Двухфакторная аутентификация в Битрикс24: как защитить аккаунты сотрудников

В Битрикс24 хранится база клиентов, переписка, документы, финансовые данные. Если злоумышленник получит пароль сотрудника — через фишинговое письмо, утечку с другого сайта или простой подбор, — он получит доступ ко всему этому. Двухфакторная аутентификация добавляет второй шаг входа: кроме пароля нужен одноразовый код с телефона. Без телефона войти не получится, даже зная пароль.

Как это работает

После ввода логина и пароля система запрашивает одноразовый код. Код генерирует приложение на смартфоне сотрудника — приложение Битрикс24 OTP или совместимое приложение-аутентификатор. Код меняется каждые несколько десятков секунд и действует один раз. Для доверенных устройств можно не запрашивать код при каждом входе.

Почему это важно

• Пароли повторяются на разных сайтах, и утечка в одном месте открывает доступ в другом
• Фишинговые письма с поддельной страницей входа выманивают пароли
• Сотрудники записывают пароли и делятся ими
• Бывшие сотрудники могут помнить пароли коллег

Двухфакторная защита закрывает большинство этих сценариев: украденного пароля недостаточно.

Как включить

Администратор портала включает двухфакторную аутентификацию в настройках безопасности. Можно сделать её обязательной для всех или для отдельных групп, например для руководителей и администраторов. Сотрудникам даётся время на подключение: при следующем входе система попросит установить приложение и отсканировать код.

Порядок внедрения

1. Начните с администраторов и руководителей — их аккаунты наиболее ценны
2. Подготовьте короткую инструкцию с картинками
3. Объясните сотрудникам, зачем это нужно
4. Назначьте срок, после которого подключение обязательно
5. Выделите ответственного, который поможет тем, у кого не получается
6. Проверьте, что все подключили

Потеря телефона

При потере или смене телефона сотрудник не сможет войти. Заранее определите процедуру: администратор временно отключает второй фактор для сотрудника после проверки личности, и сотрудник подключает новое устройство. Также можно использовать резервные коды восстановления — их нужно хранить в надёжном месте, а не в заметках того же телефона.

Другие меры защиты

• Сложные уникальные пароли и менеджер паролей
• Минимум администраторов портала
• Права доступа по принципу необходимого минимума
• Ограничение доступа по IP для чувствительных ролей, если это доступно и оправдано
• Контроль активных сессий и устройств
• Немедленная блокировка аккаунта при увольнении
• Осторожность с публичными ссылками на файлы
• Проверка приложений из маркетплейса, которым выдан доступ

Коробочная версия

В коробочном Битрикс24 к этому добавляется безопасность сервера: обновления системы и операционной системы, защищённое соединение, резервные копии, мониторинг попыток входа. Двухфакторная аутентификация защищает аккаунты, но не заменяет защиту инфраструктуры.

Типичные возражения

«Неудобно вводить код» — на доверенных устройствах код запрашивается редко. «У нас нечего красть» — база клиентов и переписка ценны для конкурентов и мошенников. «Сотрудники не справятся» — подключение занимает несколько минут с инструкцией.

После включения

Проверьте, что защита действительно работает у всех: в настройках безопасности видно, кто подключил второй фактор. Напомните тем, кто не успел, и при необходимости ограничьте им доступ до подключения. Включите уведомления о входе с новых устройств, если такая возможность есть, и объясните сотрудникам, что делать, если они получили уведомление о входе, которого не совершали: сменить пароль и сообщить администратору. Раз в квартал просматривайте список аккаунтов: бывшие сотрудники, тестовые пользователи и забытые интеграционные учётные записи — частые лазейки.

Если нужно настроить безопасность портала Битрикс24, напишите нам — проведём аудит и включим защиту.