Пароли сотрудников: как навести порядок с доступами без боли

Файл «пароли.xlsx» в общей папке. Стикер под клавиатурой бухгалтера. Один логин от админки сайта на весь отдел маркетинга, который не меняли с запуска. Пароль от хостинга, который знает только подрядчик, уехавший два года назад. Это не карикатура, а обычная картина в компании до нескольких десятков человек. Сама по себе она годами ничего не ломает — до первого увольнения со скандалом, фишингового письма или болезни единственного человека, который «всё знает». Ниже — пошаговый план, как навести организационный порядок с доступами сотрудников: что учесть, как внедрить менеджер паролей, что делать при приёме и увольнении и как сделать так, чтобы новые правила не саботировали.

Если вас интересует другая сторона вопроса — как защитить аккаунты клиентов на вашем сайте или в сервисе, — это отдельная тема, и ей посвящена статья про 2FA и пароли пользователей.

Чем опасен беспорядок с доступами

• Бывшие сотрудники и подрядчики сохраняют доступ месяцами, а иногда годами. Отозвать его невозможно, если никто не знает, где он был.
• При общем аккаунте журнал действий бесполезен: удалённую сделку или изменённые реквизиты совершил «admin», и найти, кто именно, нельзя.
• Один пароль на многих сервисах означает, что утечка где-то на стороне открывает всё сразу.
• Восстановление доступа привязано к личной почте или телефону конкретного человека. Человек уходит — компания теряет домен, рекламный кабинет или аккаунт в соцсети.
• Ключевые доступы в голове у одного сотрудника: он заболел или уволился — работа встала.
• Пароли пересылаются в мессенджерах и остаются в истории переписки навсегда, включая личные устройства.

Шаг 1. Реестр доступов

Порядок начинается с описи. Составьте таблицу всех сервисов, где у компании есть учётные записи, — список почти всегда оказывается заметно длиннее, чем ожидалось. Для каждого сервиса зафиксируйте:

• название и адрес входа;
• владельца — конкретного человека, который отвечает за этот доступ, а не отдел;
• кто сейчас имеет доступ и под какими учётными записями — персональными или общими;
• включён ли второй фактор и на чей телефон или приложение он привязан;
• на какую почту и номер телефона привязано восстановление доступа;
• насколько критичен сервис: что будет, если доступ потерян или попал к чужому человеку.

Самая важная колонка — восстановление. Домен, хостинг, почта и рекламные кабинеты, привязанные к личным контактам сотрудников или подрядчиков, переводятся на корпоративные адреса в первую очередь. В самом реестре паролей нет: он описывает, где что находится и кто отвечает, а сами секреты будут храниться в менеджере паролей.

Шаг 2. Менеджер паролей: как выбрать

Менеджер паролей — основа всего остального. Сотрудник помнит один мастер-пароль, остальные пароли генерируются случайными и хранятся в зашифрованном виде. Важный побочный эффект: менеджер не подставит сохранённые данные на поддельном сайте, потому что адрес не совпадёт, — человек ошибётся, программа нет. При выборе корпоративного решения смотрите на конкретные возможности, а не на бренд:

• Общие сейфы с разграничением прав: отдел видит свои доступы, но не чужие.
• Журнал: кто и когда открыл или изменил запись.
• Мгновенный отзыв доступа сотрудника ко всем сейфам одним действием.
• Обязательный второй фактор для входа в сам менеджер.
• Процедура восстановления доступа для компании, если сотрудник забыл мастер-пароль или уволился, — без этого часть доступов может пропасть вместе с человеком.
• Где хранятся данные: облако поставщика или собственный сервер. Самостоятельное размещение даёт больше контроля, но требует того, кто будет его обслуживать и делать резервные копии.
• Расширения для браузеров и приложения для телефонов, которыми удобно пользоваться, — иначе сотрудники вернутся к стикерам.

Шаг 3. Сейфы, роли и персональные учётки

Не складывайте всё в один общий сейф «Компания». Удобная структура: по сейфу на отдел, отдельный сейф для руководства с самыми критичными доступами — домен, хостинг, банк, главный администратор ключевых систем — и личные сейфы сотрудников для их персональных рабочих учёток. Права на сейфы выдаются по ролям, а не по людям: новый менеджер по продажам получает роль «продажи», а не копию прав коллеги, у которого за годы накопилось лишнее. Подробнее о том, как строить роли и почему «всем всё» заканчивается плохо, — в отдельной статье о правах доступа. Критичные доступы должны быть как минимум у двух человек, чтобы болезнь или отпуск одного не останавливали работу.

Общий аккаунт на пятерых — это и риск, и невозможность разобраться в инциденте. Везде, где сервис позволяет заводить нескольких пользователей, у каждого сотрудника должна быть своя учётная запись с нужной ролью. Это обычно ничего не стоит, кроме времени на настройку, а взамен даёт журнал действий с реальными именами и возможность отключить одного человека, не меняя пароль всем остальным. Там, где сервис технически не поддерживает нескольких пользователей, общий пароль хранится в сейфе менеджера паролей с журналом обращений и меняется при каждом изменении состава людей, у которых был к нему доступ.

Шаг 5. Политика паролей, которую реально соблюдают

Требование «восемь символов, цифра, спецсимвол, смена каждые 90 дней» порождает Password1!, Password2! и стикер на мониторе. Актуальные рекомендации, в том числе NIST SP 800-63B, развернулись: длина важнее сложности, принудительная смена без признаков компрометации вредна, а новый пароль стоит сверять со списками известных утечек. Когда большинство паролей генерирует менеджер, политика становится короткой:

• Мастер-пароль от менеджера и пароль от рабочей учётной записи — парольная фраза из нескольких случайных слов, не короче 12–15 символов, нигде больше не используется.
• Все остальные пароли генерируются менеджером и не запоминаются.
• Смена — только при подозрении на компрометацию или при уходе человека, который знал пароль, но тогда немедленно.
• Второй фактор обязателен для почты, менеджера паролей, финансов, хостинга, домена и административных панелей. Как внедрить его без сопротивления, мы описали в статье о двухфакторной аутентификации.
• Пароли не пересылаются в мессенджерах и почте — только через общий доступ в менеджере.

Приём и увольнение сотрудника

• Руководитель заранее сообщает роль нового сотрудника — от неё зависит набор доступов.
• Ответственный создаёт корпоративную почту и учётную запись в менеджере паролей, включает второй фактор вместе с сотрудником в первый день.
• Доступы к системам выдаются по роли из реестра, а не «как у Иры».
• Сотрудник подписывает обязательства о конфиденциальности и знакомится с короткой памяткой: где пароли, что нельзя пересылать, куда сообщать о подозрительных письмах.
• В реестре отмечается, что и когда выдано.

Увольнение — самый важный момент всей системы. Доступы отключаются в последний рабочий день — а при конфликтном расставании до разговора, а не после. Чек-лист составляется один раз по реестру и дальше выполняется механически:

• Блокировка учётной записи в менеджере паролей — сотрудник теряет доступ ко всем сейфам сразу.
• Блокировка корпоративной почты с переадресацией на руководителя или коллегу.
• Отключение персональных учёток в CRM, учётной системе, админке сайта, мессенджерах и облачных хранилищах.
• Смена паролей общих аккаунтов, которые были доступны сотруднику, — менеджер паролей покажет, какие он открывал.
• Перепривязка второго фактора и восстановления доступа, если они были на его телефоне или почте.
• Возврат и очистка рабочих устройств; удаление рабочих аккаунтов с личного телефона.
• Отметка в реестре: кто выполнил чек-лист и когда.

Отдельный случай — уход человека с широкими правами: системного администратора, руководителя, подрядчика, который вёл инфраструктуру. Здесь меняются все секреты, которые он мог знать, включая сервисные ключи и пароли баз данных, даже если расставание дружеское.

Представим условную ситуацию: из компании уходит маркетолог, который три года вёл сайт, соцсети и рекламу. Без реестра увольнение выглядит так: забрали ноутбук, отключили почту, через месяц выяснилось, что рекламный кабинет привязан к его личному аккаунту, сообщество в соцсети администрирует только он, а пароль от админки сайта по-прежнему работает. С реестром и менеджером паролей тот же день выглядит иначе. Ответственный открывает реестр, фильтрует сервисы, к которым у маркетолога был доступ, и проходит по ним: блокирует учётку в менеджере, назначает второго администратора в соцсетях и рекламном кабинете до того, как убрать первого, меняет пароль общей учётки в сервисе рассылок, переносит восстановление доступа с его телефона на корпоративный номер и отмечает выполнение. На всё уходит пара часов, и через месяц никаких сюрпризов не всплывает.

Подрядчики, фрилансеры и сервисные ключи

Внешним специалистам доступ часто дают самым быстрым способом — «вот пароль от админки» — и забывают отозвать. Правила простые: подрядчик получает отдельную учётную запись с минимальными правами, по возможности с ограничением срока; пароли передаются через менеджер паролей, а не в переписке; доступы к домену, хостингу и репозиторию оформляются на компанию, а подрядчик добавляется как пользователь. По окончании работ доступы отзываются в тот же день. Как принять проект так, чтобы все ключи остались у вас, мы разобрали в статье о приёмке веб-проекта.

Пароли баз данных, ключи API, токены интеграций живут не в головах людей, а в конфигурации систем. Главное правило: они никогда не попадают в репозиторий кода, даже приватный и даже «временно». Секрет, однажды оказавшийся в истории git, считается скомпрометированным: удаление коммита не помогает, его нужно заменить. Для хранения используются зашифрованные переменные окружения или хранилище секретов, у каждой интеграции свой ключ с минимальными правами, а в реестре доступов отмечено, где ключ используется и кто может его перевыпустить.

Как внедрить без саботажа

• Начните с руководства. Если директор хранит пароли в заметках телефона, остальные воспримут новые правила как формальность.
• Выделите две недели на переход: первая — инвентаризация и настройка менеджера, вторая — перенос паролей по отделам с короткой практической встречей на 30 минут.
• Помогайте, а не проверяйте: ответственный садится рядом и вместе с сотрудником переносит его доступы.
• Смените пароли на критичных сервисах сразу после переноса: почта, домен, хостинг, банк, админки. Старые, побывавшие в таблицах и чатах, считаются известными.
• Удалите старые файлы с паролями и переписку с ними после переноса, а не «оставим на всякий случай».

И типичные ошибки, которые сводят внедрение на нет:

• Внедрить менеджер паролей, но оставить старую таблицу «на всякий случай» — она и будет использоваться.
• Положить все пароли в один общий сейф, к которому имеют доступ все сотрудники.
• Не продумать восстановление доступа к самому менеджеру: забытый мастер-пароль у руководителя превращается в потерю критичных доступов.
• Отключать доступы при увольнении «по памяти», а не по реестру.
• Оставить домен, хостинг и рекламные кабинеты оформленными на подрядчика или личные аккаунты сотрудников.

Поддержание порядка

Раз в квартал владелец каждого сервиса из реестра проверяет, кто имеет доступ, и подтверждает или урезает список. Менеджер паролей показывает слабые и повторяющиеся пароли — их стоит заменить. Реестр обновляется при каждом новом сервисе: правило «завели аккаунт — внесли в реестр и в сейф» должно стать таким же привычным, как оплата счёта. На всё это уходит час-два в квартал, и именно эта регулярность отличает компанию, где порядок есть, от компании, где он однажды был.

Вывод

Порядок с паролями сотрудников — это не столько технология, сколько организация: реестр доступов с владельцами, менеджер паролей с сейфами по ролям, персональные учётные записи, второй фактор на критичных сервисах и чек-листы приёма и увольнения. Начните с реестра на этой неделе — он сразу покажет, где компания рискует сильнее всего. Если нужна помощь с аудитом доступов, переносом критичных сервисов на компанию или настройкой ролей в ваших системах, — посмотрите, чем мы можем помочь в направлении безопасности, или напишите нам.