Сервер компании был оформлен на уволенного подрядчика — и чуть не встал склад
Ко мне обратилась оптовая компания после того, как склад встал на полтора дня из-за конфликта с бывшим ИТ-подрядчиком. При аудите выяснилось: вся рабочая инфраструктура компании годами держалась на арендованном сервере, оформленном на личные данные одного человека.
На днях обсуждали с коллегами инициативу привязать покупку виртуальных серверов и услуг VPN к подтверждению личности через Госуслуги. Идея пока на уровне обсуждения, но она напомнила мне один случай из практики — про то, как бизнес годами не задумывается, на кого вообще оформлена его цифровая инфраструктура. И расплачивается за это в самый неподходящий момент.
Как обычно возникает такая дыра
Компания — оптовый поставщик, около 40 сотрудников, свой склад и небольшая производственная линия. Штатного ИТ-специалиста не было: все технические задачи вёл один подрядчик, работавший с фирмой три года. Он же в своё время настроил удалённый доступ к учётной системе и CRM для сотрудников на удалёнке — арендовал виртуальный сервер у облачного провайдера и поднял на нём рабочее окружение.
Проблема в том, что сервер был арендован на личный аккаунт подрядчика: его почта, его банковская карта, его логин и пароль от панели управления. В договоре с компанией об этом не было ни строчки — просто "настроил удалённый доступ", и все были довольны, пока всё работало.
Во что это обошлось бизнесу
Отношения с подрядчиком испортились из-за спора по оплате очередного этапа работ. Он посчитал, что ему недоплатили, и в качестве аргумента временно ограничил доступ к серверу — благо, что не удалил данные, но и этого хватило. Сотрудники не смогли зайти в учётную систему и CRM почти на полтора дня, склад не мог оформлять отгрузки, часть заказов ушла с задержкой.
По грубым подсчётам собственника, простой и штрафы по контрактам обошлись компании примерно в 380 000 рублей. Отдельно — репутационные потери с двумя клиентами, которые после этого случая ушли к конкурентам.
Что показал аудит
Когда меня позвали разобраться, первым делом я спросил простую вещь: кто в компании знает логин и пароль от панели управления сервером и на кого оформлен договор с провайдером. Ответа не было ни у директора, ни у главного бухгалтера, ни у нового ИТ-подрядчика, которого наняли после инцидента.
Оказалось, что вся ключевая инфраструктура компании — не только удалённый доступ к 1С, но и корпоративная почта, и резервные копии базы клиентов — держалась на личных аккаунтах бывшего подрядчика. Формально сервером и всеми данными на нём владел не бизнес, а один конкретный человек, с которым к тому моменту были испорченные отношения.
> Собственник признался: он был уверен, что раз всё "работает и настроено", значит инфраструктура принадлежит компании. Оказалось — нет.
Как закрыли проблему за неделю
Мы перенесли всё рабочее окружение на новый сервер в отечественном облаке, оформленный напрямую на юридическое лицо компании, с корпоративной почтой и картой организации, а не сотрудника. Все пароли и доступы завели на нового ответственного, доступ бывшего подрядчика отозвали полностью и проверили, что он нигде больше не остался администратором.
- Составили список всех сервисов компании — почта, CRM, учётная система, резервные копии — и проверили, на кого они оформлены
- Перевели ключевую инфраструктуру на аккаунты юридического лица, а не физлиц-подрядчиков
- Настроили отдельный доступ для каждого сотрудника вместо одного общего логина
- Подключили уведомление руководителю в мессенджер при входе в панель управления сервером с нового устройства
- Закрепили в договоре с новым подрядчиком пункт: все аккаунты и доступы оформляются только на компанию
Стоимость этих работ оказалась несопоставима с суммой потерь от одного простоя склада — заказчик сам сказал, что дешевле было бы навести этот порядок ещё три года назад, когда всё только настраивалось.
История с обсуждаемой привязкой аренды серверов к Госуслугам тут показательна: если правила ужесточат, а инфраструктура компании по-прежнему висит на личных данных подрядчика или уволенного сотрудника, разбираться с переоформлением придётся в разы дольше и болезненнее, чем сейчас. Проще навести порядок заранее, пока это не стало вопросом выживания бизнеса на несколько дней.
А вы уверены, что серверы, домены и облачные сервисы вашей компании оформлены на саму компанию, а не на кого-то из подрядчиков или бывших сотрудников?