01 / Ситуация
Вход быстрый, а следов не остаётся
У компании одна учётная запись на отдел или на всех сразу. Пароль лежит в чате, его знают и бывшие сотрудники — просто потому, что когда-то он был общим.
В журнале действий все записи выглядят одинаково. Понять, кто удалил сделку или выгрузил базу, невозможно: действовал «отдел».
02 / Причина
Общий пароль решает чужую задачу
Так проще входить
Общая учётная запись избавляет от «забыл пароль» и от настройки прав. Экономия — минута в день, цена — отсутствие контроля.
2FA не включён
Даже при своём пароле вход по одному паролю уязвим: его подбирают, перехватывают и передают дальше. 2FA закрывает именно этот сценарий: кроме пароля нужен код, который меняется каждые полминуты.
Защита входа — это не запрет, а распределение: у каждого своя учётная запись, свои права и свой код при входе.
03 / Подход
Свой вход и 2FA
Раздать личные учётные записи
Каждому сотруднику — своя. Права настраиваются по ролям: менеджер видит свои сделки, руководитель — все.
Включить 2FA
При входе запрашивается код из приложения. Включается политикой портала, а не просьбой к сотрудникам.
Проверить, что доступ закрывается
Уволенного деактивируют в день ухода, а не «когда дойдут руки». Это проверяется по списку активных пользователей.
04 / Нюансы
Что учесть
Общие ящики и телефоны
Колл-центр и склад иногда работают с одного устройства. Для таких мест — отдельные правила, а не один пароль на всех.
2FA и клиенты
Внешних пользователей настраивают отдельно: у них свои правила входа, иначе кабинет становится неудобным и им перестают пользоваться.
Пароли не должны жить в чатах
Пока пароль передают сообщением, 2FA обходится вместе с ним. Пароль выдаётся один раз и меняется при первом входе.
05 / Первый шаг
Список тех, кто может войти
Выгрузим список активных пользователей и сверим с теми, кто реально работает. Обычно там находят несколько лишних.
- Есть ли общие учётные записи и кто ими пользуется.
- Кто из ушедших сотрудников до сих пор активен.
- Готовы ли сотрудники к входу с кодом из приложения.
По итогу планируем раздачу личных учётных записей, включение 2FA и порядок деактивации.