“Хранение паролей в Excel, это не столько технический косяк, сколько видимая часть целой системы работы с информационной безопасностью, где удобство и привычка ставятся выше рисков, а реальность регуляторики далека от идеальных диаграмм.”
От простой электронной таблицы до хранилища ключей доступа
Распространённый сценарий выглядит так: в компании появляется необходимость делиться доступом к корпоративному аккаунту в социальной сети, биллингу хостинга или CRM. Ключи от этих сервисов передаются по цепочке: от увольняющегося сотрудника — новичку, от руководителя — подчинённому. Со временем список паролей, логинов и примечаний разрастается. Файл начинает жить собственной жизнью — его пересылают в почте, скачивают на личные ноутбуки, а иногда он оказывается в корпоративном облаке, доступном десяткам человек. Формат .xlsx настолько привычен, что его даже не воспринимают как потенциальную угрозу.
Подход Excel не случаен. Он предоставляет иллюзию структурированности данных — можно создать колонки «Сервис», «Логин», «Пароль», «URL», «Комментарий». Есть функция поиска, фильтрация, можно даже установить пароль на книгу, что создаёт ложное ощущение безопасности. Проблема в том, что этот пароль на файл не выдерживает никакой критики с точки зрения криптостойкости. Внутренние механизмы защиты устаревших форматов Microsoft Office давно изучены и взламываются тривиальными утилитами за секунды. Ключевой риск здесь — не криптостойкость самого Excel, а то, что файл становится единой точкой сбора самых чувствительных данных. Его компрометация означает мгновенный захват всех аккаунтов.
Почему это всё ещё происходит: разрыв между политикой и реальностью
Принцип наименьшего сопротивления
В отделе, которому нужно быстро решить задачу, никто не будет инициировать процесс выбора, внедрения и согласования бюджета на специализированный менеджер паролей. Excel уже установлен на каждом рабочем месте, знаком всем, не требует обучения и согласований с ИБ-службой. Фактически, это инструмент, позволяющий обойти бюрократию и получить результат здесь и сейчас. Этот принцип работает до тех пор, пока не происходит инцидент.
Технологическая незрелость процессов
Во многих организациях, особенно вне сферы IT, до сих пор отсутствует централизованная система управления доступом (IAM — Identity and Access Management). Учётные записи зачастую создаются вручную администратором, а права назначаются по устной или письменной заявке. При таком подходе Excel-таблица выглядит логичным продолжением: раз нет автоматизированной системы выдачи и учёта доступов, их нужно где-то записать.
Часто ответственность за учёт таких «несистемных» доступов (к облачным сервисам, сторонним платформам, регистраторам доменов) не закреплена ни за одним подразделением. Они оказываются в серой зоне между сетевым администрированием, отделом информационной безопасности и конечными пользователями.
Ложное чувство контроля
Руководитель не-технического подразделения, имея на своём рабочем столе файл «Доступы_Департамент.xlsx», уверен, что контролирует ситуацию. Он физически видит файл, может его открыть, изменить, удалить. Это даёт больше субъективного спокойствия, чем абстрактный «корпоративный менеджер паролей», который требует авторизации и работает по непонятным правилам. Человеческая психика склонна недооценивать риски, которые нельзя «пощупать», и переоценивать удобство знакомых инструментов.
Что говорит регуляторика: между требованиями и исполнением
Федеральный закон №152-ФЗ «О персональных данных» и акты ФСТЭК России предъявляют жёсткие требования к защите информации. Однако они часто сформулированы на уровне принципов и целей: «должны быть приняты меры по защите», «использованы средства криптографической защиты», «обеспечена конфиденциальность». В документах редко можно встретить прямой запрет на хранение паролей в Excel. Вместо этого запрещается хранение паролей в открытом виде.
Здесь возникает лазейка для интерпретации. Сотрудник, защитивший книгу паролем (пусть и слабым), формально считает, что пароли хранятся не в открытом виде. Требования регуляторов зачастую проверяются по формальным признакам: наличие политик, журналов, приказов. Не существует механизма автоматического сканирования корпоративных сетей на наличие файлов с названием «passwords.xlsx». Проверка проходит по предоставленным документам, а не по техническому аудиту каждого рабочего места. До тех пор, пока инцидент утечки не произошёл, практика может оставаться незамеченной.
Переходный этап: от Excel к специализированным инструментам
Отказ от привычной схемы не происходит мгновенно. Это процесс, который часто требует смены модели мышления.
- Осознание рисков. Первый шаг — понимание, что текущая практика является уязвимостью, а не решением. Помогают кейсы из новостей об утечках, внутренние аудиты или требования партнёров при сертификации.
- Выбор стратегии. Можно двигаться в сторону полноценных корпоративных решений (например, российские аналоги Vault или Secret Server), интегрирующихся с Active Directory и имеющих ролевую модель доступа. Альтернатива — облачные или локальные менеджеры паролей для команд (например, на базе KeePass с общим ключевым файлом на защищённом сетевом ресурсе). Последний вариант менее безопасен, но на порядок лучше Excel и не требует больших затрат.
- Техническая миграция и обучение. Самое сложное — не перенести данные из Excel в новую систему, а изменить привычки людей. Необходимо объяснить преимущества: автоматическую генерацию сложных паролей, автозаполнение форм в браузере, разграничение прав, шифрование на лету, ведение истории изменений.
- Интеграция в процессы. Новая система должна стать неотъемлемой частью процедуры выдачи и смены доступов. Запрос доступа через систему, его утверждение ответственным лицом и автоматическая ротация паролей — идеальный рабочий поток, исключающий человека с таблицей.
Практические шаги для запуска изменений
- Аудит текущего состояния. Не пытайтесь найти все Excel-файлы принудительно. Лучше запустить разъяснительную кампанию и предложить сотрудникам добровольно сообщить о существующих «копилках» паролей в обмен на помощь в миграции. Жёсткие запреты без альтернативы приведут к тому, что файлы просто лучше спрячут.
- Старт с пилотной группы. Внедряйте новое решение в одном отделе, который наиболее страдает от проблемы (например, отдел маркетинга с десятками доступов к соцсетям и рекламным кабинетам). Успешный опыт покажет реальную пользу.
- Формализация политики. Зафиксируйте новый порядок работы с учётными данными во внутреннем документе — «Регламент управления доступом к информационным системам и сторонним сервисам». Это снимет вопросы и даст формальные основания для требований.
- Техническая защита. Параллельно настройте DLP-системы или средства защиты конечных точек на детектирование и блокировку попыток сохранения определённых шаблонов данных (например, строк вида «login:password@host») в файлах .xls/.xlsx и их отправки по почте.
Конец Excel-эпохи в управлении паролями — вопрос не технологический, а управленческий и культурный. Это переход от кустарного учёта на коленке к процессно-ориентированному управлению цифровыми идентификаторами. Такой переход неизбежен по мере усложнения инфраструктуры и ужесточения требований регуляторов. Цена сохранения статус-кво, это не абстрактный «риск», а конкретный инцидент с потерей данных, финансовым ущербом и репутационными потерями, которые заставят меняться уже в авральном режиме.