Сисадмин уволился: как забрать доступы и не остаться у него в заложниках

IT-аутсорсинг · 30.10.2026 · 12 мин чтения · Команда НПП РЕКОРД

Домен зарегистрирован на бывшего сотрудника, пароль от сервера знает только он, а облако привязано к его телефону. Знакомо? Разбираем, что сделать в день увольнения администратора, в каком порядке менять доступы, как вернуть домен и почту, и как заранее устроить IT так, чтобы смена подрядчика или сотрудника не превращалась в кризис.

Коротко. Всё, что знает и умеет администратор, должно быть записано и принадлежать компании: домен, почта, облака и лицензии — на юрлицо, пароли — в корпоративном менеджере паролей, схема сети — в документации. В день увольнения: принять дела по списку, сменить пароли от всех общих и административных учётных записей, отозвать удалённый доступ и ключи, проверить, не осталось ли «запасных входов» и запланированных задач. Порядок важен: сначала опись и новые пароли, потом блокировка старых доступов — иначе можно потерять доступ самим.

В малом и среднем бизнесе часто вся IT-инфраструктура держится на одном человеке. Он настраивал сервер, регистрировал домен, заводил облако и помнит все пароли. Пока он работает — всё хорошо. Но люди уходят: на другую работу, со скандалом, или просто перестают отвечать на звонки, если это был фрилансер. И тут выясняется, что компании принадлежат только железо и счета, а ключи от всего остального — у одного человека.

Чаще всего проблема не в злом умысле. Бывший администратор не собирается вредить — он просто не помнит, где что лежит, или не отвечает. Но бизнесу от этого не легче: без пароля от сервера не обновить 1С, без доступа к домену не продлить его, без доступа к облаку не восстановить бэкап.

Ключи от IT должны принадлежать компании, а не конкретному человеку

Когда уход превращается в атаку: две реальные истории

• Cisco, 2018 год. Инженер уволился в апреле, а в сентябре зашёл в облачную инфраструктуру компании в AWS, к которой у него остался доступ, и удалил 456 виртуальных машин сервиса Webex Teams. Около 16 000 пользователей не могли работать до двух недель. Восстановление обошлось компании примерно в 1,4 млн долларов рабочего времени сотрудников, ещё больше 1 млн ушло на компенсации клиентам. Бывший сотрудник получил два года тюрьмы.
• Eaton, 2019 год. Разработчик, недовольный понижением, заранее заложил в сеть компании «логическую бомбу» — скрытую программу, которая срабатывает при условии. Условием было отключение его учётной записи в Active Directory. В день увольнения учётку заблокировали, бомба сработала, и работа тысяч сотрудников по всему миру нарушилась. В 2025 году суд приговорил его к четырём годам тюрьмы.

Вторая история показывает важную вещь: простой блокировки учётной записи может быть недостаточно, а иногда она сама запускает проблему. Поэтому при уходе человека с полными правами нужна не одна галочка «отключить», а проверка по списку.

• $17,4 млн — средние годовые потери компании от инцидентов из-за сотрудников (по исследованию крупных организаций)
• 81 день — в среднем уходит на то, чтобы остановить такой инцидент (чем дольше, тем дороже)
• 456 — виртуальных машин удалил бывший инженер Cisco (через 5 месяцев после ухода)

Источник: Ponemon Institute / DTEX, 2025 Cost of Insider Risks; Министерство юстиции США

Что проверить заранее: кому на самом деле принадлежат ключи

Лучший момент разобраться с доступами — пока администратор работает и готов помочь. Пройдите по таблице и для каждой строки ответьте на два вопроса: на кого это оформлено и кто ещё, кроме администратора, может туда войти.

Домен — самая неприятная из ловушек. По правилам регистрации доменов .RU и .РФ правами на домен обладает тот, кто указан администратором в реестре: если домен оформлен на сотрудника как на физическое лицо, юридически это его домен. Передать его компании можно, но только с его согласия: администратор подаёт заявку регистратору (компании, через которую зарегистрирован домен), новый владелец подтверждает согласие, и регистратор переоформляет домен в течение трёх рабочих дней. Если человек не отвечает или не хочет помогать, остаётся долгий спор — а без домена не работают ни сайт, ни почта.

Важно. Проверьте прямо сегодня: найдите свой домен в сервисе WHOIS у регистратора и посмотрите, кто указан администратором. Если там фамилия сотрудника или фрилансера — переоформите домен на компанию, пока с этим человеком есть контакт.

В день увольнения: чек-лист на 20 пунктов

Порядок важен. Если сначала заблокировать администратора, а потом выяснить, что пароль от сервера знал только он, придётся вскрывать собственную систему. Поэтому сначала — опись и передача, потом — смена паролей, и только потом — блокировка.

Этап 1. Опись и передача дел (до последнего дня)

1. Получить список всех систем, к которым у администратора есть доступ: серверы, сетевое оборудование, облака, хостинг, домены, почта, 1С, бэкап, видеонаблюдение, телефония, сайты.
2. Получить пароли от всех общих и административных учётных записей в корпоративный менеджер паролей — не в мессенджер и не на бумажку.
3. Проверить, что домен, почта, облака и подписки оформлены на компанию; что не так — переоформить, пока человек на связи.
4. Получить актуальную схему сети и описание резервного копирования: что копируется, куда, как часто и как восстановить.
5. Проверить восстановление из бэкапа без участия уходящего администратора — силами нового специалиста или подрядчика.
6. Получить ключи шифрования (бэкапов, дисков) и коды восстановления двухфакторной аутентификации (2FA) от критичных сервисов.
7. Оформить акт приёма-передачи дел и подписать его с обеих сторон.

Этап 2. Смена ключей (в последний рабочий день)

1. Сменить пароли всех административных и общих учётных записей: домен, серверы, роутеры и файрвол, Wi-Fi, облака, хостинг, 1С, системы бэкапа.
2. Перепривязать двухфакторную аутентификацию с телефона и почты уходящего сотрудника на корпоративные.
3. Отозвать удалённый доступ: VPN-сертификаты и учётки, RDP, программы удалённого доступа (AnyDesk, RustDesk и подобные), SSH-ключи на серверах.
4. Отозвать API-ключи и токены, которые он создавал для интеграций и скриптов, и выпустить новые.
5. Удалить его из администраторов облаков, почтового сервиса, сайта, кабинетов регистратора и хостинга.
6. Сменить пароль Wi-Fi, если он общий для всех сотрудников.

Этап 3. Блокировка и проверка «запасных входов» (сразу после)

1. Отключить личную учётную запись сотрудника — не удалять сразу: она может понадобиться для расследования и передачи почты.
2. Найти лишние учётные записи с правами администратора: «test», «admin2», «service» и подобные, о которых никто не знает, — отключить.
3. Проверить запланированные задачи и скрипты на серверах: всё, что запускается по расписанию или при событии, должно быть понятно и описано.
4. Проверить правила файрвола и проброса портов: не осталось ли открытого входа из интернета «для себя».
5. Проверить пересылку почты: не настроено ли автоматическое копирование писем руководителя или бухгалтерии на внешний ящик.
6. Следить за журналами входов первые недели: попытки входа под старыми учётками — повод для разбирательства.
7. Через месяц провести контрольный аудит доступов: всё ли сменили, ничего ли не забыли.

Совет. История Eaton — довод проверять запланированные задачи и скрипты до блокировки учётной записи, а не после. Если на серверах есть непонятные задачи, которые никто не может объяснить, лучше разобрать их вместе со специалистом заранее.

Если администратор уже ушёл и не отвечает

Так бывает чаще, чем хотелось бы: фрилансер пропал, сотрудник ушёл со скандалом, пароли никто не знает. Паниковать не нужно, но действовать стоит быстро.

• Начните с того, что можно вернуть через документы: доступ к домену, облакам, хостингу и почтовому сервису восстанавливают через поддержку провайдера по реквизитам компании и договору. Чем больше оформлено на юрлицо, тем проще.
• Доступ к своим серверам и оборудованию обычно возвращают сбросом паролей при физическом доступе — это работа для специалиста, а не для эксперимента: неосторожный сброс может повредить данные или остановить 1С.
• Сразу после восстановления — полная смена паролей и проверка «запасных входов» из этапа 3.
• Если есть признаки того, что бывший сотрудник заходит в системы, сохраните журналы и не удаляйте следы: неправомерный доступ к компьютерной информации — преступление по статье 272 УК РФ, и доказательства понадобятся для заявления.

Как сделать, чтобы это больше не повторилось

При работе с подрядчиком на IT-обслуживании те же правила стоит записать в договор: все доступы и документация принадлежат заказчику и передаются при расторжении договора по акту, а активы оформлены на заказчика. Хороший подрядчик сам на этом настаивает: ему не нужна зависимость клиента, ему нужно, чтобы клиент оставался, потому что доволен работой.

Проверка простая: если ваш IT-специалист завтра не выйдет на связь, сможете ли вы за день восстановить работу без него? Если ответ «не знаю» — пора собрать ключи в одном месте, пока это можно сделать спокойно.

Источники

• Дело Cisco: приговор бывшему инженеру — Министерство юстиции США
• Дело Eaton: «логическая бомба» и приговор — Министерство юстиции США
• 2025 Cost of Insider Risks Global Report — Ponemon Institute / DTEX
• Администраторам доменов .RU и .РФ — Координационный центр доменов .RU/.РФ

Теги: увольнение сисадмина, доступы, пароли, домен, смена подрядчика, IT-аутсорсинг, внутренний нарушитель, чек-лист