Менеджер паролей в малой компании: выбор и уход сотрудника

Пароль от рабочей почты на стикере у монитора, таблица «Пароли.xlsx» на общем диске, один и тот же пароль от трёх сервисов. Знакомо? В малой компании это повседневность, и заканчивается она обычно одним: кто-то уходит, а Вы не знаете, к чему у него был доступ.

В этой статье я показываю, как выбрать менеджер паролей, внедрить его за один вечер и что делать, когда сотрудник уходит. Пишу в общем виде, без таблиц с ценами, потому что планы производителей часто меняются.

Почему не таблица и не стикеры

Таблица выглядит разумным решением, но у неё есть несколько недостатков, которые проявляются только в кризисной ситуации:

• Нет полной истории. Обычно не видно, кто открывал файл и кто копировал пароли.
• Нельзя отозвать доступ к отдельному паролю. Либо человек видит весь файл, либо ничего.
• Файл путешествует. Он попадает в письма, на флешки, в личные телефоны и в резервные копии.
• Пароли открыты. Каждый, кто откроет файл, видит всё, а пока файл открыт, его видит и клиент, заглядывающий через плечо.
• Таблица подталкивает к простым паролям. Когда пароли приходится вводить вручную, люди выбирают короткие и повторяющиеся.

У стикера на мониторе одно преимущество: его не перехватит атака из интернета. Но его видит каждый клиент и каждый, кто убирает в офисе, а если стикер потеряли или сфотографировали, сделать его недействительным невозможно.

Что делает менеджер паролей

Менеджер паролей — это зашифрованное хранилище. Вы запоминаете один длинный мастер-пароль, а он генерирует и вводит остальные. Для малой компании важны три вещи:

1. Уникальный случайный пароль для каждого аккаунта, без придумывания и без повторов.
2. Общие хранилища для команды: доступ к аккаунту компании без пересылки пароля по почте.
3. Контроль доступа: Вы добавляете и убираете людей одним кликом.

Менеджер не заменит здравый смысл. Если кто-то введёт пароль на поддельном сайте, хранилище не поможет. Но у хорошего менеджера есть одно преимущество: он не подставит пароль на сайте с другим адресом, и уже это останавливает часть попыток фишинга.

Как выбрать: Bitwarden, 1Password или менеджер из аккаунта

Единственного лучшего инструмента нет. Выбор зависит от числа людей и от того, нужны ли Вам общие хранилища.

Моё практическое правило: один человек, несколько аккаунтов — это менеджер, встроенный в аккаунт, который у Вас уже есть. Два человека и больше, общая почта, реклама, домен — это отдельный менеджер для компаний, например Bitwarden или 1Password. Выберите один и не смешивайте: когда половина команды пользуется Google, а половина Apple, никто не знает, где какой пароль.

Мастер-пароль и 2FA: две защиты хранилища

Хранилище защищено ровно настолько, насколько защищён его ключ. Поэтому:

• Мастер-пароль должен быть длинным, лучше всего из 4–5 случайных слов. Не используйте его больше нигде.
• Не сохраняйте его в телефоне или в почте. Запишите на листке и спрячьте дома или в настоящем сейфе. Это единственная веская причина пользоваться листком.
• Включите второй фактор (2FA) в аккаунте менеджера: приложение-аутентификатор или аппаратный ключ. SMS лучше, чем ничего, но слабее.
• Включите 2FA и в самых важных аккаунтах: почта, домен, хостинг, банк, рекламный аккаунт.
• Если менеджер поддерживает ключи доступа (passkeys), используйте их там, где их поддерживает сервис.

Внедрение за один вечер

План, который Вы выполните без IT-специалиста:

1. Выберите инструмент и создайте аккаунт владельца. Задайте мастер-пароль и 2FA.
2. Создайте хранилища (коллекции) по отделам, например «Почта и домен», «Реклама и соцсети», «Финансы», «Магазин и хостинг».
3. Составьте список аккаунтов компании: почта, домен, хостинг, панель сайта, Google (Analytics, профиль компании, Ads), Meta, банк, бухгалтерия, программы.
4. Смените пароли на сгенерированные. Начните с почты и домена, потому что через почту восстанавливается всё остальное.
5. Пригласите сотрудников и дайте им доступ только к тем хранилищам, которые им нужны.
6. Удалите таблицу и стикеры. Только после того, как всё перенесёте.
7. Назначьте второго администратора или настройте экстренный доступ (см. ниже).

То же правило действует для домена и хостинга: аккаунт должен быть оформлен на компанию, а не на личный адрес сотрудника. Об этом я пишу в статье о том, как вернуть доступ к сайту от агентства.

Общие хранилища: кто что видит

Общее хранилище решает проблему «пароль от Facebook есть только у Каси». Несколько правил:

• Давайте минимум доступа. Менеджеру по продажам не нужен интернет-банк, а бухгалтеру рекламный аккаунт.
• Разделите роли. Администратор управляет людьми, обычный пользователь пользуется паролями. Где возможно, давайте доступ только для чтения.
• Не отправляйте пароли по почте или в мессенджере. Поделитесь записью в хранилище.
• Аккаунты компании, а не личные. Если инструмент позволяет добавить второго пользователя (например, в Google Ads или Meta), добавьте человека вместо того, чтобы делиться одним паролем. Тогда известно, кто что сделал.

Для аккаунтов без отдельных пользователей общий пароль в хранилище — хороший выход, но помните о 2FA: код тогда приходит одному человеку. Некоторые менеджеры умеют хранить одноразовые коды вместе с паролем, что облегчает работу команды, но такое решение стоит принимать осознанно.

Экстренный доступ: когда владелец недоступен

Несчастный случай, болезнь, отпуск без связи. Если единственный человек с мастер-паролем недоступен, компания теряет доступ ко всему. Поэтому:

• Назначьте второго администратора в организации, лучше всего человека, которому Вы доверяете и у которого есть собственная 2FA.
• Воспользуйтесь экстренным доступом, если инструмент его предлагает: доверенный человек может запросить доступ и получит его через установленное время, если Вы не возразите.
• Запишите инструкцию по восстановлению и храните её в запечатанном конверте у доверенного человека или в сейфе.
• Проверяйте это раз в год: действительно ли второй администратор может войти.

Уход сотрудника: список шагов

Это самая важная часть. Сделайте всё в день ухода, а при конфликте ещё до разговора.

1. Отзовите доступ к хранилищу и удалите пользователя из организации.
2. Смените пароли от аккаунтов, которые он знал, начиная с самых важных: рабочая почта, домен, хостинг, банк, рекламные аккаунты, соцсети, панель сайта. Удаление аккаунта из менеджера не меняет пароли, которые кто-то уже видел или скопировал.
3. Сбросьте 2FA на общих аккаунтах, если коды приходили на его телефон.
4. Удалите его из аккаунтов с отдельными пользователями: Google, Meta, хостинг, система магазина, бухгалтерия.
5. Перенаправьте его почту ответственному человеку и отключите вход в его учётную запись.
6. Проверьте авторизованные устройства и активные сеансы в важных аккаунтах.
7. Заберите оборудование и удалённо выйдите из рабочих приложений на его телефоне.
8. Запишите дату и объём изменений в одной заметке. Это пригодится при споре и при аудите.

Если Вы меняете пароли от сайта или магазина после ухода человека, у которого был доступ к панели, проверьте также список администраторов и плагинов. Так же я поступаю при взломе WordPress.

Чего не делать

• Не храните коды восстановления в том же хранилище, что и мастер-пароль.
• Не используйте один аккаунт менеджера на всю компанию. У каждого должен быть свой.
• Не сохраняйте пароли в браузере личного компьютера сотрудника, если техника не принадлежит компании.
• Не открывайте доступ ко всему хранилищу «для удобства».
• Не откладывайте смену паролей после ухода сотрудника «на потом».

Итог

Менеджер паролей — одно из самых недорогих и эффективных изменений в малой компании: уникальные пароли, общие хранилища и порядок при уходе сотрудника. Начните с почты и домена, включите 2FA и настройте экстренный доступ.

Если хотите проверить, устойчивы ли Ваш сайт и формы к подбору паролей и ботам, закажите аудит безопасности или напишите мне. Для начала можно также воспользоваться бесплатным инструментом «Проверить сайт», который проверяет, среди прочего, безопасность и настройки домена.