Как дать доступ подрядчику и не подставить компанию: правила, процесс и договор
VPN и удалённый доступ · 04.05.2026 · обновлено 14.10.2026 · 11 мин чтения · Команда НПП РЕКОРД
Подрядчику нужен доступ «на пару часов» — а остаётся он на годы, с правами администратора и общим паролем. Так взламывают не вас, а через вас. Разбираем на реальных примерах, почему доступ подрядчиков стал одной из главных дверей для атак, какие правила обязательны, как организовать процесс выдачи и отключения доступа и что прописать в договоре.
Коротко. По данным Verizon за 2025 год, доля взломов с участием подрядчиков и других третьих сторон выросла вдвое — до 30%. Если подрядчика взломали или его пароль утёк, злоумышленник входит к вам «легально». Правила: у каждого сотрудника подрядчика именная учётная запись, только нужные права, доступ на время работ, двухфакторная аутентификация, подключение через контролируемую точку с журналированием, требования безопасности в договоре и отключение доступа в день окончания работ.
Программист 1С, обслуживающая компания, поставщик оборудования, внешний бухгалтер — почти у каждой компании есть подрядчики с доступом в сеть. Доступ дают «на пару часов», а остаётся он на годы: общий логин, права администратора, пароль в переписке и программа удалённого доступа, установленная «на всякий случай». Такую дверь злоумышленники ищут специально: проще взломать небольшую обслуживающую компанию и через неё зайти к её клиентам.
- 30% — взломов связаны с третьими сторонами (вдвое больше, чем годом ранее)
- 22% — взломов начинаются с украденных учётных данных
Источник: Verizon Data Breach Investigations Report 2025
Подрядчику — отдельная учётная запись с минимальными правами, а не «ключ от всего офиса»
Как это происходит на практике
Хрестоматийный пример — взлом американской торговой сети Target в 2013 году. Злоумышленники сначала украли учётные данные небольшого подрядчика, обслуживавшего системы вентиляции и кондиционирования, вошли с ними в сеть Target, а затем добрались до кассовых систем и похитили данные десятков миллионов банковских карт. Доступ подрядчика был нужен для узкой задачи, но сеть позволила пройти от него к самому ценному.
В небольших компаниях сценарий проще: у обслуживающей организации один пароль администратора на всех клиентов, программа удалённого доступа без второго фактора, а сотрудник подрядчика, который уже уволился, всё ещё может подключиться.
Правила доступа для подрядчиков
| Правило | Что значит | Зачем |
|---|---|---|
| Именная учётная запись | Отдельный логин для каждого сотрудника подрядчика | Видно, кто что делал; можно отключить одного человека |
| Минимум прав | Только то, что нужно для задачи | Взлом подрядчика не даёт доступа ко всему |
| Доступ на время | Включается на время работ или по запросу, отключается автоматически | Нет «вечных» доступов, о которых все забыли |
| Двухфакторная аутентификация | Пароль плюс второй фактор | Украденный пароль подрядчика бесполезен |
| Контролируемая точка входа | Подключение через VPN или шлюз с журналированием, а не через случайные программы удалённого доступа | Все подключения видны и управляемы |
| Журналирование и запись сессий | Фиксируется, кто, когда и что делал | Расследование и контроль качества работ |
| Запрет общих паролей | Никаких «одного пароля администратора на всех клиентов» | Утечка у подрядчика не открывает все компании сразу |
Важно. Проверьте, нет ли на ваших компьютерах программ удалённого доступа, которые подрядчики поставили «для удобства», — особенно без второго фактора. Это неконтролируемые двери в сеть, о которых часто не знает даже ваш администратор.
Процесс: от запроса до отключения
- Запрос: подрядчик сообщает, кому из его сотрудников и для какой задачи нужен доступ.
- Согласование: ответственный в компании подтверждает задачу и определяет минимальные права и срок.
- Выдача: создаётся именная учётная запись с двухфакторной аутентификацией и доступом только к нужным системам.
- Работа: подключение через контролируемую точку, действия журналируются.
- Отключение: доступ отключается в день окончания работ автоматически или по регламенту.
- Ревизия: раз в квартал список доступов подрядчиков сверяется с действующими договорами.
Что прописать в договоре
- Требования к безопасности подрядчика: двухфакторная аутентификация, уникальные пароли для каждого клиента, защита собственных компьютеров сотрудников.
- Обязанность сообщать об инцидентах у подрядчика, которые могут затронуть вашу компанию, в оговорённый срок.
- Конфиденциальность и порядок работы с персональными данными, если подрядчик имеет к ним доступ.
- Список сотрудников подрядчика с доступом и обязанность сообщать об их увольнении.
- Порядок передачи паролей, документации и доступов при завершении договора.
- Право компании проверять соблюдение требований.
Совет. Хороший подрядчик не обижается на такие требования, а сам предлагает именные учётные записи, двухфакторную аутентификацию и отчёты о работах. Если подрядчик настаивает на «одном пароле администратора, так удобнее», это повод задуматься.
| Подрядчик | Разумный доступ |
|---|---|
| Программист 1С | Доступ к тестовой копии базы и к рабочей — только на время обновления, через терминальный сервер |
| Обслуживающая IT-компания | Именные администраторские учётные записи с двухфакторной аутентификацией и журналированием |
| Внешний бухгалтер | Только 1С и банк-клиент, без доступа к остальной сети |
| Поставщик оборудования | Доступ к конкретному устройству на время настройки, затем отключение |
Доступ подрядчика — это не услуга подрядчику, а риск, которым управляет компания. Именная учётная запись, минимум прав, второй фактор и отключение в срок превращают «ключ от всего офиса» в пропуск в одну комнату на один день.
Частые вопросы
Как безопасно дать доступ подрядчику?
Создать именную учётную запись для каждого сотрудника подрядчика, дать только нужные для задачи права, включить двухфакторную аутентификацию, разрешить подключение через контролируемую точку с журналированием и отключить доступ в день окончания работ.
Чем опасен доступ подрядчиков?
Если подрядчика взломали или его пароль утёк, злоумышленник входит в вашу сеть под его учётной записью. По данным Verizon за 2025 год, доля взломов с участием третьих сторон выросла до 30%.
Можно ли давать подрядчику общий логин администратора?
Не стоит. С общим логином невозможно понять, кто что делал, и отключить одного человека, а утечка такого пароля открывает всю сеть. Каждому сотруднику подрядчика нужна именная учётная запись с минимальными правами.
Что прописать в договоре с IT-подрядчиком о безопасности?
Требования к двухфакторной аутентификации и уникальным паролям, обязанность сообщать об инцидентах, условия работы с персональными данными, список сотрудников с доступом, порядок передачи паролей и документации при расторжении и право компании проверять соблюдение требований.
Как контролировать работу подрядчика в сети?
Подключать его только через VPN или шлюз с журналированием, по возможности записывать сессии, настроить оповещения о подключениях вне согласованного времени и раз в квартал сверять список доступов с действующими договорами.
Что делать после окончания работ подрядчика?
В тот же день отключить его учётные записи, удалить установленные им программы удалённого доступа, сменить пароли, которые ему сообщались, и получить документацию по выполненным работам.
Теги: доступ, подрядчик, безопасность, третьи стороны, 2FA, удалённый доступ