Редакция сайта, 23/09/25
В крупном бизнесе риски утечек привилегированных доступов к ключевым ИТ-ресурсам закрываются с помощью PAM (Privileged Access Management). А вот в малом и среднем – до сих пор многие считают, что это дорого, сложно и нужно исключительно миллиардным корпорациям. Эксперты компании “АйТи Бастион” предлагают базовую, но рабочую схему, которую можно внедрить без ИБ-отдела.
Шаг 1. Уберите передачу паролей из общения
Переписка в мессенджерах вроде "вот пароль от сервера" до сих пор остается нормой во многих компаниях. Особенно часто она случается при работе с подрядчиками, когда доступ передается вслепую без последующего контроля. Эта же история и с уволенными сотрудниками: в их мессенджерах могут годами храниться доступы ко внутренним системам. Такой способ передачи информации удобен и прост. И точно так же быстро и просто он помогает потерять данные. Решение этой проблемы заключается в отказе от самой идеи передачи паролей.
Пользователь не должен видеть или запоминать пароль, его подключение должно происходить автоматически – через защищенный инструмент, который сам вводит нужные учетные данные. Это полностью исключит возможность переслать, случайно раскрыть или потерять пароли. Чтобы система безопасности была комплексной и охватывала всех (от обычных пользователей до администраторов), важно подключать специализированные решения. Для админов – это PAM-система1, для обычных пользователей – парольные кошельки [2] с поддержкой командной работы.
Шаг 2. Сделайте шлюз – единую точку доступа
Все подключения ко внутренним системам нужно организовать через защищенную точку – шлюз доступа. Даже если в компании работает всего один системный администратор, это поможет навести порядок и упростить контроль, ведь кроме него с большой долей вероятности есть и подрядчики, которые подключаются к сети вашей компании (специалисты, обслуживающие 1С, КонсультантПлюс, Гарант и др.).
Через такой шлюз можно отслеживать: кто, куда и когда заходил, записывать действия пользователей в виде текста или видео, а в случае увольнения сотрудника – быстро отключить доступ. Это поможет снизить зависимость от конкретных людей и позволит сохранить контроль над инфраструктурой внутри компании, независимо от текучести кадров или смены подрядчиков.
Шаг 3. Фиксируйте вход и действия – не только для порядка, но и на случай инцидента
Фиксация действий – важный элемент не только внутреннего порядка, но и реальный способ быстро отреагировать на инцидент. Без аудита невозможно понять, кто и когда удалил данные или изменил настройки. А если и получится выяснить, то часто бывает уже слишком поздно. Случаи повторного взлома без понимания его причин – это капкан, в который попадет множество компаний. Поэтому стоит использовать персонализированные учетные записи вместо универсальных, вроде admin1, включить запись всех сессий, настроить уведомления о нетипичной активности, например если кто-то входит в систему глубокой ночью или из другого региона, другой страны.
Важно точно понять и закрепить, кто за что отвечает и к каким системам имеет доступ. Лучше сразу ограничить права – так сотрудникам станет проще работать и меньше риск, что в случае проблем виноватыми окажутся они.
Чтобы еще больше снизить риски и защитить доступы, добавьте двухфакторную авторизацию – это базовый элемент цифровой гигиены. Она требует не только пароль, но и дополнительное подтверждение, например код из СМС или push-уведомление в приложении. Даже если злоумышленник узнает пароль, без второго фактора он не получит доступ к системе.
Шаг 4. Админ – тоже пользователь. Не давайте всем root-доступ
Администратор – тоже пользователь, и его действия должны подчиняться тем же правилам безопасности, что действуют для остальных. Даже самым опытным и проверенным сотрудникам не стоит постоянно работать от имени суперпользователя. Такой доступ дает слишком много возможностей, и в случае ошибки, и при потенциальном злоупотреблении. Гораздо безопаснее, если админ входит в систему под своей личной учетной записью, а затем получает временные повышенные права только на период выполнения конкретной задачи. Это позволяет контролировать, кто и зачем получил доступ, фиксировать все действия и снижать риск случайных или злонамеренных изменений.
Шаг 5. Не ленитесь управлять доступом подрядчиков
Подрядчики и внешние специалисты – один из самых уязвимых каналов для компрометации. Во многих российских компаниях до сих пор распространена практика: доступ для интеграторов, внешних администраторов 1С или консультантов оформляется через общую учетку, которая передается от одного исполнителя к другому. В результате никто не может точно сказать, кто именно работал под выданным логином и какие действия совершал.
Чтобы минимизировать риски, доступ подрядчиков должен оформляться по тем же правилам, что и для внутренних сотрудников. Каждому исполнителю выдается отдельная учетная запись, по которой можно однозначно зафиксировать его действия. При этом права назначаются только на время выполнения конкретных задач: настройка, обновление, техподдержка. Как только работы завершены, доступ должен автоматически отключаться без возможности оставить его на всякий случай. Такой подход позволяет избежать ситуации, когда бывший подрядчик спустя месяцы или даже годы сохраняет доступ к критичным системам.
Кроме того, важно фиксировать ответственность: кто именно из сотрудников компании запросил доступ для подрядчика и какие задачи он должен был выполнить. Это не только повышает прозрачность, но и дисциплинирует обе стороны. В случае инцидента будет ясно, кто отвечал за процесс и какие меры контроля были включены.
Причем следование этой рекомендации защищает не только от преднамеренных злоупотреблений, но и от случайных ошибок. Внешние специалисты, работающие по временным учеткам с ограниченными правами, создают меньше рисков нанести ущерб инфраструктуре компании. А заказчик получает инструмент, позволяющий сохранять контроль над своей средой, независимо от количества и текучести подрядчиков. Конечно, этот пункт сложно реализовать вручную – только PAM может сделать это с должной степенью четкости и достоверности.
Шаг 6. Проводите инвентаризацию и чистку доступов
Но даже при внедрении PAM и дисциплины доступа со временем в любой компании накапливается множество забытых учетных записей. Это могут быть тестовые учетки, созданные для разового проекта, временные доступы подрядчиков, учетные записи сотрудников, которые давно уволились или переведены в другой отдел. Часто такие записи остаются активными годами, создавая скрытые риски: злоумышленнику достаточно найти один такой висящий аккаунт, чтобы обойти все остальные меры безопасности. Поэтому необходима регулярная инвентаризация всех учетных записей. Минимум раз в квартал нужно сверять списки сотрудников HR с каталогами пользователей, проверять учетные записи подрядчиков и сервисные учетки.
Любая запись, у которой нет ответственного владельца или которая давно не использовалась, должна либо блокироваться, либо удаляться. Для упрощения задачи можно внедрить автоматические отчеты: система сама выявляет учетные записи без активности за последние 30–60 дней и выдает их на проверку. Еще один важный элемент чистки – пересмотр ролей и групп доступа. Часто сотрудники со временем обрастают лишними правами, которые им уже не нужны. Ревизия помогает убрать избыточные права и снизить риски случайных действий или злоупотреблений. В идеале каждая учетная запись должна иметь только актуальные и минимально необходимые права.
Периодическая инвентаризация не только снижает риски, но и упрощает администрирование. Чем меньше мусорных учеток в системе, тем быстрее работает аудит, тем проще управлять политиками и тем меньше нагрузка на администраторов.
Шаг 7. Контролируйте сервисные учетки и API-ключи
Если с человеческими учетными записями компании постепенно учатся работать, то сервисные учетки и API-ключи до сих пор остаются в тени. Именно они часто становятся самым уязвимым звеном в инфраструктуре малого и среднего бизнеса. Такие доступы создаются для интеграций между системами, для работы бэкапов, скриптов автоматизации и пр. Обычно у них расширенные права: доступ к базам, конфигурациям, сервисам. И самое главное, у них нет владельца, который бы отвечал за их актуальность и безопасность.
Риски здесь очевидны. Забытый API-ключ может годами давать полный доступ к системе, даже если человек, который его сгенерировал, давно уволился. Сервисная учетка, созданная на время, превращается в удобный канал для злоумышленника, особенно если ее пароль прост и никогда не менялся. И самое неприятное: такие учетки редко фиксируются в IAM или PAM, поэтому их невозможно отследить стандартными средствами управления доступом.
Что можно сделать в небольших компаниях? Во-первых, провести инвентаризацию: собрать все известные API-ключи и сервисные учетки, сопоставить их с системами и владельцами. Вовторых, ввести правило: любая новая интеграция или сервисная учетная запись должна иметь паспорт: описание, зачем создана, кто владелец и когда должна быть пересмотрена. В-третьих, настроить автоматическое отключение или уведомления о висящих ключах: если API по ключу не использовался, скажем, месяц, значит, его нужно отозвать.
И, конечно, важно минимизировать полномочия. Большинство сервисных учеток и ключей можно ограничить только нужными действиями: чтением, а не записью; доступом к отдельному сегменту, а не ко всей базе. Даже в условиях ограниченных ресурсов это снижает риски утечки и делает инфраструктуру более управляемой.
Шаг 8. Начинайте с малого и двигайтесь постепенно
Внедрение системы управления доступами необязательно начинать масштабно и с охватом всей инфраструктуры сразу. Эффективнее стартовать с малого – взять под контроль 2–3 ключевых узла, например сервер с критичными данными, бухгалтерскую систему или CRM, где хранится информация о клиентах. Это позволяет не перегружать команду и сразу получить ощутимый эффект – повысить уровень безопасности там, где риски особенно высоки.
Далее можно постепенно расширить охват: подключить новые ресурсы, настроить более детальную политику доступа, ввести роли, уровни и дополнительные механизмы контроля. Такой подход сделает процесс управляемым и гибким, позволяет адаптироваться под реальные задачи компании. Главное – понимать, что защита привилегированных доступов – это не разовая закупка и установка системы, а живой процесс, который развивается вместе с бизнесом. Информационная безопасность – это вложение в развитие бизнеса. Если вы пока не до конца понимаете, как работает этот инструмент, лучше внедрять его постепенно и поэтапно.
Вместо заключения
Малый бизнес особенно уязвим: одна утечка или сбой в работе критичного сервиса, и компания может не восстановиться. Особенно опасна потеря контроля над доступом к инфраструктуре, ведь тогда под угрозой оказываются все внутренние процессы.
Поэтому полагаться только на доверие между сотрудниками – недостаточно. Вопрос не в недоверии, а в защите от ошибок, забывчивости и внешних угроз. Привилегированные доступы – это не только про безопасность, но и про стабильность: кто бы ни уволился, кто бы что ни забыл, компания всегда должна оставаться под контролем.
Сегодня управление доступами уже не считается привилегией больших корпораций. Это базовая необходимость для любого бизнеса, в том числе и для небольшого, будь то сеть АЗС, аптеки или пункты выдачи онлайн-заказов. Там, где каждый сотрудник выполняет несколько ролей, а сбой может обернуться потерей клиентов и репутации, продуманная и грамотно выстроенная система доступа – это не избыточная мера, а способ сохранить устойчивость и продолжать расти.
