Корпоративная сеть и разграничение доступа сотрудников в офисе финансовой компании

Офис на несколько десятков рабочих мест жил в одной плоской сети. Это означает ровно то, как звучит: любой компьютер в офисе видел любую сетевую папку, любой сервис и любую машину коллеги. Разделения не было, потому что сеть выросла естественным путём: подключали технику по мере появления, и никто не проектировал, кто с кем должен быть связан.

Доступ к рабочим папкам держался на общих паролях. Пароль от папки бухгалтерии знал не только бухгалтер: его передавали, когда нужно было что-то посмотреть, и он оставался известным после того, как надобность проходила. Для компании, работающей с финансовыми данными клиентов, это значит, что на вопрос «кто имеет доступ к этим файлам» честного ответа не существовало.

Отдельной проблемой была гостевая сеть, которой не было. Подрядчики, клиенты и личные телефоны сотрудников подключались к тому же Wi-Fi, что и рабочие машины, и оказывались внутри той же плоской сети.

Резервные копии делались, но вручную и на тот же сервер, где лежали оригиналы. Такая копия защищает от случайного удаления файла и не защищает ни от чего другого: выход из строя диска уносит и оригинал, и копию одновременно.

На вопрос «кто имеет доступ к финансовым данным клиентов» ответа не было: пароль от папки знал тот, кому его когда-то передали.

Начали с проектирования, а не с настройки оборудования. Сначала разобрали, какие отделы есть в компании, с какими данными работает каждый и что из этого не должно пересекаться. Схема сети выросла из этого разбора: она отражает структуру компании, а не порядок, в котором когда-то подключали технику.

Сеть разделена на сегменты. Рабочий сегмент, где работают сотрудники, гостевой, куда попадают личные устройства и подключения подрядчиков, и сегмент серверов, где лежат данные. Трафик между сегментами идёт по явным правилам: разрешено то, что нужно для работы, остальное закрыто по умолчанию. Гостевое устройство физически не видит ни рабочих машин, ни серверов.

Внутри офиса подняли сервер: на нём живут общие данные компании и внутренние сервисы. До этого файлы расползались по компьютерам сотрудников, и рабочий документ существовал в трёх версиях на трёх машинах.

Доступ переведён на персональные учётные записи. У каждого сотрудника свой вход, привязанный к его отделу, и права выдаются отделу, а не человеку по отдельности: бухгалтерия видит бухгалтерское, отдел работы с клиентами видит своё, руководство видит сводное.

Схема сети выросла из структуры компании, а не из порядка, в котором когда-то подключали технику.

Раздача прав по отдельным людям кажется точнее, и в первый месяц она действительно точнее. Проблема начинается дальше. Сотрудник переходит из одного отдела в другой, уходит в отпуск с передачей дел, увольняется, возвращается на проектную работу. Каждое такое событие требует вспомнить, что именно ему когда-то выдали, и в компании на несколько десятков человек этого никто не помнит уже через полгода.

Права, привязанные к отделу, переживают текучку. Приём нового сотрудника это добавление его в отдел, а не восстановление по памяти списка папок, которые нужны бухгалтеру. Увольнение это отключение одной учётной записи, а не поиск всех мест, где человек был вписан поимённо, и не смена общего пароля, который после этого придётся сообщить всем оставшимся.

Для финансовой компании у этого есть ещё одно следствие. Вопрос «кто имел доступ к этим данным в марте» получает проверяемый ответ: состав отдела известен, права отдела описаны. Раньше ответом был список тех, кому, возможно, называли пароль.

Увольнение сотрудника перестало быть поводом менять общий пароль и сообщать новый всем оставшимся.

Часть сотрудников работала не только из офиса, и внутренние данные были нужны им вне рабочего места. Простой путь здесь это открыть нужный сервис в интернет и закрыть его паролем. Мы этого не делали: сервис, доступный из интернета, доступен всем, а пароль остаётся единственным, что стоит между финансовыми данными и любым желающим.

Вместо этого удалённые сотрудники подключаются к рабочей сети по защищённому каналу и попадают в тот же сегмент, что и в офисе, с теми же правами своего отдела. Внутренние сервисы наружу не смотрят: снаружи видно только точку подключения, а не то, что за ней.

Права при этом не раздваиваются. Сотрудник из дома и он же за своим столом это одна учётная запись с одним набором прав, а не два разных режима доступа, которые расходятся при первом же изменении.

Внутренние сервисы не смотрят в интернет: снаружи видно точку подключения, а не то, что за ней.

Резервное копирование настроено по расписанию и в отдельное хранилище, а не на тот же диск, где лежат рабочие данные. Копия рядом с оригиналом спасает от одного сценария из многих, и это не тот сценарий, ради которого копии вообще делают.

Важнее самого расписания оказалась проверка. Резервная копия, которую ни разу не разворачивали, это предположение, а не копия: ошибка в настройке обнаруживается в момент, когда восстанавливаться нужно прямо сейчас. Поэтому восстановление проверяется, и известно не только то, что копии создаются, но и то, что из них поднимаются данные.

Всё, что мы настроили, описано: схема сети, адресация, правила между сегментами и права отделов. Документ нужен не нам: следующий администратор компании должен разбираться по описанию, а не восстанавливать логику обратной инженерией того, что застал.

Резервная копия, которую ни разу не разворачивали, это предположение, а не копия.

У компании появился проверяемый ответ на вопрос о доступе к данным. Не «пароль знают в бухгалтерии», а конкретный состав отдела и описанные права этого отдела. Для финансовой компании, которая работает с чужими деньгами и чужими сведениями, это разница между «мы считаем, что всё в порядке» и «вот как это устроено».

Личные телефоны, ноутбуки подрядчиков и подключения гостей перестали оказываться в одной сети с рабочими машинами и сервером.

Работа из дома перестала требовать выбора между удобством и открытой наружу сетью. А резервные копии превратились из ритуала в механизм, про который известно, что он работает, потому что это проверяли.

Вся работа заняла около месяца. Это тот случай, когда основное время уходит не на настройку, а на разбор того, как компания устроена: что за отделы, кто с какими данными работает и что из этого не должно пересекаться.