Короткий ответ: Соберите карту резервных кодов заранее: где они лежат, кто имеет доступ и как проверить их работоспособность. Не храните коды рядом с паролями и не пересылайте в общих чатах. Ниже — порядок аудита без выдуманных сроков.
Видеоразбор — в начале статьи.
1. Понятия и критерии: что должно быть в карте
2FA — двухфакторная аутентификация, способ входа, при котором помимо пароля требуется второе подтверждение. Резервный код — это заранее выданная одноразовая комбинация для входа, если основной способ подтверждения недоступен.
| Термин | Что означает | Как использовать |
|---|---|---|
| 2FA | Вход с двумя независимыми подтверждениями. | Проверяйте, включена ли она для рабочих аккаунтов. |
| Резервный код | Одноразовая комбинация для восстановления входа. | Храните отдельно от пароля. |
| Карта кодов | Список аккаунтов и мест хранения кодов. | Не публикуйте сам код в общей таблице. |
| Хранилище | Защищённое место для секретов. | Ограничьте круг лиц с доступом. |
| Владелец | Ответственный за аккаунт. | Укажите основного и запасного. |
| Ротация | Замена использованных или устаревших кодов. | Фиксируйте дату замены. |
| Проверка | Контрольная попытка восстановления доступа. | Проводите её по регламенту, а не в панике. |
| Инцидент | Ситуация потери основного фактора. | Описывайте действия заранее. |
2. Диагностика: что проверить до составления карты
Карта полезна только при актуальных данных. Проверьте, что список аккаунтов, владельцев и хранилищ не устарел.
- Есть ли полный список рабочих аккаунтов, где включена двухфакторная аутентификация.
- Известно ли, где хранятся резервные коды для каждого аккаунта.
- Не лежат ли коды в том же месте, что и пароли, в общем доступе.
- Назначены ли основной и запасной владелец для каждого сервиса.
- Понимаете ли вы, кто имеет право использовать резервный код.
- Есть ли порядок действий после применения одноразовой комбинации.
- Проводилась ли хотя бы одна контрольная проверка процедуры.
- Обновляется ли карта после увольнения сотрудников или смены устройства.
3. Пошаговый план: как собрать карту резервных кодов
План делает упор на то, чтобы карта была полезной в момент сбоя, но не стала сама источником утечки. Действуйте последовательно.
- Составьте инвентарь аккаунтов. Перечислите площадки, почту и сервисы, где включена 2FA, без указания самих секретов в общей таблице.
- Назначьте владельцев. Для каждого аккаунта укажите основного и запасного ответственного сотрудника.
- Определите места хранения. Опишите, в каком защищённом хранилище лежат резервные коды, и кто имеет к нему доступ.
- Разделите доступ. Не давайте одному человеку контроль над всеми аккаунтами без возможности проверки со стороны.
- Не копируйте коды в карту. В документе фиксируйте только название сервиса, владельца, место хранения и дату последней проверки.
- Проверьте полноту. Убедитесь, что для каждого аккаунта есть хотя бы один актуальный резервный способ входа.
- Опишите процедуру проверки. Например, ответственный сверяет наличие кода и отрабатывает вход на тестовом сценарии, если сервис это позволяет.
- Зафиксируйте правило ротации. После использования резервного кода или смены устройства создавайте новый набор кодов и обновляйте отметку в карте.
- Добавьте журнал. Записывайте даты проверок, замен и кадровых изменений без самих секретов.
- Проведите учебный прогон. На одном аккаунте проверьте, что владелец понимает порядок действий и может найти хранилище.
- Обновите карту после кадровых изменений. При увольнении или переводе сотрудника пересмотрите права доступа к хранилищу.
- Храните карту отдельно от кодов. Так утечка одного документа не откроет злоумышленнику все способы входа.
4. Расчёт и частые комбинации: как оценить готовность
Оценивайте карту по простым признакам: есть ли владелец, хранилище, ротация и проверка. Таблица ниже — практические ориентиры, а не статистика.
| Ситуация | Что это может значить | Что сделать |
|---|---|---|
| Коды есть, карты нет | Неизвестно, где что лежит. | Создайте карту без самих секретов. |
| Карта есть, владельца нет | Неясно, кто отвечает за восстановление. | Назначьте основного и запасного. |
| Коды и пароли в одном месте | Одна точка компрометации. | Разнесите хранение. |
| Ротация не записывается | Нельзя понять актуальность набора. | Добавьте дату проверки и замены. |
| Уволенный сотрудник имеет доступ | Риск несанкционированного входа. | Отзовите доступ и обновите коды. |
| Учебный прогон пройден | Процедура понятна участникам. | Повторяйте его после изменений. |
| Карта хранится вместе с кодами | Утечка документа даёт полный доступ. | Разделите документы. |
| Все проверки записаны в журнале | Проще восстановить хронологию. | Продолжайте вести записи регулярно. |
5. Делать / не делать
Памятка помогает не раскрыть коды и не потерять к ним доступ одновременно.
| Делать | Не делать |
|---|---|
| Хранить карту отдельно от кодов. | Вписывать одноразовые комбинации в общий файл. |
| Назначать владельцев и дублёров. | Оставлять аккаунт без ответственного. |
| Ограничивать доступ к хранилищу. | Открывать его всей команде «на всякий случай». |
| Фиксировать даты ротации. | Считать коды вечно актуальными. |
| Проводить учебный прогон. | Проверять процедуру только при реальном сбое. |
| Обновлять права после кадровых изменений. | Забывать про доступ уволившихся. |
| Вести журнал проверок. | Полагаться на память ответственных. |
| Помнить: карта — практический инструмент. | Искать универсальный шаблон для всех сервисов. |
6. Частые вопросы
Отвечаем на вопросы, которые чаще всего возникают при аудите резервных кодов.
Можно ли хранить резервные коды в общей таблице с паролями?
Нежелательно. Если такой файл попадёт к посторонним, злоумышленник получит и пароль, и второй фактор. Карта должна указывать место хранения, но не содержать сами коды.
Кто должен знать, где лежат коды?
Ограниченный круг ответственных лиц: владелец аккаунта, его дублёр и человек, отвечающий за безопасность. Всей команде достаточно знать регламент, а не секреты.
Как часто менять резервные коды?
После использования кода, смены устройства или подозрения на компрометацию. Универсального срока нет; удобно привязать ротацию к кадровым изменениям и плановым проверкам.
Что делать, если код уже использован?
Сгенерируйте новый набор через официальный интерфейс сервиса и обновите отметку в карте. Не оставляйте использованную комбинацию в хранилище как действующую.
Можно ли обойтись без учебного прогона?
Нежелательно. Даже хорошая карта может содержать устаревший контакт или непонятное место хранения; короткая проверка выявляет это раньше реального инцидента.
7. Итог
Карта резервных кодов — это способ сохранить доступ, не раскрывая секреты.
Соберите инвентарь аккаунтов, назначьте владельцев и опишите места хранения без самих кодов. Добавьте ротацию, журнал и учебный прогон. Обновляйте карту после кадровых изменений и смены устройств. Так команда сохранит доступ к рабочим аккаунтам даже при потере основного фактора подтверждения.