SSO

Что это значит

SSO позволяет войти один раз и работать в нескольких системах без новых паролей. Аутентификацию выполняет один доверенный поставщик идентичности, а остальные приложения ему доверяют.

Выигрыш не только в удобстве. Идентичность в одном месте, поэтому централизованно включается двухфакторная проверка и отслеживаются входы в журнале аудита.

SSO - не менеджер паролей. Менеджер паролей запоминает за пользователя много разных паролей, а SSO заменяет их одной проверкой у поставщика идентификации, и отдельные приложения пароля вообще не видят. Похожий принцип знаком по государственным сервисам, где с помощью банковской идентификации входят на несколько порталов без отдельной регистрации.

Как это работает на практике

Самый заметный эффект - при уходе сотрудника: блокировка одной учётной записи закрывает доступ ко всем подключённым системам сразу. Без SSO об одной системе всегда забывают.

В учётных и зарплатных системах с чувствительными данными централизованное управление доступом обязательно. Кто к чему имеет доступ, должно быть видно без обхода приложений.

Небольшие компании чаще всего решают SSO через корпоративные учётные записи в сервисах, которые уже используют для почты. Поэтому при выборе нового SaaS-инструмента мы советуем проверить, можно ли подключить его к этим учётным записям: SSO часто доступен только в старшем тарифе, и добавить его позже значит перевести всю компанию на более дорогой план.

На что обратить внимание

Единая точка входа - и единая точка отказа. Учётная запись поставщика идентичности должна иметь сильную защиту и запасной способ доступа на случай недоступности сервиса.

Приложения, не подключённые к SSO, общие логины и локальные администраторские учётные записи остаются вне централизованной блокировки. Если никто не ведёт их список, бывший сотрудник может сохранять к ним доступ ещё месяцами. Компании, на которые распространяется NIS2, должны уметь предъявить такой список исключений.