Забрать админ-права и не поссориться со всеми
Забрать локальные админ-права: технически день, по людям месяц. Как не вводить это молча.
Что было
У большинства сотрудников были права администратора на рабочих компьютерах. Не потому что кто-то злоупотреблял — просто так исторически выдавали технику: проще дать полные права, чем потом отвечать на «не могу установить программу».
На практике это значит: любой может поставить что угодно, включая то, что пришло письмом. Один клик — и вредоносная программа работает с полными правами. Антивирус тут не спасает: пользователь сам разрешил.
Что сделали
- Забрали админ-права у клиентского отдела, закупок и бухгалтерии
- Завели единую локальную учётку для ИТ — чтобы обслуживать машины, не возвращая права
- Заодно посмотрели, что вообще установлено и в каком состоянии техника
Как это делалось на самом деле
Не «запустили скрипт». Прошёл по каждому человеку отдельно и записал результат в задачу: у кого исправлено, у кого нет, где администратор оказался непонятно кем и когда созданный.
Скучно, долго и никак иначе. Автоматизировать поиск того, чего не должно быть, нельзя — не знаешь заранее, что найдёшь.
Зато попутно стало видно реальное состояние парка. Отдельной задачи «провести ревизию» не понадобилось.
Про человеческую часть
Забрать права — это ухудшить людям жизнь. Раньше ставил программу сам, теперь надо просить.
Здесь важно не спорить, а признать: да, стало на шаг длиннее. Взамен компания перестаёт зависеть от того, насколько каждый из нас внимателен к письмам от незнакомцев.
И не оставлять людей без выхода: нужна программа для работы — ставим.
Вывод
Самые правильные ИТ-решения обычно делают жизнь чуть менее удобной. Это нормально. Ненормально — вводить их молча и потом удивляться сопротивлению.