Увольнение сотрудника: как закрыть доступы и сохранить рабочие данные

Начните с подтверждённой заявки и времени отключения

IT выполняет технические действия по подтверждённой заявке HR или уполномоченного руководителя. В ней указывают сотрудника, точные учётные записи, момент прекращения доступа с часовым поясом, владельца передаваемых данных и ответственного за приём оборудования. Запрос из неизвестного мессенджера сначала проверяют по установленному каналу.

Разделите подготовку и исполнение. До согласованного момента можно составить перечень систем, определить зависимости и подготовить нового владельца. Само отключение проводят в назначенное время. Если заявку изменили или отменили, это должно дойти до каждого исполнителя. Иначе почта уже заблокирована, а VPN остаётся активным — или человек теряет доступ раньше, чем планировалось.

Составьте карту доступов, а не список паролей

Отправная точка — реестр сотрудников, устройств и сервисов. Сверьте его с владельцами приложений: некоторые кабинеты могли подключаться отдельно от центрального каталога. Для каждой системы запишите идентификатор пользователя, владельца, способ отключения, связанные данные и подтверждение результата.

Если единого перечня нет, начните с аудита инфраструктуры и доступов. Не считайте кнопку удаления пользователя в одной системе завершением всей заявки.

Блокировка входа и удаление учётной записи — разные действия

Блокировка ограничивает вход, сохраняя учётную запись для дальнейшей обработки. Удаление может запустить очистку данных, нарушить связи с приложениями или лишить администратора удобного способа передачи файлов. Поэтому сначала определите, что необходимо сохранить и кому это передать, а окончательное удаление вынесите в отдельный согласованный этап.

В гибридной инфраструктуре выясните, где находится исходная запись и как изменения синхронизируются между AD и Entra ID. Не ограничивайтесь удалением облачного объекта. Microsoft отдельно выделяет запрет входа, сохранение данных, обработку лицензий и удаление пользователя в порядке работы с бывшим сотрудником.

Отзовите сессии и проверьте устройства

Смена пароля не заменяет отзыв активных сессий. Помимо блокировки новых входов, завершите сеансы предусмотренными средствами Entra ID, VPN и самих приложений. Отдельно проверьте персональные API-токены, ключи SSH, пароли приложений и независимые входы в SaaS. Их жизненный цикл может отличаться от основного аккаунта.

Microsoft предупреждает: приложение может выдавать собственную сессию, которую Entra ID не отзывает напрямую. Уже выпущенные токены и особенности приложения влияют на фактическое время прекращения доступа. Поэтому обещание «всё отключится мгновенно» некорректно. Подробнее — отзыв доступа и сессий в Entra ID.

Проверьте возврат корпоративных устройств и статус их связи с управлением. Устройство без интернета не получит удалённую команду немедленно; локальные копии могут оставаться на нём. На личном телефоне отзывают корпоративный доступ и, при наличии согласованного управления, удаляют рабочие данные. Полное стирание личного устройства без отдельного подтверждённого основания не является обычным шагом увольнения.

Передайте рабочие данные и проверьте правила Microsoft 365

Руководитель назначает получателя и определяет необходимый объём. Передайте рабочие каталоги, документы проекта, владельцев команд и общих ресурсов в контролируемое корпоративное хранилище. Зафиксируйте расположение и доступы. Не используйте вход под именем ушедшего сотрудника или пересылку его личной почты как способ передачи дел.

Для корпоративного ящика согласуйте, нужен ли делегированный доступ, общий ящик или другой вариант обработки новых обращений. Не включайте бессрочную пересылку «на всякий случай»: у неё должны быть получатель, цель и срок пересмотра. Права на OneDrive и общие документы также выдавайте назначенному лицу, а не всей команде.

Для OneDrive Microsoft описывает отдельные механизмы хранения после удаления пользователя и обработки нелицензированных хранилищ. Не подставляйте универсальное число дней: проверьте настройки организации и актуальные правила OneDrive. Наличие политики хранения само по себе не подтверждает, что новый владелец получил нужные файлы. Устройство среды рассматриваем также в статье о Microsoft 365 для малого бизнеса.

Замените общие секреты с учётом зависимостей

Личный аккаунт может быть заблокирован, но известный сотруднику общий пароль продолжит работать. Проверьте доступные ему административные пароли, сервисные токены, ключи резервного копирования и интеграций. Не прикладывайте сами секреты к обычной заявке: храните их в предусмотренном защищённом хранилище.

Перед заменой определите потребителей секрета: службы, задания, обмены 1С, скрипты и внешние интеграции. Назначьте владельца каждого изменения. Подготовьте новые значения, обновите зависимости, проверьте работу и отзовите старые. Если требуется немедленный отзыв, возможную остановку зависимых сервисов согласуют отдельно. Незамеченная смена пароля технической записи может остановить обмен данными ночью.

Передавайте администрирование через новые именные доступы

При смене администратора или подрядчика передают документацию, перечень систем, контакты поддержки и управление корпоративными аккаунтами. Новый исполнитель получает собственную запись и необходимые роли. Не стоит переименовывать аккаунт прежнего сотрудника и продолжать пользоваться его историей входов.

Ограничьте полномочия задачей и предусмотрите пересмотр временных прав. Это соответствует принципу минимальных привилегий NIST. Проверьте принадлежность домена, хостинга и резервных копий компании, а также доступ ответственного к восстановлению управления. Организационные зависимости разобраны в материале о рисках IT на полставки.

Закройте заявку после проверки результата

Исполнитель подтверждает действия по каждой системе. Владелец данных проверяет, что документы открываются и права выданы правильно. Владельцы сервисов проверяют почту, обмены, резервное копирование и другие затронутые операции. Проверку отказа доступа выполняют разрешёнными средствами администрирования и журналами, без запроса личных паролей сотрудника.

• Есть подтверждённая заявка, согласованный момент отключения и список исполнителей.
• Учтены основные, административные и отдельные облачные записи; отключение подтверждено по списку.
• Проверены сессии, VPN, токены, устройства и независимые доступы приложений.
• Рабочие данные переданы уполномоченному владельцу; лицензии обработаны по выбранному плану.
• Общие секреты заменены, зависимые службы проверены, оборудование учтено.
• Записаны незавершённые действия, ответственные и время следующей проверки.

Итоговый акт или запись в системе заявок отвечает на вопросы: кто, что, в какой системе и когда сделал; кто проверил; какие исключения остались. Статус «готово» без этих сведений плохо помогает следующему администратору. Возврат доступа оформляют новой подтверждённой заявкой, а не отменой всех изменений одной кнопкой.

Источники

1. Microsoft Learn — Remove a former employee: порядок защиты доступа и данных.
2. Microsoft Learn — Revoke user access: сессии, токены и ограничения отзыва.
3. Microsoft Learn — OneDrive retention and deletion: хранение и удаление.
4. NIST CSRC — принцип минимальных привилегий.