Корпоративный менеджер паролей

Пароли в бизнесе редко начинают жить «по правилам». Сначала это один администратор, который помнит доступ к роутеру. Потом появляется бухгалтерия, сайт, CRM, 1С, хостинг, кассы, кабинет оператора связи, облако бэкапов и несколько подрядчиков. Через пару лет всё это неожиданно оказывается в Excel-файле на рабочем столе, в личном Telegram у сотрудника или в заметках браузера.

Пока команда маленькая и все рядом, кажется, что так быстрее. Но проблема проявляется в самый неудобный момент: сотрудник увольняется, подрядчик меняется, нужно срочно зайти в DNS, а никто не понимает, какая запись актуальная. Или хуже: пароль от критичного кабинета известен пятерым, но кто именно заходил вчера вечером — уже не выяснить.

Корпоративный менеджер паролей нужен не ради «красивой ИБ». Это рабочий сейф секретов для команды: пароли, SSH-ключи, токены API, резервные коды MFA, доступы к хостингу и сетевому оборудованию. Главное отличие от таблицы — не шифрование само по себе, а управляемость: кто видит, кто может менять, что делать при уходе человека и как быстро передать доступ без пересылки в чат.

Почему Excel с паролями опасен

Таблица удобна ровно до первой проверки. Её легко отправить не туда, сохранить в личное облако, забыть на ноутбуке или открыть без пароля. В ней почти всегда нет истории: кто изменил пароль, когда он устарел, кому выдавали доступ. Если в файле лежит «логин: пароль» от домена, хостинга, VPN и 1С, то потеря файла становится не мелкой неприятностью, а инцидентом.

Отдельная беда — копии. Один файл «для всех» быстро размножается: у директора версия за июнь, у бухгалтера за август, у подрядчика свой экспорт. После смены пароля непонятно, где правда. После увольнения непонятно, что именно сотрудник успел сохранить себе.

В фитнес-клубе или термах это не абстрактный риск. Доступ к панели хостинга может означать сайт и онлайн-запись. Доступ к VPN — сервер 1С и касса. Доступ к почте администратора — переписка с клиентами и восстановление паролей от других сервисов. Поэтому менеджер паролей стоит рассматривать как часть базовой гигиены вместе с резервным копированием и IT-аудитом.

Что должно быть в корпоративном сейфе

Хороший менеджер паролей для бизнеса — это не «один мастер-пароль на всех». У каждого сотрудника свой вход, желательно с MFA. Внутри — коллекции или папки: бухгалтерия, сайт, сеть, кассы, подрядчики, руководители. Доступ выдаётся по роли, а не по принципу «скиньте всё, чтобы не мешать».

Для подрядчика удобно создать отдельную группу: он видит только те секреты, которые нужны для работы. Например, сервер мониторинга, VPN и панель хостинга, но не личные кабинеты собственника и не маркетинговые рассылки. Когда договор закончился, группу отключили — и не нужно вспоминать, кому отправляли пароль в переписке полгода назад.

Важны заметки к доступам. Не просто admin / пароль, а где используется учётка, можно ли менять пароль без согласования, есть ли второй администратор, привязана ли MFA к телефону конкретного человека. Эти детали кажутся лишними, пока не нужно срочно восстановить сайт в воскресенье.

Роли, ротация и уход сотрудника

Самый практичный сценарий для менеджера паролей — увольнение или смена роли. Если администратор ресепшена больше не работает с онлайн-записью, ему закрывают доступ к нужной папке. Если системный администратор уходит, меняют пароли в критичных системах по списку, а не «всё подряд ночью».

Ротация не должна превращаться в ежемесячный ритуал ради галочки. Лучше определить классы: критичные доступы к домену, DNS, хостингу, VPN, 1С, облаку бэкапов; сервисные пароли в скриптах; обычные кабинеты. Критичные меняются при смене ответственных, подозрении на утечку и после завершения работы подрядчика. Обычные — по ситуации и политике компании.

Отдельно стоит убрать общий пароль «админ для всех». Если сервис позволяет индивидуальные учётные записи, используйте их. Общий пароль оставляют только там, где иначе нельзя, и хранят в сейфе с ограниченным доступом. Для критичных входов добавляют двухфакторную защиту — подробнее об этом в статье про MFA для 1С и админок.

Как внедрять без сопротивления команды

Главная ошибка — поставить менеджер паролей и сразу требовать идеальной дисциплины. Лучше начать с инвентаризации: собрать 30–50 самых важных доступов, убрать явные дубли, назначить владельцев. Затем выдать людям доступ по ролям и договориться о простом правиле: новые рабочие пароли не отправляем в чат, а кладём в сейф.

Для руководителя полезен короткий список «критичного контура»: домен, DNS, хостинг, почта, телефония, кассы, 1С, VPN, резервные копии. По каждому должно быть понятно, кто владелец, где лежит доступ и есть ли запасной администратор. Это же пригодится перед сменой подрядчика или при передаче ИТ-сопровождения.

Не все секреты стоит хранить одинаково. Пароли сотрудников от личных рабочих аккаунтов — их зона ответственности, но с политикой сложности и MFA. Общие технические секреты — зона компании. Токены API и пароли в автоматизации лучше постепенно переносить в защищённые хранилища и переменные окружения, а не держать в bat-файлах.

Что выбрать

Конкретный продукт зависит от требований: облачный сервис проще запустить, локальное или self-hosted-решение даёт больше контроля, но требует администрирования и бэкапа. Для малого бизнеса чаще важнее не бренд, а дисциплина: индивидуальные учётки, MFA, роли, экспорт на случай аварии, понятный владелец сейфа и регулярная проверка актуальности.

Если у вас сейчас пароли живут в таблице, не нужно «перепридумывать ИБ» за неделю. Начните с критичных доступов и подрядчиков. Мы можем помочь разобрать текущий список, подобрать формат сейфа и встроить его в ИТ-аутсорсинг или разовый IT-аудит. Напишите нам через контакты — спокойно разберём, где риск реальный, а где достаточно простого порядка.