Как Илья Завьялов ведёт перечень доступов, который не умирает через месяц

01

Как доступы накапливаются сами собой

В команде из десяти человек за пару лет набирается несколько десятков сервисов, и почти ни один из них никто не заводил осознанно. Почта на домене, облачный диск, таск-трекер, рекламные кабинеты, платёжный шлюз, панель хостинга, аналитика и десяток мелких инструментов, купленных под конкретную задачу. Каждый доступ выдавался в спешке, в ответ на просьбу в рабочем чате, и в тот момент это было правильным решением. Проблема появляется позже, когда никто уже не берётся перечислить, где именно у человека есть права.

Пока команда растёт, отсутствие учёта почти не ощущается. Люди сидят рядом, помнят, кто что настраивал, и при любом вопросе просто спрашивают друг друга. Память работает как система учёта ровно до первого ухода человека, до первой смены подрядчика и до первого спорного действия в чужом кабинете. В этот день выясняется, что восстановление половины сервисов привязано к личному телефону того, кто уже не работает.

Масштаб задачи виден по чужой статистике. Центр приёма жалоб на интернет-преступления при ФБР за 2025 год принял 1 008 597 обращений и зафиксировал почти 21 миллиард долларов заявленных потерь, что на 26 процентов больше прошлогоднего результата. Вторая по деньгам категория в том же отчёте это компрометация деловой переписки, 3,046 миллиарда долларов. За такой компрометацией почти всегда стоит чей-то живой доступ к почте, оставшийся включённым или попавший в чужие руки.

02

Три причины, по которым перечни умирают

Первая причина в том, что документ лежит там, куда никто не заходит по рабочей необходимости. Файл на личном диске руководителя, вложение в старом письме, отдельная база в сервисе, которым команда пользуется раз в квартал. Такой перечень открывают только тогда, когда о нём специально вспомнили, а вспоминают о нём реже, чем выдают доступы. Через месяц он описывает организацию, которой уже нет.

Вторая причина в том, что запись делает человек, который сам доступов не выдаёт. Помощник или руководитель собирает информацию опросом раз в месяц, и качество этой информации целиком зависит от того, что вспомнили остальные. Опрос всегда пропускает мелкие доступы, выданные между делом, и именно они потом оказываются самыми неудобными. Учёт, отделённый от действия, отстаёт от действительности на всё время между опросами.

Третья причина в том, что нет события, которое требует обновления. Обновление зависит от намерения человека, а намерение проигрывает срочной работе каждый раз. Пока запись в перечень остаётся отдельной задачей на потом, она не делается никогда, потому что потом не наступает. Документ выживает только тогда, когда запись встроена в само действие выдачи прав.

Все три причины закрываются решениями про процедуру. Место выбирается там, где команда уже работает каждый день. Автором записи назначается тот, кто нажимает кнопку выдачи. Триггером становится сама выдача, без отсрочки. Остальные детали формата влияют на результат заметно меньше, чем принято думать.

03

Место, в котором перечень остаётся живым

Перечень должен лежать в том же пространстве, где идёт ежедневная работа команды. Если люди живут в общем облачном диске, он живёт там же, рядом с договорами и регламентами, в папке, которую открывают по другим поводам. Отдельное хранилище с особым режимом входа гарантирует ровно одно: туда будут заходить редко. Чем меньше шагов отделяет человека от строки, которую он должен добавить, тем выше вероятность, что строка появится.

Право на запись есть у всех, кто выдаёт доступы, и это правило важнее аккуратности документа. Согласование правки убивает перечень быстрее любой другой детали, потому что превращает минутное действие в переписку. Ошибка в строке исправляется за секунды, отсутствующая строка не исправляется никогда. По этой причине разумно заранее принять неровные формулировки и разный стиль записей.

У документа должен быть один владелец, названный по имени. Владелец не заполняет перечень за других, его зона ответственности в том, что перечень существует, что у него есть форма и что сверка проходит в срок. В маленькой организации эта роль почти всегда совмещается с другой, и совмещение работает нормально, пока роль названа вслух. Роль без имени не выполняется никем.

04

Кто делает запись и в какую минуту

Запись делает тот, кто выдал доступ, в ту же минуту, когда доступ выдан. Это единственный момент, когда все данные известны точно: имя человека, сервис, уровень прав и причина выдачи. Через день забывается причина, через неделю уровень прав, через месяц сам факт. Учёт, привязанный к действию, стоит примерно минуту и вообще не опирается на память.

Из этого правила следует жёсткое ограничение на форму. Если заполнение строки занимает больше минуты, перечень будет заброшен независимо от того, насколько разумно подобраны его поля. Поэтому в строке нет свободных описаний, нет обоснований и нет полей, которые заполняются по внешнему справочнику. Всё, что удлиняет запись, снижает шанс, что запись состоится.

Второй триггер зеркальный: строка закрывается в момент отзыва доступа. Закрытая строка остаётся в документе с датой отзыва, потому что история выдачи ценна сама по себе. При разборе любого инцидента вопрос почти всегда звучит как вопрос о прошлом: у кого были права в марте и кто это подтвердил. Перечень, из которого строки удаляют, отвечает только про сегодня и теряет половину своей пользы.

05

Пять колонок и почему шестая опасна

Рабочая форма состоит из пяти колонок: человек, сервис, уровень прав, дата выдачи и тот, кто выдачу подтвердил. Этого хватает, чтобы ответить на все вопросы, ради которых перечень заводят. Шестая колонка появляется из благих намерений, седьмая добавляется через неделю, и на десятой документ перестают заполнять. Избыточность полей это самая частая причина смерти таких таблиц, и она с большим отрывом опережает остальные.

Уровень прав записывается словами того сервиса, в котором доступ выдан. Администратор, редактор, наблюдатель, доступ к платежам, доступ к экспорту данных. Собственная классификация выглядит аккуратнее, но требует перевода в обе стороны и со временем расходится с реальностью. Чужие названия ролей неудобны на вид и точны по сути, а точность здесь важнее вида.

Паролей в перечне нет. Перечень отвечает на вопрос, у кого есть доступ, хранилище секретов отвечает на вопрос, чем именно этот доступ открывается. Смешение двух задач превращает удобную таблицу в объект, который сам нуждается в серьёзной защите, и после этого её перестают открывать при каждой выдаче. Ссылка на запись в хранилище допустима, содержимое записи в перечне недопустимо.

06

Роли вокруг перечня: кто выдаёт и кто подтверждает

Выдача доступа это действие с двумя участниками. Первый выдаёт технически, второй подтверждает, что доступ нужен именно такой и именно этому человеку. Разделение выглядит бюрократией в команде из семи человек ровно до появления доступа к деньгам, к публичным каналам или к данным клиентов. Для этих трёх категорий подтверждение стоит минуту переписки и снимает целый класс будущих разбирательств.

Подтверждающий это руководитель направления, в чьей зоне лежит сервис. Финансовые доступы подтверждает тот, кто отвечает за деньги, публичные аккаунты тот, кто отвечает за коммуникации, инфраструктуру тот, кто отвечает за технику. В маленькой организации это могут быть два человека на все категории сразу, и совмещение допустимо, пока в строке перечня стоит конкретное имя. Обезличенное подтверждение от лица команды бесполезно в тот день, когда нужно понять, кто принимал решение.

Отдельно назначается тот, кто имеет право выдавать административные права. Администратор способен выдавать права дальше, и без ограничения на этом уровне перечень перестаёт описывать реальность за несколько месяцев. Практическое правило простое: администраторов в каждом сервисе двое, и оба знают, что они администраторы. Один администратор создаёт риск потери контроля при его отсутствии, трое и больше лишают команду обзора.

Роли записываются в тот же документ, на отдельный лист. Хватает трёх строк, где сказано, кто владеет перечнем, кто подтверждает финансовые доступы и кто подтверждает технические. Этот лист нужен в тот день, когда человек, державший всё в голове, оказывается недоступен.

07

День ухода человека: пятнадцать минут вместо двух недель

Главная ценность перечня проявляется в день, когда доступы нужно закрыть быстро. Без перечня закрытие превращается в археологию: команда вспоминает сервисы по одному, ищет их в счетах на оплату, в старых письмах и в браузере, и растягивает процесс на недели. С перечнем это просмотр таблицы сверху вниз с отметкой напротив каждой строки. Разница между этими двумя сценариями измеряется часами работы и уровнем нервозности в команде.

Порядок закрытия важнее скорости. Первыми закрываются единый вход и почта, потому что через почту восстанавливается почти всё остальное. Дальше идут платёжные доступы и рекламные кабинеты, где лежат деньги и где действие происходит мгновенно. Затем публичные аккаунты, от имени которых можно говорить с рынком. Рабочие файлы закрываются последними, потому что там нужна аккуратная передача и там ошибка стоит меньше всего.

Отдельная строка чек-листа посвящена восстановлению. Номер телефона и резервная почта в каждом сервисе должны указывать на организацию. Проверять это уместно и в момент выдачи доступа, и в день ухода, потому что личный телефон в поле восстановления обесценивает любой формальный отзыв прав. Пока восстановление привязано к человеку, закрытие доступа остаётся косметикой.

Сам чек-лист собирается заранее, в спокойное время, из строк перечня. Собранный в день конфликта, он всегда оказывается короче, чем нужно, и упускает именно те сервисы, о которых в спешке никто не подумал. Готовый список превращает эмоционально тяжёлый день в пятнадцать минут механической работы.

08

Подрядчики и доступы, которые никто не закрывал

Внешние люди образуют отдельную категорию строк, и главное отличие в сроке. У доступа подрядчика есть дата окончания, и она известна заранее, потому что известна дата окончания проекта. Эта дата ставится в перечень в момент выдачи и служит напоминанием без всяких дополнительных инструментов. Строка без даты окончания для внешнего человека означает, что доступ выдан навсегда.

Типовая ошибка выглядит одинаково почти во всех командах. Подрядчик получает права администратора, потому что так быстрее, чем разбираться с ролями конкретного сервиса. Проект заканчивается, оплата закрыта, отношения хорошие, доступ остаётся включённым на годы. Через два года никто в организации уже не помнит, что этот аккаунт принадлежит человеку со стороны.

Цена невнимательности к внешним отношениям видна в статистике по подделке под организации. Федеральная торговая комиссия США за 2025 год насчитала миллиард долларов потерь на схемах, где злоумышленник выдавал себя за компанию, причём самые крупные потери принесли те, кто представлялся сотрудником банка. Отдельно та же комиссия зафиксировала более миллиона обращений и 3,5 миллиарда долларов потерь на имперсонации в целом, то есть почти каждое третье обращение. Ясное знание того, кто имеет право просить и кто подтверждает такие просьбы, работает против всей этой категории схем.

09

Учётные записи без человека

Часть доступов не принадлежит никому из живых сотрудников. Служебные ящики, технические учётные записи для интеграций, ключи и токены, выпущенные под конкретную задачу. Они не увольняются, не уходят в отпуск и не попадают ни в один чек-лист ухода, поэтому живут дольше всех остальных. Именно они чаще всего оказываются той дверью, о существовании которой организация забыла.

Правило для этой категории одно: у каждой такой записи в перечне назван ответственный человек. Ответственный отвечает на два вопроса, зачем эта запись существует и что сломается, если её выключить. Запись, на которую никто не может ответить, выключается на пробу в спокойный день, и это самый дешёвый способ узнать правду. Тишина после выключения означает, что доступ был лишним.

Токены, выпущенные конкретным сотрудником, наследуют его судьбу. При уходе человека такие ключи перевыпускаются, даже если формально они принадлежат сервису и работают в фоне. Иначе остаётся доступ, который переживает все процедуры и не виден ни в одном списке пользователей.

Здесь же полезно помнить про пределы любого учёта. В отчёте ФБР за 2025 год впервые появилась отметка о связи обращения с искусственным интеллектом: свыше 22 тысяч обращений и около 900 миллионов долларов. При этом из более чем восьми миллиардов долларов инвестиционных потерь такую отметку получили лишь 632 миллиона, то есть отметка описывает замеченное и молчит про остальное. Любая таблица показывает ровно то, что в неё занесли, и перечень доступов подчиняется тому же ограничению.

10

Сверка: как перечень проверяется реальностью

Раз в квартал перечень сверяется с тем, что показывают сами сервисы. Порядок обратный привычному: сначала открывается список пользователей внутри сервиса, затем он сравнивается со строками документа. Расхождения интереснее совпадений, потому что каждое расхождение это доступ, о котором организация не знала. Сверка занимает около часа на десяток ключевых сервисов и почти всегда приносит находки.

Находки делятся на три вида. Люди, которых давно нет в команде, права выше необходимых и учётные записи, происхождение которых никто не помнит. Первые две категории закрываются на месте, во время самой сверки. Третья превращается в задачу с именем ответственного и сроком, потому что выключать вслепую то, что может держать работающий процесс, дороже, чем разобраться.

Регулярность здесь важнее глубины, потому что среда вокруг меняется быстро. Убедительный клон голоса собирается с записи длиной около трёх секунд и достигает примерно 85 процентов точности, а в эксперименте люди отличали живой голос от подделки лишь в 37,5 процента случаев. Узнавание по голосу перестало работать как подтверждение личности, и это меняет цену заранее записанных договорённостей. Организации остаётся опираться на то, что зафиксировано до разговора: кто имеет право просить, у кого это подтверждают и по какому каналу.

По той же причине полезно смотреть на статистику каналов при планировании процедур. По данным UK Finance за 2025 год, 66 процентов случаев авторизованного платежа начинаются в интернете и ещё 17 процентов проходят через телефонные сети. Перечень доступов не останавливает такие обращения сам по себе, он делает быстрым ответ на вопрос, кто в организации вообще мог совершить действие, о котором идёт речь. Скорость этого ответа и есть практический смысл всей процедуры.