Внезапно задумался и не смог нагуглить -- а как во взрослых компаниях устроены доступы к инфраструктуре? Везде, где я работал, была иерархия с каким-то Самым Главным Админом наверху, и этот самый главный имел доступ вообще куда угодно. Кажется, после определенного размера компании такая схема перестаёт адекватно работать. Есть какой-то общеизвестный способ делать так, чтобы для того, чтобы критично взломать всю систему, необходимо было больше одной "точки входа" (подкупленного/взломанного админа и тд)?
Как минимум можно не давать Самому Главному Админу доступ всюду. Совершенно незачем делать доступы транзитивными.
Например, у кого-то есть права на выдачу прав другим, а у кого-то есть права на просмотр каких-то данных. У кого-то — на изменение. Но у первого прав на данные нет вообще (можно даже запретить выдавать самому себе).
Дальше можно сделать, чтобы права отзывались после определённого времени, чтобы весь доступ зверски логировался, чтобы для любого доступа к чувствительным данным требовалось, скажем, подтверждение хотя бы двух людей из двух непересекающихся групп (скажем, офисов в разных странах). Или хранить какие-то совсем адски секретные ключи в физическом сейфе (возможно, в нескольких, кусками) и дальше решать стандартную задачу обеспечения физической безопасности.