Парольная политика компании: образец в Word и генератор

Зачем компании парольная политика

Большинство утечек в малом и среднем бизнесе начинается не со взлома серверов, а с паролей: одного пароля на всё, пароля в таблице «Доступы.xlsx», общего логина от CRM на весь отдел, неотключённого доступа уволенного менеджера. Парольная политика — короткий внутренний документ, который превращает здравый смысл в обязательные правила. Она нужна, чтобы сотрудники знали, как правильно, администратор мог требовать выполнения, а при проверке или инциденте компания могла показать, что меры защиты были установлены.

Для операторов персональных данных это ещё и часть обязательных организационных мер: локальные акты по обеспечению безопасности ПДн, в том числе правила доступа, — то, о чём спрашивают при проверках. Готовый шаблон экономит время, но не заменяет адаптацию: впишите свои системы и процессы.

Современные правила: что изменилось

Ещё недавно стандартом считалось «минимум 8 символов, обязательно заглавные, цифры и спецсимволы, смена каждые 90 дней». Исследования и практика показали, что такие правила делают пароли хуже: люди выбирают «Пароль1!», а через 90 дней — «Пароль2!». Актуальная редакция рекомендаций NIST SP 800-63B — одного из самых авторитетных документов об аутентификации — пересмотрела подход.

Что входит в документ

• Назначение и область действия: на кого распространяется политика.
• Требования к длине и составу паролей для пользователей и администраторов.
• Запреты: передача паролей, хранение в открытом виде, использование на сторонних сервисах.
• Обязательная двухфакторная аутентификация для критичных систем.
• Хранение паролей в корпоративном менеджере и правила для общих учётных записей.
• Защита от подбора: блокировки и журналирование.
• Порядок действий при компрометации и при увольнении сотрудника.
• Отдельные требования к учётным записям администраторов и сервисов.

Второй фактор — главное в политике

Даже идеальные пароли утекают: через фишинг, заражённый компьютер, утечку у стороннего сервиса. Двухфакторная аутентификация делает украденный пароль бесполезным. Обязательный минимум — почта (через неё восстанавливаются все остальные доступы), удалённый доступ, админ-панели и банк. Приложение-аутентификатор надёжнее SMS: SIM-карту можно перевыпустить мошенническим путём. Аппаратные ключи FIDO2 — самый надёжный вариант, устойчивый к фишингу. Подробнее — в статье двухфакторная аутентификация: как внедрить.

Как внедрить политику, чтобы её соблюдали

1. Сначала дайте инструмент: корпоративный менеджер паролей. Запрещать таблицы без альтернативы бесполезно.
2. Включите второй фактор технически — там, где можно сделать его обязательным в настройках, не полагайтесь на добровольность.
3. Проведите короткое обучение: 20 минут о том, как работает фишинг и зачем менеджер паролей.
4. Утвердите документ приказом и ознакомьте сотрудников под подпись.
5. Пересматривайте раз в год и после каждого инцидента.

Для самих паролей используйте генератор паролей — он работает локально. Права доступа тоже требуют порядка: почему «всем всё» заканчивается плохо, разобрано в статье права доступа. А общий уровень готовности сайта к требованиям по персональным данным проверит чек-лист 152-ФЗ.

Пример: политика для компании из 20 человек

Небольшая компания с облачной почтой, CRM и бухгалтерией в облаке. Минимальная длина пароля — 15 символов, для двух администраторов — 20. Второй фактор обязателен для почты, CRM, банк-клиента и панели хостинга, способ — приложение-аутентификатор. Пароли хранятся в корпоративном менеджере паролей с общими папками для отделов. Доступы уволенного сотрудника отключает администратор в день увольнения, а пароли общих учётных записей, к которым был доступ, меняются. Плановой смены паролей нет — только при подозрении на компрометацию. Такой документ занимает три страницы, а выполнение его требований закрывает большую часть типичных сценариев утечки в малом бизнесе: подбор, повторное использование утёкшего пароля и забытые доступы бывших сотрудников.