MFA для 1С и админок

Двухфакторная аутентификация часто звучит как «ещё один код, который мешает работать». В реальности MFA нужна не для красоты отчёта по безопасности, а для простого сценария: пароль уже утёк, подсмотрен, сохранён в браузере на чужом компьютере или остался у бывшего подрядчика. Второй фактор не делает систему неуязвимой, но резко снижает шанс, что одного пароля хватит для входа в критичный контур.

Для малого и среднего бизнеса вопрос обычно не в том, «включать ли MFA везде». Вопрос — где включить первым, чтобы не сломать процессы. У фитнес-клуба, термального комплекса или интернет-магазина есть несколько входов, через которые можно быстро получить много вреда: почта руководителя, VPN, панель хостинга, 1С web, облачные бэкапы, админка сайта и кабинет домена. Именно с них стоит начинать.

Почему пароль уже не считается достаточным

Пароли повторяют. Их пересылают подрядчикам. Их сохраняют в браузерах. Иногда они лежат в Excel-файле вместе с комментариями «не менять, а то перестанет работать». Даже если у вас аккуратная команда, пароль может утечь через фишинговое письмо, заражённый домашний ноутбук или старый сервис, где сотрудник использовал тот же набор символов.

MFA добавляет второй шаг: приложение-аутентификатор, push-подтверждение, аппаратный ключ или одноразовый код. Для бизнес-систем лучше избегать SMS как основного фактора, если есть нормальная альтернатива: SIM-карта уязвима к перевыпуску, телефон может быть недоступен, а коды в SMS любят пересылать «для удобства».

Самое важное — включать MFA там, где взлом одного аккаунта открывает цепочку. Почта часто является главным ключом: через неё восстанавливаются пароли от CRM, хостинга, рекламных кабинетов и банковских сервисов. Поэтому почта руководителя и администраторов обычно идёт первой в очереди.

Что внедрять первым

Начните с короткого списка критичных входов. Не с сотни сервисов, а с тех, где последствия понятны без длинной презентации.

Почта руководителей и администраторов. Если злоумышленник получает почту, он получает восстановление паролей и переписку с клиентами, подрядчиками, банком, хостером. MFA здесь почти всегда оправдана.

VPN и удалённый доступ. Если вход в сеть защищён только паролем, украденные учётные данные дают путь к серверам, 1С, файловым шарам и кассам. VPN без MFA — частая слабая точка, особенно если сотрудники подключаются из дома.

Панели хостинга, DNS и домена. Потеря доступа к домену или DNS может остановить сайт, почту и формы заявок. При смене подрядчика такие кабинеты особенно важно перевести под контроль компании, что хорошо проверяется в рамках IT-аудита.

1С web и административные панели. Если 1С доступна через веб или публикацию наружу, MFA становится не «опцией», а нормальной защитой. В идеале доступ к 1С извне идёт через VPN или защищённый шлюз, а не просто по адресу в интернете.

Облака бэкапов и менеджер паролей. Там лежит то, чем восстанавливается бизнес после аварии. Потерять контроль над этими сервисами особенно неприятно: можно лишиться и данных, и возможности быстро восстановиться.

MFA для 1С: аккуратно, без героизма

С 1С нужно быть практичными. Внутри локальной сети не всегда есть смысл навешивать сложные схемы на каждого кассира, если это ломает утреннее открытие смены. Но административный доступ, веб-публикация, RDP к серверу 1С и VPN для бухгалтерии должны быть защищены сильнее обычного пароля.

Если 1С опубликована в интернет напрямую, сначала стоит пересмотреть саму архитектуру. Часто правильный шаг — убрать прямую публикацию, оставить доступ через VPN или терминальный шлюз и уже там включить MFA. Заодно проверить, кто имеет права администратора, какие учётки давно не используются и где лежат резервные копии. Это близко к задачам администрирования серверов, а не только к настройке одной галочки.

Важно заранее подготовить резервные коды и порядок восстановления доступа. MFA без регламента превращается в проблему, когда директор меняет телефон, бухгалтер теряет устройство, а единственный администратор в отпуске. Резервные коды должны лежать в корпоративном менеджере паролей, а не в личной заметке сотрудника.

Как не получить бунт команды

Люди сопротивляются не безопасности, а неудобству без объяснения. Если сегодня кассир вводит код каждые десять минут, значит внедрение сделано плохо. Для разных ролей нужны разные политики: администраторы и удалённые подключения — строго; обычные сотрудники — разумные сессии, понятные инструкции, помощь при первом входе.

Хороший запуск выглядит спокойно: список критичных систем, пилот на нескольких аккаунтах, инструкция с картинками, резервный канал поддержки на первую неделю. После этого MFA включают волнами. Сначала почта и VPN, затем хостинг и DNS, затем 1С web и остальные админки.

Не забывайте о подрядчиках. Если подрядчик подключается к вашим системам, у него тоже должен быть индивидуальный вход с MFA, а не общий пароль «itadmin». После завершения работ доступ отключается. Пароли и резервные коды лучше хранить в корпоративном сейфе — подробнее об этом в статье про менеджер паролей.

Что MFA не решает

Двухфакторка не заменяет обновления, сегментацию сети, резервное копирование и нормальные права доступа. Если у всех сотрудников права администратора на сервере, MFA только усложнит первый вход, но не исправит хаос внутри. Если RDP торчит в интернет, лучше сначала закрыть его и перевести доступ через VPN — см. материал почему нельзя открывать RDP наружу.

MFA — это слой защиты. Он особенно полезен, когда встроен в общий порядок: инвентаризация доступов, менеджер паролей, отключение бывших сотрудников, мониторинг подозрительных входов и проверка бэкапов.

Если хотите понять, где двухфакторку включить первой и как не остановить работу кассы или бухгалтерии, напишите нам через контакты. Мы разберём контур, предложим безопасный порядок внедрения и, если нужно, свяжем это с ИТ-сопровождением.