Безопасность паролей в бизнесе: руководство по двум шагам

Начните с того, чтобы составить список аккаунтов, которые служат настоящими ключами всего бизнеса. Первой идёт корпоративная почта, потому что большинство сервисов присылают ссылку для сброса пароля именно туда. Затем следуют регистрация домена, хостинг и панель администратора сайта, рекламные аккаунты, социальные сети, бухгалтерия и банк.

Когда список готов, проверьте по каждому аккаунту три вещи: кто им распоряжается, что его защищает и есть ли второй шаг проверки. Большинство компаний находят свою первую брешь уже в тот момент, когда отвечают на эти три вопроса.

• Отдельный пароль для каждого аккаунта
• Длинный пароль вместо короткого и сложного
• Менеджер паролей, в котором они хранятся
• Двухшаговая проверка для важных аккаунтов
• Контрольный список, закрывающий доступ, когда кто-то уходит

У надёжного пароля два качества: он длинный и нигде больше не используется. Длина даёт больше пользы, чем горсть сложных символов, набранных в короткий пароль. Длинная фраза из нескольких не связанных между собой слов и запоминается легко, и угадывается трудно. Дни рождения, названия компаний, номера телефонов и последовательности клавиш это первое, что попробует любой.

Для тех аккаунтов, пароль от которых вам не нужно помнить, лучше всего подходит длинный случайный пароль, созданный менеджером паролей или генератором. Никогда не используйте один и тот же пароль для двух аккаунтов. Пароли, утёкшие из одного сервиса, пробуют на других, а повторно используемый пароль подходит везде, где его повторили.

Менеджер паролей хранит пароли в зашифрованном хранилище, создаёт новые случайные и подставляет их, когда вы попадаете на нужный сайт. Каждый сотрудник помнит один мастер-пароль, а всё остальное хранит хранилище. Менеджеры, созданные для команд, предлагают и общие хранилища, так что пароль общего аккаунта лежит там, а не в мессенджере или таблице.

Общих аккаунтов, то есть одного входа, которым пользуются несколько человек, должно быть как можно меньше. Если сервис позволяет создавать именные учётные записи, заведите каждому свою: видно, кто и что сделал и когда, а когда кто-то уходит, закрывается только его доступ. Если такой возможности нет, храните пароль в общем хранилище и меняйте его каждый раз, когда кто-то покидает команду.

Встроенное в браузер сохранение паролей лучше, чем ничего, но отдельный менеджер удобнее для администрирования в команде и для совместного доступа. Если мастер-пароль забыт, хранилище не открыть, поэтому с самого начала решите, как будет устроено восстановление, и храните его в надёжном месте.

Двухшаговая проверка требует второго подтверждения в дополнение к паролю: код из приложения на телефоне, ключ безопасности или запрос на одобрение. Даже если пароль украден, для входа в аккаунт всё равно нужен второй элемент.

Способы неравноценны. Текстовое сообщение с кодом лучше, чем ничего, но приложение-аутентификатор или физический ключ безопасности принято считать более надёжными. Выбор зависит от того, что предлагает сервис и чем команда действительно будет пользоваться.

При настройке всегда сохраняйте коды восстановления и храните их в защищённой заметке в менеджере паролей. Если телефон потерян, именно эти коды могут оказаться единственным способом вернуться в аккаунт. В первую очередь защитите почту, домен, хостинг, рекламные и финансовые аккаунты.

Закрывайте доступ в день ухода человека и работайте по контрольному списку, а не по памяти. Частая ловушка это рабочие аккаунты, открытые на личную частную почту человека. Владельцем аккаунта должна быть компания, а не отдельный сотрудник.

Даже когда расставание проходит спокойно и дружелюбно, эти шаги не выражают недоверия к самому человеку. Они нужны для того, чтобы забытое право позже не превратилось в открытую дверь.

• Закрыть корпоративный почтовый ящик или передать его пересылку другому человеку
• Сменить пароли общих аккаунтов
• Убрать или передать права администратора на хостинге, в рекламе, в социальных сетях и в панели сайта
• Перенести на новое устройство двухшаговую проверку, привязанную к телефону этого человека
• Убедиться, что аккаунты домена, хостинга и подписок оформлены на имя компании

Фишинг это сообщение, которое убеждает вас ввести пароль или код подтверждения на поддельной странице. Оно торопит вас, сообщает, что ваш аккаунт будет закрыт или платёж приостановлен, и приходит под видом знакомой вам марки либо вашего руководителя. Менеджер паролей помогает и здесь: он подставляет пароль только на сохранённом настоящем адресе, так что если он ничего не подставил, остановитесь и посмотрите на адрес.

В случае сомнений не нажимайте на ссылку в самом сообщении. Заходите на сервис через собственные закладки в браузере или набрав адрес вручную самостоятельно. Никогда никому не сообщайте код подтверждения; настоящие сервисы обычно не просят его по телефону или в сообщении. Если кто-то из команды нажал на что-то подозрительное, помогите ему сообщить об этом сразу, а не обвиняйте его. Скорость реагирования ограничивает ущерб.

Вот наиболее распространённые ошибки: пароли в таблице или в групповом чате, один пароль для нескольких аккаунтов, двухшаговая проверка, привязанная к телефону одного человека, так что аккаунт блокируется, когда он уходит, и варианты восстановления, которые по-прежнему указывают на старую почту или старый номер телефона.

Некоторые решения тоже неверны. Обязательная регулярная смена паролей больше не рекомендуется во многих современных руководствах, потому что она подталкивает людей к тому, чтобы они вносили небольшие и предсказуемые правки. Вместо этого привязывайте смену к событию: кто-то уходит или вы подозреваете взлом. Бизнесу из одного человека командный тариф, возможно, вообще не нужен; личного менеджера и двухшаговой проверки может быть достаточно. Строгая политика на бумаге, которой никто не следует, защищает меньше, чем простой порядок, которого люди действительно придерживаются.