- В
- Воронеж
- Е
- Екатеринбург
- К
- Казань
- Краснодар
- Новосибирск
- О
- Омск
- П
- Пермь
- У
- Уфа
- Ф
- Федеральный
- Ч
- Челябинск
Главная / База знаний / Категорирование объектов критической информационной инфраструктуры (КИИ) / Управление привилегированным доступом (PAM) на объектах КИИ: контроль ИТ-администраторов
Главная / База знаний / Категорирование объектов критической информационной инфраструктуры (КИИ) / Управление привилегированным доступом (PAM) на объектах КИИ: контроль ИТ-администраторов
Привилегированные учётные записи администраторов — главная мишень атак на критическую инфраструктуру. Разбираем, как системы класса PAM, IdM/IGA реализуют модель Zero Trust, защищают от инсайдерских угроз и обеспечивают соответствие требованиям 187-ФЗ и приказа ФСТЭК № 239.
Объекты критической информационной инфраструктуры — энергетика, транспорт, здравоохранение, финансовый сектор — управляются десятками ИТ-специалистов, каждый из которых обладает расширенными правами в информационных системах. Учётные записи администраторов баз данных, сетевых инженеров, DevOps-инженеров и офицеров ИБ предоставляют практически неограниченный доступ к конфигурациям, данным и средствам защиты. Именно поэтому защита учётных записей с привилегиями — приоритет номер один для CISO любой организации, эксплуатирующей значимые объекты КИИ.
По данным отраслевых отчётов, более 70 % целевых атак на критическую инфраструктуру начинаются с компрометации привилегированной учётной записи. Злоумышленник, получивший доступ к аккаунту доменного администратора или root-пользователя SCADA-сервера, способен нарушить технологический процесс, зашифровать данные или внедрить закладку, оставаясь незамеченным месяцами. Инцидент на одном значимом объекте КИИ может вызвать каскадный эффект, затрагивающий смежные отрасли и жизнедеятельность целых регионов.
Традиционный подход «защитить периметр» не работает, когда угроза исходит изнутри. Необходима системная стратегия контроля администраторов ИБ, охватывающая весь жизненный цикл привилегированного доступа: от выдачи прав до их отзыва и аудита всех совершённых действий. Центральным элементом такой стратегии является PAM-система КИИ — специализированное решение класса Privileged Access Management.
PAM (Privileged Access Management) — класс решений информационной безопасности, предназначенных для управления, контроля и аудита привилегированного доступа к критичным ИТ-ресурсам. В контексте КИИ PAM-система выполняет следующие ключевые функции:
Все пароли привилегированных учётных записей хранятся в защищённом хранилище с шифрованием по ГОСТ. Администраторы не знают реальных паролей — система выдаёт временный доступ по запросу, а после завершения сеанса автоматически меняет пароль. Это исключает ситуацию, когда уволенный сотрудник сохраняет доступ к серверам.
Каждое подключение администратора к серверу, сетевому оборудованию или СУБД записывается: видео экрана, нажатия клавиш, выполненные команды. В случае инцидента запись позволяет восстановить хронологию действий и определить виновного. Это критически важно при расследовании инцидентов и взаимодействии с ГосСОПКА.
PAM-система анализирует вводимые команды и блокирует потенциально опасные операции — например, удаление базы данных, остановку критического сервиса или изменение конфигурации межсетевого экрана. Для таких действий настраивается дополнительное согласование (workflow approval).
Вместо постоянных привилегий администратор получает доступ на строго ограниченное время и только к тем ресурсам, которые нужны для выполнения конкретной задачи. По истечении времени доступ автоматически отзывается. Этот принцип лежит в основе модели Zero Trust.
Внедрение PAM-системы — это не только техническая мера, но и выполнение требований приказа ФСТЭК № 239, который предписывает реализацию мер по управлению доступом (УПД) и регистрации событий безопасности (РСБ) на значимых объектах КИИ.
Риск инсайдеров — одна из наиболее недооценённых угроз для объектов КИИ. Речь идёт не только о злонамеренных действиях, но и о халатности, социальной инженерии и компрометации через цепочку поставок. Рассмотрим типичные сценарии.
Системный администратор получает письмо, замаскированное под уведомление от внутреннего сервиса мониторинга. Переходя по ссылке, он вводит доменные учётные данные на фишинговой странице. Злоумышленник использует полученные credentials для подключения к серверам АСУ ТП. Без PAM-системы такое подключение неотличимо от легитимного.
ИТ-администратор, узнав о предстоящем увольнении, создаёт скрытую учётную запись с привилегиями root и настраивает обратное SSH-соединение. После увольнения он продолжает подключаться к инфраструктуре. PAM-система обнаружила бы аномалию: создание нового привилегированного аккаунта вне штатного процесса.
Внешний интегратор получает временный VPN-доступ для обслуживания СУБД. Его рабочая станция заражена вредоносным ПО, которое перехватывает сессию и внедряет вредоносный код в хранимые процедуры. Без контроля сессий и записи действий источник компрометации установить крайне сложно.
Все три сценария объединяет одно: отсутствие системного контроля администраторов ИБ и привилегированных пользователей. Проведение регулярного пентеста значимых объектов КИИ позволяет выявить подобные слабые места до того, как ими воспользуется злоумышленник.
Ниже представлена матрица, связывающая типы привилегированного доступа с характерными угрозами и конкретными мерами защиты, которые реализуются средствами PAM, IdM/IGA и смежных систем.
Данная матрица может быть расширена с учётом специфики конкретного объекта КИИ. Рекомендуем провести аудит ИБ для выявления всех типов привилегированного доступа в вашей инфраструктуре.
Для кого эта услуга
Здравоохранение
Горнодобывающая промышленность
Транспорт
Связь
Топливно-энергетический комплекс
Химическая промышленность
Оборонная промышленность
Энергетика
Атомная энергия
О нашей компании
Постоянно сотрудничаем с крупными государственными и международными корпорациями
Четко выполняем требования контролирующих организаций
Непрерывно работаем над улучшением нашего профессионализма
Послепродажная поддержка в правовых аспектах
Беспроцентная рассрочка (до 4 месяцев)
Бесплатная доставка документации по регионам России лично к заказчику
Клиенты
Благодарственные письма
Модель нулевого доверия (Zero Trust) базируется на принципе «никогда не доверяй, всегда проверяй». Применительно к управлению привилегированным доступом на объектах КИИ это означает, что даже авторизованный администратор проходит многоуровневую верификацию при каждом обращении к ресурсу.
Архитектура Zero Trust в части управления доступом опирается на три ключевые системы:
Контролирует привилегированные сессии, управляет паролями, записывает действия. PAM — это «последняя миля» доступа, обеспечивающая гранулярный контроль на уровне конкретных серверов, команд и временных окон.
Управляет жизненным циклом учётных записей: создание, назначение ролей, пересмотр прав (access review), деактивация. IGA отвечает за то, чтобы каждый пользователь имел только те права, которые необходимы для выполнения его обязанностей (принцип наименьших привилегий).
Многофакторная аутентификация дополняет PAM и IdM, добавляя второй и третий факторы проверки. Для доступа к значимым объектам КИИ рекомендуется использовать аппаратные токены (ГОСТ-совместимые) или биометрию в дополнение к паролю.
Связка PAM + IdM/IGA + MFA образует эшелонированную систему контроля администраторов ИБ, в которой каждый компонент компенсирует слабые стороны остальных. Эта архитектура полностью соответствует принципам комплексной кибербезопасности КИИ и позволяет реализовать модель Zero Trust даже в гетерогенных инфраструктурах с элементами АСУ ТП.
В условиях импортозамещения на объектах КИИ выбор PAM-системы ограничивается отечественными продуктами, имеющими сертификат ФСТЭК. Ниже приведено сравнение наиболее зрелых решений российского рынка.
Выбор конкретного решения зависит от масштаба инфраструктуры, наличия АСУ ТП-сегмента, требуемого уровня интеграции и бюджета. Все перечисленные продукты включены в Реестр отечественного ПО и соответствуют требованиям к сертификации СЗИ для КИИ.
Внедрение PAM — комплексный проект, затрагивающий процессы, людей и технологии. Ниже приведён пошаговый чек-лист, который поможет CISO и CIO спланировать проект и избежать типичных ошибок.
Типичный срок внедрения PAM на объекте КИИ средней сложности — от 3 до 6 месяцев. Для крупных распределённых инфраструктур проект может занять до 12 месяцев. Ключ к успеху — поэтапный подход и вовлечение всех заинтересованных сторон.
Внедрение PAM-системы на объекте КИИ — не факультативная мера, а прямое выполнение требований законодательства. Рассмотрим ключевые нормативные документы.
Закон обязывает субъектов КИИ обеспечивать безопасность значимых объектов, в том числе реализовывать меры по предотвращению несанкционированного доступа. Изменения 187-ФЗ в 2025–2026 году усилили ответственность за нарушения: теперь за несоблюдение требований грозят не только штрафы, но и уголовная ответственность должностных лиц.
Приказ определяет конкретные меры защиты значимых объектов КИИ. В части управления привилегированным доступом ключевые группы мер:
PAM-система закрывает значительную часть требований УПД и РСБ «из коробки». Подробнее о полном перечне требований — в статье о требованиях к защите ЗОКИИ.
Система государственного мониторинга компьютерных инцидентов требует от субъектов КИИ оперативно выявлять и передавать информацию об инцидентах. PAM-система значительно упрощает эту задачу: записи сессий и логи действий привилегированных пользователей становятся ключевыми артефактами при расследовании. О порядке подключения к ГосСОПКА читайте в нашем подробном руководстве.
Невыполнение перечисленных требований влечёт серьёзные последствия. Подробнее о санкциях — в материале о штрафах и проверках по КИИ в 2026 году.
PAM-система КИИ не должна работать изолированно. Максимальная эффективность достигается при интеграции с другими компонентами системы ИБ.
Интеграция PAM с центром мониторинга (SOC) и SIEM-системой позволяет коррелировать события привилегированного доступа с другими индикаторами компрометации. Например, аналитик SOC получает алерт: администратор подключился к серверу в нерабочее время с нетипичного IP-адреса, а параллельно зафиксирована аномальная сетевая активность на этом сервере. Корреляция двух событий позволяет немедленно заблокировать сессию и начать расследование.
Привилегированные учётные записи часто становятся инструментом эксплуатации уязвимостей. Интеграция PAM с процессом управления уязвимостями (VM) позволяет автоматически ограничивать доступ к серверам с критическими неустранёнными уязвимостями или требовать дополнительного согласования для работы с ними.
Синхронизация PAM и IdM обеспечивает автоматический отзыв привилегированного доступа при изменении должности, увольнении сотрудника или истечении контракта подрядчика. Без интеграции возникает «мёртвый» доступ — привилегии, о которых никто не знает и которыми может воспользоваться злоумышленник.
Грамотная интеграция требует тщательного проектирования. Рекомендуется начать с определения сценариев использования (use cases), приоритизировать их по критичности и реализовывать поэтапно, начиная с наиболее рискованных направлений.
Управление привилегированным доступом — это не просто установка ещё одного средства защиты. Это фундаментальное изменение подхода к безопасности: переход от доверия по умолчанию к модели Zero Trust, где каждое действие администратора контролируется, записывается и может быть проанализировано.
Для объектов КИИ внедрение PAM-системы — одновременно и требование законодательства, и практическая необходимость. Инсайдерские угрозы, компрометация через подрядчиков, кража учётных данных — всё это реальные риски, которые без системного контроля администраторов ИБ могут привести к катастрофическим последствиям.
Ключевые выводы для CISO и CIO:
Нужна помощь с внедрением PAM, категорированием объектов КИИ или подготовкой к проверке ФСТЭК? Специалисты sertifikat.bz помогут выбрать оптимальное решение, спроектировать архитектуру и обеспечить соответствие всем нормативным требованиям. Компания «Астелс» — более 7000 выполненных проектов с 2012 года, работаем в 60+ городах России.
Прямого требования «внедрить PAM» в 187-ФЗ нет, однако приказ ФСТЭК № 239 устанавливает меры по управлению доступом (УПД) и регистрации событий безопасности, которые на практике невозможно выполнить без специализированной системы контроля привилегированных учётных записей. При проверках регулятор оценивает именно результат — контролируется ли административный доступ, ведётся ли запись сессий и ограничены ли полномочия.
Пилотный проект на 20–50 целевых серверов обычно занимает 2–3 месяца, полноценное внедрение на крупном объекте КИИ — от 6 до 12 месяцев с учётом интеграции с Active Directory, SIEM и согласования организационных регламентов. Стоимость лицензий отечественных PAM-решений начинается от 2–3 млн рублей и зависит от числа контролируемых учётных записей и модулей. К бюджету стоит добавить 30–50 % на внедрение и обучение персонала.
Active Directory управляет аутентификацией и базовыми правами пользователей, но не контролирует, что именно администратор делает после входа в систему. PAM-система записывает все привилегированные сессии, выдаёт временные пароли по запросу (just-in-time), автоматически ротирует учётные данные и может прервать сессию при обнаружении подозрительных действий.
На российском рынке представлены сертифицированные решения: Indeed PAM, «Скала-Р PAM» (Вебконтроль), Zecurion PAM, САКУРА (ИТ-Бастион) и Infrascope. При выборе для объекта КИИ важно проверять наличие действующего сертификата ФСТЭК, поддержку отечественных ОС (Astra Linux, РЕД ОС) и возможность интеграции с ГосСОПКА.
PAM исключает постоянный доступ к привилегированным учёткам — администратор каждый раз запрашивает временный доступ, который автоматически отзывается по завершении задачи. Все действия записываются на видео и в текстовый лог, что делает невозможным скрытую модификацию конфигураций или выгрузку данных. При попытке выполнить запрещённую команду система блокирует действие и отправляет оповещение в SOC.
Современные PAM-системы передают события в SIEM по протоколам Syslog и CEF в реальном времени, что позволяет коррелировать привилегированные сессии с другими событиями безопасности. В SOC настраиваются правила реагирования — например, при входе администратора в нерабочее время или при одновременном использовании одной учётки с разных IP-адресов автоматически создаётся инцидент.
Первый шаг — провести инвентаризацию всех привилегированных учётных записей и классифицировать целевые системы по категории значимости объекта КИИ. Далее рекомендуется начать пилот с наиболее критичных сегментов (АСУ ТП, базы данных с персональными данными) и постепенно масштабировать. Параллельно необходимо разработать регламенты запроса и согласования привилегированного доступа, иначе технология без процессов не даст результата.
Медиа
Была ли полезна вам данная статья?
Так же читайте другие статьи на эту тему
Управление уязвимостями (Vulnerability Management) в инфраструктуре субъектов КИИ
Как организовать непрерывный процесс управления уязвимостями на объектах КИИ: пятиэтапная методика ФСТЭК, сроки устранения по уровням критичности, обзор сертифицированных сканеров и патч-менеджмент без нарушения SLA.
Аутсорсинг информационной безопасности: когда защиту КИИ выгоднее отдать системному интегратору
Финансовый расчёт: инхаус-команда ИБ или аутсорсинг для субъекта КИИ? Сравнение затрат, формула ROI, матрица функций и критерии выбора системного интегратора.
Разработка стратегии развития информационной безопасности КИИ на 3-5 лет
Пошаговое руководство по разработке стратегии информационной безопасности КИИ на 3–5 лет: аудит, дорожная карта, бюджет, импортозамещение, SOC и метрики эффективности.
Кирилл Соколов
8(800) 70-70-144
info@sertifikat.bz
|
г. Екатеринбург |
г. Москва |
г. Челябинск |
г. Казань |
г. Пермь |
|
г. Волгоград |
г. Нижний Новгород |
г. Омск |
г. Новосибирск |
г. Воронеж |
|
г. Санкт-Петербург |
г. Ростов-на-Дону |
г. Самара |
г. Красноярск |
г. Уфа |
* Добровольная сертификация, Сетификация ИСО, Сертификация услуг, Категорирование КИИ, Классификация гостиниц, Разработка СМК, ХАССП
* На нашем сайте мы используем cookie для сбора информации технического характера. Продолжая использовать этот сайт, вы даете согласие на использование файлов cookies и обработку персональных данных в соответствии с Политикой конфиденциальности
Последнее обновление сайта: 06.04.2026
8(800) 70-70-144
Москва, Санкт-Петербург, Екатеринбург, Новосибирск, Нижний Новгород, Казань, Челябинск, Омск, Самара, Ростов-на-Дону, Уфа, Красноярск, Пермь, Воронеж, Волгоград