Рабочие пароли не должны зависеть от памяти одного сотрудника или переписки в мессенджере. Компании нужен управляемый способ хранения: понятно, кому принадлежит аккаунт, кто может использовать секрет и как вернуть контроль при увольнении или потере устройства.
Начните с учёта аккаунтов
Составьте список сервисов без самих паролей. Укажите владельца, назначение, уровень прав и способ восстановления. Отдельно отметьте общие аккаунты и сервисы, зарегистрированные на личную почту. Если сервис поддерживает персональных пользователей, лучше использовать их вместо передачи одного общего входа.
Как устроить хранилище
- Выберите корпоративный менеджер паролей с подходящими возможностями управления.
- Разделите секреты по командам и задачам, а не выдавайте всем общий сейф.
- Защитите вход в хранилище и сохраните предусмотренный способ восстановления.
- Назначьте резервного администратора с отдельно контролируемым доступом.
- Опишите выдачу, отзыв и замену общих секретов.
Что хранить отдельно
Личные аккаунты сотрудников не следует смешивать с корпоративными. Аварийные коды и ключи восстановления требуют отдельного решения: если единственная их копия находится внутри заблокированного хранилища, восстановление не сработает. Способ резервирования зависит от продукта и принятой модели доступа.
API-ключи работающих приложений тоже не стоит автоматически переносить в пользовательский сейф. Для них часто требуется специализированное хранилище секретов и автоматическая выдача процессам без участия человека.
Как проверить, что схема работает
На тестовом аккаунте проверьте выдачу доступа новому сотруднику, отзыв доступа и восстановление при потере устройства. Убедитесь, что после удаления пользователя у него не сохраняется возможность входа через ранее скопированный общий пароль. В таких случаях требуется заменить сам секрет.
Не превращайте миграцию в массовую рассылку таблицы с паролями. Перенос выполняют по контролируемой процедуре, затем проверяют временные файлы и копии. Итогом должен стать управляемый доступ, а не ещё одно место, где лежит тот же незащищённый список.
Дополнительно: OWASP: управление аутентификацией.
