17 тем · ~60 минут · 47 тестов

Лекция «Пароли, второй фактор и служебные секреты»

В приказе ФСТЭК № 117, который с 1 марта 2026 года заменил приказ № 17, слово «пароль» не встречается ни разу: требование ушло на уровень вида аутентификации, а цифры — 12 символов, 5 попыток, 90 дней — в методический документ от 12.04.2026. Семнадцать тем для системного администратора: парольная политика как документ организации по семи пунктам меры ИАФ.3, второй фактор для административных входов, служебные учётные записи и порядок при компрометации.

Начать бесплатно Программа лекции
Для кого

Для системного администратора, который отвечает за чужие учётные записи и за секреты организации: административные входы, служебные и технологические учётки, пароли от оборудования, передача дел подрядчику. Юридической подготовки не требуется — нормы разобраны по тексту приказа ФСТЭК № 117, ГОСТ Р 58833-2020 и методического документа ФСТЭК от 12.04.2026. Личные аккаунты сотрудника, распознавание фишинга и уголовные составы главы 28 УК сюда не входят: у них отдельные лекции.

Базовый уровень — с нуля
Что получишь

После лекции вы сможете

  • Читать требование к административному входу через вид аутентификации, а не через параметры пароля: пункт 48 приказа № 117 требует строгой, а усиленную многофакторную допускает только при технической невозможности строгой
  • Отличать простую, усиленную и строгую аутентификацию по ГОСТ Р 58833-2020 и не называть строгой схему, где человек читает код глазами и вводит руками
  • Называть параметры меры ИАФ.3 наизусть: 12 символов, алфавит 70, 5 попыток, блокировка 15 минут, смена не более чем через 90 дней, повтор запрещён
  • Заполнить таблицу видов аутентификации по своим системам и увидеть, что у привилегированного пользователя второй фактор обязателен на всех классах, включая локальный вход
  • Собрать парольную политику организации по семи пунктам требований к документированию ИАФ.3, включая места хранения секретов и организацию доступа к ним
  • Вести служебные учётные записи по разделу 3.10: закрепление за работниками, смена не реже раза в шесть месяцев, заводские значения при настройке и после ремонта, восемь часов на блокировку при отстранении плюс смена секретов всех учёток, к которым человек имел доступ
  • Действовать при компрометации по порядку из пяти шагов и знать сроки приказа ФСБ № 282 — 3, 24 и 48 часов — вместе с оговоркой, что они адресованы субъектам КИИ, а не всем подряд
Программа

17 тем и 47 тестов на понимание

Каждая тема — один экран и одна мысль. В конце темы — ситуационные вопросы: ответили верно, идёте дальше.

Часть 1. Норма сменила этаж

1

В приказе № 117 слова «пароль» нет ни разу

2

Простая, усиленная, строгая: три вида по ГОСТ

3

Где живут цифры: 12 символов и 90 дней

4

Таблица, в которой у администратора нет ни одной «П»

Часть 2. Политика и служебные учётные записи

5

Семь пунктов, из которых собирается политика

6

Управление аутентификаторами: выдача, замена, защита

7

Служебные учётные записи: чьи они и как часто меняются

8

Восемь часов и все учётки, к которым он имел доступ

Часть 3. Обязанность, спор и цифры

9

Кого это обязывает, а кого нет

10

90 дней против NIST: спорят не о безопасности

11

Что показывают цифры утечек

Часть 4. Три разбора

12

Change Healthcare: один портал без второго фактора

13

Uber: второй фактор пробили уговором

14

LastPass: хранилище против заражённого рабочего места

Часть 5. Компрометация и ответственность

15

Порядок при компрометации: что и в какие сроки

16

Дело № 8Г-1893/2026: замечание за файл с паролями

17

Границы: чего эта лекция не обещает

Темы лекции: системный администратор, пароли, аутентификация, многофакторная аутентификация, парольная политика, ФСТЭК, приказ 117, ГОСТ Р 58833-2020, привилегированный доступ, служебные учётные записи, секреты организации, компрометация, информационная безопасность, КИИ, НКЦКИ

Обновлено: 22 сентября 2026

Как устроено обучение

Читаете, отвечаете, видите результат

Интерактивная лекция с тестами: тема — экран текста, за ним вопрос по этой же теме. Ни видео, ни вебинаров, ни дедлайнов.

Тесты внутри тем

47 тестов по ходу лекции — ситуационных, на понимание, а не на зубрёжку.

Старт — бесплатно и сразу

Первые темы открыты без регистрации: нажали — учитесь. Понравилось — продолжите по аккаунту, полный доступ от 99 ₽. Прогресс сохраняется на той же теме.

Вопросы

Коротко о главном

Сколько времени займёт лекция?
Около 60 минут на 17 тем. Прогресс сохраняется, поэтому лекцию можно проходить частями и возвращаться к ней позже.
Это бесплатно?
Начало — да: первые 1 тема открыты сразу, без регистрации. После бесплатной регистрации откроются темы до 2-й — вместе с частью из 47 тестов и монетами за верные ответы. Полная лекция — 99 ₽ навсегда, либо подписка на все лекции платформы от 499 ₽ в месяц.
Что у меня останется после лекции?
Семнадцать тем об одном сдвиге: требование к паролю перестало быть требованием к паролю. Приказ ФСТЭК от 11.04.2025 № 117 с 1 марта 2026 года заменил приказ № 17 и не содержит слова «пароль» ни разу — пункт 48 требует строгой аутентификации, а при технической невозможности усиленной многофакторной. Определения видов даёт ГОСТ Р 58833-2020, конкретные параметры — методический документ ФСТЭК от 12.04.2026: 12 символов, алфавит 70, 5 попыток, 15 минут блокировки, 90 дней, запрет повтора. Там же таблица, где строки привилегированного пользователя — единственные без простой парольной аутентификации, семь пунктов требований к документированию как готовое оглавление политики и раздел 3.10 про служебные учётные записи: закрепление за работниками, шесть месяцев, заводские секреты, восемь часов на блокировку и смена секретов всех учёток, к которым работник имел доступ. Отдельно — честная граница обязательности, спор о плановой смене с NIST и Microsoft, три разбора инцидентов и дело Шестого кассационного суда № 8Г-1893/2026, где замечание за файл с паролями устояло благодаря письменному документу организации.
Если в приказе ФСТЭК № 117 слова «пароль» нет, значит требования к паролям отменили?
Нет, они сменили этаж. Приказ формулирует требование через вид аутентификации: пункт 48 требует для привилегированного доступа строгой аутентификации, а усиленную многофакторную допускает только при технической невозможности строгой. Конкретные параметры ушли в методический документ ФСТЭК от 12.04.2026, мера ИАФ.3: длина не менее 12 символов, алфавит не менее 70 символов, 5 неуспешных попыток до блокировки, блокировка на 15 минут, смена не более чем через 90 дней, повторное использование пароля запрещено. Для привилегированных учётных записей раздел 3.10 того же документа требует менять аутентификационную информацию не реже одного раза в шесть месяцев.
NIST и Microsoft против плановой смены пароля. Можно отменить смену раз в 90 дней у себя?
Если на вашу организацию распространяется методический документ ФСТЭК — нет: 90 дней там обязательное требование, и ссылка на зарубежный стандарт проверку не убедит. Спор стандартов реален, но он не о безопасности, а о том, что делать организации, которая обязана исполнять. Практическое действие из этого спора одно и оно законное: убрать композиционные правила вида «обязательно заглавная, цифра и спецсимвол» — документ требует, чтобы система принимала алфавит не менее 70 символов, но нигде не требует такого состава каждого пароля, — и поднять минимальную длину выше обязательных 12 символов, потому что верхней границы норма не ставит.

Пароли, второй фактор и служебные секреты — открывается прямо сейчас

17 тем, 47 тестов и около 60 минут вашего времени. Первые темы — бесплатно и без регистрации: начните и решите по делу, а не по описанию.

Начать лекцию →

Уже проходили? Личный кабинет помнит, на чём вы остановились.

Похожие лекции

По тем же темам

Каждая лекция открывается сразу — первые темы бесплатны, подписка открывает все.

Требования к информационной безопасности в госсекторе

«Госсектор» — не один режим, а три документа с разными адресатами, и организация может попасть в один список, но не…

23 темы · ~80 минут

КИИ: субъект вы или нет

Статус субъекта критической информационной инфраструктуры никто не присваивает: в 187-ФЗ нет ни нормы о признании, ни…

18 тем · ~65 минут

Журналы: что писать, сколько хранить, как читать

Универсального срока хранения журналов не существует — вопрос «сколько хранить логи» без ответа на вопрос «в каком вы…

18 тем · ~65 минут