Лекция «Жизненный цикл учётной записи»

Около 65 минут на 16 тем. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.

Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 42 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.

Шестнадцать тем вокруг одного наблюдения: процесс выстроен под приём, потому что о невыданном доступе человек жалуется сам, а на оставшийся доступ не жалуется никто. Отсюда накопление прав при переводах и осиротевшие учётки. Честная рамка с первой темы: по DBIR 2026 внутренние акторы дают 12% утечек, а умышленное злоупотребление правами — менее 4%, поэтому управление доступом уменьшает ущерб и делает разбор возможным, а не предотвращает утечки. Четыре глагола УПД.1 приказа ФСТЭК № 21 — заведение, активация, блокирование, уничтожение — это жизненный цикл, названный нормой; «ролевой метод» и «минимально необходимые права» — дословные формулировки УПД.2 и УПД.5, обязательных для всех четырёх уровней защищённости. Отдельная тема о том, что эти две меры работают только вместе: широкая роль раздаёт больше прав, чем персональный набор, а клонирование учётки переносит на новичка чужую историю переводов. Три реквизита выдачи с распорядителем ресурса по УЗП.6 и УЗП.7 и сроком по УЗП.13, который переворачивает умолчание. Расставание разбирается по статьям Трудового кодекса: доступ гасится в последний день работы, потому что заявление можно отозвать по ст. 80, средства труда обязана обеспечить ст. 22, оснований отстранения в ст. 76 нет, а простой по вине работодателя стоит двух третей среднего заработка по ст. 157; инструмент на период предупреждения — сужение прав и усиление контроля. Технический слой: access-токен живёт 60–90 минут, refresh-токен до 90 дней неактивности и бессрочно по Max Age, пока не отозван, и политиками не настраивается с 30 января 2021 года; порядок экстренного отзыва из пяти шагов с двойным сбросом пароля; автоматическое снятие в приложениях идёт 20–40 минут, а там, где его нет, не идёт никогда. Отдельная тема о доступе мимо рубильника: локальные учётки, ключи, SSH-ключи, токены, сервисные записи, секреты конвейера, общие записи «на смену», пропуска. Три разбора: Cisco — ключ пережил сотрудника на пять месяцев и стоил 456 виртуальных машин; NCS — 51 день между последним рабочим днём и первым неправомерным входом при девятнадцати незамеченных входах; Череповец — заблокированной сотруднице хватило соседней учётной записи, а штраф 25 000 ₽ не вернул компании ни одного из 900 файлов. Денежная линия: учёт лиц с доступом — одна из пяти мер ст. 10 98-ФЗ, без которых режима коммерческой тайны нет, а ч. 5 ст. 11 лишает работодателя возмещения убытков, если разглашение произошло из-за несоблюдения им же мер. Ревизия: «24 часа на блокировку» не российская норма, сроки в числах есть только в ГОСТ Р 57580.1-2017 (90 и 45 дней), а пересмотр без корректирующего действия — отчёт, а не контроль. Заканчивается автоматизацией как новой точкой отказа, доступом подрядчиков без видимого кадрового события, учётками на личной почте, которые не отозвать вообще, и границами самой лекции.

Не отключать и объяснить цену. Заявление не прекращает трудовые отношения: по ст. 80 ТК работник вправе отозвать его в любое время до истечения срока предупреждения, а по ст. 84.1 днём прекращения договора во всех случаях является последний день работы. Пока человек работает, ст. 22 обязывает работодателя обеспечивать его средствами, необходимыми для исполнения трудовых обязанностей, — учётная запись и доступ к системе ровно такое средство. Отстранить его по этому поводу нельзя: перечень оснований в ст. 76 закрытый, и «подал заявление» в нём нет. Если человек не может работать по вине работодателя, это простой с оплатой не менее двух третей средней заработной платы по ст. 157 — за каждый день, и он при этом остаётся в организации ещё две недели, уже зная, как с ним поступили. Работающий инструмент на этот период другой: сузить права до необходимых для передачи дел и усилить контроль действий. В ГОСТ Р 57580.1-2017 это меры УЗП.12 и группа УЗП.22–УЗП.24, в каталоге NIST SP 800-53 — AC-2(13) и PS-5.

Нет, и по двум разным причинам. Первая — время. Документация Microsoft для Entra ID описывает время жизни access-токена по умолчанию как случайное значение в диапазоне 60–90 минут и прямо называет эту настройку компромиссом между производительностью и тем, сколько времени клиент сохраняет доступ после отключения учётной записи. Refresh-токен живёт до 90 дней неактивности, а по Max Age — до отзыва, и с 30 января 2021 года его время жизни не настраивается политиками. Поэтому отключение дополняется принудительным отзывом сессий, а механизм непрерывной оценки доступа отзывает токены практически в реальном времени при отключении записи. Вторая причина важнее: значительная часть доступа живёт вообще мимо учётной записи. Ключи доступа к облаку, SSH-ключи на серверах, токены прикладных интерфейсов, сервисные учётки, секреты в переменных окружения конвейера, локальные записи на машинах, общие записи «на смену» и физические пропуска рубильником не гасятся. В случае Cisco уволенный вошёл через пять месяцев именно по такому ключу и удалил 456 виртуальных машин.

Такого срока в российских документах нет, и повторять «24 часа по закону» не стоит — у этой цифры нет первоисточника. ГОСТ Р 57580.1-2017 требует контроля отсутствия незаблокированных учётных записей уволенных, работников, отсутствующих более 90 календарных дней, и работников подрядных организаций, прекративших деятельность, — но часов не называет. Каталог NIST SP 800-53 оставляет срок параметром, который заполняет организация. 24 и 72 часа, которые часто путают с этим сроком, относятся к другому: это сроки уведомления Роскомнадзора об инциденте с персональными данными по ч. 3.1 ст. 21 152-ФЗ. Вывод практический: срок назначаете вы, и делать это надо заранее, а не в день увольнения. Если собственных оснований для числа нет, единственная обоснованная шкала — ГОСТ: 90 дней неиспользования прав для уровней 3 и 2 и 45 дней для уровня 1.