Двухфакторная аутентификация — это второй ключ ко входу: кроме пароля система просит подтверждение с устройства, которое есть только у вас. Пароль можно подобрать, выманить или взять из утёкшей базы, второй фактор — нет. Для бизнеса это самая дешёвая защита почты, банк-клиента и CRM: включается за вечер и почти ничего не стоит. С чего начать — в подборке решений по информационной безопасности.
Короткий ответ
Двухфакторная аутентификация — это вход по двум разным подтверждениям: паролю, который вы знаете, и коду или ключу с устройства, которое есть только у вас. Отсюда и название: два фактора вместо одного. Пароль сам по себе давно перестал быть защитой: его подбирают по утёкшим базам, выманивают письмом «от бухгалтерии», забирают вместе с заражённым ноутбуком. Второй фактор ломает эту схему — украденного пароля мало, нужен ещё и телефон, приложение или аппаратный ключ сотрудника.
Для бизнеса это самая дешёвая мера безопасности из существующих. Приложение-генератор кодов стоит 0 ₽ и настраивается за 5 минут, а закрывает тот самый сценарий, с которого начинается большинство инцидентов: чужой вход в почту руководителя или в личный кабинет банка. Массовые атаки на учётные записи автоматические и рассчитаны ровно на один пароль — второй фактор обрывает их на середине.
Включать всё и сразу не нужно. Начните с трёх точек: корпоративная почта, банк-клиент и админка сайта. Дальше — CRM, электронный документооборот и любые системы, где лежат деньги, договоры и персональные данные. Ниже — таблица, с чего начать именно вам; готовые решения собраны в подборке сервисов информационной безопасности.
| Ваш случай | С чего начать | Почему |
|---|---|---|
| ИП или команда до 5 человек | приложение-аутентификатор на почту, банк-клиент и хостинг | 0 ₽ и полчаса работы, без всякого внедрения |
| Компания 10–50 человек, часть сотрудников на удалёнке | корпоративная многофакторная аутентификация (MFA) — Multifactor | единые правила входа для удалённого рабочего стола и рабочих программ |
| Госсектор, критическая инфраструктура, большие объёмы персональных данных | Контур.Эгида | комплекс из семи продуктов, где второй фактор входа — одна из частей |
| Пароли живут в чатах и таблицах | Пассворк | общий сейф паролей на своём сервере вместо переписки |
| Ноутбуки и смартфоны сотрудников без защиты | Kaspersky Small Office Security | антивирус закрывает устройство, с которого вводят второй фактор |
Отдельного «сервиса 2FA» покупать чаще всего не нужно: второй фактор уже встроен в почту, банк-клиент, хостинг-панель и большинство деловых сервисов — его достаточно включить. Платное решение нужно, когда пользователей больше двух десятков и вход хочется контролировать централизованно.
Что такое второй фактор и почему одного пароля мало
Аутентификация — это проверка того, что вы действительно тот, за кого себя выдаёте. Все способы такой проверки делятся на три группы. Первая — то, что вы знаете: пароль, пин-код, ответ на секретный вопрос. Вторая — то, чем вы владеете: телефон, приложение-генератор, аппаратный ключ, смарт-карта. Третья — то, чем вы являетесь: отпечаток пальца, лицо, голос, то есть биометрия. Двухфакторная аутентификация требует подтверждения из двух разных групп сразу.
Два пароля подряд двухфакторной защитой не считаются: они из одной группы, и утечка базы данных вскрывает оба. Классический пример настоящей 2FA офлайн — банкомат: карта в руках («то, что у вас есть») плюс пин-код в голове («то, что вы знаете»). Если добавить к паре факторов третий — например, отпечаток пальца поверх пароля и кода, — получится многофакторная аутентификация, MFA. Для бизнеса разница скорее терминологическая: MFA — это та же логика с более гибкими политиками.
Почему одного пароля мало, видно по типовому сценарию. Один и тот же пароль сотрудник обычно ставит сразу в нескольких сервисах, и достаточно, чтобы утёк любой из них. Дальше пароль проверяют автоматически на почте, в CRM и в банк-клиенте — это занимает минуты. Отдельная история — фишинг: поддельная страница входа собирает логин и пароль без всякого взлома, добровольно.
Второй фактор не заменяет остальную защиту: он охраняет вход, но не спасает от вредоносного файла на ноутбуке и не мешает сотруднику самому вынести базу клиентов. Это один слой из нескольких, и начинать разумно именно с него — он самый дешёвый. Остальные слои — антивирус, контроль утечек, управление паролями — собраны в рейтинге решений по информационной безопасности.
Виды второго фактора: СМС, приложение, ключ, биометрия
Рабочих вариантов второго фактора четыре, и они заметно различаются по надёжности, удобству и цене. СМС-код приходит на номер телефона. Приложение-генератор само создаёт шестизначный код каждые 30 секунд, без интернета и без оператора связи. Такие приложения называют TOTP-аутентификаторами: код считается из текущего времени. Push-подтверждение — кнопка «Это я» в мобильном приложении сервиса. Аппаратный ключ — небольшое устройство в USB-порт или с NFC, которое подтверждает вход нажатием. Пятым вариантом иногда называют биометрию, но она работает как местный замок: отпечаток разблокирует приложение, а оно уже подтверждает вход.
Универсального победителя нет: аппаратный ключ надёжнее всех, но его теряют и он стоит денег; приложение бесплатно и почти так же надёжно, но живёт в телефоне, который тоже можно потерять. Практичный компромисс для малого бизнеса — приложение-генератор на всех сотрудников плюс аппаратные ключи для двух-трёх человек с доступом к деньгам и админкам.
| Вид второго фактора | Надёжность | Удобство | Стоимость | Кому подходит |
|---|---|---|---|---|
| СМС-код | низкая | высокое, привычно всем | платит сервис, для вас 0 ₽ | как временная мера, если больше нечего |
| Приложение-генератор (TOTP) | высокая | среднее, нужен телефон под рукой | 0 ₽ | база для всей команды |
| Push-подтверждение в приложении | высокая | самое высокое, одна кнопка | в составе корпоративной MFA | компаниям от 20 человек |
| Аппаратный ключ (FIDO/U2F) | максимальная | среднее, ключ нужно носить | покупка устройства | руководителю, бухгалтеру, администратору |
| Биометрия на устройстве | высокая | высокое | 0 ₽, встроена в телефон | как замок для приложения-генератора |
Отдельно стоит корпоративная многофакторная аутентификация — система, которая накрывает вход во все рабочие сервисы разом, а не по одному. Она умеет разные факторы для разных групп сотрудников, политики по времени и адресу, самообслуживание при потере устройства. Смысл в том, чтобы не настраивать вход в каждом сервисе отдельно. Российский пример такого класса — Multifactor: подключается к удалённому рабочему столу (RDP), корпоративному каталогу сотрудников и другим системам входа, а запуск занимает день.
Multifactor 8.5/10
Компаниям с удалённым доступом и требованиями к compliance — за российской MFA.
Почему СМС — самый слабый второй фактор
СМС кажется идеальным вариантом: телефон есть у всех, объяснять ничего не надо. Проблема в том, что номер телефона — это не ваша собственность, а услуга оператора связи, и её можно переоформить. Схема с перевыпуском SIM-карты по поддельной доверенности известна годами: злоумышленник получает номер, за ним — все коды подтверждения, а вы узнаёте об этом по молчащему телефону.
Второй сценарий встречается чаще и не требует никаких технологий. Мошенник заходит на страницу входа, вводит украденный пароль, сервис сам отправляет вам код, а следом звонит «служба безопасности банка» и просит этот код назвать. Формально второй фактор сработал — фактически его отдали добровольно. Механика та же, что у обычного фишинга, только цель не пароль, а одноразовый код.
К этому добавляются бытовые минусы: СМС не доходит при плохой связи и в поездках, доставка занимает от нескольких секунд до нескольких минут, а сервис платит за каждое сообщение. Приложение-генератор лишено всех трёх проблем: код считается прямо на телефоне из общего секрета и текущего времени, интернет и сеть оператора не нужны совсем.
Полностью отказываться от СМС не обязательно. Если сервис другого второго фактора не поддерживает, СМС всё равно лучше, чем ничего: она отсекает автоматический перебор паролей. Но там, где выбор есть — а он есть в почте, банк-клиенте, хостинг-панели и большинстве деловых сервисов, — переключайтесь на приложение или ключ.
Где включать в первую очередь: почта, банк, ЭДО, CRM, админки
Порядок внедрения определяется не удобством, а тем, что теряет компания при чужом входе. На первом месте почти всегда корпоративная почта: через неё восстанавливают доступ ко всем остальным сервисам, и захват почтового ящика автоматически означает захват половины инфраструктуры. Дальше идут деньги — интернет-банк и платёжные кабинеты, затем системы с договорами и персональными данными.
Отдельно проверьте технические доступы, о которых обычно забывают: панель управления хостингом, админка сайта, облачные серверы и репозиторий кода. Взломанная админка — это не только простой сайта, но и чужие скрипты на ваших страницах, из-за которых поисковики понижают ресурс, а посетители получают вредоносный код.
| Система | Что теряете при чужом входе | Приоритет |
|---|---|---|
| Корпоративная почта | доступ ко всем остальным сервисам, переписку, договорённости | первый, в тот же день |
| Банк-клиент, расчётный счёт | деньги на счёте, платёжные реквизиты | первый, в тот же день |
| Админка сайта и панель хостинга | сайт, репутацию в поиске, клиентские заявки | первый, в тот же день |
| Электронный документооборот и электронная подпись | подписанные от вашего имени документы | второй, в первую неделю |
| CRM и клиентская база | контакты, суммы сделок, персональные данные клиентов | второй, в первую неделю |
Утечка клиентской базы — это уже не только репутация, но и прямые деньги. Штрафы по ст. 13.11 КоАП выросли с 30 мая 2025 года и считаются по числу пострадавших. Утечка данных 1 000–10 000 субъектов — от 3 до 5 млн ₽, 10 000–100 000 — от 5 до 10 млн ₽, свыше 100 000 — от 10 до 15 млн ₽. За утечку биометрии штраф выше: от 15 до 20 млн ₽. За повторное нарушение платят процентом с оборота: от 1 до 3 % годовой выручки, но не менее 20 млн и не более 500 млн ₽. По примечанию к той же статье предприниматели отвечают как юридические лица, так что «мы маленькие» больше не аргумент.
Как включить двухфакторную аутентификацию: пять шагов
Порядок действий одинаков почти во всех сервисах, различаются только названия пунктов меню. Сначала установите на телефон приложение-генератор одноразовых кодов — подойдёт любой TOTP-аутентификатор, они совместимы между собой. Затем в настройках сервиса найдите раздел «Безопасность» или «Вход и защита» и включите переключатель двухфакторной аутентификации.
Сервис покажет QR-код — это и есть тот самый общий секрет, из которого приложение будет считать шестизначные коды. Отсканируйте его камерой в приложении, введите первый сгенерированный код в поле подтверждения и нажмите кнопку сохранения. Сразу после этого сервис предложит резервные коды — их нужно сохранить, а не закрыть окно.
- Поставьте приложение-аутентификатор на телефон и защитите его отпечатком или пин-кодом
- Включите двухфакторную аутентификацию в настройках безопасности сервиса
- Отсканируйте QR-код и подтвердите вход первым шестизначным кодом
- Сохраните резервные коды на бумаге и добавьте второй фактор про запас
- Проверьте вход из другого браузера, пока старая сессия ещё открыта
Последний пункт важнее, чем кажется. Настраивайте второй фактор так, чтобы у вас оставался запасной способ войти: не выходите из активной сессии, пока не убедились, что новый вход работает. Иначе ошибка в настройке времени на телефоне — а TOTP-коды считаются от текущего времени — превратится в потерянный доступ к почте на несколько дней.
Внедрение в команде: план на две недели
В одиночку двухфакторная аутентификация включается за вечер, в команде — это небольшой проект. Начните с инвентаризации: выпишите все сервисы, где у сотрудников есть рабочие учётные записи, и отметьте, кто и к чему имеет доступ. Почти всегда в этот момент обнаруживаются два-три «общих» аккаунта с паролем в чате и один-два доступа уволившихся людей.
Первая неделя — пилот на себе и на администраторе. Вы проходите весь путь на живых сервисах, ловите неудобства и пишете короткую инструкцию на одну страницу со скриншотами. Вторая неделя — включение по группам: сначала руководители и бухгалтерия, затем отделы. Обязательный шаг — назначить ответственного, который сбрасывает второй фактор при потере телефона, и описать процедуру: кто, кому и как подтверждает личность сотрудника.
Три вещи, которые стоит зафиксировать письменно до старта: список систем, где второй фактор обязателен; способ восстановления доступа; запрет называть коды кому бы то ни было. Регламент на одну страницу работает лучше, чем инструкция на двадцать, — его действительно читают.
Контур.Эгида 9.8/10
Бизнесу, госсектору и критической инфраструктуре, кому нужна ИБ от одного вендора.
Компаниям с удалёнными сотрудниками имеет смысл сразу смотреть в сторону корпоративной MFA: настраивать второй фактор в двадцати сервисах по отдельности дороже, чем один раз накрыть вход централизованно. Сравнить российские решения этого класса можно в рейтинге сервисов информационной безопасности, а карточки поставщиков — в каталоге компаний.
Что делать при потере телефона: резервные коды
Главный страх перед включением второго фактора звучит так: «а если я потеряю телефон и не смогу войти». Ответ простой — резервные коды. Это список одноразовых паролей, который сервис выдаёт при включении второго фактора, — обычно около десяти штук. Каждый работает один раз и заменяет собой второй фактор при входе. Их нужно распечатать и убрать в сейф или ящик стола, а не оставлять скриншотом в галерее телефона.
Второй способ подстраховаться — добавить дополнительный фактор заранее: приложение на планшете, аппаратный ключ в сейфе, резервный номер телефона. Тогда потеря основного устройства становится бытовой неприятностью, а не остановкой работы. В корпоративных системах эту задачу решает портал самообслуживания: сотрудник сам перепривязывает второй фактор после проверки личности, не дёргая администратора.
- Сохраните резервные коды при включении и обновите их, когда останется 2–3 штуки
- Добавьте второй способ подтверждения на отдельном устройстве
- Назначьте ответственного за сброс второго фактора и опишите процедуру
- Держите список общих сервисов в менеджере паролей, а не в переписке
Если телефон украли, порядок такой: заблокируйте SIM-карту у оператора, войдите в критичные сервисы по резервному коду, отключите старый второй фактор и подключите новый, затем завершите все активные сессии. На это уходит около 30–40 минут при подготовленных резервных кодах — и несколько дней переписки со службами поддержки, если их нет.
Сколько стоит для команды 10 и 50 человек
Считать нужно не только лицензии, но и время. Базовый сценарий на приложениях-генераторах денег не стоит вообще: расходы сводятся к часам администратора на настройку и обучение. Возьмём для расчёта условные 1 500 ₽ за час работы специалиста — тогда картина выглядит так.
| Статья расходов | Команда 10 человек | Команда 50 человек |
|---|---|---|
| Приложения-аутентификаторы | 0 ₽ | 0 ₽ |
| Настройка и обучение | 8 часов, около 12 000 ₽ | 25 часов, около 37 500 ₽ |
| Аппаратные ключи для критичных ролей | 2 ключа | 6 ключей, цена по прайсу поставщика |
| Корпоративная MFA | обычно не нужна | лицензия по числу пользователей, цена по запросу |
| Менеджер паролей | по запросу | по запросу, лицензия по числу пользователей |
Для десяти человек внедрение реально укладывается в один рабочий день и ноль рублей лицензий: Multifactor, например, бесплатен до 3 пользователей, а дальше цена считается по коммерческому предложению. Для пятидесяти человек ручная настройка по сервисам уже неоправданна — дешевле централизованная система с политиками и самообслуживанием. Порог перехода — примерно двадцать сотрудников. Сравните эту сумму с минимальным штрафом за утечку персональных данных в 3 млн ₽ — вопрос окупаемости закрывается сам собой.
Соседние статьи бюджета обычно идут в том же проекте. Антивирус для малого бизнеса — Kaspersky Small Office Security стоит от 6 739 ₽ в год за 5 устройств по данным te9 на сентябрь 2026, триал 30 дней. Корпоративный менеджер паролей избавляет от паролей в чатах и заодно упрощает передачу доступов при увольнении.
Пассворк 8.2/10
Корпоративный менеджер паролей: общие сейфы, ролевой доступ, аудит, on-premise, шифрование по ГОСТ и версия с сертификатом ФСТЭК.
Частые ошибки при внедрении двухфакторной аутентификации
Ошибки повторяются из компании в компанию, и стоят они не абстрактных рисков, а конкретных дней простоя. Ниже — те, что встречаются чаще всего, с ценой каждой.
Резервные коды не сохранили. Самая массовая ошибка: окно с кодами закрыли не глядя. Цена — дни, а иногда недели на восстановление доступа через поддержку сервиса. Бывает и так, что доступ не возвращают вовсе: учётная запись оформлена не на компанию.
Второй фактор включили только руководителю. Злоумышленник заходит через менеджера, у которого в CRM те же клиентские данные. Цена — тот же штраф по персональным данным от 3 млн ₽, а при повторном нарушении — от 1 до 3 % годовой выручки.
Приложение-аутентификатор поставили на один общий телефон. Устройство теряется, увольняется его владелец — и доступ теряет вся команда сразу. Цена — остановка работы на 1–2 дня и ручной сброс всех учётных записей.
Общая учётная запись на отдел. Второй фактор к ней привязать почти невозможно, а в журнале входов не видно, кто именно что сделал. Цена — невозможность разобрать инцидент и претензии при проверке обработки персональных данных по 152-ФЗ.
Забыли про технические доступы. Почту и банк защитили, а панель хостинга, админку сайта и учётную запись с электронной подписью — нет. Цена — подписанные от вашего имени документы, а восстановление репутации сайта в поиске занимает месяцы.
Что делать дальше
Двухфакторная аутентификация — редкий случай, когда защита стоит ноль рублей и включается за один вечер, а закрывает самый частый сценарий потери денег и данных. Дальше защиту достраивают слоями: антивирус на устройствах, менеджер паролей вместо переписки, контроль утечек изнутри. Начните с короткого чек-листа.
- Выпишите все сервисы с рабочими учётными записями и их владельцев
- Включите второй фактор в почте, банк-клиенте и админке сайта в тот же день
- Переведите СМС-подтверждения на приложение-генератор там, где это возможно
- Сохраните резервные коды и назначьте ответственного за сброс доступа
- Закройте вторым фактором ЭДО, электронную подпись и CRM в течение недели
Когда база закрыта, посмотрите, чем достроить защиту под свой масштаб: варианты с оценками и разбором, кому что подходит, собраны в рейтинге сервисов информационной безопасности. Если в компании уже есть электронный документооборот и учёт клиентов, проверьте настройки входа и там — второй фактор в этих системах включается за пару минут, а защищает договоры и клиентскую базу.
