# Пароли сотрудников: менеджер паролей или общий файл

Где хранить рабочие пароли сотрудников: общий файл или менеджер паролей. Что говорят NIST, Microsoft и Google о длине, смене и повторе паролей.

URL: https://bizves.ru/guides/paroli-sotrudnikov
Обновлено: 2026-11-08

---

Общий файл с паролями легко скопировать целиком, и вместе с копией уходят все доступы компании. Менеджер паролей с отдельным входом для каждого сотрудника решает эту задачу аккуратнее, если сам сервис выбран после проверки. Там, где сервис позволяет дать сотруднику собственный доступ без общего пароля, лучше идти этим путём.

Опора статьи - рекомендации NIST SP 800-63B (редакция 4) и справка Microsoft и Google о паролях, проверенные 28 октября 2026 года. Конкретные программы для хранения паролей статья не сравнивает и не советует, тем более что NIST сам предупреждает: такие сервисы надо оценивать до выбора.

## Чем рискует общий файл

**Главное**

В разделе об угрозах NIST SP 800-63B относит к дублированию секретов два бытовых случая: пароли, записанные на бумаге, раскрываются, а пароли в электронном файле копируются. Таблица с паролями на общем диске или в мессенджере попадает именно во второй случай. Её можно переслать, скачать на личный ноутбук или оставить в старой папке после ухода сотрудника.

Вторая беда общего файла - повторяющиеся пароли. Microsoft в рекомендациях для администраторов Microsoft 365 просит объяснять сотрудникам, что рабочий пароль нельзя использовать на других сайтах. Google в справке аккаунта советует ставить разные пароли для важных аккаунтов, потому что, узнав один, злоумышленник может добраться до почты и денег.

## Что даёт менеджер паролей

**Главное**

NIST требует, чтобы проверяющая сторона разрешала менеджеры паролей и автозаполнение, и рекомендует разрешать вставку пароля из буфера. В документе сказано, что такие программы повышают вероятность выбора более сильных паролей, особенно если в них есть генератор. В разделе об удобстве NIST описывает и другое применение: держать отдельный пароль для каждого сервиса, чтобы украденный на одном сайте пароль не подошёл к другим.

У менеджера есть и свой риск. Среди угроз NIST называет уязвимость в недостаточно защищённом менеджере паролей и советует тщательно оценивать такие сервисы, прежде чем рекомендовать их. Google предлагает пользоваться надёжным менеджером паролей и изучить отзывы и репутацию сервиса перед выбором.

## Какие пароли требовать от сотрудников

**Главное**

NIST требует от систем входа минимальную длину 15 символов для пароля, который служит единственным фактором, и 8 символов для того, который работает только вместе со вторым фактором. Навязывать другие правила состава вроде обязательной цифры и заглавной буквы NIST запрещает, как и требовать регулярную смену пароля. Смена обязательна при признаках компрометации, а новый пароль система сравнивает со списком распространённых и утёкших.

Google в справке аккаунта предлагает пароль длиной от 12 символов. Microsoft рекомендует администраторам Microsoft 365 минимум 14 символов, хотя система требует не меньше 8, и для облачных учётных записей советует отключить срок действия пароля.

| Вопрос                  | NIST SP 800-63B                        | Microsoft 365                                         |
| ----------------------- | -------------------------------------- | ----------------------------------------------------- |
| Минимальная длина       | 15, или 8 при втором факторе           | Рекомендуется 14, система требует 8                   |
| Плановая смена          | Не требовать, менять при компрометации | Для облачных учётных записей срок действия не ставить |
| Повторное использование | Отдельный пароль для каждого сервиса   | Рабочий пароль не использовать на других сайтах       |

## Доступ без общего пароля

**Главное**

Часть задач, ради которых пароль раздают всей команде, решается собственными доступами. В Яндекс 360 для бизнеса администратор открывает сотруднику общий почтовый ящик, и знать пароль от него не нужно. Microsoft советует блокировать вход в учётную запись общего почтового ящика и держать его заблокированным, а сотрудники работают с ним из своих учётных записей. Второй фактор входа добавляет защиту поверх пароля, ему на сайте посвящён отдельный материал, и Microsoft советует сделать его регистрацию для пользователей обязательной.

## Как проверить свою схему

**Главное**

Составьте список сервисов, в которые сотрудники входят по рабочим паролям, и для каждого запишите, у кого есть доступ и где хранится пароль. Найдите таблицы и заметки с паролями на общих дисках и в чатах. Для каждого пароля из такого файла решите, можно ли заменить его личным доступом сотрудника, а если нельзя, перенести его в менеджер паролей и сменить.

Условный пример: в отделе продаж из четырёх человек пароли от рекламного кабинета, почты и сайта лежали в одной таблице, и один из сотрудников ушёл. Все три пароля из таблицы меняются, почта переходит на общий ящик с личными доступами, а остальное переезжает в менеджер паролей с отдельным входом для каждого. Пример учебный, реальная компания не проверялась.

### Источники

* [NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management](https://pages.nist.gov/800-63-4/sp800-63b.html)
* [Password policy recommendations - Microsoft 365 admin | Microsoft Learn](https://learn.microsoft.com/en-us/microsoft-365/admin/misc/password-policy-recommendations?view=o365-worldwide)
* [Create a strong password & a more secure account - Google Account Help](https://support.google.com/accounts/answer/32040?hl=en)
* [Совместный доступ в Почте: общие и делегированные ящики - Справка Яндекс 360](https://yandex.ru/support/yandex-360/business/mail/ru/shared-access)
* [About shared mailboxes in Microsoft 365 - Microsoft Learn](https://learn.microsoft.com/en-us/microsoft-365/admin/email/about-shared-mailboxes?view=o365-worldwide)

**Читайте также**

* [Прайс-лист для клиентов: что в нём указать и как поддерживать в актуальном виде](/guides/prays-list-dlya-klientov)
* [Общий почтовый ящик или пересылка писем: как не терять обращения клиентов](/guides/obshchiy-pochtovyy-yashchik-ili-peresylka)
* [Авария Beget: что сделать компании сейчас и как не зависеть от одного хостинга](/guides/avariya-beget-chto-delat-kompanii)