Корпоративный контур безопасности для сети: единый вход, разграничение прав и контроль в большой команде

Проблема не в людях, а в количестве доступов

На одной точке безопасность держится на доверии: администратор знает владельца лично, текучки почти нет, база клиентов помещается в голове. Когда точек становится десять, а в команде — сорок человек, доверие перестаёт быть механизмом контроля. Появляется текучка, временные сотрудники, управляющие, которых владелец никогда не видел вживую.

Главный риск на масштабе — не злой умысел, а *объём доступов*. Сотрудник, у которого есть кнопка «выгрузить всех клиентов», рано или поздно ей воспользуется — уходя к конкуренту. Администратор, который видит выручку всей сети, обсуждает её там, где не надо. Кто-то по ошибке отключает канал, и точка сутки не отвечает клиентам. Все эти инциденты — не про плохих людей, а про то, что доступ не был разграничен заранее.

Единый вход: один аккаунт на всю команду

Первый слой контура — единая точка входа. Вся сеть живёт под одним аккаунтом владельца, а сотрудники получают доступ приглашениями внутрь этого аккаунта, а не отдельными разрозненными логинами к отдельным ботам. Владелец в любой момент видит, кто в команде, и может отозвать доступ одним действием — уволенный сотрудник теряет вход сразу, а не «когда-нибудь поменяем пароль, которым пользовались все».

Это важнее, чем кажется. Классическая дыра растущего бизнеса — общий логин и пароль «на всю точку», записанный в чате. Такой доступ невозможно ни отозвать точечно, ни привязать к человеку, ни ограничить. Единый вход с персональными приглашениями закрывает это по определению: у каждого своя учётная запись и своя роль.

Разграничение прав: три роли, жёсткая матрица

Второй слой — роли. В BOTIX доступ команды строится на трёх ролях, и один человек — это ровно одна роль на проект, без размытых «полудоступов»:

• Владелец — платящий собственник. Полный доступ ко всему, единственный, кто видит выручку, прибыль, тариф и реквизиты. Управляет командой и тарифом.
• Администратор — ведёт операционку: записи, клиентов, контент, цены, маркетинг. Видит дневные суммы, но не долгосрочные финансовые тренды и прибыль. Приглашать может только Сотрудников.
• Сотрудник — работает со своей операционкой: свои записи, свои клиенты, своя загрузка. Ничего не настраивает.

Ключевой принцип — матрица доступа жёсткая. Сотрудник не увидит выручку, даже если владелец захочет ему её показать: владелец может убирать плитки из набора роли, но не может добавить в неё запретные. Это снимает главный страх при масштабировании — что «на радостях» кому-то дадут лишнего и забудут отобрать.

Что видит и чего не видит каждый

Разграничение работает не только на уровне разделов, но и на уровне данных. Для Сотрудника телефоны и email клиентов маскируются — он видит `Иван •••12` вместо полного номера, и делается это на стороне сервера, а не прячется на экране. Сотрудник видит только своих клиентов и свои записи, а не всю базу точки.

Отдельно закрыт самый чувствительный сценарий — увод базы. Экспорт клиентов в файл доступен только Владельцу. Это главная защита базы: даже администратор, который ведёт всю операционку, не может одной кнопкой выгрузить контакты всей сети и унести их. На масштабе, где база — это и есть основной актив, эта граница стоит дороже любого договора о неразглашении.

Фиксация действий: кто что сделал

Третий слой контура — журналирование. Опасные операции фиксируются в аудит-логе: удаления, экспорт данных, смена ролей, отключение каналов. Это не слежка за каждым кликом, а фиксация именно тех действий, которые способны навредить бизнесу. Когда что-то пошло не так — пропали записи, отвалился канал, кто-то получил доступ, которого не должно было быть, — есть след, по которому видно, что произошло и кто это сделал.

Рядом стоит контур безопасности самого входа: попытки подобрать пароль к кабинету отслеживаются и блокируются, а события безопасности не проходят молча. Для бизнеса, который работает с персональными данными клиентов, это не бюрократия, а часть требований 152-ФЗ — данные лежат на серверах в России, а доступ к ним разграничен и фиксируется.

Что это меняет для владельца

Корпоративный контур безопасности — это не «включить защиту», а три простые границы, выставленные заранее: один вход на всю команду с персональными доступами, роли с жёсткой матрицей прав и фиксация опасных действий. На масштабе это переводит безопасность из режима «доверяем и надеемся» в режим управляемого доступа: новый управляющий получает ровно свой филиал, уволенный теряет вход в тот же день, а увести базу всей сети не может никто, кроме владельца.