Менеджер паролів для бізнесу: чому спільна таблиця — це не система

Паролі — це ключі від усього бізнесу відразу: від пошти, банку, каси, бухгалтерії, сайту й соцмереж. Дивно тоді, як недбало їх зазвичай зберігають. Один пароль — на стікері під клавіатурою. Другий «запам’ятав браузер». Третій живе в спільній таблиці на диску, куди має доступ пів офісу. Четвертий знає лише одна людина, і поки вона у відпустці, ним не скористаєшся.

Кожен із цих способів здається зручним рівно до першого разу, коли він підводить. Розкажемо, чому так робити не варто — і як виглядає нормальний менеджер паролів для команди, коли за секрети відповідаємо ми.

Спільна таблиця — це діра, а не сховище

Найпоширеніший «менеджер паролів» у малому бізнесі — файл із колонками «сервіс · логін · пароль» десь на спільному диску. Проблема не в тому, що це незручно. Проблема в тому, що це діра одразу з кількох боків.

Такий файл неможливо забрати назад. Дали доступ бухгалтеру — він бачить усі паролі, зокрема ті, що його не стосуються. Звільнився менеджер — а копія таблиці лишилась у нього в пошті чи в завантаженнях, і ви про це навіть не дізнаєтесь. Немає журналу: хто, коли й який пароль дивився — невідомо. Немає історії: хтось випадково стер рядок — і пароль зник назавжди.

Браузерні паролі не набагато кращі. Вони прив’язані до одного облікового запису, синхронізуються через хмару, яку ви не контролюєте, і віддаються будь-кому, хто на секунду сів за розблокований комп’ютер. Зручно — так. Але зручність тут працює проти вас.

У кожного клієнта — свій окремий сейф

Ми робимо інакше. Кожен клієнт отримує власний менеджер паролів — окремий, ізольований від усіх інших, на сервері під нашим доглядом, розміщеному в Європі. Не спільний кабінет «на всіх», де ваші секрети лежать поруч із чужими, а ваш власний простір, ключі від якого — у вас.

Усередині секрети розкладені по теках і командах: бухгалтерія бачить бухгалтерське, склад — складське, директор — усе. Кожному співробітнику — свій вхід, а не один пароль «від таблиці» на весь офіс. І кожен доступ лишає слід: видно, хто й коли чим користувався.

Технічно це відкритий Vaultwarden — той самий рушій, що стоїть за Bitwarden, з яким працюють звичні застосунки на телефоні, у браузері й на комп’ютері. Нового інтерфейсу вчити не треба: воно виглядає й працює як менеджер паролів, яким ви, можливо, вже колись користувалися вдома, — тільки під вашим контролем, а не в чужій хмарі. А сам сейф зашифрований і має резервні копії — як і всі дані, за які ми відповідаємо.

Другий замок — усередині, а не поруч

Пароль — це лише перший замок. Другий — одноразові коди (їх називають 2FA або TOTP): ті самі шестизначні числа, що оновлюються кожні пів хвилини. Часто їх тримають в окремому застосунку на телефоні однієї людини — і коли той телефон загубився чи розрядився в невдалий момент, у важливий сервіс не зайти нікому.

Ми зберігаємо ці коди поруч із паролями, у тому ж захищеному сейфі. Тоді доступ не тримається на одному пристрої однієї людини: якщо треба, підстрахує колега з відповідними правами — без паніки й без «а де тепер шукати той телефон». Це свідомий компроміс: обидва фактори в одному сейфі, тож його захист критичний.

Як виглядає впровадження

Запуск не драматичний і не довгий:

• спершу збираємо всі секрети, розкидані по таблицях, браузерах і стікерах, в одне місце;
• структуруємо їх по відділах і задаємо, хто що має бачити;
• заводимо кожному співробітнику власний вхід і, де треба, вмикаємо одноразові коди;
• показуємо команді, як цим користуватися, — це п’ятнадцять хвилин, а не тренінг на день;
• передаємо вам адміністративні ключі, щоб головний доступ був саме у вас, а не «десь у підрядника».

Після цього стара таблиця з паролями видаляється — не ховається в архів, а видаляється, бо вона більше не потрібна, а лишатись їй небезпечно.

Найкраща перевірка — коли хтось іде

Справжня цінність такого сейфа видно не щодня, а в день, коли хтось звільняється. У світі спільної таблиці звільнення — це гарячкова зміна десятка паролів навмання, з надією, що жоден не забули. У світі нормального менеджера це один спокійний крок: закрили людині доступ — і всі секрети миттєво поза її досяжністю, нічого масово не переписуючи.

Пароль, який знає лише одна людина, — це не безпека. Це заручник.

Той самий інструмент, до речі, тримає й наші власні секрети. Ми не радимо клієнтам того, чим не користуємося самі.

Три питання до свого IT

Не обов’язково працювати з нами, щоб навести лад із паролями. Досить поставити три питання тому, хто відповідає за ваше IT:

1. Де саме лежать паролі від наших сервісів — і чи не в спільній таблиці, яку можна тихо скопіювати?
2. Що станеться з доступами, коли завтра звільниться ключовий співробітник?
3. Чи видно, хто й коли користувався конкретним паролем?

Якщо відповіді спокійні й конкретні — чудово. Якщо ні — почніть з безкоштовного аудиту: подивимося разом, де у вас зараз лежать ключі від бізнесу, і чесно скажемо, що варто змінити. Керування секретами — частина нашого «Щита», але навести тут лад можна й окремо.