Звільнення
Ілля Зав'ялов пояснює порядок закриття доступів при звільненні співробітника
Коли співробітник іде з невеликої команди, за ним лишається слід із десятка входів, про які згадують не одразу. Закриття доступів при звільненні співробітника рідко провалюється через технічну складність, частіше через порядок дій: хтось вимикає пошту і вважає справу зробленою, поки платіжний кабінет чи рекламний акаунт лишаються відкритими ще тиждень. Питання цього тексту таке: що закривають першим, чому один вимкнений акаунт не завжди означає закритий доступ, і як виглядає чекліст на сам день звільнення. Відповідь тримається на порядку дій і заздалегідь названих ролях у команді.
Версія українською мовою для України.
01
Що насправді означає закрити доступ
Відключення акаунта і закриття доступу на практиці не одне і те саме. Пошту вимикають за хвилину, і саме тут крок часто зупиняється. Людина тим часом лишається залогіненою в рекламному кабінеті з телефону і пам'ятає пароль від панелі хостингу, який ніхто не міняв роками. Ілюзія завершеної роботи виникає тому, що перший, найпомітніший вхід уже погашено.
У невеликій команді межа між обліковими записами і людьми стирається швидко. Один реєструє домен на особисту пошту, інший тримає пароль від банку в нотатках телефону, третій підключив особистий диск до робочого чату. Коли ця людина йде, кожен такий вузол лишається живим, доки хтось про нього не згадає. Готового списку таких вузлів зазвичай не існує.
Закриття доступів при звільненні співробітника варто розглядати як послідовність окремих дій у різних системах. Кожна система має власного власника, свій вхід і свій слід із активних сесій та резервних каналів відновлення. Розділи нижче будують порядок цих дій за ціною помилки: спершу гроші, потім ідентичність, потім усе інше.
02
Порядок дій: що закривають першим
Порядок закриття доступів визначає ціна затримки в конкретному сервісі. Доступ, який коштує грошей щогодини, закривають раніше за той, який просто незручно лишити відкритим. На практиці команди часто йдуть у зворотному порядку: спершу забирають ноутбук і пропуск в офіс, а банківський кабінет перевіряють у кінці списку, коли про нього хтось згадає.
Платіжні та банківські інструменти закривають у перші години після розмови: інтернет-банк, картки компанії, рекламні кабінети з прив'язаною оплатою. За даними Federal Trade Commission за 2025 рік підробка під компанії дала близько мільярда доларів заявлених втрат, і найбільші суми в цій категорії припадали там, де зловмисник видавав себе за працівника банку. Кожен зайвий день можливості підтвердити платіж збільшує поле для маневру.
Окремо перевіряють корпоративні картки, підписки на особистих гаджетах і право підпису в бухгалтерських сервісах. Картку блокують дзвінком у банк одразу в день звільнення, ще до фізичного повернення. Підписки, оформлені на особисту картку співробітника заради швидкості, варто виявити заздалегідь, інакше сервіс вимкнеться сам у незручний момент.
03
Пошта як другий за терміновістю замок
Після грошей другим за терміновістю йде корпоративна пошта, і головна причина в її ролі каналу відновлення для інших сервісів. Через неї скидають пароль у CRM, у рекламному кабінеті, у сховищі файлів. Поки скринька технічно доступна колишньому співробітнику, кожен із цих сервісів має відкриту лазівку, навіть якщо його власний пароль давно змінили.
Компрометація ділового листування залишається однією з найдорожчих категорій шахрайства: за звітом FBI Internet Crime Complaint Center за 2025 рік на неї припало 3,046 мільярда доларів втрат, друге місце після інвестиційних схем. Більшості випадків досить чинного доступу зсередини, який вчасно не закрили. Це причина, з якої закриття доступів при звільненні співробітника починають з пошти після платіжного контуру.
Саме відключення скриньки ще не гарантує результату. Перевіряють правила автоматичної переадресації на особисту адресу, список застосунків, підключених через OAuth, і активні сесії в поштовому клієнті на телефоні. Кожен із цих пунктів переживає зміну пароля, якщо його не прибрати окремо.
04
Спільний пароль: чому один вимкнений акаунт нічого не закриває
Найчастіша помилка дня звільнення виглядає так: комусь вимикають особистий акаунт у сервісі, хоча команда роками користується одним спільним логіном на кількох людей. Такий сервіс не розрізняє користувачів: пароль один, і його знає і людина, що йде, і ще троє колег. Відключити конкретну людину тут неможливо, бо окремого запису, який належав саме їй, не існує.
Спробувати знайти й вимкнути обліковий запис конкретної людини тут технічно неможливо. Пароль, який знають четверо, лишається чинним для всіх одночасно, і колишній співробітник нічим не відрізняється від решти, доки пароль не зміниться фізично. Закриття доступів при звільненні співробітника означає негайну зміну спільного секрету, для кожного, хто ним користувався.
Єдина дія, яка тут спрацьовує, це зміна пароля в саму годину звільнення. Новий пароль повідомляють тим, хто лишається, тим самим каналом, яким команда узгоджує термінові речі, і одразу перевіряють, чи ніхто не втратив доступ до робочого інструменту. Відкладання цієї зміни означає тримати колишнього співробітника всередині сервісу, і ввічливість тут нічого не гарантує.
05
Чому чекліст закриття доступів рахують годинами
Ризик зосереджений у проміжку між рішенням про звільнення і фактичним виконанням чекліста. Рішення про розставання команда часто ухвалює за дні до розмови, а саму розмову призначають на зручний час. Увесь цей проміжок людина, яка вже знає про завершення співпраці, технічно володіє тим самим набором прав, що й учора.
Стосунки на виході не міняють процедуру. Команда, що розлучається по-доброму, найчастіше і відкладає закриття доступів на потім, бо здається незручним поспішати з колегою, з яким домовились полюбовно. Саме ця довіра найчастіше і підводить, бо випадковий витік пароля з ноутбука чи телефону колишнього співробітника не залежить від того, наскільки чесними були його наміри.
Робоче правило просте: чекліст закриття доступів виконують у ту саму годину, коли закінчилась розмова про звільнення. Для дистанційної команди це той самий дзвінок, у якому людина ще на зв'язку і може підтвердити деталі. Усе, що відкладено на потім, на практиці означає відкладено на невизначений термін.
06
Хто закриває доступи і як перевіряють, що готово
У чекліста звільнення має бути одна названа людина, яка веде його від першого до останнього рядка. У команді до десяти осіб цю роль зазвичай бере операційний керівник або той, хто веде адміністрування сервісів. Коли відповідального не назвали заздалегідь, у день звільнення це з'ясовують на ходу, і частина пунктів губиться між людьми.
Позначка про закритий доступ ще не означає, що доступу немає. Вимкнений обліковий запис може лишати активну сесію в браузері, а виданий раніше токен API чи ключ інтеграції працює незалежно від пароля власника. Перевірка займає кілька хвилин: активні сесії, видані токени, підключені застосунки. Без цього кроку закриття доступів при звільненні співробітника лишається закритим лише на папері.
Останній пункт стосується того, кому переходять обов'язки. Клієнти й партнери, які писали особисто колишньому співробітнику, мають отримати нову контактну адресу в перший робочий день після його відходу. Список закритих пунктів варто зберегти з датою і іменем виконавця: цей запис підтверджує факт виконання кожного кроку.
07
Що забувають закрити навіть за хорошим чеклістом
Навіть докладний чекліст залишає за кадром особисті пристрої. Робочий ноутбук здають фізично, а особистий телефон із синхронізованою поштою і календарем лишається поза увагою. Браузер на домашньому комп'ютері теж пам'ятає паролі до сервісів, які людина відкривала для роботи хоча б раз. Дистанційне видалення робочого профілю варто передбачити ще на етапі підключення пристрою.
Другий сліпий кут це домен, хостинг і реєстратор. Якщо колись саме ця людина реєструвала домен компанії чи заводила хостинг на власну пошту, формальним власником запису в очах реєстратора лишається вона особисто. Те саме стосується сервісів електронного підпису й бухгалтерських програм, де особистий кабінет міг лишитися прив'язаним до особистої адреси співробітника.
Там, де команда працює з криптовалютою, з'являється ще один шар доступу. За даними звіту Chainalysis про криптошахрайство за 2025 рік, фішинг через підроблений дозвіл отримує від власника гаманця право смартконтракту розпоряджатися токенами через підпис на кшталт approve чи setApprovalForAll, без пароля чи сід-фрази. Якщо колишній співробітник підписував такі дозволи з корпоративного гаманця, їх відкликання належить до того самого чекліста, що й зміна паролів.
| Категорія | Дія в день звільнення | Хто перевіряє |
|---|---|---|
| Банк і платіжні кабінети | Блокують картку дзвінком, відкликають право підпису | Операційний керівник |
| Корпоративна пошта | Вимикають вхід, знімають переадресацію й OAuth-застосунки | Адміністратор пошти |
| Спільні логіни команди | Змінюють пароль одразу, повідомляють тих, хто лишився | Власник сервісу |
| Внутрішні системи і CRM | Деактивують запис, перевіряють активні сесії | Керівник напрямку |
| Рекламні та аналітичні кабінети | Знімають права, перевіряють прив'язану оплату | Той, хто веде рекламу |
| Домен, хостинг, реєстратор | Перевіряють, на кого оформлено власника запису | Технічний власник проєкту |
| Особисті пристрої | Видаляють робочий профіль дистанційно | Співробітник і ІТ разом |
| Гаманець і платіжні дозволи | Відкликають дозволи смартконтрактів на кшталт approve | Фінансовий відповідальний |
Питання і відповіді
Як відбувається закриття доступів при звільненні співробітника в перший день?
У перші години закривають платіжні й банківські інструменти, потім корпоративну пошту з перевіркою переадресації та підключених застосунків, далі внутрішні системи і рекламні кабінети. Дію веде одна названа людина за заздалегідь складеним переліком.
Що закривати першим при звільненні співробітника?
Першими закривають доступи, пов'язані з грошима: банківський кабінет, корпоративні картки, платіжні провайдери й рекламні кабінети з прив'язаною оплатою. Далі йде пошта, бо через неї відновлюють паролі в інших сервісах.
Чому не можна просто змінити пароль одному співробітнику, якщо акаунт спільний?
У такому сервісі один пароль обслуговує кількох користувачів одразу, окремого запису для кожної людини там не передбачено. Закрити доступ конкретній людині можна лише зміною цього спільного пароля в день звільнення з повідомленням тих, хто лишається.
Скільки часу є на закриття доступів після звільнення співробітника?
Правильний орієнтир це та сама година, коли закінчилась розмова про звільнення. Проміжок між рішенням команди і фактичним відключенням доступів це і є вікно ризику, яким варто керувати свідомо.
Хто повинен закривати доступи звільненого співробітника?
Одна названа людина, зазвичай операційний керівник невеликої команди або той, хто веде адміністрування сервісів. Коли відповідального призначають лише в момент звільнення, частина пунктів чекліста губиться між людьми.
Що найчастіше забувають закрити після звільнення співробітника?
Особисті пристрої із синхронізованою поштою, домен чи хостинг, зареєстровані колись на особисту адресу, і активні сесії чи токени, які переживають зміну пароля. Кожен із цих пунктів варто внести в чекліст окремим рядком заздалегідь.