Блог · 20 ноября 2025

Парольная политика, которая работает: современные рекомендации

Почему ежемесячная смена паролей не помогает и что действительно защищает учётные записи сотрудников.

Старые правила устарели

Многие компании до сих пор требуют менять пароль каждые 30 дней и использовать обязательно заглавные буквы, цифры и спецсимволы. На практике это приводит к паролям вида «Сентябрь2025!», которые меняются на «Октябрь2025!», и к стикерам на мониторе. Современные рекомендации по безопасности от этого подхода отказались: частая принудительная смена паролей делает их не сильнее, а предсказуемее.

Длина важнее сложности

Главное свойство надёжного пароля — длина. Фраза из четырёх-пяти случайных слов гораздо устойчивее к подбору, чем короткий пароль из восьми символов со спецзнаками, и при этом её легко запомнить. Рекомендуемая минимальная длина для учётных записей сотрудников — 12–14 символов, для администраторов — больше.

Вместо требования сложности лучше проверять пароли по спискам скомпрометированных и распространённых паролей. Пароль, который уже встречался в утечках, нельзя использовать, каким бы сложным он ни выглядел.

Когда менять пароль

Пароль нужно менять не по календарю, а при наличии причины: подозрение на компрометацию, увольнение сотрудника, знавшего общий пароль, обнаружение пароля в утечке. Для сервисных и административных учётных записей разумно задать плановую смену, но реже, чем раз в месяц, и с использованием генератора.

Двухфакторная аутентификация

Даже идеальный пароль может быть украден через фишинговую страницу или вредоносную программу. Поэтому для почты, удалённого доступа, облачных сервисов и административных интерфейсов обязательно включайте второй фактор. Приложения-аутентификаторы и аппаратные ключи надёжнее SMS-кодов. Это самое эффективное средство против захвата учётных записей.

Менеджер паролей

Сотрудники не могут помнить десятки уникальных паролей, и требовать этого бессмысленно. Корпоративный менеджер паролей решает сразу несколько задач: генерирует длинные случайные пароли, хранит их в зашифрованном виде, позволяет безопасно делиться доступами внутри отдела и мгновенно отзывать их при увольнении. Это гораздо лучше общей таблицы с паролями на сетевом диске.

Административные учётные записи

Администраторы должны использовать отдельные учётные записи для повседневной работы и для администрирования. Почту и браузер — под обычной учётной записью, управление серверами — под привилегированной, желательно с отдельной рабочей станции. Учётную запись встроенного администратора стоит переименовать или отключить, а локальные пароли администраторов на компьютерах сделать уникальными с помощью специальных средств.

Как внедрить изменения без сопротивления

Новая парольная политика затрагивает каждого сотрудника, поэтому её стоит внедрять постепенно и с объяснениями. Начните с короткого письма от руководителя: почему меняются правила, что станет проще (не нужно менять пароль каждый месяц), а что потребует усилий (более длинный пароль и второй фактор). Подготовьте пошаговую инструкцию со скриншотами для подключения приложения-аутентификатора и выделите время, когда ИТ-специалист сможет помочь лично.

Двухфакторную аутентификацию лучше включать по отделам, начиная с руководства и бухгалтерии — это самые привлекательные для злоумышленников учётные записи. Заранее продумайте процедуру восстановления доступа при потере телефона: она должна быть надёжной, но не превращать сотрудника в заложника на целый день. Через месяц после внедрения соберите обратную связь и при необходимости скорректируйте правила.

Хорошая политика — это та, которую сотрудники реально соблюдают. Если правила слишком сложные, люди начинают искать обходные пути, и защита становится иллюзией.

Краткий чек-лист

Минимальная длина пароля — 12 символов и больше, разрешены фразы и пробелы.

Проверка по спискам скомпрометированных паролей.

Отказ от принудительной ежемесячной смены.

Двухфакторная аутентификация для всех внешних сервисов.

Корпоративный менеджер паролей.

Блокировка учётной записи после серии неудачных попыток входа.

Отдельные учётные записи для администрирования.