Совмещение должностей: как избежать конфликта прав и рисков ИБ

Совмещение должностей давно стало для бизнеса привычным способом закрывать кадровые разрывы: сотрудник временно подменяет коллегу, берет на себя дополнительные функции или совмещает несколько ролей. Но в цифровой среде это почти всегда означает и расширение полномочий в информационных системах. Разбираем, что такое совмещение должностей, какие риски для ИБ оно создает и как выстроить контроль доступа без конфликтов прав.

Что такое совмещение должностей

Если отвечать на вопрос, что такое совмещение должностей, с точки зрения трудового права это выполнение дополнительных обязанностей параллельно с основной работой в пределах установленного рабочего дня, без оформления самостоятельного трудового соглашения. Такой формат также используется, когда сотруднику временно передают функции отсутствующего коллеги. Для ИБ важен ее цифровой эффект: сотрудник начинает работать сразу в нескольких бизнес-ролях и получает дополнительные роли и разрешения.

Совмещение должностей не должно превращаться в совмещение рисков. Безопасность — это база: временные полномочия нужно выдавать по правилам, проверять на конфликтность и вовремя отзывать. Именно так в Solar понимают принцип «Безопасность за нами» — как ежедневный, управляемый контроль доступа без лишних компромиссов.

Команда Solar inRights

С точки зрения ИТ и безопасности совмещение должностей — это ситуация, при которой одна цифровая идентичность получает объединенный набор полномочий из разных процессов. Именно это еще и изменение профиля риска пользователя, которое должно отражаться в сроках доступа, правилах назначения ролей и процедурах контроля.

На практике риск возникает тогда, когда временное расширение обязанностей приводит к накоплению избыточных полномочий. Если сотруднику выдали доступ к согласованию, изменению данных или административным операциям, но не ограничили срок и не проверили пересечение ролей, компания получает дополнительный риск. Поэтому важно не отказываться от такого подхода, а выстраивать его как прозрачный, управляемый и контролируемый процесс.

Управляйте учетными записями централизованно

Контролируйте учетные записи в едином контуре с Solar inRights.

Получить консультацию

Риски для информационной безопасности

Основной риск в том, что совмещение должностей разрушает обычное разделение функций между разными сотрудниками. Когда один человек получает доступ к нескольким этапам процесса, возрастает вероятность ошибки без своевременного обнаружения и риск злоупотребления полномочиями. SoD-конфликт — назначение одному работнику набора полномочий, позволяющих единолично выполнить критическую операцию, которую корректно должны выполнять два и более сотрудника.

Дополнительная проблема состоит в том, что совмещение должностей часто оформляется как временная мера, а живет в системах намного дольше. На старте бизнес думает о непрерывности процессов, а не о дальнейшем отзыве полномочий. В итоге временные доступы закрепляются, переходят из одного периода в другой и становятся постоянными. Для атакующего такая учетная запись особенно ценна, потому что уже содержит расширенные возможности в нескольких процессах.

Так компания теряет понимание, какие именно права доступа действительно необходимы пользователю, а какие остались по инерции. Именно так формируется избыточность: у сотрудника остается доступ к прошлой должности, к временно замещаемой функции и к операциям, предоставленным в порядке исключения. Если в компании нет единого представления о ролях и сроках их действия, совмещение должностей быстро превращается в источник несанкционированного накопления полномочий.

Проблемы ручного управления доступом

Когда временное совмещение обслуживается через письма, чаты и устные согласования, управление доступом начинает зависеть от человеческой памяти. Кто-то забывает ограничить срок, кто-то не сверяет пересечение ролей, кто-то выдает расширенные права напрямую через администратора, чтобы не задерживать работу. Внешне задача закрыта быстро, но внутри компании остается плохо документированное исключение, которое трудно проверить и еще труднее вовремя отменить.

Ручной контур особенно опасен в крупных организациях, где временные замещения происходят регулярно. Для таких процессов нужен единый контур управления, в котором объединены кадровые изменения, ролевые назначения, маршруты согласования и своевременный отзыв полномочий. Solar inRightsSolar inRights — IGA/IdM-платформа для управления учетными записями, полномочиями, согласованием доступа и расследованием инцидентов, связанных с правами. выступает как IGA-платформа для управления учетными записями и расследования инцидентов, связанных с доступом, а также как решение класса IdMIdM (Identity Management) — решение для автоматизации управления учетными записями и доступом., которое автоматизирует контроль и распределение прав сотрудников в целевых информационных системах.

Автоматическое выявление конфликтов SoD в Solar inRights

В зрелом подходе совмещение должностей не оформляется как хаотичное расширение доступа. Оно переводится в управляемый процесс: определяется основание, подбирается набор ролей, задается срок действия, маршрут согласования, сценарий отзыва. Здесь критичны механизмы управления доступом, работающие на уровне бизнес-функций, ролей и правил, а не на уровне отдельных разрешений.

При временном совмещении особенно важна актуальность ролевой модели, чтобы набор полномочий соответствовал реальным функциям сотрудника. Ролевая модель представляет собой группировку ролей и отдельных прав доступа в соответствии с бизнес-функциями и штатными позициями, а одна из ее целей — управлять не отдельными полномочиями, а их группами. То есть при временном исполнении обязанностей сотруднику назначается не случайный набор прав, а заранее описанная роль с понятным составом и контролируемым сроком действия. При этом совмещение должностей нельзя считать безопасным только потому, что доступ выдан по роли. Важно, чтобы система заранее выявляла конфликтные сочетания полномочий и не допускала их бесконтрольного назначения.

Еще один критичный момент — работа с заявками на предоставление дополнительных полномочий. Когда временное расширение функций оформляется через единый портал, ИБ и владельцы процессов видят, кто запросил доступ, на каком основании, на какой срок и в рамках какой задачи. В Solar inRights определены роли сотрудников, участвующих в согласовании, маршруты обработки заявок и наборы инструментов аудита, поэтому совмещение должностей можно выстроить как прозрачную и контролируемую процедуру, а не как цепочку локальных договоренностей.

Как снизить риски ИБ при совмещении должностей с помощью Solar inRights

С точки зрения бизнеса совмещение должностей помогает не останавливать процессы, когда нужно быстро перераспределить функции. С точки зрения ИБ это допустимо только при одном условии: дополнительные полномочия должны выдаваться по понятным правилам, проверяться на конфликтность, ограничиваться по сроку и фиксироваться в аудите. Иначе временная мера создает долговременный риск. Именно поэтому совмещение должностей лучше контролировать не вручную, а через централизованный IGA-контур.

1. Solar inRights решает эту задачу как единая платформа, в которой объединены управление учетными записями и полномочиями, контроль ролевых назначений, выявление SoD-конфликтов, анализ доступа и поддержка расследований инцидентов, связанных с правами пользователей.
2. Если на период совмещения требуются нестандартные доступы или дополнительные проверки, в Solar inRights можно настроить специальный маршрут согласования для конкретных сотрудников и конкретных ролей. Это позволяет направлять такие заявки по отдельной логике, а при необходимости — делегировать согласование тем участникам процесса, которые лучше понимают назначение выдаваемых полномочий и связанные с ними риски.

Дополнительно решение сертифицировано ФСТЭК России по 4-му уровню доверия и может использоваться в крупных организациях с распределенной инфраструктурой, большим количеством пользователей и сложными процессами согласования доступа.

Наведите порядок в учетных записях

Проверьте доступы при совмещении должностей в Solar inRights.

Протестировать бесплатно

Часто задаваемые вопросы