퇴사 처리: 접근을 철회하십시오,
제거하는 것으로 끝내지 마십시오

보통의 퇴사 처리에 뚫려 있는 구멍

디렉터리 계정을 비활성화하면 그 사람은 로그인하지 못합니다. 그러나 이미 알고 있는 것에 대해서는 아무 일도 하지 못합니다. 그 사람이 한 번이라도 표시하거나 내보내거나 외운 공유 비밀번호는 바뀌기 전까지 계속 작동하고, "중요한 것들은 교체하자"는 말은 어김없이 하나도 교체하지 않는 상태로 썩습니다. 불편한 진실은 이것입니다. 채팅이나 스프레드시트로 자격 증명을 공유하는 팀에서 퇴사 처리는 사실상 불가능합니다. 그 사람이 본 비밀의 전체 집합을 아무도 모르므로, 아무도 그것을 교체할 수 없습니다.

관리적 철회와 암호학적 철회

관리적 철회는 권한 비트를 뒤집습니다. 시스템이 그 사람에게 비밀을 더 이상 보여 주지 않을 뿐입니다. 비밀 자체는 그대로이고, 그 사람이 그것을 이미 보관하고 있을 위험도 그대로입니다.

암호학적 철회는 수학을 바꿉니다. 그 사람이 열 수 있던 보관함이 새 키로 다시 암호화되고, 그 안의 모든 자격 증명은 이제 교체 대상이 되며, 어느 것들인지는 보관함이 정확히 알려 줍니다. Keyvaci에서는 보관함에서 구성원을 철회하면 이 재암호화가 사용자의 기기에서 자동으로 수행되고, 중간에 끊겨도 이어서 진행되며, 전체 작업이 추가만 가능한 감사 로그에 기록됩니다. 그 사람의 옛 키 자료가 복호화할 수 있었던 것은 더 이상 서버에 존재하지 않습니다.

체크리스트

1. 퇴사 면담 전: 그 사람이 들어갈 수 있는 보관함을 모두 나열하십시오. 이것은 조사가 아니라 조회 한 번이어야 합니다.
2. 퇴사 시점: 디렉터리 계정을 정지하십시오. 로그인이 Entra ID SSO를 통해 디렉터리를 타고 있다면, 보관함 로그인도 함께, 즉시, 추가 작업 없이 죽습니다.
3. 같은 날: 보관함 접근 권한을 철회해 해당 보관함을 재암호화하고, 그 사람이 최근에 실제로 표시했던 자격 증명을 교체하십시오. 어느 것이었는지는 감사 로그가 알려 줍니다. 그것부터 교체하고 나머지는 일정에 따라 하십시오.
4. 일주일 안: 그 사람이 소유했던 것의 소유권을 이전하십시오. API 키, 등록기관 계정, 존재조차 아무도 몰랐던 자격 증명들입니다. 마지막 몇 주 동안 비정상적인 표시 활동이 있었는지 감사 기록을 확인하십시오. 퇴사 직전 데이터 반출은 피해망상이 아니라 하나의 패턴입니다.

30분 훈련

지원자를 한 명 정하십시오. 그 사람이 한 시간 전에 사표를 냈다고 가정하십시오. (a) 그가 열 수 있던 것을 나열하고, (b) 로그인을 끊고, (c) 그가 가졌던 것을 재암호화하고, (d) 가장 먼저 교체할 자격 증명 열 개를 지목하기까지 걸리는 시간을 재십시오. 기록으로 증명까지 하면서 30분 안에 끝난다면 절차가 작동하는 것입니다. 그 밖의 경우라면, 진짜 사직서가 오기 전에 해야 할 과제를 찾으신 것입니다. 구매 가이드에는 이 훈련이 일주일짜리 평가 과정 안에 들어 있습니다.