В компании из пяти человек нет системного администратора и нет процессов. Доступы копятся стихийно: домен оформлен на одного, хостинг на другого, рекламный кабинет на третьего, а пароль от почты знают все. Пока никто не уходит, это работает.
Что сделать за один вечер
-
Составить список сервисов
Домен, хостинг, почта, платёжный сервис, рекламные кабинеты, аналитика, репозиторий, мессенджер. Напротив каждого — на кого оформлен и кто имеет доступ.
Обычно на этом шаге выясняется, что половина оформлена на одного человека, а часть — на бывшего сотрудника.
-
Перевести владение на компанию
Не на человека, а на корпоративный аккаунт или почту вида
admin@. Личная почта основателя в качестве владельца домена — самая частая мина. -
Завести общее хранилище паролей
Командное, а не пересылка в чате. Доступ выдаётся и отзывается одним действием, а кто чем пользовался — видно.
-
Разделить общее и личное
Личные учётные записи не передаются: если коллеге нужен доступ, ему заводят свою. Иначе после ухода непонятно, кто что сделал, — и менять придётся всё сразу.
-
Второй фактор на критичное
Домен, хостинг, платёжный сервис, почта. У командных хранилищ есть общий доступ к кодам — не придётся будить одного человека, чтобы войти.
Что где хранить
| Тип доступа | Где | Кто владеет |
|---|---|---|
| Домен и хостинг | Общее хранилище | Компания, не человек |
| Общие сервисные аккаунты | Общее хранилище | Компания |
| Личные рабочие учётки | Личное хранилище сотрудника | Сотрудник |
| Ключи и токены | Общее хранилище или менеджер секретов | Компания |
| Личные аккаунты сотрудника | Только у него | Сотрудник, и это не обсуждается |
Когда сотрудник уходит
Что именно требовать от паролей и почему смена по календарю вредит — в статье про парольную политику. Про границу личного и рабочего со стороны сотрудника — отдельно.