Шаблон політики паролів для команд: готовий фреймворк

Письмова політика паролів перетворює безпеку з індивідуальних здогадок на організаційну стандартну практику. Без неї члени команди використовують кардинально різні підходи: одні користуються менеджерами паролів з 20-символьними випадковими паролями, інші повторно використовують "CompanyName2026" на кожному сервісі.

Регуляторні фреймворки, включаючи PCI DSS, SOC 2, HIPAA, GDPR та ISO 27001, вимагають задокументованих політик контролю доступу. При аудиті або розслідуванні витоку перше питання часто: "покажіть вашу політику паролів." Відсутність або застарілість може призвести до провалу відповідності.

Шаблон нижче розроблений для команд від 5 до 500 осіб. Адаптуйте конкретні значення під профіль ризику та регуляторні вимоги вашої організації.

Мінімальна довжина: 14 символів для облікових записів користувачів, 20 символів для адміністративних та сервісних. Максимальне обмеження довжини відсутнє. Це перевищує мінімум NIST (8) та PCI DSS v4.0 (12).

Підхід до складності: ми приймаємо рекомендований NIST підхід довжини замість складності. Паролі не повинні бути виключно числовими або виключно буквеними. Додаткові вимоги до класів символів не нав'язуються.

Заборонені паролі: всі паролі перевіряються за базою Have I Been Pwned при створенні та зміні. Паролі не повинні містити ім'я користувача, email або назву компанії.

Підтримка парольних фраз: фрази з мінімум 5 випадкових слів з великого списку заохочуються як альтернатива для паролів, які потрібно запам'ятати.

Всі члени команди повинні використовувати затверджений менеджер паролів організації для всіх робочих акаунтів. Затверджений менеджер повинен: використовувати AES-256 або XChaCha20 шифрування; мати архітектуру zero-knowledge; пройти сторонній аудит безпеки протягом останніх 24 місяців.

Рекомендовані опції: 1Password Business ($7.99/користувач/місяць) — найповніший адмін-контроль та Watchtower. Bitwarden Teams ($4/користувач/місяць) — відмінна вартість з відкритим кодом. Dashlane Business ($8/користувач/місяць) — включає VPN.

Кожен член команди повинен генерувати унікальні випадкові паролі довжиною щонайменше 16 символів. Повторне використання паролів заборонене. Генератор менеджера паролів повинен використовуватися — створені людиною паролі не дозволені для робочих акаунтів.

Мастер-пароль: парольна фраза з мінімум 6 випадкових слів або випадковий пароль з мінімум 20 символів. Повинен бути унікальним та не зберігатися цифрово поза пам'яттю користувача.

MFA обов'язкова для всіх робочих акаунтів. Винятків немає для жодного користувача, включаючи керівників та тимчасовий персонал. MFA повинна бути увімкнена протягом 24 годин після створення акаунту.

Затверджені методи MFA за пріоритетом: FIDO2/WebAuthn апаратні ключі (YubiKey 5, Google Titan); TOTP-застосунки (Google Authenticator, Authy); push-повідомлення від менеджера паролів; SMS (лише коли інші методи недоступні).

Вимоги до апаратних ключів: співробітники з доступом до продакшн-систем, даних клієнтів або фінансових систем повинні використовувати апаратні ключі. Організація надає два ключі на кваліфікованого працівника. Втрачені ключі повинні бути повідомлені протягом 2 годин.

Резервне копіювання: всі резервні коди MFA зберігаються в менеджері паролів команди. Кожен користувач повинен мати щонайменше два функціональних методи MFA для кожного критичного акаунту.

Стандартні акаунти: паролі НЕ ротуються за фіксованим графіком. Відповідно до NIST 800-63B, обов'язкова періодична ротація контрпродуктивна. Паролі змінюються лише при доказах компрометації, появі у базах витоків, суттєвій зміні ролі або звільненні.

Адміністративні акаунти: ротація кожні 180 днів та негайно при підозрі компрометації. Мінімум 24 символи, повністю випадкові, ніколи не передаються.

Сервісні акаунти та API-ключі: ротація кожні 90 днів. Зберігаються у системі управління секретами (HashiCorp Vault, AWS Secrets Manager) — ніколи у коді або конфігураційних файлах.

Звільнення працівників: всі паролі та токени доступу повинні бути ротовані або відкликані протягом 4 годин після повідомлення про звільнення.

При підозрі або підтвердженні компрометації: негайно (30 хвилин) — вимкнути акаунт, ротувати облікові дані, перевірити аудит-логи, увімкнути посилений моніторинг.

Короткостроково (24 години) — визначити обсяг компрометації, переглянути дії за останні 30 днів, ротувати всі акаунти з повторюваним паролем, повідомити заінтересовані сторони.

Після інциденту (7 днів) — провести аналіз кореневих причин, оновити політику паролів, провести цільове навчання, задокументувати інцидент.

Терміни повідомлення: GDPR — 72 години; PCI DSS — негайно; юридична команда — 2 години при витоку даних клієнтів.

Всі працівники проходять навчання з безпеки паролів протягом першого тижня та щорічно. Навчання охоплює: використання менеджера паролів; створення парольних фраз; розпізнавання фішингу; поводження з MFA-пристроями; процедуру звітування про інциденти.

Відповідність перевіряється через щоквартальні аудити панелі здоров'я менеджера паролів. Метрики: відсоток унікальних паролів; середня довжина; кількість паролів у базах витоків; рівень впровадження MFA; час усунення проблем.

Порушення політики: перше — додаткове навчання та попередження; друге — офіційна догана та обов'язкова сесія; третє — обмежений доступ. Навмисні порушення (передача паролів, вимкнення MFA, жорстке кодування секретів) можуть призвести до негайних дисциплінарних дій.

Для впровадження: отримайте підтримку керівництва, представивши вартість витоків через облікові дані ($4.88 мільйона в середньому за IBM) проти вартості підписки на менеджер паролів.

Оберіть та розгорніть менеджер паролів до оголошення політики. Попередньо налаштуйте командні сховища, імпортуйте існуючі облікові дані та створіть документацію з онбордингу.

Оголосіть політику з пільговим періодом (зазвичай 30 днів). Проводьте сесії допомоги, де працівники налаштовують менеджери паролів та MFA за підтримки IT.

Переглядайте та оновлюйте політику щонайменше щорічно з урахуванням інцидентів та зворотного зв'язку команди.