доступы, которые накапливаются со временем;
- единая логика сессий и централизованное управление доступом позволяют видеть, кто и как работает с системами, а не собирать эту картину постфактум.
Шаг 4. Проверьте удобство удаленных и гибридных сотрудников, а также подрядчиков
Вне офиса доступ почти всегда становится сложнее. Появляются разные устройства, незащищенные сети и несколько способов попасть в корпоративную среду. Среди процессов, делающих удаленную работу небезопасной из-за неудобства:
- частая смена паролей — как и для офисных сотрудников, это вредит безопасности всей корпоративной инфраструктуры;
- сложные и неудобные процессы удаленного подключения — плохо настроенный доступ, требующий множества действий, создает проблемы;
- отсутствие технологии единого входа (Single Sign-On или SSO) — сотрудникам приходится постоянно заходить в разные системы, что неудобно и снижает безопасность.
Первое, на что нужно смотреть, — сколько шагов требуется для того, чтобы начать работу. Если сотруднику нужно подключаться с разных устройств, отдельно менять настройки прокси, потом входить в рабочую среду, а затем еще в сами системы с разными логинами и паролями, доступ начинает раздражать. В такой схеме каждый лишний шаг увеличивает вероятность ошибок, и сотрудники приходят к «теневому ИТ» — использованию ИТ-решений (устройств, программ, сервисов), которые не согласованы с компанией и не контролируются ИТ-отделом.
Дальше важно оценить, насколько доступ предсказуем. Когда вход в системы устроен по-разному, часть сервисов доступна только из офиса, а часть через отдельные решения, сотрудник не понимает, как правильно заходить в корпоративные сервисы. В результате появляются обходные инструменты, которые упрощают доступ, но выводят его из-под контроля.
Отдельного внимания требует работа с личных устройств (BYOD, Bring Your Own Device) и доступ подрядчиков. В этом контексте важно понять, можно ли начать работу удаленно так же просто, как в офисе, не снижая уровень контроля.
Удобство для удаленных и гибридных сотрудников, а также подрядчиков возникает тогда, когда доступ становится продолжением офисного, а не отдельным сценарием:
- один способ входа, понятная логика подключения и минимальное число шагов позволяют сотруднику работать без постоянного переключения между разными вариантами доступа;
- ключевые системы доступны через один вариант входа, а не через набор разрозненных решений.
Шаг 5. Убедитесь в уровне безопасности удаленного и гибридного доступа
При удаленном доступе требования к безопасности должны быть еще более строгими, чем для офисных сотрудников:
- Нужен механизм временного доступа, позволяющий заранее задать срок действия учетной записи, который соответствует сроку трудового договора. По окончании договора учетная запись должна быть заблокирована.
- Для контроля сессии нужно использовать те же инструменты, что и для офисных сотрудников — разделение прав доступа, привязка доступа к устройству и пользователю, многофакторная аутентификация и другие.
- Доступ должен осуществляться строго через централизованный сервис, который подтверждает личность пользователя и выдает ему доступ к корпоративным сервисам (Identity Provider или IdP) с обязательной многофакторной аутентификацией.
В первую очередь стоит понять, проверяется ли само устройство. Если доступ к системам определяется только логином и паролем, без проверки, с какого именно устройства выполняется вход — корпоративного, личного, управляемого или неизвестного, — компания фактически оставляет это без полноценного контроля. То же самое относится к ситуациям, где личные и корпоративные устройства в модели доступа вообще не различаются.
Дальше изучить источник подключения. Домашние сети, публичный Wi-Fi, мобильный интернет — это разные уровни доверия. Когда для них действуют одинаковые правила, модель доступа перестает учитывать реальные риски.
Отдельный вопрос — как выдается доступ подрядчикам. Ограничен ли он по времени, по системам и по условиям использования. Доступ без четких рамок и без регулярного пересмотра быстро превращается в постоянный, даже когда изначально задумывался как временный.
Также стоит проверить, как контролируются сессии сотрудников. Завершаются ли они при смене устройства или длительном бездействии, можно ли отследить активные подключения, есть ли возможность быстро отозвать доступ.
Самая большая ошибка — это закрыть только VDI и почту двухфакторной аутентификацией, а все остальное оставить как есть. Это не защищает, так как атака, обойдя первый эшелон, получает полную свободу внутри корпоративной инфраструктуры.
На этом этапе важно не наличие отдельных механизмов, а их связка. Когда устройство, пользователь и условия подключения не учитываются вместе, безопасность остается фрагментированной.
Безопасность удаленных и гибридных сотрудников, а также подрядчиков помогает повысить:
- понимание и контроль того, к каким данным имеет доступ сотрудник;
- периодические проверки устройств на соответствие политикам безопасности (блокировка, невозможность случайного доступа);
- превентивные меры, так как на личных устройствах контроль затруднен (DLP-решения также могут помочь, но они двояки);
- отслеживание минимального доступа, отзыв ненужного доступа.
Шаг 6. Сведите все в единую модель
После предыдущих шагов вы поймете, что проблема не в одном слабом месте, а в самой логике доступа. Офисные сотрудники работают по одной схеме, удаленные — по другой, подрядчики подключаются по третьей, а личные устройства вообще выпадают из общей картины. В итоге получается набор разрозненных входов, правил и исключений, которые сложно контролировать и почти невозможно развивать без новых компромиссов.
На этом этапе доступ нужно не донастраивать, а собирать в единую модель, базой для которой стала модель Zero Trust («нулевое доверие»). Это принцип, при котором ни пользователь, ни устройство, ни сеть не считаются доверенными сами по себе — любой доступ оценивается в контексте.
Однако одной концепции недостаточно. Zero Trust задает правила, но не решает вопрос удобства, а без него модель начинает разрушаться, потому что, как мы уже не раз говорили, сотрудники ищут более простой путь. Поэтому следующий шаг — объединить безопасность и удобство в одну рабочую логику. В этом контексте ярко проявляется потребность в USSO (Unified Single Sign-On) — бесшовном входе во все корпоративные системы, формирующем единую защищенную сессию.
Unified SSO не заменяет существующие механизмы аутентификации, поэтому в инфраструктуре уже могут использоваться Kerberos, SAML, OpenID Connect и другие технологии, каждая из которых решает свою задачу. Он работает как связующий слой и объединяет их в одну «суперсессию», в которой появляется не только единый вход, но и контроль всей сессии целиком.
В результате с Unified SSO меняется сама логика доступа:
- сотрудник проходит один понятный вход и дальше работает без постоянных переключений между разными сценариями;
- системы больше не живут по отдельным правилам, а включаются в общую модель;
- сессия становится управляемой, а не просто фактом успешной аутентификации;
- доступ начинает учитывать устройство, условия подключения и поведение пользователя.
Для сотрудника это выглядит как упрощение — меньше действий, меньше повторных входов и меньше необходимости держать в голове десятки логинов и паролей. За счет этого снижается сама потребность в обходных практиках.
Для компании появляется управляемая безопасность. Администраторы получают цельную картину рабочего дня сотрудника, например, когда началась сессия, в какие приложения он заходил и как долго работал. Это позволяет строить аналитику и понимать типичный профиль поведения, что является важнейшим элементом Zero Trust.
Отдельно меняется ситуация с личными устройствами — BYOD перестает быть слепой зоной и становится частью управляемого контура. Через десктопное приложение-аутентификатор устройство можно включить в модель доступа и сформировать к нему доверие, например, через выпуск ключа или сертификата, который хранится в системе или на уровне TPM. Это позволяет одновременно сохранить удобство для сотрудника и вернуть контроль компании.
В итоге складывается наиболее эффективная карта доступа, в которой USSO выступает точкой сборки. Он связывает разрозненные технологии, выравнивает доступ между разными форматами работы и позволяет эффективно использовать Zero Trust подход.
Как защитить рабочие места и удаленный доступ
Остается сверить единую модель с вашей практикой. Для этого мы свели ключевые требования к доступу в чек-лист из четырех блоков — удобство и безопасность для офисных сотрудников, а также удобство и безопасность для удаленной и гибридной работы. Именно он помогает быстро увидеть, где система уже работает как единая модель, а где пока держится на исключениях и ручных настройках.
