Парольная политика компании: как составить и внедрить

Парольная политика — это не строчка «меняйте пароль каждые 90 дней» в регламенте, который никто не читает. Это набор правил, который реально снижает риск взлома и при этом не бесит команду. Разберём, что включить в политику в 2026 году и как её внедрить.

Что включить в парольную политику

• Длина и уникальность: минимум 12–16 символов, свой пароль на каждый сервис. Длина важнее «обязательных символов».
• Менеджер паролей обязателен: пароли не в головах, не в таблицах, а в зашифрованном хранилище.
• Двухфакторная аутентификация на всех рабочих и критичных аккаунтах.
• Смена пароля по событию, а не по расписанию — при утечке, увольнении, подозрении.
• Запрет на передачу паролей в мессенджерах и почте — только через защищённый шеринг.
• Отзыв доступа при увольнении — сразу, а не «когда вспомним».

Как сделать так, чтобы политика работала

Политика, которую невозможно соблюдать, не соблюдается. Поэтому правила нужно подкреплять инструментами, а не только регламентом:

• Корпоративный менеджер паролей — чтобы «уникальный пароль на каждый сервис» стал реальностью, а не пожеланием.
• Общие хранилища по командам/проектам вместо паролей в общих чатах.
• Роли и права: у каждого доступ только к тому, что нужно для работы.
• Audit-лог: видно, кто и когда открывал секрет — это и контроль, и дисциплина.
• Анализ паролей (Watchtower): автоматически подсвечивает слабые, повторные и утёкшие.

Увольнение сотрудника: критичный момент

Самая частая дыра — уволившийся сотрудник, у которого остались пароли в личных заметках и переписке. Если доступы раздавались через общий менеджер, проблема решается одним действием: отзываете доступ к хранилищам — и человек мгновенно теряет возможность видеть секреты. Если же пароли расходились копипастой, придётся менять их все. Как именно — в статье менеджер паролей для команды.

Мини-чеклист политики

Короткая версия, которую можно положить в регламент: уникальные пароли 16+ символов в менеджере, обязательная 2FA, смена по событию, шеринг только через защищённые ссылки, отзыв доступа при увольнении, регулярный аудит. Про сами пароли — статья как придумать надёжный пароль, про второй фактор — что такое 2FA и TOTP.