«Один пароль на весь отдел»: как убить культуру общих учёток

Стикер под клавиатурой и «общий логин»

Зайдите в бухгалтерию, отдел логистики или техподдержку средней компании.

На мониторе приклеен жёлтый стикер: admin / 123456Pass!. Или в закреплённом сообщении общего чата висит шедевр корпоративной безопасности:

> *«Ребята, в систему мониторинга логинимся все под user: viewer, пароль: Company2026!»*

Каждый системный администратор видел это сотни раз. Когда спрашиваешь: *«Зачем вы так делаете?»*, ответ всегда одинаковый:

• *«Нам лень заводить двадцать отдельных аккаунтов на каждую стажёрку»*;
• *«В этой системе лицензия стоит денег за каждого пользователя, поэтому у нас один общий аккаунт на весь отдел»*;
• *«Так быстрее передавать дела, когда кто-то в отпуске»*.

Бизнес радуется мнимому удобству. А в это время под фундамент безопасности компании закладывается термоядерная бомба.

---

Почему общие учётки — это гарантированная катастрофа

Кажется: ну сидят пять человек под одним логином, что такого? Они же все наши, проверенные сотрудники.

Но проблемы начинаются в самый неподходящий момент:

1. Полная потеря ответственности (Zero Accountability)

В пятницу вечером из базы данных таинственным образом исчезает таблица с контрактами, или в Grafana кто-то удаляет дашборд продакшена.

Безопасник открывает логи: действие совершено пользователем admin. Кто конкретно сидел за клавиатурой в этот момент? Иванов? Петров? Или уволенный три месяца назад стажёр, который подключился из кафе?

Установить виновного технически невозможно. Все показывают пальцем друг на друга, а расследование заходит в тупик.

2. Невозможность смены пароля при увольнении

Когда из отдела уходит один сотрудник, по регламенту нужно сменить пароль на общей учётке.

Что происходит в реальности? Никто ничего не меняет. Потому что если сменить пароль от marketing@company.ru или общей CRM, у остальных семи человек отвалятся интеграции, встанет работа, и админа завалят гневными звонками. В итоге бывшие сотрудники годами сохраняют доступ к корпоративным тайнам.

3. Второй фактор (MFA) физически не работает

Попробуйте включить обязательный второй фактор (TOTP) на аккаунт, под которым работают пять человек в трёх разных городах. Чей телефон будет генерировать шестизначный код?

Начинаются дикие костыли: код пересылают в общий чат Telegram (убивая смысл второго фактора на корню), настраивают ботов для ретрансляции или просто отключают 2FA, оставляя систему голой перед брутфорсом.

---

Как слезть с иглы общих паролей за 3 шага

Избавиться от культуры общих аккаунтов можно быстро и без войны с бизнесом:

Шаг 1. Персональная аутентификация через SSO

Никаких отдельных логинов для конкретных сервисов. Пользователь нажимает кнопку «Войти через корпоративную учётку» и логируется под своим персональным доменным именем из Active Directory.

У каждого сотрудника свой личный пароль и свой персональный TOTP-аутентификатор на смартфоне.

Шаг 2. Разделение ролей вместо общих прав

Вместо того чтобы выдавать всем права администратора сервиса, настраиваются группы доступа:

• Группа SG_App_Viewers в AD автоматически получает права только на чтение;
• Группа SG_App_Editors может редактировать данные;
• Группа SG_App_Admins состоит ровно из двух человек, которые реально отвечают за конфигурацию.

Шаг 3. Делегирование прав вместо передачи паролей

Если сотруднику нужен доступ к ящику коллеги на время отпуска, доступ настраивается на уровне почтового сервера (Shared Mailbox / FullAccess delegation). Сотрудник открывает чужую папку под своим личным логином.

В любой момент это разрешение отзывается одним кликом, а в логах чётко видно, кто и какие письма читал.

---

Итог

Общие учётные записи — это всегда следствие сложной, неудобной или дорогой системы управления доступом.

Перевод инфраструктуры на единый шлюз авторизации (SSO) снимает сопротивление пользователей: им больше не нужно запоминать зоопарк паролей, а служба безопасности наконец получает то, ради чего существует — прозрачный аудит и персональную ответственность за каждое действие в сети компании.