Внешние специалисты нужны, но доступ им выдают обычно навсегда и на всё.
Внешние специалисты нужны, но доступ им выдают обычно навсегда и на всё. Правила, которые стоит соблюдать. Отдельные именные учётные записи, а не общая «подрядчик». Доступ только к тем системам, где идут работы. Ограничение по времени: доступ выдан на период работ и автоматически истекает. Журналирование действий и запись сессий для критичных систем. Согласование окон: работы в проде — по расписанию, а не когда удобно. Договор. Ответственность за простой и утечку, обязанность уведомлять об инцидентах, запрет передавать доступы третьим лицам. Что проверить после окончания работ. Отозваны ли доступы. Не остались ли добавленные ключи и учётные записи. Не изменена ли конфигурация сверх согласованного. И самое частое упущение: доступ подрядчику, который делал проект три года назад, до сих пор работает. Проверяли, у кого из внешних есть доступ прямо сейчас?