Как защитить аккаунты SaaS-сервисов: полный чеклист 2026

ServDigest Team

Средняя компания использует 130 SaaS-сервисов (данные Productiv за 2026). У каждого сотрудника — десятки аккаунтов. Один скомпрометированный пароль, одна забытая учётка уволенного сотрудника — и злоумышленник получает доступ к CRM, почте, биллингу, коду. По данным Verizon DBIR 2026, 49% утечек данных начинаются со скомпрометированных учётных данных. Это руководство — пошаговая методология защиты SaaS-аккаунтов от входа до выхода сотрудника.

Уровень 1: Базовая гигиена (обязательно для всех)

1. Менеджер паролей — не опция, а требование

Без менеджера паролей безопасность SaaS невозможна. Человеческий мозг не способен генерировать и запоминать уникальные 16-символьные пароли для 130 сервисов. Без менеджера люди используют паттерны — и эти паттерны взламываются credential stuffing за секунды.

Что выбрать:

  • Bitwarden — бесплатно, open source, self-hosted опция. Идеально для старта.
  • 1Password — -8/мес за пользователя, лучший UX, SSH-агент, CI/CD интеграция. Для команд разработки.

Правило для команды: ни одного пароля вне менеджера. Если пароль можно набрать на клавиатуре по памяти — он слишком простой.

2. Двухфакторная аутентификация везде, где можно

MFA снижает риск взлома аккаунта на 99.9% (по данным Microsoft). Приоритет методов:

  1. Аппаратный ключ (FIDO2/WebAuthn) — YubiKey, Titan. Физический ключ невозможно перехватить удалённо. Лучшая защита.
  2. TOTP-приложение — Authy, Google Authenticator, встроенный TOTP в 1Password/Bitwarden. Одноразовые коды, меняющиеся каждые 30 секунд. Достаточно для большинства сервисов.
  3. SMS — слабый метод (SIM-swap атаки), но лучше, чем ничего. Используйте только если другие варианты недоступны.

Критичные сервисы, где MFA обязателен:

  • Email (доступ к почте = доступ к сбросу паролей от всех остальных сервисов)
  • Доменный регистратор (захват домена = захват всего)
  • Хостинг/облачный провайдер (AWS, GCP, Azure)
  • Платёжные системы и биллинг
  • Репозиторий кода (GitHub, GitLab)

3. Никакого повторного использования паролей

Менеджер паролей должен предупреждать о дубликатах. Watchtower в 1Password и отчёты в Bitwarden показывают повторно используемые пароли. Устраните их немедленно.

Уровень 2: Корпоративная безопасность (для команд от 5 человек)

4. SSO вместо индивидуальных паролей

Single Sign-On сокращает поверхность атаки: вместо 130 паролей на человека — один корпоративный аккаунт. При увольнении сотрудника отключаете одну учётку — и доступ ко всем SaaS-сервисам закрыт.

Что выбрать:

  • Okta — enterprise-стандарт, дорого (от /мес за пользователя)
  • Azure AD / Entra ID — если вы в экосистеме Microsoft 365
  • JumpCloud — альтернатива подешевле, хорош для среднего бизнеса
  • Google Workspace — если вся инфраструктура на Google

При выборе SaaS-сервиса проверяйте наличие SAML/SSO в нужном тарифе. Некоторые сервисы (например, Crisp) прячут SSO за Enterprise-подпиской.

5. Аудит доступов: кто куда имеет доступ

Каждый месяц проводите ревизию:

  • Кто имеет доступ к биллингу?
  • Кто имеет доступ к production-окружению?
  • У кого права admin в CRM?
  • Есть ли аккаунты уволенных сотрудников?

Автоматизируйте: такие сервисы как AccessOwl, Zluri и BetterCloud показывают карту доступов ко всем SaaS-сервисам компании.

6. RBAC: принцип минимальных привилегий

Роли на основе ролей, а не людей. Не «дать Васе доступ к биллингу», а «роль Finance имеет доступ к биллингу, Вася в роли Finance». Когда Вася переходит в другой отдел — удаляете роль Finance, а не ищете 50 сервисов, где у него был доступ.

7. Onboarding и offboarding как процесс

Onboarding (день 1):

  • Создать учётную запись в SSO
  • Добавить в нужные группы/роли
  • Убедиться, что настроен MFA (аппаратный ключ)
  • Отправить приветственный email со списком сервисов

Offboarding (день последний):

  • Отключить SSO-аккаунт (это автоматически закроет доступ ко всем сервисам)
  • Проверить SaaS-сервисы без SSO (их должно быть ноль, но проверьте)
  • Деактивировать API-ключи
  • Отозвать доступ к репозиториям
  • Чеклист должен выполняться в течение 2 часов после увольнения — не через неделю

Уровень 3: Продвинутая защита (для растущего бизнеса)

8. Мониторинг утечек

Данные утекают постоянно — вопрос не «если», а «когда». Сервисы мониторинга:

  • Have I Been Pwned Domain — бесплатный мониторинг email-домена компании
  • 1Password Watchtower / Bitwarden Reports — мониторинг скомпрометированных паролей
  • Breachsense / Dehashed — коммерческие сервисы для поиска корпоративных учётных данных в утечках

9. Политика паролей

Установите минимальные требования на уровне SSO:

  • Минимальная длина: 16 символов
  • Без ограничений на спецсимволы (они снижают entropy)
  • Блокировка после 5 неверных попыток на 15 минут
  • Принудительная смена пароля только при компрометации — не по расписанию (NIST SP 800-63B)

10. Сессионный контроль

Настройте таймауты сессий в критичных сервисах:

  • 15 минут неактивности для финансовых систем
  • 1 час для CRM
  • 8 часов для инструментов разработки

11. API-ключи и секреты

API-ключи — это пароли, которые легко забыть. Правила:

  • Хранить в vault менеджера паролей, не в .env-файлах в репозитории
  • Ротировать каждые 90 дней
  • Использовать least-privilege ключи (read-only где достаточно)
  • CI/CD секреты — через HashiCorp Vault, 1Password Secrets Automation или GitHub Secrets

12. VPN для админ-панелей

Админ-панели критичных сервисов (хостинг, домены, биллинг) должны быть доступны только из корпоративной сети или через VPN. Cloudflare Zero Trust предлагает бесплатный доступ до 50 пользователей — настройте за 30 минут.

Чеклист: 15 пунктов для аудита безопасности

  • Менеджер паролей установлен у каждого сотрудника
  • Уникальные пароли для всех сервисов (0 повторных)
  • MFA включён на email, доменах, хостинге, биллинге, GitHub
  • MFA — аппаратный ключ (YubiKey) для админов
  • SSO настроен и обязателен для всех SaaS-сервисов
  • Offboarding-процесс выполняется в течение 2 часов
  • Ежемесячный аудит доступов
  • Мониторинг утечек (HIBP Domain) настроен
  • API-ключи хранятся в vault, не в .env
  • Ротация API-ключей каждые 90 дней
  • Таймауты сессий настроены
  • Админ-панели за VPN
  • RBAC вместо индивидуальных разрешений
  • Политика паролей соответствует NIST SP 800-63B
  • Включены логи доступа (Audit Logs) во всех критичных сервисах

Внедрение этих 15 пунктов снижает риск инцидента безопасности на порядок. Начните с Уровня 1 — уже это поставит вас выше 80% компаний. Переход на Уровень 2 и 3 — по мере роста команды и критичности сервисов.

Полезные инструменты (со ссылками)