Подрядчик сдал сайт год назад. Логин «admin» из того чата всё ещё открывает заказы. Стажёр выгружает таблицу «посмотреть». Это не удобство. Это доступ к телефонам и к кассе. 152-ФЗ здесь про людей, не про красивый абзац политики. Срок уведомления при утечке — в актуальном законе. Внутри у списка доступов один хозяин. «Все понемногу» значит никто.
Подрядчику удобнее один пароль на три сайта студии. Вам это стоит инцидента на чужом проекте. Свой логин, свой срок, свой отзыв. Общий пароль из чата снимают в день сдачи.
Таблица сегодня, не после письма
Выгрузите пользователей: имя, группа, последний вход, кто поручился. Кто не называется — выключить. Кто «разработчик 2019» без договора — выключить. Кто молчит девяносто дней — выключить. Общий «admin» после этой таблицы умирает. Журнал входа: чужая страна, ночь. Выгрузка заказов на ноутбуке менеджера — уже вторая база.
- Контенту не нужны заказы и выгрузка людей.
- Складу не нужны правки шаблона.
- Маркетологу — материалы и письма, не смена платёжки.
- Подрядчику — срок в календаре и свой логин, не «потом снимем».
Ключи — те же люди
Пользователь обмена с учётом с полными правами — отдельная строка, пароль не в общей памятке. Ключи и вебхуки с правом на заказ имеют владельца и срок жизни. Доступ в Метрику, рекламу, почту и панель хостинга входит в тот же обход. Ключ в тикете или в открытом репозитории меняют в тот же день. Боевой ключ в публичное хранилище не кладут.
Стажёр и дежурный
Учебный стенд — копия без боевых заказов. Скрин заказа с именем в чате студии уже инцидент, даже без взлома. «Войти как пользователь» пишется в журнал и не раздаётся складу. Дежурный ночью без нужды не лезет в выгрузку «посмотреть»: для аварии хватает хостинга и журнала. Заказы — отдельный ключ. Второй фактор — на тех, у кого заказы и настройки.
Уволили — сняли в тот же день
Вместе с входом в магазин снимают файловый доступ, хостинг, Метрику, почту, учёт. Отпуск подрядчика не повод оставить пароль в мессенджере. Новый человек получает срок в календаре в день выдачи. Журнал смотрят раз в месяц, не после письма про утечку. Политика без хозяина списка — бумага.
Выгрузка заказов на ноутбук менеджера — вторая база без охраны. Ключ обмена с учётом с полными правами живёт отдельной строкой, не в общей памятке. Доступ в Метрику и панель хостинга входит в тот же обход, что вход в магазин. Уволили — сняли в тот же день все контуры. Журнал входа смотрят раз в месяц: чужая страна и ночь. Стажёр учится на копии без боевых заказов. Скрин с именем в чате студии уже инцидент.
Подрядчику удобен один пароль на три проекта. Вам это стоит чужого инцидента. Свой логин, срок в календаре, отзыв в день сдачи. Дежурный ночью без нужды не открывает выгрузку заказов: для аварии хватает журнала хостинга. Второй фактор — на тех, у кого касса и настройки.
Список входов закрывают в тот же день, когда строка не называется. Иначе политика про данные остаётся текстом, а заказы открыты общему паролю.
Назад в раздел
