Парольная политика: требования и пример для компании

Парольная политика — это короткий внутренний документ с правилами создания, хранения и смены паролей. Для малой компании хватает одной страницы: минимальная длина, запрет повторного использования, двухфакторная защита, хранение в менеджере паролей, порядок блокировки и смены при подозрении на утечку. Если вы обрабатываете персональные данные или работаете с государственными системами, конкретные числа определяются требованиями ФСТЭК и класса вашей системы, их нужно брать из актуальных документов.

Откуда берутся требования

У парольной политики нет единой «магической» формулы. Есть три источника, и их важно не смешивать.

Что сегодня считается разумной практикой

• Длина важнее хитрых символов. Фраза из нескольких слов надёжнее короткого пароля с цифрами и знаками.
• Не меняйте пароль по календарю без причины. Частая принудительная смена приводит к паролям вида Лето2026!, Осень2026!. Меняйте при подозрении на утечку, увольнении сотрудника или взломе сервиса.
• Проверяйте пароли по спискам утёкших. Пароль, который уже встречался в утечках, нельзя использовать, даже если он «сложный».
• Один пароль — один сервис. Повтор делает утечку одного сайта ключом ко всем остальным.
• Двухфакторная аутентификация везде, где она есть: почта, хостинг, CRM, банк, регистратор домена. Подробнее: 2FA и пароли.
• Менеджер паролей вместо таблицы и стикеров. Пароли хранятся шифрованно, доступ выдаётся и отзывается по сотрудникам.

Пример парольной политики для малого бизнеса

Это учебный образец, а не документ для утверждения. Адаптируйте под себя и согласуйте с руководителем.

1. Область действия. Правила распространяются на все рабочие системы: почту, CRM, сайт, хостинг, облачные сервисы.
2. Создание. Пароль не короче 12 символов или фраза из нескольких слов. Запрещены пароли из списка утёкших и очевидные: название компании, имя, дата.
3. Уникальность. Один пароль используется только в одной системе.
4. Хранение. Пароли хранятся только в корпоративном менеджере паролей. Запрещено записывать их в мессенджерах, письмах и файлах на рабочем столе.
5. Двухфакторная защита. Обязательна для почты, админки сайта, хостинга, регистратора и платёжных систем.
6. Смена. Пароль меняется при подозрении на компрометацию, увольнении сотрудника, потере устройства и по требованию администратора.
7. Блокировка. После нескольких неудачных попыток вход временно блокируется, а владельцу приходит уведомление.
8. Передача. Доступ выдаётся индивидуально, общие учётные записи запрещены, кроме технических с описанным ответственным.
9. Инцидент. При подозрении на утечку сотрудник сообщает администратору немедленно, пароль меняется в течение дня.
10. Контроль. Раз в квартал проверяется список пользователей и активные доступы.

Как внедрить, не парализовав работу

Начните с самых ценных систем: почта, хостинг, регистратор, админка сайта. Выдайте всем менеджер паролей и проведите короткий инструктаж на 30 минут. Затем включите 2FA, а потом ужесточайте требования. Порядок «сначала запретили, потом объяснили» обычно приводит к стикерам на мониторах.

Для генерации и проверки пользуйтесь нашими инструментами: генератор политики паролей и генератор паролей. О наведении порядка в доступах сотрудников читайте в статье пароли сотрудников.

Где политика пересекается с 152-ФЗ

Если в системах хранятся персональные данные клиентов, парольная политика входит в набор мер защиты, которые оператор обязан принять. Её описывают в комплекте документов по 152-ФЗ, перечень см. в статье документы по 152-ФЗ для малого бизнеса. Помощь с внедрением и аудитом даёт услуга по защите персональных данных.