Как хранить пароли сотрудников

Опубликовано: 17.09.2024

Инструкция по организации парольной защиты

1. Общие положения

1.1 Настоящая инструкция устанавливает порядок и правила генерации, использования паролей в информационных системах организации.

1.2 Требования настоящей инструкции распространяются на всех сотрудников организации.

1.3 Бесконтрольность в определении и использовании паролей может повлечь риск несанкционированного доступа к информации организации, повлечь мошеннические и другие действия информационных системах, которые могут нанести материальный вред и ущерб репутации организации.

2. Требования к паролям

2.1 Пароли не должны основываться на каком-либо одном слове, выданном идентификаторе, имени, кличке, паспортных данных, номерах страховок и т.д.

2.2 Пароли не должны основываться на типовых шаблонах и идущих подряд на клавиатуре или в алфавите символов, например, таких, как: qwerty, 1234567, abcdefgh и т.д.

2.3 Пароли должны содержать символы как минимум из трех следующих групп:

Строчные латинские буквы: abcd. xyz;
Прописные латинские буквы: ABCD. XYZ;
Цифры: 123. 90;
Специальные символы: !%() _+ и т.д.

2.4 Требования к длине пароля:

Для обычных пользователей ‑ не менее 8 символов;
Для администраторов (локального\доменного) ‑ не менее 15 символов;
Для сервисных идентификаторов, разделяемых ключей (shared keys) ‑ не менее 14 символов;
Для SNMP Community Strings — не менее 10 символов.

2.5 Периодичность смены пароля:

Административные – каждые 60 дней;
Пользовательские– каждые 90 дней;
Сервисные – не реже двух раз в год;
Shared keys SNMP Community Strings — не реже одного раза в год.

2.6 Пароли не должны храниться и передаваться в незашифрованном виде по публичным сетям (локальная вычислительная сеть, интернет, электронная почта).

2.7 . В ходе работы не должны использоваться встроенные идентификаторы. Для них должны быть назначены пароли, отличные от установленных производителем. К ним предъявляются требования, аналогичные требованиям к сервисным паролям.

2.8 Пароли нельзя записывать на бумагу, в память телефона и т.д. Нельзя сообщать, передавать кому-либо пароль.

2.9 Хеши паролей должны проверяться в ходе внутреннего аудита администратором информационной безопасности не реже двух раз в год с помощью типовых атак на подбор.

Возможна также проверка соответствия пароля требованиям данной инструкции в присутствии пользователя: пользователь называет свой пароль, а проверяющий осуществляет ввод пароля и его проверку. После такой проверки требуется обязательная и немедленная смена пароля.

2.10 Пароли сервисных идентификаторов должны входить в процедуру управления паролями УА, включающую хранение их в защищенном месте, разделение секрета, периодическую смену (1 раз в год).

3. Требования к настройкам безопасности информационных систем

3.1 Учетная запись должна блокироваться после 5 неверных попыток доступа не менее, чем на 15 минут.

3.2 Запрещается использовать функции «Запомнить пароль» в любом программном обеспечении.

4. Требования к паролям сервисных учетных записей

4.1 Пароли для сервисных учетных записей должны формироваться ответственным за сервисную учетную запись и администратором информационной безопасности.

4.2 Длина каждой половины пароля должна быть не меньше 7 символов, сложность пароля указана в п.2.3. Перед запечатыванием конверта, обязательно проверить правильность смены пароля в информационной системе, делая соответствующую запись в журнале.

4.3 Пароль должен меняться не реже двух раз в год, или немедленно в случае увольнения или смены полномочий одного или двух ответственных за формирование пароля.

4.4 Каждая половина пароля сохраняется в отдельном конверте, исключающем возможность увидеть пароль через конверт, например, путем просвечивания конверта ярким светом. Конверты хранятся в сейфе начальника УА.

4.5 Каждая генерация\смена\вскрытие пароля или конверта должна обязательно формироваться соответствующей записью в журнале.

4.6 Администратор информационной безопасности, должен ежемесячно проверять наличие конвертов, целостность.

4.7 Вскрытие конвертов может произвести:

ответственный за информационную систему;
администратор информационной безопасности;
Начальник УА

4.8 Конверты вскрываются одним лицом, с последующей регистрацией в журнале, при этом обязательно информирование администратора информационной безопасности с использованием почтовой рассылки.

4.9 В случае вскрытия\использования конвертов, по окончании выполнения работ необходимо произвести работы по созданию нового пароля с п.4.1

4.10 Администраторы оказывают помощь и содействия администратору информационной безопасности при проведении аудитов, управление сервисными, административными паролями, shared keys и SNMP Community Strings, включая генерацию паролей, их изменение и хранение в безопасном месте, а также настройку информационных систем для соблюдения данных требований.

4.11 Администратор по информационной безопасности несёт осуществляет аудит требований данной политики, разрабатывает процедур управления идентификаторами.

4.12 Пользователи информационных ресурсов обязаны соблюдать требования данной Инструкции при выборе пароля и работе с ним.

5. Ответственность

5.1 Виновные в нарушении условий настоящей Инструкции несут ответственность в соответствии с законодательством Российской Федерации, трудовым договором, должностной инструкцией.

6. Заключительные положения

6.1 Общий текущий контроль исполнения настоящей инструкции осуществляет АИБ.

6.2 АИБ поддерживает настоящую инструкцию в актуальном состоянии.

6.3 Изменения и дополнения в настоящую инструкцию утверждаются директором организации.

6.4 Инструкция вступает в силу с момента утверждения директором организации.

Пригодились документы — поставь «лайк» или поддержи сайт материально:

Носители ключевой информации

Отдел сопровождения системной инфраструктуры

Политика Информационной Безопасности

Наше приложение «Менеджер паролей» для облачного сервиса Битрикс24 хранит пароли компании и сотрудников в структурированном виде с шифрованием и разграничением прав доступа. Изначально оно создавалось под нужды компании: отдел разработки устал от неорганизованности и предложил идею удобного и безопасного хранения паролей. Мы выпустили приложение в 2015 году и с тех пор пользуемся им ежедневно. Более 500 паролей разбиты по категориям, имеют распределенный доступ по отделам и сотрудникам и по запросу выдаются одной кнопкой.

Директор веб-студии Intensa Кирилл Трофимов рассказал о работе с приложением, функционале и информационной безопасности.

Расскажите о компании: сколько сотрудников, отделов и как строится коммуникация внутри команды?

В компании работает 20 человек в 5 отделах: разработка, дизайн, интернет-маркетинг, управление проектами и административный отдел.

Коммуникация в основном происходит между клиентом, менеджером и специалистом (маркетологом, разработчиком или дизайнером). Они решают вопросы по ведению проектов, работе в сервисах, получению удаленного доступа к административной панели сайта и т. д.

Сколько паролей использует студия для работы?

Мы храним 500+ паролей. Расскажу, как складывается эта цифра. Каждый отдел использует 20–30 различных доступов. Для офис-менеджера это, например, 1С, почта, поставщики, для менеджеров и разработчиков — сайты проектов, у каждого в среднем по 5 паролей. Таким образом проектов, к которым надо хранить доступы, около 100. Также у сотрудников есть личные пароли к рабочим сервисам.

Как раньше хранили и передавали пароли?

Никакой единой системы у нас не было.
Часть паролей я хранил под «ключом» и выдавал по запросу через корпоративные мессенджеры, по whatsapp или электронной почте, какие-то писал на стикере и передавал лично. Еще часть оставалась в истории переписки по проекту.

Что делали при потере пароля?

В 90% случаев пароль удавалось восстановить по почте и ситуаций, когда стал недоступен сервис, не было.
Если пароль терялся из-за ухода сотрудника, то связывались и восстанавливать данные. Думаю, нас спасало, что мы со всеми расстаемся в хороших отношениях и даже поддерживаем связь, поэтому проблем еще не возникало.

Какие главные недостатки хранение паролей вне приложения?

Первое — это небезопасно с точки зрения конфиденциальности данных. Получая доступ к серверу, злоумышленник может беспрепятственно украсть всю информации на нем. Но, если вы используете приложение, для расшифровки потребуется мастер-пароль, который знает только администратор.

Ситуация со взломом сервера скорее нештатная, но даже в безобидном положении, когда из компании уходит сотрудник, нельзя быстро понять, к чему у него были доступы и поменять их.

Второй недостаток — отнимает много времени, оперативно получить доступ к проекту из-за отсутствия не удасться, так как нет централизованного хранения. Начинается проверка папок и документов в поиске нужного ключа.

Что стало отправной точкой для создания «Менеджера паролей»?

Рост команды и проектов. Ситуация, когда 50 ресурсов одновременно находятся на поддержке, разработке и продвижении, заставила задуматься о повышении безопасности, скорости работы и комфорте сотрудников.

Сколько времени заняла разработка сервиса?

Первоначальную версию разрабатывали полгода. На это потребовалось 200 рабочих часов программиста. После запуска первой версии — еще 50 на последующую доработку и исправления ошибок.

Какие технологии использовали?

Мы хотели сделать работу с нашим приложением быстрой и удобной, как с десктопной программой, поэтому для реализации использовали JavaScript-фреймворк AngularJS.
В момент старта приложения все данные один раз загружаются через Bitrix Rest API в формате JSON и хранятся в памяти браузера. Далее весь функционал работает мгновенно и без задержек: смена категорий, поиск, настройки, просмотр паролей и так далее. Только при обновлении и добавлении данных происходит Ajax-запрос к серверу.

Сколько человек участвовало в разработке и какой функционал был заложен?

Приложением занимался один человек, предварительно собрав обратную связь от команды. В итоге пришли к набору следующих функций:

Система распределенных прав доступа и возможность быстро выдавать их. Допустим, пришел новый сотрудник и начинает работу с 3 проектами. При использовании приложения, менеджер одной кнопкой расшаривает доступ на чтение или редактирование. Это экономит время и помогает поддерживать порядок.

Возможность структурировать пароли, выделять категории и группы. Например, сделать группировку для менеджера и клиентов так, чтобы только менеджер имел доступ к своей папке с отсортированными ключами.

Встроенный генератор паролей помогает мгновенно создать безопасный пароль, который нельзя взломать и получить доступ к конфиденциальной информации.

Раздел «Избранное» для быстрого доступа к часто используемым паролям, который открывается по умолчанию при загрузке приложения. Избранные пароли индивидуальны, каждый пользователь настраивает их для себя.

Просмотр прав позволяет быстро вспомнить (проверить) все выставленные права доступа для конкретного сотрудника или отдела. В таблице показываются все элементы с полной структурой вложенности и правами доступа для них.

Мгновенный поиск по группам и паролям во всех категориях. Результаты выводятся автоматически при вводе символов в поисковую строку.

История изменений представлена в виде таблицы, из которой можно понять, кто и что добавлял или менял, а также откатить изменения и удаление.

Экспорт паролей для резервирования или перехода на другую систему. Администратор может выгрузить все внесенные в приложение данные в единый HTML-документ.

Самое главное свойство, которым мы наделили наше приложение, это безопасность. Пароли безопасно хранятся не только внутри компании, но и недоступны для злоумышленников извне. Ни у нас, ни у представителей Битрикс24 нет доступа к данным пользователей приложения. «Менеджер паролей» устанавливается в контейнер Битрикс24 и работает как приложение с сервера, непосредственно из корпоративного портала. Данные хранятся в зашифрованном виде и расшифровываются только при загрузке приложения в браузере после ввода мастер-пароля.

Как прошел процесс интеграции?

Интеграция прошла быстро. На первом этапе я создал структуру папок категорий и занес в нее основные доступы.

Далее менеджеры создали проекты и папки, куда добавили действующие пароли. Когда к «Менеджеру паролей» подключили программистов, они также записали свои доступы.

Все ключи распределили по проектам и категориям. На старте их получилось порядка 10. Через 1–2 недели все пользовались приложением и не представляли как можно работать по-другому.

Как теперь происходит процесс передачи паролей?

Все происходит быстро и в безопасном режиме. В компании запрещено передавать пароли в задаче, мессенджере или чате. Мы наладили единый процесс через приложение и ключи нигде не светятся.

В «Менеджере паролей» я настроил общие доступы для отделов. Например, новый разработчик сразу может использовать ряд инструментов отдела: тестирование сервиса и e-mail, BrowserStack, техническая почта и т. д. Если ему нужен доступ к проекту, то менеджер одной кнопкой расшаривает его или специально создает новый. При этом доступ не дается ко всем паролям. Так, например, джуниор-разработчик видит только информацию о тестовом сервере и административной панели, а доступ по SSH есть только у старшего разработчика.

Были ли критические инциденты, когда приложение разрешило ситуацию?

Не могу вспомнить ни одного случая. Были случаи, когда сотрудники случайно удаляли пароли. Часто клиенты теряют или удаляют свои доступы в админку. Но, так как все хранится в приложении, мы расшариваем доступ заново или откатываем изменения с помощью функции «История изменений». В ином случае пришлось бы восстанавливать пароли через почту или писать официальное письмо и доказывать, что аккаунт наш.

Как часто вы задумывались над тем, сколько же всего у вас аккаунтов на различных ресурсах? Методы держать в памяти или хранить в секретном блокноте под замком в ящике рабочего стола уже давно устарели. Лучше всего записывать данные в специальные программы безопасности.

Сегодня избавляемся от привычки использовать один и тот же пароль на всех сайтах и выбираем себе помощника для хранения всего текстового, что нужно спрятать от посторонних глаз. Где же хранить пароли? Сейчас расскажем. 😉

Что такое менеджер паролей?

Неосторожные пользователи выбирают себе пароли в духе «123456», «QWERTY» или «пароль», чтобы не запоминать что-то более сложное, но в итоге ставят под угрозу свои данные. Специально для этого и созданы менеджеры паролей.

Менеджер паролей — программа для хранения паролей и логинов от учётных записей и безопасной авторизации в интернете.

Проще говоря, это своеобразный сейф, внутри которого хранятся все ваши заветные комбинации (а ещё это отсутствие головной боли, связанной с выдумыванием кодов доступа для каждого сайта и их запоминанием).

Думаете, что вам такая вещь не нужна?

5 причин завести менеджер паролей

Чтобы понять, нужен ли вам такой менеджер, взгляните на список ниже и честно ответьте, узнаете ли в каком-либо пункте себя. Если узнаете хотя бы в одном, то вам стоит воспользоваться менеджером.

Вы не умеете создавать сложные пароли и запоминать их. Поэтому вам нужен помощник, способный сделать это за вас.
Вы уже несколько раз становились жертвами взлома после утечки данных и не успевали вовремя среагировать.
Вы теряете заметки, рабочие контакты и прочие данные, которые нужно хранить в надёжном и скрытом от лишних глаз месте.
Вы часто совершаете покупки в интернете и уже устали каждый раз вручную вводить информацию с банковских карт.
У вас большая база логинов, тянущаяся из кучи браузеров массу лет, и вы хотите перенести её в единое хранилище.

А это точно безопасно?

Да, за защиту данных переживать не стоит. В менеджерах используется мощное AES-шифрование с практически не поддающейся взлому длиной ключа в 256 бит. Такую базу данных можно разблокировать лишь с помощью правильного мастер-пароля. Поэтому пользователю нужно запомнить только один «мастер-пароль», открывающий сейф со всеми остальными кодами.

Обзор лучших менеджеров паролей

1. KeePass

Один из первых бесплатных менеджеров с открытым кодом. Поклонники программы потрудились над совместимостью KeePass с практически всеми ОС и устройствами. Он совершенно бесплатный, но при этом обладает всеми характерными особенностями других менеджеров паролей для персонального использования. Из преимуществ менеджера:

Лаконичный и понятный интерфейс.
Поддержка Windows, Mac, iOS, Android, Linux.
Автонабор и пароли приложений.
Синхронизация базы данных.

2. 1Password

1Password — бренд, на который можно положиться. Этому менеджеру доверяют компании мирового уровня: в 2019 году компания Apple купила лицензию на этот менеджер паролей для каждого сотрудника. 1Password хорош по всем фронтам:

Поддержка разных форматов данных для хранения.
Мониторинг взломов или утечек.
Система оповещений о наличии в вашей коллекции слабых паролей.
Возможность пользоваться одной лицензией всей семьёй или группой друзей.

Стоимость: 379 рублей в месяц.

3. LastPass

Менеджер паролей для Windows и macOS, который регулярно попадает в подобные топы. В этом менеджере есть:

Возможность быстро заполнять графы логина и пароля.
Генератор паролей, создающий сложные к подбору коды по заранее заданным параметрам.
Автоматическая система оповещения о взломах, помогающая защищать аккаунты пользователей.
Возможность безопасно хранить платёжные данные и автоматически использовать их в ходе онлайн-шоппинга.

Стоимость: бесплатно в базовой версии, Premium-подписка — 379 рублей в месяц.

4. RememBear

Приложение, которым заведует медведь. Менеджер буквально весь переполнен игрой слов и с ног до головы пронизан медвежьей атмосферой.

Интерфейс наглядный, красивый, понятный и при этом очаровательный за счет медведя-маскота.
Внутри можно хранить только пароли, заметки и банковские карты.
Всё, что хранится в приложении, защищается методом шифрования AES 256.
Аудитом кода RememBear занимаются независимые программисты.
Ну и где ещё вы встретите столько классных цифровых медведей?

Стоимость: бесплатно для одного устройства или 379 рублей в месяц.

5. Dashlane

Этот менеджер паролей несколько раз получал титул «Приложение дня» в App Store, ведь за период существования продукта не было ни одной утечки данных. Из преимуществ:

Наличие двухфакторной аутентификации — поддержка таких популярных сервисов как Google Authentificator, Authy, FreeOTP.
Сканирование даркнета — происходит полная проверка каждого аккаунта.
Встроенная опция VPN.
Возможность хранить другие данные: кредитные и дебетовые карты, мини-заметки, адреса и паспортные данные

Стоимость: 299 рублей в месяц.

6. Padloc

Разработчики Padloc регулярно приглашают независимых экспертов, чтобы те провели аудит и убедились, что их менеджер паролей безопасен. Но надёжность — не единственный плюс Padloc:

В нём можно хранить до 50 единиц данных бесплатно.
Есть удобные приложения для macOS, iOS, Windows, Linux, Android и даже Chrome OS.
Есть генератор сложных паролей.
Платные аккаунты делятся на Premium и Family, причем семейный обходится дешевле.

Стоимость: бесплатно в базовой версии, от 99 рублей в месяц за семейную подписку.

7. Firefox Lockwise

Ещё один менеджер паролей, тесно связанный с браузером, только на этот раз кроссплатформенный. Помимо интеграции с браузером Firefox и базового набора функций, в список преимуществ Lockwise можно отнести:

256-битное шифрование данных, защищающее пароли во время синхронизации с браузером Firefox, приложением Lockwise и серверами Mozilla.
Защита паролей от посторонних глаз с помощью Face ID, Touch ID и аналогичных технологий в Android.
Строгая политика конфиденциальности от компании Mozilla, которая активно выступает за безопасность в сети и ответственное хранение пользовательских данных.

8. NordPass

Если вы новичок в программах с управлением паролями, тогда рекомендуется начать именно с этого сервиса. Он сочетает в себе простой и адаптированный сервис с эффективными и важными функциями:

Генерация кодов.
Импорт уже созданных шифров.
Двухфакторная идентификация.
Шифрование на основе алгоритма XChaCha20 и протокола нулевого разглашения.

Стоимость: от 147 рублей в месяц.

9. Bitwarden

Менеджер паролей с открытым исходным кодом в этой подборке. Вся информация надёжно шифруется, чтобы никто не мог её перехватить. При желании можно использовать собственный сервер для хранения всех кодов и конфиденциальной информации. В функционале:

Синхронизация с мобильными устройствами.
Хранение данных в облаке.
Оффлайн хранение информации данные оффлайн;
двухфакторная проверка при входе в аккаунт;
создание и хранение заметок, данных платёжных карт.

10. Kaspersky Password Manager

Менеджер паролей от русских разработчиков. Интегрируется с популярными браузерами, поддерживает мобильные операционные системы и позволяет хранить массу видов информации, включая заметки и кредитные карты.

Генератор паролей.
Различные категории для хранения данных («Заметки», «Приложения» и другие).
Возможность отключить автосохранение и отметить сайты, для которых не будет использоваться автозаполнение.
Алгоритм криптографического хеширования (SHA-256).

Стоимость: 900 рублей в год.

Расскажите в комментариях используете ли вы такие «сейфы» с паролями? А если нет — обязательно устанавливайте менеджеры паролей, защищайте свои данные в сети и относитесь серьёзнее к вашей личной информации.

Не повторяйте чужих ошибок.

Ежегодно специалисты по кибербезопасности публикуют отчеты с самыми популярными паролями пользователей. Из года в год лидерство достается самым примитивным паролям: qwerty, 123456, password, 111111 и так далее.

По данным DeviceLock, в 2019 году ситуация не изменилась — люди все так же предпочитают простые и запоминающиеся пароли. Все это говорит о низком уровне компьютерной грамотности. Поговорим о том, как придумывать сложные запоминающиеся пароли и где вообще их можно хранить. Но сперва затронем именно тему хранения: надо же куда-то сбагрить то, что уже накопилось.

Где хранить пароли

Держать пароли в txt-файлике, таблице, заметках или блокноте — не самое разумное решение. Файл можно потерять, в заметки несложно войти постороннему, да и бумажный блокнот тоже не очень надежен. Можно хранить пароли на домашнем сервере, но это сложный метод и не каждый столь параноидально относится к своим данным.

Самым удобным и надежным решением будет менеджер паролей. Главные преимущества таких менеджеров — быстрый доступ к любому аккаунту, синхронизация между устройствами, автозаполнение и надежная защита.

Выбор между менеджерами немал, и вряд ли кто-то скажет, какой сервис в этой категории лучше остальных. Но есть как минимум два доступных сервиса, на которые можно обратить внимание.

Bitwarden

Bitwarden — менеджер паролей для всех платформ с полностью открытым исходным кодом и сквозным шифрованием. Он удобный, бесплатный и универсальный.

Клиент можно скачать на Windows, macOS и Linux, а также Android, iOS и iPadOS. Очень удобно пользоваться этим сервисом прямо в браузере через фирменное расширение.

Для про-юзеров Bitwarden предлагает платный тариф: за $10 в год пользователь получает 1 Гбайт в облаке, новые виды двухфакторной аутентификации (в бесплатном тарифе она тоже есть) и приоритетную техподдержку.

Enpass

Enpass — еще один кросс-платформенный бесплатный менеджер паролей с 256-битным AES-шифрованием.

Преимущество Enpass перед Bitwarden состоит в том, что пароли и прочие сохраненные данные не хранятся на серверах компании — утечка личной информации по вине сервиса невозможна.

В Enpass база паролей хранится только локально в виде зашифрованного файла, так что его потеря может стать фатальной. Но программа поддерживает синхронизацию с облаком, так что не все так страшно.

Премиум-версия позволяет создавать несколько профилей для одного аккаунта (например, для дома и работы) и хранить на мобильном устройстве неограниченное количество элементов. Годовая подписка без скидок стоит 499 рублей, а пожизненная — 3580 рублей.

Почему Bitwarden и Enpass?

Bitwarden и Enpass мне кажутся самыми доступными и надежными сервисами: они ни разу не становились виновниками скандалов из-за своей неосторожности (как, например, LastPass), а покупать на них подписку либо вовсе необязательно, либо, если нужно, цена на нее очень демократичная.

Как альтернативу можно рассмотреть бесплатный Keepass, но лично мне этот менеджер кажется устаревшим и неудобным.

Придумываем и запоминаем пароль

Если у вас несколько десятков аккаунтов в интернете, то запомнить уникальные пароли к каждому сайту будет сложно, да и бессмысленно. Однако к самым важным сервисам не помешает знать их наизусть. Например, к Enpass.

Придумать непробиваемый и запоминающийся пароль легче, чем кажется. Допустим, у вас есть любимая песня и вы хорошо знаете ее текст. Возьмем пару строк из песни Rammstein — Radio:

При этом такие буквы, как I, A и S заменяем на 1, 4 и $, потому что они похожи чисто внешне. Так с куплетами, четверостишиями и цитатами можно мудрить сколько угодно: выбирать первую букву для пароля или вторую в слове — неважно, главное иметь свой подход для запоминания, а сам пароль не должен выглядеть логично.

Если пароль запоминать не нужно, он все равно должен быть сложным, длинным и уникальным. На многих сайтах при регистрации рекомендуют пароли длиною не менее 8 символов, но лучше ставить на 12–16.

Сгенерировать пароль можно в тех же менеджерах, но также есть и специальные сайты — например, Passwords Generator. Наличие специальных символов, букв разного регистра и цифр сделает пароль сложным и невозможным для быстрого подбора.

Проверить надежность пароля можно на сайте How Secure Is My Password.

А что по ПИН-кодам?

Лучшую, на мой взгляд, методику по запоминанию и придумыванию ПИН-кодов придумал Артемий Лебедев:

Есть очень простой способ придумывать и запоминать пинкоды от кредиток. Главное — придумать какой-либо принцип.
У всех карт есть 16 цифр, которые состоят из 4 наборов по 4 цифры. Достаточно выбрать способ запоминания цифр. Например: брать каждую первую цифру из каждого блока. Или каждую последнюю. Или четыре цифры из середины. Или четыре последних. Или первую из первого, вторую из второго и пр.
И тогда не нужно будет запоминать пинкоды, потому что они всегда будут какие нужно и всегда разные. Главное — никому не говорить про свой принцип.
Артемий Лебедев

Если нужен ПИН-код для приложения или телефона, то комбинации 0000, 1234 или с датой своего рождения тоже лучше отбросить. Уверен, в вашей жизни есть менее очевидные цифры: какая-нибудь последовательность цифр из любимого фильма, дата выхода долгожданного альбома и так далее.

Запомнить:

Простые и одинаковые пароли — в печь, поберегите свои деньги и нервы;
Хранить пароли удобно в специальных менеджерах: Bitwarden, Enpass, Keepas и другие позволяют за бесплатно или небольшую плату организовать хранилище своих личных данных;
Нормальный пароль должен содержать минимум 8 символов. Хороший — минимум 12 с буквами разного регистра, цифрами и спецсимволами;
Придумать запоминающийся пароль можно с помощью примитивного шифрования ключевой фразы — главное, чтобы пароль выглядел рандомно;
Если нужно создать сложный пароль, воспользуйтесь сайтом Passwords Generator;
На How Secure Is My Password можно проверить надежность пароля;
Создавайте уникальные ПИН-коды по собственному принципу и нигде их не повторяйте.

Как видите, создать правильный пароль и хорошо его спрятать — легко. Для этого не нужно быть героем сериала «Мистер Робот» и иметь диплом по программированию.

Сегодня типичный интернет-пользователь может иметь десятки паролей к различным сайтам, почтовым аккаунтам и социальным сетям. Среднестатистический пользователь компьютера регистрирует по несколько новых онлайн-аккаунтов каждый месяц. Но большинство людей используют очень слабые или повторяющиеся пароли на различных сайтах. Ведь придумывать сложный пароль, запоминать и хранить его слишком хлопотно.

Компании малого и среднего бизнеса не являются исключением. Тем более, если они работают онлайн. Количество паролей, необходимых для их работы, растет с каждым днем. Хранение паролей в таких организациях почти никак не организовано. Когда нужно вспомнить какой-то логин или пароль, в ход идут история скайпа, электронная почта, незащищенные файлы на рабочем столе, ежедневник или стикер на мониторе. Говорить о разграничениях прав доступа даже не приходится. Так вести бизнес небезопасно, неудобно и просто неэффективно.

Менеджер паролей

Менеджер паролей позволяет решить эти проблемы. Используя комбинации от 16 знаков с буквами разных регистров, цифрами и специальными символами, он делает учетные записи практически неуязвимыми.

У многих таких менеджеров есть возможность корпоративного использования и хранения паролей организации в структурированном виде с шифрованием и разграничением доступа между сотрудниками. Они позволяют управлять тем, какие пароли и кому из сотрудников доступны. С их помощью можно устанавливать необходимую сложность для всех используемых паролей и безопасно делиться ими среди сотрудников одного отдела или между департаментами компании.

Функционал и возможности настройки менеджера паролей можно продемонстрировать на примере программы 1Password. На сегодняшний день она считается оптимальным корпоративным решением. Программа хранит всю важную информацию в защищенном сейфе, используя проверенное 256-битное AES шифрование.

Программа имеет функционал генерирования сложных паролей, быстрого поиска по базе, копирования логинов и паролей в буфер, отправки по электронной почте, создания резервных копий, добавления элементов в избранное. Благодаря iCloud возможна синхронизация зашифрованных паролей с iOS-устройствами, а через Dropbox производится кроссплатформенная синхронизация с другими операционными системами. Недавно была выпущена новая версия программы для Android-устройств 1Password-6, которая поддерживает работу с сенсором отпечатка пальца.

Функциональность и настройка программы

1Password for Teams - это отдельный сервис для организаций, семей и любых других групп пользователей, которым необходима функциональность предоставления доступа к определенным спискам паролей другим членам команды.

После создания учетной записи вашей команды вы можете пригласить столько людей, сколько ей необходимо для совместной работы. Каждый участник получает индивидуальное хранилище, а также доступ к любому количеству общих хранилищ команды. Можно создавать столько хранилищ, сколько нужно для удобства работы, например для отделов HR, SMM, маркетинга, разработки и т.д.

Также можно приглашать внешних пользователей (гостей) в хранилище. Им дается возможность только автоматического заполнения паролей на сайтах, без возможности их просматривать.

Администратор команды имеет возможность полностью контролировать доступ в хранилище, а также:

определять, какие члены команды могут читать;
изменять или удалять элементы в любом хранилище;
приостанавливать работу или удалять членов команды;
группировать членов команды.

Когда любой из членов команды обновляет пароль, он мгновенно синхронизируется со всеми остальными участниками.

Если кто-то из вашей команды ее покидает (например, в случае увольнения сотрудника), нужно просто удалить его доступ через консоль администратора, и у него больше не будет доступа к командным хранилищам.

Хранилища паролей для команд синхронизируются автоматически через сервера AgileBits, без использования сторонних решений таких, как iCloud или Dropbox.

Администрирование команды производится в веб-версии сервиса через консоль администратора, которая значительно упрощает работу с 1Password.

Кроме того, существует возможность воспользоваться более доступным тарифом 1Password for Families, цена которого составит 5$ за 5 членов семьи. Каждый новый пользователь будет стоить дополнительно 1$.

Семейный аккаунт имеет ограниченные возможности:

более простые настройки по управлению правами доступа к хранилищам;
нет возможности объединять пользователей в группы;
меньший размер внутреннего хранилища для хранения документов;
количество хранимых дней истории изменений паролей меньше командного аккаунта;
меньшее количество гостей, которых можно пригласить.

Возможно, для большинства малых и средних предприятий функциональности семейного тарифа может оказаться вполне достаточным. А когда все пользователи смогут оценить в полной мере предлагаемый им функционал, всегда можно просто перевести аккаунт в более дорогой командный тариф.

Настройка 1Password for Families

Давайте рассмотрим пошаговую настройку тарифа 1Password for Families для небольшого маркетингового агентства.

1. Переходим по ссылке и регистрируемся в системе, указав название организации и основной почтовый адрес администратора.

2. Выбираем URL адрес для вашего аккаунта из доступных.

3. После этого вам будет отправлено электронное письмо на почту со ссылкой для подтверждения.

4. Перейдя по ссылке из письма, нужно заполнить персональные данные.

5. Сохраните в безопасном месте ключ вашего аккаунта как дополнительную защиту, помимо мастер-пароля.

6. Выберите мастер-пароль, который будет максимально сложным и одобренным системой, после чего войдите в свой аккаунт.

7. Система предложит скачать и распечатать инструкцию для экстренного восстановления доступа к аккаунту, которую нужно сохранить в надежном месте.

8. Домашняя страница консоли, в которой отображаются все созданные хранилища паролей:

9. Переходите в раздел Приглашения, где отправляем письмо для членов команды. После того как пользователи получат это приглашение на почту и зарегистрируются в системе, вам останется только подтвердить их аккаунт.

10. В разделе Хранилища, можно приступить к созданию необходимого количества индивидуальных хранилищ для каждой группы пользователей, а также назначить доступ к ней для пользователей из вашей команды.

11. В интерфейсе системы в браузере, как и в любом другом клиенте, можно легко переключаться между любым доступным хранилищем - как персональным, так и общедоступным.

12. Раздел Управление пользователями позволяет производить как групповые, так и индивидуальные действия над аккаунтами.

13. После создания всех необходимых хранилищ информация о них и пользователях, имеющим к ним доступ, будет представлена на главной странице панели администратора.

В основном меню, в пункте Get the Apps, можно скачать необходимую версию приложения для вашей платформы. Сейчас есть ограничение для пользователей Windows, так как программа доступна только под Windows10.

Версия приложения для OS X:

Выводы

Берегите свой бизнес!

Виталий Галкин

Руководитель отдела разработки компании Promodo

В сфере IT и веб-разработки c 2002 года. Имеет большой опыт участия в крупных украинских интернет-проектах. Специализируется на вопросах построения внутренних сервисов компании и нестандартных digital-решений задач интернет-бизнеса.

Не кликом единым. Что скрывается под CTR 0.05 % медийной рекламы?

Рассказываем о самых популярных ошибках при анализе медийных флайтов и о том, как их избежать

Читайте также: