Спросите в небольшой компании, где хранятся пароли, и обычно услышите один из трёх ответов. Таблица «parole» на общем диске. Блокнот в ящике у директора. Или «их все знают», и именно так обычно живут страница в Facebook, хостинг и кабинет у поставщика.
Это работает, пока кто-нибудь не уволится. Тогда уже никто точно не знает, в какие аккаунты мог зайти этот человек, какие пароли он ставил сам и действуют ли старые.
А взломы чаще всего начинаются как раз с пароля. В отчёте Verizon об утечках данных за 2025 год украденные или использованные не по назначению учётные данные оказались самым частым способом проникновения: 22% изученных случаев, больше, чем уязвимости в программах и фишинг.
Что говорят правила сегодня
Совет, которому до сих пор следуют многие офисы (восемь символов, заглавная буква, спецсимвол, новый пароль каждые 90 дней), отменили те, кто его когда-то придумал. Действующее руководство NIST, SP 800-63B-4, говорит:
- Если аккаунт защищён только паролем, пароль должен быть не короче 15 символов.
- Системы не должны требовать обязательных заглавных букв, цифр и спецсимволов.
- Системы не должны заставлять менять пароль каждые несколько месяцев, только если есть признаки утечки.
- Новые пароли нужно сверять со списками распространённых и утёкших.
- Менеджеры паролей, автозаполнение и вставка пароля должны быть разрешены.
По 15 символов на каждый аккаунт, и все разные: такое никто не запомнит. И не должен. Запоминает менеджер паролей.
Шаг 1: составьте список
Прежде чем что-то устанавливать, выпишите, куда компания входит под логином и у кого ключи. Почти всех удивляет, каким длинным получается список.
- Почта: у каждого сотрудника и общие адреса
- Регистратор домена и хостинг
- Интернет-банк и платёжные системы
- Страницы компании в Facebook, Instagram и других сетях
- CRM, бухгалтерская программа, налоговые порталы и портал электронных счетов
- Кабинеты поставщиков и маркетплейсов, курьерская служба, Wi-Fi роутер
Напротив каждой строки укажите, кто отвечает за аккаунт. Это может быть вовсе не тот, кто знает пароль. Аккаунты без ответственного остаются открытыми годами после ухода человека, который их создал.
Шаг 2: один менеджер паролей на всю команду
Командный менеджер паролей устроен как хранилище, которое каждый открывает своим главным паролем. Внутри вы создаёте общие папки по ролям: бухгалтерия видит банк и налоговые порталы, маркетинг видит соцсети, директор видит всё. Чтобы войти в аккаунт, знать пароль не нужно, значит, и унести его с собой никто не сможет.
У Bitwarden, 1Password и Proton Pass есть тарифы для команд. Что бы вы ни выбрали, проверьте пять вещей:
- Общие папки с отдельным доступом для каждого сотрудника.
- Если удалить человека из команды, он сразу теряет доступ ко всему общему.
- Само хранилище можно защитить двухфакторным входом, и вы его включаете.
- Всё хранилище можно выгрузить, чтобы не зависеть от одного поставщика.
- Есть расширение для браузера и приложение для телефона. Иначе люди вернутся к таблице.
Потом переносите пароли в хранилище, по пути меняете каждый на длинный случайный и удаляете таблицу. По-настоящему удаляете, вместе с копией в письме, которое кто-то отправил сам себе году в 2021-м.
Шаг 3: двухфакторный вход, начиная с почты
Двухфакторная аутентификация (2FA) после пароля просит второе подтверждение: код из приложения, нажатие на телефоне или физический ключ. Одного украденного пароля уже не хватит. CISA, американское агентство по кибербезопасности, формулирует просто: любой второй фактор лучше, чем никакого.
Включайте в таком порядке, потому что первые аккаунты в списке защищают остальные:
- Почта. Кто владеет ящиком, тот может сбросить почти любой другой пароль.
- Домен и хостинг. Потеряете их, и вместе с ними пропадут и сайт, и почта.
- Банк и платежи.
- Страницы компании в соцсетях.
- Всё остальное из списка.
Вторые факторы бывают разной надёжности. Ключ доступа (passkey) или аппаратный ключ надёжнее всего: на поддельной странице входа они просто не сработают. Приложение-аутентификатор подойдёт везде, где его поддерживают. SMS-коды слабее всего: они лучше, чем ничего, но их можно перехватить через дубликат SIM-карты.
При включении 2FA каждый сервис выдаёт резервные коды. Не храните их рядом с паролями. Распечатайте и положите в сейф или в отдельное хранилище, которое открывает только ответственный за аккаунт.
Когда сотрудник уходит
Когда список и менеджер паролей уже есть, на это уходит минут десять:
- Удалите человека из менеджера паролей.
- Смените пароли общих аккаунтов, которыми он пользовался.
- Отвяжите его телефон от 2FA в аккаунтах компании.
- Перенаправьте его почтовый ящик на алиас или коллеге, чтобы письма клиентов продолжали приходить.
Недели хватит
Для команды от пяти до двадцати человек на всё уйдёт несколько дней: день на список, пара дней на настройку менеджера и переезд всех сотрудников, остальное на 2FA, аккаунт за аккаунтом. Труднее всего составить список, и сделать это может только сама компания.
Настройка и поддержка всего этого, когда люди приходят и уходят, входит в нашу услугу сопровождения и поддержки. Если нужна помощь с вашим списком, напишите нам.