В этой статье разберем главный вопрос: как хранить многочисленные сложные пароли, соответствующие новым нормативам, и какие легальные инструменты для этого уже существуют.
Почему старая система «запишу в блокнот» больше не работает
Согласно разделу 4.1 документа (меры ИАФ.3 «Аутентификация пользователей»), регулятор устанавливает три уровня сложности пароля, и во всех случаях длина должна составлять не менее 10 символов. Разница лишь в "алфавите" и сроке действия:
- Базовый уровень: алфавит от 30 символов (цифры + буквы в разных регистрах). Смена - раз в 120 дней.
- Усиленный уровень: алфавит от 60 символов (добавляются спецсимволы). Смена - также раз в 120 дней.
- Максимальный уровень: алфавит от 70 символов, а пароль придется менять уже каждые 90 дней.
Запомнить 10 случайных символов - задача не из легких. А если таких паролей у сотрудника несколько (вход в систему, корпоративная почта, база данных, привилегированная учетная запись)? А если их нужно обновлять каждый квартал? Человеческая память здесь бессильна. Хранить записи в ежедневнике или текстовом файле на рабочем столе — грубейшее нарушение, которое мгновенно сведет на нет всю защиту и будет обнаружено при первой же проверке.
Единственно верное решение: сертифицированные менеджеры паролей
В условиях новых требований ФСТЭК разумный выход только один - использовать специализированное программное обеспечение для хранения паролей, которое имеет официальное разрешение регулятора.
Хорошая новость: рынок не стоит на месте, и необходимые инструменты уже появляются. Например, буквально в феврале 2026 года компания «Флант» получила сертификат ФСТЭК России (№ 5038) на свое решение Deckhouse Stronghold. Это система для централизованного управления секретами, которая предназначена именно для тех случаев, о которых мы говорим: она подходит для использования в госкорпорациях, банках, органах власти и на объектах критической информационной инфраструктуры (КИИ).
Что делают такие программы?
- Генерируют пароли заданной длины и сложности (те самые 10+ символов с цифрами и знаками). Сотруднику больше не нужно мучительно придумывать их самому.
- Хранят все данные в зашифрованном виде с использованием российских криптоалгоритмов («Кузнечик» и «Магма» по ГОСТ). Пользователь запоминает только один мастер-пароль (который, впрочем, тоже должен быть сложным).
- Обеспечивают контроль. Администратор безопасности видит, кто, когда и к каким паролям обращался, что полностью соответствует требованиям к аудиту событий.
Что именно ФСТЭК требует от таких программ?
Опираясь на текст методического документа, нельзя просто скачать первый попавшийся менеджер паролей из интернета. В разделе «Требования к усилению» меры ИАФ.3 прямо говорится об использовании автоматизированных средств для формирования аутентификационной информации. А в мере УПД.3 — о необходимости централизованного управления учетными записями.
Это значит, что программа для хранения паролей должна отвечать жестким критериям:
- Наличие действующего сертификата ФСТЭК России.
- Включение в реестр отечественного ПО.
- Поддержка шифрования по ГОСТ (как в случае с Deckhouse Stronghold).
- Наличие журнала событий и аудита безопасности паролей.
- Возможность разграничения прав доступа (кто какой пароль может видеть).
Только при выполнении этих условий применение менеджера паролей будет законным и не вызовет вопросов у проверяющих.
Как хранить пароли правильно по ФСТЭК: краткий чек-лист
- Исходя из текста документа, система хранения паролей в организации должна выглядеть так:
- Используйте сертифицированное средство. Убедитесь, что выбранная программа есть в реестре ФСТЭК и имеет актуальный сертификат.
- Обеспечьте надежную аутентификацию. Доступ к самому хранилищу паролей должен быть защищен мастер-паролем, а лучше — дополнительным фактором.
- Внедрите централизованное управление. Администратор безопасности должен контролировать, кто и к каким паролям имеет доступ (принцип минимальных привилегий из меры УПД.2).
- Настройте аудит. Все действия с паролями должны регистрироваться.
- Обучите сотрудников. Запретите им хранить пароли в браузерах и на стикерах. В документе есть целый раздел 3.14 про повышение уровня знаний пользователей — используйте его для проведения инструктажа.
Итог
Новый документ ФСТЭК фактически делает корпоративный менеджер паролей обязательным элементом инфраструктуры любой серьезной организации. Требования к длине, сложности и регулярной смене паролей превращают их запоминание в невыполнимую для человека задачу.
К счастью, рынок уже отреагировал на эти вызовы: появление сертифицированных решений, таких как Deckhouse Stronghold, дает бизнесу легальный и технологичный инструмент для соответствия закону. Если вы хотите пройти проверку и не создать сотрудникам невыносимые условия труда, внедрение специализированного ПО — это не просто рекомендация, а единственный разумный путь.
