Средняя компания использует 130 SaaS-сервисов (данные Productiv за 2026). У каждого сотрудника — десятки аккаунтов. Один скомпрометированный пароль, одна забытая учётка уволенного сотрудника — и злоумышленник получает доступ к CRM, почте, биллингу, коду. По данным Verizon DBIR 2026, 49% утечек данных начинаются со скомпрометированных учётных данных. Это руководство — пошаговая методология защиты SaaS-аккаунтов от входа до выхода сотрудника.
Уровень 1: Базовая гигиена (обязательно для всех)
1. Менеджер паролей — не опция, а требование
Без менеджера паролей безопасность SaaS невозможна. Человеческий мозг не способен генерировать и запоминать уникальные 16-символьные пароли для 130 сервисов. Без менеджера люди используют паттерны — и эти паттерны взламываются credential stuffing за секунды.
Что выбрать:
- Bitwarden — бесплатно, open source, self-hosted опция. Идеально для старта.
- 1Password — -8/мес за пользователя, лучший UX, SSH-агент, CI/CD интеграция. Для команд разработки.
Правило для команды: ни одного пароля вне менеджера. Если пароль можно набрать на клавиатуре по памяти — он слишком простой.
2. Двухфакторная аутентификация везде, где можно
MFA снижает риск взлома аккаунта на 99.9% (по данным Microsoft). Приоритет методов:
- Аппаратный ключ (FIDO2/WebAuthn) — YubiKey, Titan. Физический ключ невозможно перехватить удалённо. Лучшая защита.
- TOTP-приложение — Authy, Google Authenticator, встроенный TOTP в 1Password/Bitwarden. Одноразовые коды, меняющиеся каждые 30 секунд. Достаточно для большинства сервисов.
- SMS — слабый метод (SIM-swap атаки), но лучше, чем ничего. Используйте только если другие варианты недоступны.
Критичные сервисы, где MFA обязателен:
- Email (доступ к почте = доступ к сбросу паролей от всех остальных сервисов)
- Доменный регистратор (захват домена = захват всего)
- Хостинг/облачный провайдер (AWS, GCP, Azure)
- Платёжные системы и биллинг
- Репозиторий кода (GitHub, GitLab)
3. Никакого повторного использования паролей
Менеджер паролей должен предупреждать о дубликатах. Watchtower в 1Password и отчёты в Bitwarden показывают повторно используемые пароли. Устраните их немедленно.
Уровень 2: Корпоративная безопасность (для команд от 5 человек)
4. SSO вместо индивидуальных паролей
Single Sign-On сокращает поверхность атаки: вместо 130 паролей на человека — один корпоративный аккаунт. При увольнении сотрудника отключаете одну учётку — и доступ ко всем SaaS-сервисам закрыт.
Что выбрать:
- Okta — enterprise-стандарт, дорого (от /мес за пользователя)
- Azure AD / Entra ID — если вы в экосистеме Microsoft 365
- JumpCloud — альтернатива подешевле, хорош для среднего бизнеса
- Google Workspace — если вся инфраструктура на Google
При выборе SaaS-сервиса проверяйте наличие SAML/SSO в нужном тарифе. Некоторые сервисы (например, Crisp) прячут SSO за Enterprise-подпиской.
5. Аудит доступов: кто куда имеет доступ
Каждый месяц проводите ревизию:
- Кто имеет доступ к биллингу?
- Кто имеет доступ к production-окружению?
- У кого права admin в CRM?
- Есть ли аккаунты уволенных сотрудников?
Автоматизируйте: такие сервисы как AccessOwl, Zluri и BetterCloud показывают карту доступов ко всем SaaS-сервисам компании.
6. RBAC: принцип минимальных привилегий
Роли на основе ролей, а не людей. Не «дать Васе доступ к биллингу», а «роль Finance имеет доступ к биллингу, Вася в роли Finance». Когда Вася переходит в другой отдел — удаляете роль Finance, а не ищете 50 сервисов, где у него был доступ.
7. Onboarding и offboarding как процесс
Onboarding (день 1):
- Создать учётную запись в SSO
- Добавить в нужные группы/роли
- Убедиться, что настроен MFA (аппаратный ключ)
- Отправить приветственный email со списком сервисов
Offboarding (день последний):
- Отключить SSO-аккаунт (это автоматически закроет доступ ко всем сервисам)
- Проверить SaaS-сервисы без SSO (их должно быть ноль, но проверьте)
- Деактивировать API-ключи
- Отозвать доступ к репозиториям
- Чеклист должен выполняться в течение 2 часов после увольнения — не через неделю
Уровень 3: Продвинутая защита (для растущего бизнеса)
8. Мониторинг утечек
Данные утекают постоянно — вопрос не «если», а «когда». Сервисы мониторинга:
- Have I Been Pwned Domain — бесплатный мониторинг email-домена компании
- 1Password Watchtower / Bitwarden Reports — мониторинг скомпрометированных паролей
- Breachsense / Dehashed — коммерческие сервисы для поиска корпоративных учётных данных в утечках
9. Политика паролей
Установите минимальные требования на уровне SSO:
- Минимальная длина: 16 символов
- Без ограничений на спецсимволы (они снижают entropy)
- Блокировка после 5 неверных попыток на 15 минут
- Принудительная смена пароля только при компрометации — не по расписанию (NIST SP 800-63B)
10. Сессионный контроль
Настройте таймауты сессий в критичных сервисах:
- 15 минут неактивности для финансовых систем
- 1 час для CRM
- 8 часов для инструментов разработки
11. API-ключи и секреты
API-ключи — это пароли, которые легко забыть. Правила:
- Хранить в vault менеджера паролей, не в .env-файлах в репозитории
- Ротировать каждые 90 дней
- Использовать least-privilege ключи (read-only где достаточно)
- CI/CD секреты — через HashiCorp Vault, 1Password Secrets Automation или GitHub Secrets
12. VPN для админ-панелей
Админ-панели критичных сервисов (хостинг, домены, биллинг) должны быть доступны только из корпоративной сети или через VPN. Cloudflare Zero Trust предлагает бесплатный доступ до 50 пользователей — настройте за 30 минут.
Чеклист: 15 пунктов для аудита безопасности
- Менеджер паролей установлен у каждого сотрудника
- Уникальные пароли для всех сервисов (0 повторных)
- MFA включён на email, доменах, хостинге, биллинге, GitHub
- MFA — аппаратный ключ (YubiKey) для админов
- SSO настроен и обязателен для всех SaaS-сервисов
- Offboarding-процесс выполняется в течение 2 часов
- Ежемесячный аудит доступов
- Мониторинг утечек (HIBP Domain) настроен
- API-ключи хранятся в vault, не в .env
- Ротация API-ключей каждые 90 дней
- Таймауты сессий настроены
- Админ-панели за VPN
- RBAC вместо индивидуальных разрешений
- Политика паролей соответствует NIST SP 800-63B
- Включены логи доступа (Audit Logs) во всех критичных сервисах
Внедрение этих 15 пунктов снижает риск инцидента безопасности на порядок. Начните с Уровня 1 — уже это поставит вас выше 80% компаний. Переход на Уровень 2 и 3 — по мере роста команды и критичности сервисов.
Полезные инструменты (со ссылками)
- Менеджеры паролей: Bitwarden (бесплатно), 1Password (от /мес)
- Аппаратные ключи: YubiKey 5 (от )
- SSO: Okta, JumpCloud (бесплатно до 10 пользователей)
- Мониторинг утечек: Have I Been Pwned
- Zero Trust доступ: Cloudflare Zero Trust (бесплатно до 50 пользователей)
- Аудит SaaS-доступов: Zluri, AccessOwl