Пассворк стал победителем премии ComNews Awards 2025 в категории «Лучшее решение для работы с паролями в компании». Эксперты оценили архитектуру безопасности, технологическую зрелость и удобство работы для ИТ-команд.
Премия ComNews Awards
Профессиональная премия ComNews Awards ежегодно отмечает компании и продукты, которые внесли значимый вклад в развитие ИТ, телеком- и цифровых технологий. Жюри оценивало технологическую зрелость, инновационность и влияние решений на рынок. По итогам оценки Пассворк признан лучшим российским менеджером паролей.
Критерии оценки
Особое внимание уделялось тому, насколько решение помогает компаниям выстраивать эффективные процессы управления доступами и повышать уровень информационной безопасности. Эксперты выделили ключевые преимущества Пассворка:
высокий уровень безопасности и архитектуры, в основе которой фундаментальная безопасность
удобный и гибкий интерфейс для командной работы
развитая ролевая модель доступа и аудит
полнофункциональный API и инструменты для DevOps
комплексный подход к управлению паролями и секретами
«Пассворк создаётся для компаний, которым критична безопасность: мы усиливаем архитектуру, развиваем гибкие механизмы управления доступами и делаем работу с паролями и секретами максимально удобной и прозрачной. Признание ComNews Awards — результат большой работы нашей команды и показатель доверия рынка», — Андрей Пьянков, генеральный директор ООО «Пассворк»
Признанная надёжность
Профессиональная награда подтверждает, что наш подход к безопасности и управлению секретами соответствует самым высоким требованиям рынка, а заложенные в платформу принципы безопасности выдерживают оценку независимых экспертов.
Мы постоянно улучшаем Пассворк: укрепляем архитектуру, расширяем функциональность и остаёмся отраслевым стандартом в управлении корпоративными паролями и секретами.
Готовы повысить уровень безопасности? Протестируйте Пассворк бесплатно и получите полный контроль, автоматизацию и защиту данных на корпоративном уровне.
Обновление Пассворк 7.2.4 доступно в Клиентском портале.
Исправили ошибку в «Панели безопасности», при которой предупреждение о просмотре пароля по истёкшей ссылке исчезало после удаления этой ссылки: теперь предупреждение об угрозе сохраняется до смены пароля
Исправили ошибку, при которой после настройки 2ФА приложения-аутентификаторы (например, Google Authenticator) отображали некорректный текст вместо логина пользователя
Исправили логику работы с ПИН-кодом в браузерном расширении: теперь при удалении ПИН-кода или после трёх неудачных попыток его ввода сбрасывается только текущая сессия
Исправили ошибку, при которой в поле «Время хранения истории фоновых задач» некорректно обрабатывалось нажатие клавиши Enter
Исправили ошибку, при которой папка открывалась только после двойного нажатия по её названию
Исправили ошибку, при которой имейл-уведомления могли отправляться заблокированным и неподтверждённым пользователям при изменении доступа к сейфу
Исправили ошибку, при которой в «Истории действий» не работала кнопка сброса фильтра по директории
Внесли ряд улучшений в интерфейс
Всю информацию о версиях Пассворка можно найти в нашей истории обновлений
Пассворк запустил программу поиска уязвимостей на площадке Standoff Bug Bounty — крупнейшей российской багбаунти-платформе. Теперь безопасность Пассворка проверяют более 30 000 независимых экспертов. Это важный этап нашей стратегии безопасности: мы выявляем и устраняем потенциальные уязвимости до того, как они станут проблемой.
Безопасность как фундамент
Согласно исследованию Positive Technologies, 36% успешных кибератак на российские компании осуществляются через эксплуатацию уязвимостей в веб-приложениях. Для системы управления паролями это критический риск: её компрометация может открыть злоумышленникам доступ ко всей корпоративной инфраструктуре.
Для организаций Пассворк — первый рубеж защиты корпоративных секретов. Именно поэтому мы рассматриваем безопасность не как отдельную функцию, а как фундамент продукта. Все архитектурные решения строятся вокруг принципов надёжной защиты.
«Киберугрозы постоянно эволюционируют. Просто реагировать на инциденты — уже недостаточно. Запуская Bug Bounty, мы действуем на опережение. Это наш способ подтвердить, что доверие, которое клиенты оказывают Пассворку, абсолютно оправданно», — Андрей Пьянков, генеральный директор ООО «Пассворк»
Запуская Bug Bounty мы продолжаем следовать нашей стратегии, направленной на проактивное выявление и устранение потенциальных уязвимостей с привлечением независимого экспертного сообщества.
Почему Standoff Bug Bounty
Мы выбрали Standoff Bug Bounty как крупнейшую площадку по поиску уязвимостей в России. Платформа объединяет более 30 000 исследователей безопасности, предоставляет удобную инфраструктуру для работы и обеспечивает прозрачное взаимодействие с багхантерами.
Positive Technologies — один из лидеров в области результативной кибербезопасности. Компания является ведущим разработчиком продуктов, решений и сервисов, позволяющих выявлять и предотвращать кибератаки до того, как они причинят неприемлемый ущерб бизнесу и целым отраслям экономики. Positive Technologies — первая и единственная компания из сферы кибербезопасности на Московской бирже (MOEX: POSI). Количество акционеров превышает 220 тысяч.
Сотрудничество с Positive Technologies даёт нам доступ к крупнейшему сообществу исследователей безопасности, отработанные процессы обработки уязвимостей и полный контроль на всех этапах. Это гарантия того, что мы получим качественную экспертизу и сможем оперативно реагировать на найденные угрозы.
Что мы тестируем
В рамках программы специалисты исследуют фронтенд и бэкенд веб‑приложения Пассворка:
Удалённое исполнение кода (RCE): возможность заставить сервер выполнять произвольный код или команды.
Инъекции (SQL и аналоги): внедрение вредоносного кода в запросы к базам данных (SQL, NoSQL, ORM, LDAP) для чтения, изменения данных или обхода аутентификации.
Подделка запросов на стороне сервера (SSRF): принуждение сервера обращаться к произвольным (включая внутренним) ресурсам для получения секретов или обхода периметра.
Раскрытие и манипуляции чувствительными данными (IDOR): доступ к объектам через изменяемые идентификаторы без проверки прав, позволяющий читать или редактировать чужие записи.
Захват аккаунта: получение контроля над учётной записью через уязвимости входа или восстановления, кражу токенов и сессий, обход двухфакторной аутентификации.
Локальное и удалённое включение файлов (LFI/RFI): включение локальных или удалённых файлов через параметры путей.
Межсайтовый скриптинг (XSS) с высоким импактом: внедрение и исполнение вредоносного JavaScript (особенно Stored XSS в админ-панели) для кражи токенов и подмены действий пользователя.
Обход ролевой модели доступа к сейфам и паролям: нарушение ACL, позволяющее просматривать, редактировать или экспортировать пароли в чужих сейфах вопреки политикам.
Горизонтальное или вертикальное повышение привилегий: получение прав другого пользователя или администратора через манипуляцию параметрами, скрытыми полями и маршрутами.
Обход ключевых механизмов безопасности продукта: логические или технические способы обойти 2FA, ограничения экспорта и подтверждения критических действий.
Непрерывный процесс
Программа Bug Bounty — это не разовое мероприятие, а постоянная практика. Каждый отчёт будет тщательно анализироваться командой безопасности Пассворка. Найденные уязвимости будут оперативно устраняться, а выводы — интегрироваться в процессы разработки.
Мы регулярно проводим аудит безопасности и тестируем Пассворк силами внутренних и внешних экспертов.Для наших клиентов это еще один повод быть уверенными в том, что выбирая Пассворк, вы выбираете безопасность, подтвержденную не только сертификатами, но и тысячами независимых экспертов.
Готовы проверить Пассворк на реальных задачах?Протестируйте бесплатно и получите полный контроль, автоматизацию и защиту данных на корпоративном уровне.
Пока миллионы покупателей штурмуют онлайн-магазины в поисках скидок, хакеры запускают самую масштабную атаку года. За первые три квартала 2025-го зафиксировано более 105 000 кибератак — на 73% больше, чем за аналогичный период 2024 года.
Для большинства покупателей Чёрная пятница — это очереди за дешёвыми телевизорами. Для ИТ- и ИБ-специалистов это двойной вызов, где каждое решение балансирует между возможностью и риском.
С одной стороны — шанс закрыть давно висящие в бэклоге закупки. Инструменты и оборудование, которые месяцами «находились на рассмотрении», наконец получают зелёный свет. С другой — критический период для защиты корпоративной инфраструктуры от всплеска киберугроз.
Почему Чёрная пятница идеальное время для атак?
Повышенный трафик маскирует вредоносную активность в легитимном шуме
Аномалии, которые обычно вызывают немедленную реакцию, теряются среди тысяч транзакций
Давление бизнеса на доступность систем создаёт конфликт между безопасностью и непрерывностью операций
Решения о блокировке подозрительного трафика принимаются медленнее из-за страха потерять выручку
Социальная инженерия становится эффективнее, когда сотрудники работают в условиях стресса и сжатых дедлайнов. Даже опытные специалисты ошибаются, когда на принятие решения — секунды. И пока вы охотитесь за выгодными предложениями, злоумышленники охотятся за вами.
Чёрная пятница 2025 даёт реальные возможности усилить защиту и приобрести давно ожидаемые инструменты — но только если подходить к этому с тем же скептицизмом и внимательностью, как и к любому важному решению в бизнесе.
Статистика киберугроз в 2025 году
2025 год стал жестоким для корпоративной безопасности. За первые три квартала зафиксировано более 105 тысяч кибератак. Около 20 тысяч — высокой критичности: они могли остановить работу компаний или привести к крупным финансовым потерям.
Самым напряжённым оказался третий квартал — свыше 42 тысяч атак. Это почти 40% всех инцидентов за год и на 73% больше, чем за тот же период 2024 года.
Атаки на базе ИИ превратились из теоретической угрозы в ежедневную реальность. Группы вымогателей организованнее и терпеливее, чем когда-либо. Мировая статистика также показывает неутешительную динамику.
Как атакующие получают доступ
В 60% случаев злоумышленники используют два способа: уязвимости в публичных приложениях (30%) и украденные учётные данные (ещё 30%). Украденные пароли эффективнее сложных эксплойтов. Это делает управление доступом критически важным элементом защиты.
«В этом году злоумышленники всё чаще используют украденные учётные данные вместо взлома и брутфорса — это быстрее и эффективнее», — IBM X-Force 2025 Threat Intelligence Index
Структура угроз
Фишинговые атаки составляют 42% всех угроз, специфичных для Чёрной пятницы. Треть из них (32%) нацелена на цифровые кошельки и платёжные системы. Инфостилеры демонстрируют взрывной рост — увеличение на 84% в доставке через фишинговые письма (2024 против 2023) с прогнозом +180% на 2025 год.
Масштаб атак
Объём фишинговых писем с темой «Чёрная пятница» вырастает на 692% перед распродажами
Имперсонация крупных брендов увеличивается более чем на 2000% в пиковый сезон
Anti-Phishing Working Group зафиксировала 989 123 фишинговые атаки в Q4 2024 — устойчивый тренд роста в праздничный сезон
Типы киберугроз в Чёрную пятницу
Фишинговые письма. Перед распродажами объём фишинга вырастает в 3,5 раза. Злоумышленники рассылают письма со ссылками на поддельные страницы популярных брендов — имитируют выгодные предложения и крадут данные карт или учётные записи.
Веб-скиммеры. Эксперты прогнозируют двукратный рост этих атак. Веб-скиммер — вредоносный скрипт, который внедряется на легитимный сайт и перехватывает данные карт прямо на странице оплаты. Покупатель не замечает кражу.
Поддельные сайты и приложения. Мошенники создают фальшивые интернет-магазины и мобильные приложения, копирующие известные бренды. Цель — выманить данные карт или учётные записи под видом покупки.
ИИ-мошенничество. Злоумышленники внедряют инструкции в контент сайтов, которые индексируют поисковые боты. Когда пользователь задаёт вопрос ИИ-ассистенту, тот выдаёт ответ со встроенной фейковой ссылкой на поддельную страницу поддержки или фишинговый сайт.
Кража личных данных. Даже без доступа к деньгам мошенники собирают имена, адреса доставки, телефоны и имейл. Эти данные используют для таргетированных атак позже — например, для бизнес-имперсонации или целевого фишинга.
Как защитить бизнес в Чёрную пятницу 2025
Соблюдение базовых стандартов кибербезопасности предотвращает более 99% инцидентов в период праздничных распродаж. Для ИБ- и ИТ-специалистов критично усилить защиту периметра и повысить осведомлённость сотрудников.
Контролируйте подлинность веб-ресурсов. Злоумышленники создают фишинговые домены, копирующие корпоративные порталы поставщиков. Настройте DNS-фильтрацию с блокировкой новых доменов и ограничьте доступ к внешним ресурсам через whitelist проверенных поставщиков.
Мониторьте аномальные транзакции. Компрометация платёжных инструментов ведёт к прямым финансовым потерям. Настройте предупреждения на транзакции, превышающие базовый профиль активности, и интегрируйте системы обнаружения мошенничества.
Внедрите 2FA/MFA для критичных систем. Многофакторная аутентификация нейтрализует 99,9% атак со скомпрометированными учётными данными. Разверните MFA на всех корпоративных аккаунтах.
Обновляйте ПО и средства защиты. Устаревшее ПО — точка входа для APT-групп. Внедрите централизованное управление патчами и разверните EDR/XDR с поведенческим анализом.
Защитите сотрудников от социальной инженерии. Злоумышленники используют ИИ для создания дипфейк-звонков, имитирующих голоса руководителей. Проведите тренинг по информационной безопасности и внедрите верификацию финансовых запросов через альтернативные каналы.
Используйте корпоративный менеджер паролей. Повторное использование паролей и их хранение в незащищённых местах — частая причина компрометации аккаунтов. Внедрите корпоративный менеджер паролей с политиками сложности и контролем доступа к критичным системам.
Запретите публичные Wi-Fi для корпоративных операций. Открытые сети позволяют перехватывать учётные данные и токены. Внедрите политику запрета подключения к публичным Wi-Fi.
Контролируйте использование ИИ-инструментов. Злоумышленники применяют внедрение вредоносных промптов для перенаправления на фишинговые ресурсы. Внедрите список одобренных ИИ-инструментов и запретите передачу конфиденциальных данных в публичные языковые модели.
Защититесь от спама и подготовьте план реагирования на инциденты. Объём фишинговых атак на корпоративную почту в период распродаж вырастает в три раза. Усильте настройки почтовых шлюзов и антиспам-фильтров, внедрите технологии защиты от подмены отправителя. Разработайте план реагирования на инциденты: пропишите действия команды при обнаружении фишинга, назначьте ответственных и проведите учебную тревогу.
Минимизируйте цифровой след. Метаданные о закупочной активности могут быть скомпрометированы или проданы. Используйте изолированные браузерные профили и запретите сохранение платёжных данных на внешних платформах.
Практические рекомендации
Обучение сотрудников распознаванию фишинга
Чёрная пятница — идеальное время для фишинга. Сотрудники получают десятки рекламных писем, отвлекаются на личные покупки, а срочность становится нормой.
Что работает:
Симуляция фишинга. Используйте реалистичные сценарии: поддельные уведомления о доставке, срочные запросы на сброс пароля, «эксклюзивные предложения». Отслеживайте реакции. Цель — выработать рефлекс распознавания угроз.
Микротренинги. Пятиминутные брифинги работают лучше часовых презентаций. Покажите три реальных примера фишинговых писем. Объясните, что выдаёт подделку: несоответствие домена, ошибки в URL, неожиданные вложения.
Культура сообщений без страха. Создайте канал для сообщений о подозрительных письмах. Поощряйте сообщения, даже ложные тревоги. Одна пропущенная атака стоит дороже десяти ложных срабатываний.
Политики управления паролями
Чёрная пятница — время импульсивных регистраций. Сотрудники создают аккаунты, используют рабочую почту для покупок и повторяют корпоративные пароли.
Что работает:
Обязательная MFA. Внедрите многофакторную аутентификацию до Чёрной пятницы. Приоритет: корпоративная почта, админпанели, финансовые системы.
Политика разделения паролей. Корпоративные учётные данные — только для работы. Создайте отдельную почту для регистраций на внешних сервисах. Пароли генерируйте через менеджер.
Аудит скомпрометированных паролей. Проверяйте корпоративные адреса. Если домен в утечках — требуйте смены паролей. Автоматизируйте мониторинг.
Резервное копирование и план восстановления
Ransomware-атаки с использованием программ-вымогателей во время Чёрной пятницы — статистическая вероятность. Злоумышленники знают: компании платят больше, когда каждый час простоя — потеря выручки.
Проверьте систему до атаки:
Правило 3-2-1. Три копии данных, два типа носителей, одна копия вне офиса. Проверьте: все критические системы покрыты? Когда тестировали восстановление?
Изолированные резервные копии. Современные программы-вымогатели шифруют бэкапы. Убедитесь, что одна копия изолирована от сети: системы без сетевого подключения, хранилища с защитой от изменений, автономные носители.
Тестовое восстановление. Восстановите некритичную систему с нуля. Засеките время, зафиксируйте проблемы, обновите документацию.
Документированный план восстановления. Пошаговая инструкция в печатном виде. Кто принимает решения? Кто восстанавливает? Какие системы — первыми? Как связываемся, если почта недоступна?
Приоретизация критичных систем. Составьте список: что восстанавливаем сразу, что через день, что через неделю.
Защита инфраструктуры требует не только правильных процедур, но и правильных инструментов. Чёрная пятница даёт возможность закрыть критичные пробелы в защите с существенной экономией бюджета.
Чёрная пятница в Пассворке
30% атак начинаются с украденных учётных данных. Пассворк закрывает эту уязвимость на уровне инфраструктуры — централизованное управление паролями и секретами остаётся полностью под вашим контролем.
Что даёт Пассворк вашей компании
Пассворк — корпоративный менеджер паролей и секретов для компаний, которым критична безопасность данных. Решение разворачивается в вашей инфраструктуре: никаких внешних облаков, полный контроль над конфиденциальной информацией.
Для сотрудников: мгновенный доступ к нужным учётным данным без обращений в поддержку
Для администраторов: управление правами доступа и аудит всех действий в реальном времени
Для службы безопасности: прозрачность процессов, соответствие требованиям регуляторов, снижение рисков компрометации через человеческий фактор
Почему Пассворк
Включён в единый реестр Минцифры
Имеет все необходимые лицензии ФСТЭК и ФСБ
Качественная и оперативная поддержка
Все пароли и секреты хранятся на ваших серверах
Регулярные обновления и сопровождение на каждом этапе
Опыт внедрения в системообразующие предприятия страны
Сертифицирован с Astra Linux, РЕД Софт, МСВСфера, Pangolin DB, ОС Атлант и многими другими российскими решениями
Пассворк создан для компаний и государственных учреждений, которым нужна проверенная безопасность. Всё упорядочено, защищено и всегда под рукой.
Чёрная пятница в Пассворке: с 24 ноября по 5 декабря скидка 50% на все редакции коробочного решения.
Заключение: как превратить Чёрную пятницу в выгодные инвестиции
Чёрная пятница 2025 — окно возможностей для организаций, которые понимают: безопасность не расход, а инвестиция.
Рост киберугроз в период распродаж — это не причина отказываться от выгодных предложений. Это напоминание: те же принципы, которые защищают вашу инфраструктуру, должны применяться к процессу закупок. Проверка. Валидация. Скептицизм к слишком хорошим обещаниям.
Лучшая сделка Чёрной пятницы — это решение, которое вы внедрите в декабре, которое ваша команда будет использовать в январе и которое остановит атаку в феврале.
Внимательность, системный подход и правильные инструменты превращают распродажу в стратегическое преимущество. Используйте это окно не для экономии, а для усиления. Не для покупок, а для инвестиций в безопасность, которая будет работать годами.
Готовы усилить безопасность вашего бизнеса? В эту Чёрную пятницу с 24 ноября по 5 декабря все редакции коробочного решения Пассворка со скидкой 50%.
Обновление Пассворк 7.2.3 доступно в Клиентском портале.
Улучшили поиск паролей: теперь названия паролей индексируются с учётом заглавных букв и цифр
Увеличили период отображения паролей и ярлыков в разделе «Недавние» с 30 до 90 дней
Исправили ошибку, при которой в корзине администратора сейфа с доступом через группу могли отображаться удалённые пароли и папки из подпапок, к которым у него не было доступа, при этом восстановить или удалить их было нельзя
Исправили ошибки в миграции редакций паролей
Рекомендуем запустить переиндексацию паролей после обновления. Для этого перейдите в раздел Системные настройки → Поиск → Переиндексировать все пароли.
Всю информацию о версиях Пассворка можно найти в нашей истории обновлений.
В новых версиях реализовали возможность добавления логотипа компании в интерфейс Пассворка, улучшили отображение событий в разделах «История действий» и «Уведомления», а также исправили ряд ошибок в интерфейсе.
Улучшения
Добавили возможность установки логотипа компании в левом верхнем углу интерфейса: укажите путь к изображению в параметре APP_LOGO_PATH конфигурационного файла (рекомендуемый формат и размер: PNG, 200×80 px)
Улучшили отображение событий в разделах «История действий» и «Уведомления»: теперь показываются только релевантные события в зависимости от типа шифрования
Добавили автоматический выход из мобильного приложения и браузерного расширения при смене мастер-пароля пользователя: ранее смена мастер-пароля могла приводить к ошибке на стороне приложения и расширения
Изменили поведение кнопки «Сбросить фильтр» в модальных окнах фильтрации: теперь после сброса окно остаётся открытым
Добавили иконки для системных событий в «Истории действий»
Улучшили описание событий в «Истории действий»
Исправления
Исправили ошибку, при которой несколько тегов могли отображаться как один элемент в окне информации о пароле в «Панели безопасности»
Исправили ошибку, при которой некоторые тумблеры в разделе «Управление пользователями на основе ролей» оставались активными при отсутствии необходимых разрешений
Исправили ошибку, при которой кнопка смены владельца могла быть недоступна (версия без клиентского шифрования)
Всю информацию о версиях Пассворка можно найти в нашей истории обновлений
Новая версия Python-коннектора 0.1.5 расширяет возможности CLI-утилиты. Мы добавили команды, которые решают ключевые задачи DevOps-инженеров и разработчиков — безопасное получение и обновление секретов в автоматизированных пайплайнах.
Почему это важно
Секреты, API-ключи, токены и пароли баз данных нельзя хранить в коде — это риск утечки. Ручное обновление замедляет процессы и провоцирует ошибки. Новые команды get и update в passwork-cli полностью автоматизируют управление секретами. Пассворк становится единым источником истины (SSOT): секреты не попадают в небезопасные места, жизненный цикл полностью автоматизирован.
Как работают команды:
get — получает данные из Пассворка
update — обновляет данные в Пассворке
Команды работают с любыми полями: паролями, токенами, API-ключами и пользовательскими полями.
Get: получение данных из записи
Команда get извлекает значение любого поля из записи и подходит для скриптов автоматизации.
Получение конкретного поля
Используйте флаг --field для извлечения логина, URL или значения из любого пользовательского поля.
# Получаем токен для доступа к API из пользовательского поля 'API_TOKEN'
export API_TOKEN=$(passwork-cli get --password-id "..." --field API_TOKEN)
Генерация TOTP-кодов
Если в Пассворке хранятся секреты для двухфакторной аутентификации, passwork-cli генерирует актуальный код прямо в терминале. Используйте флаг --totp-code.
# Получаем TOTP-код для подключения к VPN
VPN_TOTP=$(passwork-cli get --password-id "..." --totp-code "VPN_SECRET")
Update: обновление секретов
Команда update изменяет данные в Пассворке и автоматизирует ротацию секретов.
Обновление пользовательских полей
Флаг --custom-<field_name> обновляет значения в пользовательских полях.
# Обновляем API-ключ в записи
passwork-cli update --password-id "..." --custom-API_KEY "new-generated-key"
Массовое обновление
Теперь можно изменять несколько полей одной командой.
# Одновременно обновляем пароль и теги
passwork-cli update \
--password-id "..." \
--password "NewComplexP@ssw0rd" \
--tags "production,rotated,automated"
Поддержка клиентского шифрования
Команды get и update полностью поддерживают режим клиентского шифрования в Пассворке. При использовании get все зашифрованные поля автоматически расшифровываются с помощью мастер-ключа. При выполнении update данные сначала шифруются на вашей стороне и только после этого отправляются на сервер.
АО «Нэксайн» (Nexign) — российская компания с 33-летним опытом разработки высокотехнологичных enterprise-решений для различных отраслей экономики. Готовые продукты и решения Nexign обеспечивают быструю ИТ-трансформацию клиентов, чтобы крупный бизнес мог решать задачи в кратчайшие сроки с уверенностью в результате.
В портфеле компании более 150 успешно выполненных проектов в 12 странах мира. Nexign уделяет большое внимание импортонезависимости, благодаря чему их решения особенно значимы в стратегически важных отраслях экономики. Компания включена в список системообразующих организаций российской экономики, размещённый на официальном сайте Минэкономразвития России.
Сегодня в Nexign работают более двух тысяч специалистов в 11 городах России, объединённых идеей развивать инновационные продукты и решения, которые помогают клиентам повышать производительность и эффективность бизнес-процессов. Компания активно инвестирует в новые технологии, поддерживает отраслевые инициативы и создаёт максимально безопасную и удобную цифровую среду как для своих клиентов, так и для сотрудников.
Компания: АО «Нэксайн» Год основания: 1992 Местоположение: Санкт-Петербург Отрасль: ИТ Размер компании: Более 2000 сотрудников
Задача: обеспечить стабильное и безопасное управление доступами
Рынок стремительно меняется, и требования к информационной безопасности постоянно растут. Прежняя система управления паролями не отвечала новым вызовам: после ухода вендора с российского рынка могли возникнуть сложности с масштабированием и управлением лицензиями.
Такая ситуация создавала риски для стабильности бизнес-процессов и снижала эффективность работы. Чтобы защитить доступы, избежать сбоев и соответствовать требованиям импортозамещения, компания решила перейти на отечественное решение.
Было необходимо выбрать менеджер паролей, который:
работает в закрытом контуре и поддерживает импортозамещение
централизует управление паролями и снижает нагрузку на ИТ-отдел
интегрируется с AD/LDAP и внутренними сервисами компании через API
поддерживает 2FA, отвечая корпоративным стандартам безопасности
«Основная причина перехода на Пассворк — невозможность расширять лицензии на решение и получать техническую поддержку со стороны прошлого вендора», — Даниил Федотов, руководитель ИТ-проектов Nexign
В поиске нового решения для управления паролями Nexign провели тщательный анализ рынка и сравнили различные продукты. После тестирования выбор был сделан в пользу менеджера паролей Пассворк.
Важным преимуществом был быстрый и бесшовный переход на новое решение — без сбоев и сложностей для пользователей. Пассворк полностью соответствует современным нормам безопасности и становится стандартом для компаний, которые ценят надёжность и удобство для сотрудников.
«Ключевыми критериями выбора для нас стали безопасность, простота архитектуры, удобство интеграции с существующей инфраструктурой, качественная техническая поддержка, соответствие требованиям импортозамещения», — Даниил Федотов, руководитель ИТ-проектов Nexign
Интеграция: подключение к внутренним системам
Пассворк был установлен в закрытом контуре на собственных корпоративных серверах с настроенным резервным копированием. Для развёртывания и интеграции с инфраструктурой понадобились усилия двух специалистов, что демонстрирует простоту внедрения Пассворка — решение легко встраивается в существующие процессы и не требует значительных ресурсов.
Nexign реализовали интеграцию с собственной внутренней системой посредством REST API. Подключение к Active Directory / LDAP не вызвало сложностей, что позволило централизованно управлять доступами сразу после настройки. Теперь обмен данными между платформами полностью автоматизирован: создание, обновление, выдача и отзыв учётных записей происходят без участия администратора. Это сокращает ручные операции, снижает риск ошибок и упрощает контроль над доступами.
Nexign перешли на новую архитектуру решения для управления паролями, улучшив стабильность, и увеличили количество пользователей — Пассворк используют более 1000 сотрудников компании.
«Внедрение прошло успешно, у сотрудников не возникло сложностей в работе с сервисом. Архитектура Пассворка понятна, а подробная документация значительно упростила процесс развёртывания», — Даниил Федотов, руководитель ИТ-проектов Nexign
Служба безопасности провела комплексную проверку инфраструктуры и браузерного расширения Пассворка на соответствие внутренним стандартам информационной безопасности. В ходе аудита оценивались архитектура решения, механизмы шифрования и аутентификации, защищённость каналов передачи данных и работа расширения в корпоративной среде.
Особое внимание уделялось соблюдению внутренних регламентов, требований к двухфакторной аутентификации и изоляции данных в закрытом контуре. Все проверки Пассворк прошёл успешно.
Пассворк полностью решил задачи безопасного хранения и управления паролями, а также снизил риски утечки данных и оптимизировал работу ИТ-отдела.
Организация внутренней работы
В компании настроили систему управления доступами, адаптированную под внутреннюю структуру. В её основе — иерархия сейфов и папок, которая мигрировала из предыдущего решения и была адаптирована под новые задачи. Сейфы разделены по департаментам, рабочим группам и проектам. Для совместной работы предусмотрены корпоративные сейфы, а для индивидуального использования — личные. Cозданы отдельные защищённые хранилища для упрощения взаимодействия при работе с внешними проектами.
Распределение прав доступа стало максимально прозрачным: каждый сейф имеет администратора из соответствующего департамента, который самостоятельно управляет правами пользователей — выдаёт, изменяет или отзывает доступы.
«Администраторов системы у нас несколько, каждый сейф имеет своего администратора, который управляет доступом внутри сейфа», — Даниил Федотов, руководитель ИТ-проектов Nexign
Пользовательский опыт
Сотрудники быстро освоили Пассворк с помощью пользовательской документации и собственных инструкций компании. После внедрения команда отметила, что поиск нужных паролей стал быстрее и удобнее: всё хранится в одном месте и всегда под рукой, структура интуитивно понятна, а функция автозаполнения избавляет от необходимости вручную вводить данные при входе в сервисы и системы.
«Пассворк помогает снизить риски утечек, экономит рабочее время. По стоимости стандартной лицензии вопросов у нас не возникло», — Даниил Федотов, Руководитель ИТ-проектов Nexign
В отличие от предыдущего решения, техническая поддержка Пассворка оказалась удобнее и эффективнее: специалисты быстро реагируют на запросы, хорошо понимают специфику локального рынка и обладают большим опытом работы с отечественными заказчиками.
«Пассворк полностью закрывает наши задачи, сервис понятен сотрудникам и функционален. Команда Пассворка работает внимательно, а техподдержка реагирует быстро. Взаимодействие всегда проходит профессионально и по делу», — Даниил Федотов, руководитель ИТ-проектов Nexign
Готовы повысить уровень безопасности? Протестируйте Пассворк бесплатно и получите полный контроль, автоматизацию и защиту данных на корпоративном уровне.
В новой версии добавили возможность настраивать уведомления и способы их получения, улучшили описание логируемых событий, расширили функции CLI, перенесли хранение ПИН-кода расширения на сторону сервера и реализовали возможность включения клиентского шифрования в мастере установки Пассворка.
Настройки уведомлений
Добавили раздел с настройками уведомлений, где можно выбрать типы уведомлений и способы их получения: внутри Пассворка или на указанную электронную почту.
Настроить уведомления можно в одноимённом разделе Уведомления в блоке Аккаунт меню настроек.
Раздел включает две вкладки:
Персональные — уведомления о событиях аутентификации и действиях других пользователей, влияющих на вашу учётную запись
История действий — уведомления о выбранных событиях из истории действий. Уведомления о событиях, связанных с директориями, паролями и ярлыками, доступны для директорий с уровнем доступа «Чтение» и выше.
Для каждого события вы можете выбрать, как хотите получать уведомления или отключить их. Используйте чекбоксы в двух колонках справа от названия события:
Колокольчик — уведомления в интерфейсе Пассворка
Конверт — имейл-уведомления на указанный адрес
Отметьте нужные чекбоксы. Настройки применяются независимо для каждого типа события
ПИН-код в браузерном расширении
ПИН-код расширения теперь хранится на сервере в виде криптографического хеша — это исключает хранение чувствительных данных в браузере и снижает риск их компрометации при взломе локальной машины. В настройках ролей можно задать максимальный период бездействия пользователя, по истечении которого расширение запросит повторный ввод ПИН-кода, сокращая окно потенциальной атаки и защищая от несанкционированного доступа к уже открытой сессии.
Как это работает
Действия при первом входе в расширение:
Пользователь авторизуется в расширении
Если ПИН-код обязателен для роли пользователя — появится предложение создать его
Если ПИН-код необязателен — пользователь может включить его добровольно для дополнительной защиты
После успешного входа открывается временное окно доступа — пользователь работает с расширением без повторного ввода ПИН-кода. Длительность окна зависит от настроек роли и личных предпочтений. ПИН-код запрашивается повторно, если пользователь не совершал действий в расширение в течение установленного периода времени.
Если пин-код обязателен для роли пользователя — отключить его нельзя
Безопасность
Даже если кто-то получит доступ к токену сессии пользователя, без ПИН-кода он не сможет открыть пароли в расширении.
Пассворк автоматически завершает все сессии пользователя при:
Сбросе ПИН-кода
Трёх неудачных попытках ввода
Включении обязательного ПИН-кода для роли пользователя
Изменении роли пользователя на ту, где ПИН-код обязателен
Добавили возможность включения шифрования на стороне клиента (режим Zero knowledge) через веб-интерфейс в мастере установки. Ранее для этого требовался запуск отдельного скрипта или редактирование конфигурационного файла.
Режим Zero knowledge включает шифрование всех данных на клиентской стороне, что делает их расшифровку невозможной даже при компрометации сервера. У каждого пользователя будет свой мастер-пароль, который никогда не передаётся на сервер.
Добавили модальное окно подтверждения изменения роли на «Владелец» и ограничили возможность назначения этой роли для пользователей без установленного мастер-пароля
Добавили постраничную навигацию и индикаторы изменений в модальном окне скрытых сейфов
Добавили информацию об ошибках и команды update и get в CLI-утилите (подробнее в документации)
Добавили возможность получения актуального TOTP-кода через CLI: теперь команда возвращает одноразовый код вместо исходного ключа
Улучшили логику анализа в панели безопасности: теперь записи с пустым полем «Пароль» не попадают в категорию «Слабые» и не оцениваются с точки зрения сложности
Добавили возможность ограничить срок действия ссылки одним днём при её создании
Улучшили отображение длинных имён и логинов в «Управлении пользователями»
Улучшили отображение неактивных пунктов в выпадающих списках
Улучшили описание событий в «Истории действий»
Оптимизировали импорт данных с большим количеством папок
Исправления
Исправили ошибку, при которой во время импорта из CSV не создавались папки и пароли импортировались в корневую директорию
Исправили автоматический запуск фоновых задач загрузки групп, пользователей и синхронизации LDAP при сохранении изменений на вкладках «Группы», «Синхронизация» и при запуске ручной синхронизации в «Настройках LDAP»
Исправили отображение элементов постраничной навигации при изменении ширины боковой панели
Исправили ошибку, при которой постраничная навигация в «Управлении пользователями» переставала работать после ввода поискового запроса
Исправили зависание окна импорта при загрузке файла с большим объемом данных и при импорте сейфов, содержащих только папки
Исправили ошибку в экспорте, при которой после выбора всех директорий общим чекбоксом могли экспортироваться не все пароли
Исправили ошибку при массовом удалении большого количества папок из Корзины
Исправили ошибки при перемещении столбцов в таблицах: наложение, смещение и выход за видимую область
Исправили фильтрацию по отправителю приглашения: теперь можно последовательно выбирать разных пользователей без сброса фильтра
Исправили ошибку, при которой чекбоксы в модальных окнах доступа не сбрасывались после отмены изменений
Исправили ошибку, при которой пользователь не добавлялся в сейф при подключении его группы к сейфу без доступа (версия с клиентским шифрованием)
Исправили ошибку, при которой пункты копирования и переноса папок в другой сейф были недоступны, если доступ к папкам выдан через группу без доступа к корневой директории
Исправили ошибку, при которой пункт «Переместить» оставался доступным для папок в директориях с доступом «Полный доступ»
Исправили ошибку со сбросом активной вкладки на вкладку «Пользователи» после обновления страницы «Управление пользователями»
Исправили ошибку в импорте из JSON с сохранением структуры, при которой пароли из папок могли перемещаться в корневую директорию
Исправили ошибку в импорте из KeePass XML при отсутствии тега <UUID> и некорректный перенос пользовательских полей
Исправили ошибку, при которой не сохранялась первая редакция пароля после миграции с версии 6.х.х
Исправили ошибку, при которой после подготовки к миграции в версии 5.4.2 переставали скачиваться вложения из ссылок, и это поведение сохранялось после обновления до версии 7.х.х
Исправили ошибку, при которой после миграции на версию 7.х.х для некоторых сейфов и паролей переставали отображаться списки ссылок в окне доступа
Исправили ошибку в миграции с версии 6.х.х, при которой в уведомлениях могло отображаться ID пользователя вместо его имени
Исправили ссылки на руководство пользователя: теперь они открываются в новой вкладке и ведут на корректные страницы
Исправили ошибку в отображении фавикона при смене URL на сайт с недоступным фавиконом
Исправили ошибку, при которой после копирования папок перетаскиванием выделение элементов не сбрасывалось автоматически
Исправили ошибку, при которой роль по умолчанию не отображалась в окнах создания и подтверждения пользователя
Исправили ошибку, при которой TOTP-код после смены ключа обновлялся только при повторном открытии карточки пароля
Другие изменения
Изменили значения по умолчанию в блоке «Доступ к действиям в сейфах» в разделе «Настройки сейфов»: теперь отправка паролей с правом чтения, отправка паролей с правом редактирования и создание ссылок на пароли доступны с уровня «Редактирование и выше» вместо «Полный доступ и выше»
Скрыли пункт «Пароль отправлен группе» из фильтра по действиям в «Истории действий» (версия с клиентским шифрованием)
Исправили отображение опций доступа при отправке паролей: теперь, если у пользователя нет прав на отправку паролей с доступом на редактирование, эта опция скрыта, а доступ на чтение установлен по умолчанию без возможности изменения
Скрыли пункт «Подключить мобильное устройство» для пользователей с запретом на использование мобильного приложения в настройках роли
Важно: Пассворк поддерживает MongoDB версии 7.0 или выше. Более ранние версии не поддерживаются и могут вызвать проблемы совместимости.
Всю информацию о версиях Пассворка можно найти в нашей истории обновлений.
Илья Шелыгин
Анастасия Лебедева
Илья Шелыгин
