Подрядчик закончил работу над проектом. Его пропуск в офис отключили, доступ к VPN закрыли, а открытая вчера сессия в системе договоров продолжает работать. Сотрудники выполнили инструкцию по увольнению, но компания всё ещё не управляет доступом к самим документам.
Это подходящий повод обсуждать Zero Trust. Не потому, что прежняя защита бесполезна, а потому, что нахождение в корпоративной сети не отвечает на вопрос: вправе ли этот человек сейчас читать этот договор? Для приложения нужны собственные основания разрешить действие, независимо от того, откуда пришёл запрос.
Что меняется после входа
Вход подтверждает личность, но не выдаёт разрешение на всё содержимое системы. Zero Trust переносит внимание с общей границы сети на защищаемые ресурсы, пользователя или сервис и условия доступа. Ни офисная сеть, ни принадлежность ноутбука компании сами по себе не должны давать неявное доверие. Так подход определён в NIST SP 800-207.
Для системы договоров это может означать: сотрудник работает с документами своего проекта, с допустимого устройства, пока назначение действительно. Массовая выгрузка или изменение условий требуют отдельных полномочий. Если аккаунт сотрудника захватили, такой порядок уменьшит доступный объём действий, но не сделает безвредными все операции, которые ему законно разрешены.
Поэтому Zero Trust не заменяет резервное копирование, защиту устройств и работу с уязвимостями. И не требует объявить VPN вредным: защищённый канал может оставаться полезным. Просто канал доставки и право читать документ — разные проверки.
Где решение действительно исполняется
Политика доступа — это правило, например «участник действующего проекта может читать его договоры». Для её применения нужны сведения о человеке, проекте и запрошенном действии. Затем компонент на пути обращения должен разрешить запрос или отказать. Это может быть приложение, посредник перед ним или несколько согласованных проверок.
Слабое место часто находится не в самом правиле, а в обходном пути. Через основной интерфейс доступ закрыт, но файл открывается по прежней прямой ссылке. Или тот же документ можно получить через API, который проверяет только факт входа. Добавление общей страницы авторизации не исправит эти различия.
В пилоте стоит проследить один документ через просмотр, скачивание, поиск и выгрузку. Полученные права должны означать одно и то же на всех этих маршрутах. Уже скачанную копию отключение учётной записи не вернёт; ограничения распространения данных требуют отдельного решения.
Постоянная проверка не означает постоянный ввод пароля
Пользователю не нужно вручную входить перед каждой строкой отчёта. Приложение может проверять разрешение автоматически, используя действующую сессию и доступные сведения. Дополнительное подтверждение уместно там, где меняются риск или последствия операции, а не ради количества запросов на экране.
При этом сведения устаревают. Подрядчика убрали из проекта, устройство признали небезопасным, временное разрешение закончилось. Нужно определить, когда изменение станет обязательным для приложения. Короткий срок токена сокращает часть окна риска, но не объясняет судьбу уже открытых сессий и отдельных локальных разрешений.
Некоторые платформы передают приложениям события для повторной оценки доступа. Например, Continuous Access Evaluation в Microsoft Entra зависит от поддержки участвующих приложений и распространения событий. Это пример механизма, а не обещание мгновенного отключения любой системы после установки одного продукта.
Сервисные аккаунты тоже входят в границу проверки
Закрыть доступ подрядчику недостаточно, если его ночной скрипт продолжает работать под общей технической учётной записью. Человеческие назначения и полномочия автоматизации надо учитывать раздельно: кто владеет интеграцией, что ей разрешено и когда заканчивается необходимость в ней.
Для импорта достаточно читать оговорённый каталог и создавать записи нужного типа. Право менять настройки пользователей ему обычно не требуется. Принцип минимальных привилегий здесь полезнее универсального аккаунта, которым удобно запускать всё подряд.
Секрет, подтверждающий личность сервиса, тоже должен иметь управляемый жизненный цикл. Его отзыв и выдача новых полномочий — отдельная работа. Смена пароля человека не доказывает, что перестали действовать все созданные им интеграции.
Что произойдёт при отказе проверки
У системы авторизации появятся собственные зависимости. Если нельзя получить актуальное назначение сотрудника, надо заранее решить, какие операции прекращаются и допускается ли ограниченное использование ранее подтверждённых сведений. Ошибка проверки не должна незаметно превращаться в полный доступ.
Для новых чувствительных разрешений безопасный исход — отказ, пока необходимые условия не подтверждены. Для продолжения уже разрешённой ограниченной работы могут существовать заранее утверждённые правила. Их проверяют отдельно, с понятными сроками и журналированием, а не придумывают во время аварии.
Администраторам нужен контролируемый аварийный доступ, иначе неудачная политика способна лишить их возможности исправить саму систему. Он не должен зависеть от единственного сломанного пути входа. Использование ограничивают, наблюдают и разбирают; такой подход описан в рекомендациях Microsoft по аварийным учётным записям. Это не запасной общий пароль для повседневной работы.
Начать с окончания одного проекта
Вместо большого переезда всей компании выберите один процесс с внешними участниками. Зафиксируйте, кто подтверждает их назначение, какие документы доступны и сколько времени может занимать отзыв. Для старого приложения сначала выясните, где вообще можно обеспечить проверку, а не обещайте одинаковую интеграцию со всеми системами.
Затем завершите тестовое назначение, оставив открытый браузер и подготовленный запрос к API. Проверьте новый вход, прежнюю сессию и скачивание документа. Попробуйте выполнить обычную работу другим действующим участником: корректный отзыв не должен остановить весь проект.
Результатом станет известная граница: какие обращения закрываются, с какой задержкой и где остаются исключения. За них назначают ответственных и срок пересмотра. Такой результат легче защищать перед руководством, чем число подключённых приложений, которое ничего не говорит о судьбе доступа после завершения работы.