Цифровой щит бизнеса: управление доступами к кабинетам маркетплейсов и госорганов в 2026 году

К сентябрю 2026 года цифровой контур компании стал ее главным активом. Взаимодействие с государственными системами (ФНС, СФР, ЕИС, ФТС) и управление бизнесом на маркетплейсах (Wildberries, Ozon, Яндекс Маркет, Яндекс Лавка) полностью переведены на рельсы ЕСИА для юридических лиц (ЕССИ) и Машиночитаемых доверенностей (МЧД). Потеря контроля над учетной записью директора или доступами ключевых менеджеров сегодня равносильна потере бизнеса: злоумышленники могут вывести оборотные средства, подменить реквизиты или парализовать отгрузки.

Разберем архитектуру доступов, алгоритм безопасного увольнения сотрудников и экстренный протокол действий в случае взлома.

Блок 1. Архитектура доступа: ЕСИА и МЧД в 2026 году

Главное правило современного корпоративного доступа: «один человек — одна учетная запись ЕСИА (физлицо)». Директор больше не передает свои логины и пароли бухгалтерам или менеджерам.

1. Директор (ЕССИ ЮЛ). Директор входит во все государственные системы и админки маркетплейсов через свою личную учетную запись ЕСИА, которая автоматически привязывается к компании по ИНН из ЕГРЮЛ. Для подписания используется усиленная неквалифицированная подпись (УНЭП), выпущенная ФНС, или биометрическая подпись через приложение «Госключ».
2. Сотрудники (МЧД). Менеджеры, бухгалтеры и юристы входят в госорганы и на маркетплейсы под своими личными ЕСИА. Их полномочия подтверждаются Машиночитаемой доверенностью (МЧД), которую директор подписывает своей УНЭП. МЧД автоматически попадает в Реестр ФНС и доступна всем ведомственным информационным системам.
3. Специфика Маркетплейсов. Площадки используют гибридную модель. Для юридически значимых действий (смена реквизитов, подписание оферт) они требуют входа через ЕСИА + МЧД. Но для повседневной работы (управление карточками, ответ на отзывы, создание поставок) маркетплейсы используют внутренние ролевые модели. Директор заходит в свой кабинет и «по email/телефону» приглашает сотрудников, назначая им роли (Администратор, Модератор, Аналитик).

Блок 2. Отзыв прав при увольнении: Пошаговый алгоритм

Увольнение сотрудника в 2026 году требует не только записи в трудовой книжке, но и «цифровой зачистки». Если отключить сотрудника только в 1С, он может сохранить доступ к личному кабинету на маркетплейсе или в ФНС.

Шаг 1. Кадровый и юридический

• Официально оформляем увольнение.
• Блокируем корпоративную почту, телефон, доступ в CRM и к облачным хранилищам.

Шаг 2. Отзыв МЧД (Государственные системы и API маркетплейсов)

• Заходим в Личный кабинет налогоплательщика (ЮЛ) или через оператора ЭДО в Реестр МЧД ФНС.
• Находим выданные доверенности на уволенного сотрудника (по его СНИЛС/ИНН) и отправляем сообщение об отзыве (отмене) МЧД.

Важно: С момента фиксации отзыва в реестре ФНС (обычно занимает от нескольких минут до пары часов) сотрудник теряет доступ к ФНС, СФР, ЕИС и порталам госуслуг.

Шаг 3. Отзыв внутренних ролей на Маркетплейсах

• Отключаем МЧД — это не всегда мгновенно отзывает внутренние роли на самих площадках.
• Заходим в административные панели Ozon, WB, Яндекс Маркета.
• Переходим в раздел «Пользователи» / «Сотрудники» / «Управление доступами».
• Принудительно удаляем или деактивируем учетную запись уволенного менеджера.

Шаг 4. Ротация ключей (если был риск инсайда)

Если увольняемый имел доступ к токену директора или SIM-карте, привязанной к ЕСИА директора, необходимо сменить пароль от личного кабинета ЕСИА и перевыпустить сертификат УНЭП через ФНС.

Блок 3. Экстренный протокол: Возврат контроля после взлома

Ситуация: Бывший сотрудник-инсайдер или хакеры получили доступ к ЕСИА директора или админке маркетплейса. Они сменили привязанный номер телефона, email или подменили расчетный счет для вывода остатков на балансе площадки.

Действия в первые 30 минут:

1. Блокировка канала связи. Если злоумышленники перехватили доступ через SIM-карту (сообщения с кодами ЕСИА), немедленно звоним мобильному оператору и блокируем SIM-карту.
2. Звонок в поддержку ЕСИА. Связываемся с техподдержкой Госуслуг (по номеру 8-800-100-70-10 или через форму экстренного доступа). Сообщаем о компрометации учетной записи директора. Оператор может временно заморозить доступ к ЕССИ ЮЛ до выяснения обстоятельств.
3. Блокировка Банковского доступа. Если есть риск списания средств со счета, звоним в банк и блокируем доступ к ДБО (Дистанционному банковскому обслуживанию) по компании.

Действия по возврату маркетплейсов (Wildberries, Ozon и др.):

Маркетплейсы крайне неохотно меняют реквизиты «на лету» из-за обилия мошеннических схем.

Звонок в B2B-поддержку. Звоним на горячую линию для партнеров/селлеров. Сообщаем о взломе и несанкционированной смене реквизитов.

Бумажное заявление. Площадка потребует нотариально заверенное заявление от действующего директора (на основании свежей выписки из ЕГРЮЛ, полученной лично в ФНС или через нотариуса) с требованием:

• Заблокировать текущие выплаты.
• Откатить изменения банковских реквизитов к первоначальным.
• Заблокировать доступ скомпрометированных IP-адресов и устройств.

Восстановление ЕСИА. Директор лично посещает центр обслуживания (Точки, Сбер, ВТБ, МФЦ) с паспортом и СНИЛС, подтверждает личность и восстанавливает доступ к своей учетной записи, привязывая новый номер телефона и новый токен/Госключ.

Действия по возврату госорганов (ФНС, СФР):

• Если хакеры подали отчетность или заявления от имени компании, директор через восстановленный доступ в ЛК ЮЛ подает уведомление о недействительности подписи и компрометации ключа.
• В крайних случаях (если доступ к ЕСИА восстановить невозможно) директор подает в ФНС бумажное заявление о блокировке электронного документооборота и отзыве всех ранее выданных МЧД до момента личного визита.

Блок 4. Чек-лист профилактики: Как не допустить взлома

Чтобы не участвовать в экстренных спасательных операциях, внедрите в компании следующие правила кибергигиены:

Разделение контуров. Директор использует свой ЕСИА только для подписания критически важных документов и смены реквизитов. Повседневную работу в ЛК ФНС, СФР и на маркетплейсах ведут сотрудники по МЧД.

Аппаратные токены и биометрия. Директору необходимо оформить УНЭП в ФНС и записать ее на защищенный носитель (Рутокес) или использовать биометрический профиль в приложении «Госключ». Никаких «облачных ключей» в браузере, если компьютер не имеет строгого антивирусного контроля.

Регулярный аудит доступов (Раз в квартал):

• Выгружать реестр МЧД из ФНС и удалять «забытые» доверенности бывших сотрудников.
• Проводить ревизию пользователей в админках маркетплейсов (удалять неактивные аккаунты).

Двухфакторная аутентификация (2FA). На всех маркетплейсах и в Госуслугах должно быть включено подтверждение входа по Push-уведомлению или биометрии, а не только по SMS.

Регламент смены реквизитов. Внутренний приказ по компании: смена расчетного счета на маркетплейсах или в ФНС требует двух подписей (Директор + Главный бухгалтер/Финдиректор) с использованием их независимых МЧД.

В 2026 году безопасность бизнеса на 80% зависит от дисциплины управления цифровыми доступами. Внедрение МЧД решило проблему передачи «флешек» с ЭЦП из рук в руки, но породило новые риски на уровне внутренних ролей маркетплейсов и компрометации личных аккаунтов ЕСИА. Регулярный аудит выданных доверенностей, строгий протокол увольнения и понимание алгоритмов экстренного восстановления доступа — обязательные навыки для современного руководителя и службы безопасности компании.