Удалённый доступ для сотрудников ломается не на технике, а на отсутствии правил. Перед запуском зафиксируйте четыре вещи: кто отвечает за каждое устройство, какой объём прав выдаётся, на какой срок и по какому событию доступ закрывается. Всё остальное — настройки, которые делаются за час.
Что включить в политику?
Не пишите десять страниц — их никто не прочитает. Достаточно пунктов, по каждому из которых можно проверить факт.
- Инвентаризация с владельцами. У каждой машины назван человек, который за неё отвечает. Устройство без владельца первым выпадает из обновлений и последним лишается доступа при увольнении.
- Уровни доступа. Отдельно: просмотр экрана, управление вводом, передача файлов, доступ без присутствия пользователя. По умолчанию выдаётся минимальный уровень.
- Аутентификация. Обязательный второй фактор на учётной записи, через которую открывается доступ. Пароль утекает; второй фактор делает утечку бесполезной.
- Срок и триггер отзыва. Событие, по которому доступ закрывается: последний рабочий день, окончание договора, закрытие проекта. Не «по мере необходимости».
- Журналирование. Кто, когда и к какой машине подключался. Без этого нельзя ни разобрать инцидент, ни подтвердить объём работ подрядчика.
- Порядок для подрядчиков. Внешним исполнителям — отдельные учётные записи и заранее ограниченный срок, а не общий доступ «как у своих».
Развёрнутый разбор каждого пункта — в чек-листе из семи проверок.
Как запустить без сопротивления?
Сотрудники сопротивляются не правилам, а неудобству. Если новая схема добавляет три шага к каждому подключению, её будут обходить — и обойдут.
Начните с пилота на одном отделе: настройте, соберите жалобы, поправьте. Так вы узнаете про реальные помехи — заблокированный порт, спящие машины, конфликт с антивирусом — на пяти людях, а не на всей компании.
Объясняйте смысл, а не только требование. «Второй фактор нужен, потому что пароли из утечек подбирают автоматически» работает лучше, чем «так положено». И покажите, что правила защищают самого сотрудника: журнал подключений — это в том числе доказательство, что он ничего не делал в те часы, когда что-то сломалось.
Что настроить технически?
Минимум: включённый второй фактор, отдельные учётные записи вместо общих, отключённый переход в сон на машинах с удалённым доступом и понятный человеку способ сообщить о проблеме.
Если машин больше пары десятков, к доступу стоит добавить обзор парка — статусы, метрики и оповещения, чтобы узнавать о проблемах раньше пользователей. Как это устроено, описано на странице мониторинга и управления парком. А если поддержку оказывает внешний подрядчик, отдельно проговорите учёт времени: часы из фактических сессий проще принимать, чем оценку по памяти.
Как это выглядит со стороны самого сотрудника, работающего из дома, — в сценарии удалённой работы.
С чего начать, если политики нет вообще?
С одной страницы, а не с двадцати. Достаточно ответить на четыре вопроса: кто отвечает за каждое устройство, какие права выдаются под какие задачи, по какому событию доступ закрывается и что остаётся в журнале. Документ, который никто не дочитает, не работает, а короткий — работает.
Нужна ли политика, если сотрудников пятеро?
Нужна, но короткая. Размер компании влияет на объём документа, а не на сам факт: доступ, который забыли отозвать у ушедшего человека, одинаково опасен и в команде из пяти, и в компании из пятисот. Разница в том, что в маленькой команде это занимает полчаса.