Что показывает зрелость Identity Security

CNews: У термина Identity Security до сих пор нет общепринятого определения. Что именно входит в это понятие?

Андрей Лаптев: Границы термина действительно остаются размытыми. Существует ГОСТ, в котором он закреплен формально, но разночтений это не снимает. Поэтому в прошлом году мы представили «Глоссарий терминов айдентити»: собрали в нем основные понятия, связанные с учетными записями, аутентификацией и управлением доступом, чтобы участники рынка могли говорить на одном языке.

В широком смысле айдентити — это цифровое представление субъекта в ИТ-инфраструктуре. Им может быть человек, устройство, машина или процесс. Айдентити определяет не только идентификатор, но и контекст: используемое устройство и операционная система, IP-адрес, время и место подключения, привычный набор ресурсов.

CNews: Тогда по каким признакам можно понять, что компания действительно выстроила защиту айдентити, а не просто внедрила несколько отдельных продуктов?

Андрей Лаптев: Количество решений само по себе ничего не говорит о зрелости. Гораздо показательнее, как компания управляет доступом на всем его жизненном цикле: создает учетные записи, назначает права, пересматривает их при смене роли и своевременно отзывает. Имеют значение охват инфраструктуры, степень автоматизации и способность принимать решения с учетом контекста и риска.

Чтобы перевести эти признаки в измеримую модель, мы совместно с Айдентити Клубом провели исследование российского рынка Identity Security. По итогам 2025 года его объем достиг 17 млрд рублей. При этом около 87% компаний уже сталкивались с инцидентами, связанными с учетными записями и компрометацией айдентити. То есть проблема знакома почти всем, но подходы к ее решению сильно различаются.

CNews: Какие уровни зрелости вы выделили?

Андрей Лаптев: На основе полученных данных мы выделили четыре уровня зрелости: начальный, базовый, стандартизированный и стратегический. На начальном уровне пароли могут храниться на стикерах, права — выдаваться по звонку администратору, а учетные записи уволенных сотрудников — месяцами оставаться активными. На базовом уровне организация защищает внешний контур с помощью многофакторной аутентификации, внедряет систему управления привилегированным доступом для администраторов и подрядчиков и формирует первые регламенты.

На стандартизированном уровне права назначаются автоматически в соответствии с ролевой моделью, а технология единого входа (Single Sign-On, SSO) предоставляет пользователям доступ к нескольким корпоративным системам после одной аутентификации. Стратегический уровень предполагает реализацию концепции нулевого доверия (Zero Trust) и автоматическое принятие решений о предоставлении доступа с учетом контекста и уровня риска, в том числе с применением технологий искусственного интеллекта.

CNews: Почти половина респондентов относит свои компании к двум верхним уровням. Практика подтверждает такую оценку?

Андрей Лаптев: Не всегда. Показательно, что 46% респондентов относят свои организации к стандартизированному или стратегическому уровню. Однако предоставить новому сотруднику доступ к необходимым системам в течение первых четырех часов могут лишь около 28% компаний. Получается, представление организаций о собственной зрелости пока опережает фактическое развитие процессов управления доступом.

Почему растет спрос на PAM

CNews: По оценкам экспертов, решения для управления привилегированным доступом (PAM) составляют крупнейший сегмент рынка Identity Security. Чем обусловлен такой высокий спрос на PAM-системы?

Андрей Лаптев: Здесь я бы разделил понятия «крупнейший» и «наиболее зрелый». Если говорить о распространенности технологий, наиболее зрелым я бы назвал сегмент многофакторной аутентификации, ее применяют около 70% организаций — почти вдвое больше, чем PAM. Ни один другой инструмент защиты айдентити не встречается так часто.

PAM — крупнейший сегмент рынка Identity Security в денежном выражении. По нашим оценкам, на системы управления привилегированным доступом приходится около 34% рынка, или 5,8 млрд рублей.

Такой спрос закономерен: привилегированные учетные записи открывают расширенный доступ к критичным системам, поэтому их компрометация может иметь особенно серьезные последствия. При этом техническими средствами этот риск закрывают далеко не все. Более 64% компаний по-прежнему контролируют действия администраторов преимущественно организационными мерами, а специализированные PAM-системы используют около 36%. Поэтому у сегмента остается большой потенциал роста.

CNews: Почему компании продолжают полагаться на регламенты, хотя профильные технологии существуют давно?

Андрей Лаптев: Одна из причин — до недавнего времени требования к привилегированному доступу не были достаточно жесткими. В апреле 2026 года ФСТЭК России выпустила методические рекомендации, где этой теме посвящен отдельный раздел. Для привилегированных пользователей предусмотрены индивидуальные учетные записи, а групповые допускаются только вместе с PAM-системой. Для организаций, которые пока ограничиваются регламентами, это весомый аргумент в пользу технического решения.

Вторая причина — бюджет и зрелость процессов. На нехватку финансирования указала половина участников исследования. Для небольшой компании стоимость PAM может быть существенной, поэтому она выполняет требования организационными мерами. Кроме того, бизнес не всегда точно оценивает затраты на внедрение и владение системой и одновременно недооценивает риски ручного контроля. По мере роста инфраструктуры компании появляется потребность автоматизировать выдачу прав доступа и использовать профильные средства защиты вроде PAM-систем.

Как IdM и IGA меняют управление доступом

CNews: Раньше доступом обычных сотрудников и пользователей с повышенными правами управляли по отдельности. Где эти процессы пересекаются сегодня?

Андрей Лаптев: Я бы не сказал, что они пересекаются во всех организациях. Это в первую очередь зависит от уровня зрелости компании.

Во многих компаниях IAM и PAM по-прежнему существуют параллельно. Они начинают теснее взаимодействовать там, где отдельным сотрудникам или внешним специалистам требуются расширенные полномочия. Особенно это заметно в крупных организациях, которые регулярно привлекают подрядчиков и хотят управлять доступом штатных и внешних специалистов по единым правилам. Пока PAM для подрядчиков используют только 32% компаний.

Связующим звеном становится IdM — система управления жизненным циклом учетных записей. Она определяет, кому нужны расширенные полномочия, и передает соответствующие роли в PAM. В зрелой модели критичный доступ предоставляют по принципу Just-in-Time, на ограниченный срок или на основании заявки на конкретные работы. Но сейчас почти половина организаций выдает права бессрочно, до отзыва, и только четверть — на время выполнения задачи.

CNews: Что сегодня сильнее всего влияет на спрос на IdM и IGA?

Андрей Лаптев: Мы видим два основных запроса. Первый — быстрее подключать новых сотрудников к работе. При ограниченных бюджетах бизнес не готов ждать несколько дней или недель, пока человеку выдадут все права. Однако в большинстве компаний новичок по-прежнему получает полный набор доступов не раньше чем через день. Для зрелой организации ориентир составляет полтора-два часа.

Второй запрос связан с экспоненциальным ростом числа сервисных, или технических, учетных записей. Каждой информационной системе нужны собственные аккаунты для взаимодействия с другими компонентами. Их состав постоянно меняется, поэтому когда мы запускаем IdM, то это в первую очередь для наведения порядка: инвентаризация учетных записей, аудит прав, выстраивание бизнес-процессов. Заказчик начинает видеть, какие сервисные аккаунты существуют, кто за них отвечает, как часто нужно менять их пароли и что с ними происходит, когда систему выводят из эксплуатации.

Почему MFA недостаточно без ITDR

CNews: Почему многофакторная аутентификация остается первой линией защиты?

Андрей Лаптев: Это понятная, проверенная и относительно доступная технология. Она помогает быстро снизить риски перебора паролей, массовых попыток входа и компрометации учетных данных. Пользователи тоже хорошо знакомы с таким механизмом: второй фактор давно стал привычной частью банковских и других цифровых сервисов.

MFA применяют уже несколько десятилетий, поэтому это наиболее зрелый сегмент Identity Security. Сегодня многофакторная аутентификация стала гигиеническим минимумом для любой организации. Об этом говорит и динамика рынка: сегмент MFA и SSO вырос за 2025 год на 7%, тогда как PAM прибавил 13%, а IdM и IGA — 16%. Более низкие темпы в данном случае связаны не со снижением интереса, а с тем, что технология уже получила широкое распространение.

Однако внедрение MFA еще не означает полного охвата: защитить с ее помощью всех сотрудников и всю инфраструктуру смогли лишь 36% компаний — примерно половина организаций, которые используют эту технологию. Причем показатель практически не меняется из года в год. Массового перехода к многофакторной аутентификации для всего штата и всех корпоративных систем мы пока не наблюдаем.

CNews: Если охватить вторым фактором все системы, этого будет достаточно?

Андрей Лаптев: Это существенно повысит уровень защиты доступа, но одной проверки при входе уже недостаточно. Риск меняется в течение всей сессии. Поэтому важно учитывать контекст: с доверенного ли устройства подключается пользователь, находится ли он в контролируемой зоне, обращается ли к привычному ресурсу или впервые запрашивает критичные полномочия.

Нередко второй фактор внедряют там, где это проще технически: к личным кабинетам, внутренним порталам и отдельным приложениям. При этом административный доступ к базам данных, системам управления и другим критичным ресурсам может оставаться без дополнительной защиты. Формально MFA используется широко, но наиболее чувствительные точки инфраструктуры по-прежнему уязвимы.

Кроме того, сегодня уже недостаточно один раз подтвердить личность пользователя при входе. Необходимо учитывать контекст: с доверенного ли устройства он подключается, находится ли в контролируемой зоне, обращается к привычному ресурсу или впервые запрашивает критичные полномочия. На этих данных строится адаптивная аутентификация, при которой требования к подтверждению личности меняются в зависимости от уровня риска.

Часть атак развивается уже после успешного входа, когда злоумышленник действует от имени легитимной учетной записи. Здесь MFA дополняют решения класса Identity Threat Detection and Response, или ITDR. Они анализируют активность, связанную с айдентити, выявляют подозрительные сценарии и позволяют реагировать в момент атаки: блокировать действие, ограничивать доступ или запрашивать дополнительное подтверждение личности. MFA проверяет пользователя при входе, а ITDR отслеживает угрозы уже внутри инфраструктуры.

Как защищать сервисные учетные записи

CNews: Насколько значимой становится защита айдентити машин и сервисных учетных записей?

Андрей Лаптев: Это одна из самых сложных задач для служб информационной безопасности. Несанкционированная активность сервисных учетных записей, владельцев которых трудно установить, вошла в четверку наиболее частых инцидентов: с ней столкнулись более 35% компаний.

Обычно каталог пользователей и учетные записи находятся в зоне ответственности ИТ-службы. Но по мере роста компании и изменений в инфраструктуре становится непонятно, какие сервисные аккаунты существуют, зачем они созданы и кто за них отвечает. Такие записи могут годами оставаться неизменными. Подключить к ним MFA обычно невозможно, поскольку приложение не взаимодействует с сервером аутентификации как человек. Поэтому после проникновения в корпоративную сеть злоумышленники ищут именно такие аккаунты, чтобы расширить свои полномочия.

Часть задачи решает IdM: она помогает инвентаризировать сервисные учетные записи и управлять их жизненным циклом. Но этого недостаточно. Нужны средства, которые непрерывно отслеживают действия таких аккаунтов, ограничивают их полномочия и реагируют на отклонения от обычного поведения.

CNews: Какие риски остаются незаметными, если средства защиты айдентити работают по отдельности?

Андрей Лаптев: Прежде всего — пересмотр полномочий. В разрозненной инфраструктуре политики доступа обычно статичны, а изменить их можно только вручную. Чтобы увидеть все права одного сотрудника, приходится собирать сведения из каждой системы и сопоставлять отдельные матрицы доступа.

IdM дает целостную картину: показывает, к каким системам подключен пользователь, какими правами обладает и соответствует ли их набор его должности. Инструменты анализа ролей, или role mining, находят избыточные и дублирующиеся полномочия, которые со временем накапливаются у сотрудников и целых групп.

Для крупных организаций ручной пересмотр становится практически неподъемным. Его цена видна и в статистике: ошибки администраторов при выдаче прав оказались самой частой причиной инцидентов — с ними столкнулись более 43% компаний.

Что изменят ИИ и новые требования регулятора

CNews: Какие подходы к защите айдентити через два-три года могут стать базовыми?

Андрей Лаптев: В первую очередь — стандартизированное управление сервисными учетными записями. Сейчас такие практики распространены главным образом в крупных компаниях. По мере накопления опыта появятся более универсальные подходы, которые вендоры смогут заложить в продукты для организаций разного размера.

Следующий этап связан с автономными ИИ-агентами. По сути, это новая категория айдентити: агент получает полномочия от человека, обращается к корпоративным системам и работает с данными. Компаниям придется определять, к каким ресурсам его можно допускать, как ограничивать переданные ему права и каким образом проверять его действия. Готовых средств для управляемой и безопасной работы с такими помощниками на российском рынке пока нет.

CNews: Может ли искусственный интеллект одновременно помогать в защите айдентити?

Андрей Лаптев: Да. Уже сейчас его можно использовать для анализа больших объемов данных и поиска закономерностей в поведении пользователей. Но при этом ИИ становится и субъектом, и объектом доступа, поэтому возникает вопрос, кто и как управляет самим агентом.

Общего подхода у компаний пока нет. Около 19% организаций никак не регулируют использование ИИ-агентов, а 20% полностью их запрещают. Между этими крайностями еще предстоит выстроить рабочую модель. Сотрудник, например, может передать агенту выгрузку из CRM, чтобы быстрее обработать данные. Службе безопасности в этом случае нужно понимать, какие сведения получил внешний инструмент, где они будут обрабатываться и не входят ли в них персональные данные.

Поэтому одних запретов недостаточно. Компаниям придется и вводить технические ограничения, и объяснять сотрудникам, как работают ИИ-инструменты и какие риски возникают при передаче им корпоративной информации.

CNews: Как на развитие Identity Security повлияют изменения в регулировании?

Андрей Лаптев: В 2026 году регулирование информационной безопасности заметно обновилось. В марте вступил в силу приказ ФСТЭК России № 117, а в апреле вышли новые методические рекомендации, которые затрагивают в том числе привилегированный доступ.

Главное изменение я вижу в самом подходе регуляторов. Раньше защиту информации нередко сводили к формальному набору базовых мер. Теперь внимание смещается к тому, как в организации устроены конкретные процессы: удаленная работа, подключение с мобильных устройств, управление привилегированным доступом. Вероятно, регулирование продолжит развиваться в сторону процессного управления безопасностью.

■ Рекламаerid:2W5zFHz3hLuРекламодатель: ООО «Индид»ИНН/ОГРН: 7801540219/1117847053103Сайт: https://indeed-id.ru/