У кого ключи от бизнеса: как матрица доступов защищает отель

В гостиничном бизнесе число цифровых сервисов растет быстрее, чем компания успевает их контролировать. В какой-то момент руководитель теряет картину происходящего: кто имеет доступ к данным гостей и финансовой отчетности, на каком основании выданы права и когда они проверялись в последний раз. Доступы превращаются из технического вопроса в прямой риск утечки данных и остановки бизнес-процессов.

Управляющая компания «Калейдоскоп» (Санкт-Петербург) внедрила единую матрицу доступов превентивно, не дожидаясь инцидента. 

Комментирует коммерческий директор УК «Калейдоскоп» Виктория Самойленко:

Сведение всех данных в одну систему выявило реальный масштаб инфраструктуры: 40 корпоративных сервисов, 61 сотрудник и около 300 действующих назначений доступа. Первый аудит вскрыл классические уязвимости: избыточные права у переведенных сотрудников; активные учетные записи уволенных подрядчиков («мёртвые души»); доступы, привязанные к личным почтовым ящикам.

Разовая чистка оказалась бы бесполезной, требовался постоянный системный процесс.

Матрица превратила хаос в карту ответственности. Это таблица, где строки — системы (от бухгалтерии до хостинга), а столбцы — сотрудники. На пересечении фиксируется уровень прав, но главное — управленческая надстройка: кто является Владельцем сервиса (принимает бизнес-решение), а кто — Администратором доступа (выполняет его технически). Также фиксируются дата последней проверки и срок следующей.

При кадровых изменениях инструмент работает безотказно. При переводе руководителя больше не нужно опрашивать отделы — виден весь цифровой профиль сотрудника и сразу деактивируется лишнее. При увольнении столбец превращается в готовый чек-лист закрытия доступов с указанием ответственных за каждый сервис.

Чтобы система работала эффективно, были введены два жестких принципа.

1️⃣Разделение ролей. Бизнес-заказчик определяет необходимость доступа, IT-служба только исполняет решение. Процесс закрепляется за должностями, чтобы не зависеть от конкретных людей.

2️⃣Отказ от хранения секретов. В самой матрице нет паролей, токенов и ключей API — только факт наличия доступа. Секреты хранятся в защищенном менеджере паролей, для критичных систем используется многофакторная аутентификация.

Главный результат внедрения — управление правами перестало зависеть от памяти сотрудников. У каждого доступа появилось основание, ответственный и срок пересмотра. Административные и финансовые права теперь проверяются ежеквартально, полная матрица — не реже раза в полгода. Изменения фиксируются в журнале с указанием даты, действия и согласующего лица.

Матрица не заменяет менеджер паролей и резервное копирование, но она показывает, у кого находятся ключи от бизнеса, зачем они выданы и кто должен забрать их обратно.
#кейс