Андрей Лаптев о зрелости Identity Security и защите учетных записей

Многофакторная аутентификация (MFA) стала базовым инструментом защиты, однако, по данным исследования Индид и Айдентити Клуба, только 36% опрошенных компаний распространили ее на весь штат и всю инфраструктуру. Действия администраторов во многих организациях по-прежнему контролируют преимущественно регламентами, а число сервисных учетных записей продолжает расти.

Андрей Лаптев, директор по продуктовому развитию «Индид», рассказал CNews, как оценить зрелость защиты айдентити (Identity Security), почему управление привилегированным доступом (PAM) остается крупнейшим сегментом рынка, как MFA и средства выявления угроз, связанных с айдентити, и реагирования на них (ITDR) дополняют друг друга и какие задачи принесет бизнесу распространение ИИ-агентов.

Что такое Identity Security и как оценить зрелость защиты айдентити

CNews: У термина Identity Security до сих пор нет общепринятого определения. Что именно входит в это понятие?

Андрей Лаптев: Границы термина действительно остаются размытыми. Поэтому в 2025 году мы представили «Глоссарий терминов айдентити»: собрали в нем основные понятия, связанные с учетными записями, аутентификацией и управлением доступом, чтобы участники рынка могли говорить на одном языке.

В широком смысле айдентити — это цифровое представление субъекта в ИТ-инфраструктуре. Им может быть человек, устройство, машина или процесс. Identity Security объединяет управление учетными записями и правами доступа, проверку подлинности и выявление связанных с айдентити угроз. Для защиты важен и контекст доступа: используемое устройство и операционная система, IP-адрес, время и место подключения, привычный набор ресурсов.

CNews: Тогда по каким признакам можно понять, что компания действительно выстроила защиту айдентити, а не просто внедрила несколько отдельных продуктов?

Андрей Лаптев: Количество решений само по себе ничего не говорит о зрелости. Гораздо показательнее, как компания управляет доступом на всем его жизненном цикле: создает учетные записи, назначает права, пересматривает их при смене роли и своевременно отзывает. Имеют значение охват инфраструктуры, степень автоматизации и способность принимать решения с учетом контекста и риска.

Чтобы перевести эти признаки в измеримую модель, мы совместно с Айдентити Клубом провели исследование российского рынка Identity Security. Оно охватило 200 организаций со штатом от 100 сотрудников. По итогам 2025 года объем рынка достиг 17 млрд рублей. При этом 87,5% опрошенных компаний уже сталкивались с инцидентами, связанными с учетными записями и правами доступа. Проблема знакома большинству участников исследования, но подходы к ее решению сильно различаются.

CNews: Какие уровни зрелости вы выделили?

Андрей Лаптев: На основе полученных данных мы выделили четыре уровня зрелости: начальный, базовый, стандартизированный и стратегический. На начальном уровне пароли могут храниться на стикерах, права — выдаваться по звонку администратору, а учетные записи уволенных сотрудников — месяцами оставаться активными. На базовом уровне организация защищает внешний контур с помощью многофакторной аутентификации, внедряет систему управления привилегированным доступом для администраторов и подрядчиков и формирует первые регламенты.

На стандартизированном уровне права назначаются автоматически в соответствии с ролевой моделью, а технология единого входа (Single Sign-On, SSO) предоставляет пользователям доступ к нескольким корпоративным системам после одной аутентификации. Стратегический уровень предполагает реализацию концепции нулевого доверия (Zero Trust) и автоматическое принятие решений о предоставлении доступа с учетом контекста и уровня риска, в том числе с применением технологий искусственного интеллекта.

CNews: Почти половина респондентов относит свои компании к двум верхним уровням. Практика подтверждает такую оценку?

Андрей Лаптев: Не всегда. Показательно, что 46% респондентов относят свои организации к стандартизированному или стратегическому уровню. Однако предоставить новому сотруднику доступ к необходимым системам в течение первых четырех часов могут лишь около 28% компаний. Получается, представление организаций о собственной зрелости пока опережает фактическое развитие процессов управления доступом.

Почему растет спрос на PAM

CNews: По оценкам экспертов, решения для управления привилегированным доступом (PAM) составляют крупнейший сегмент рынка Identity Security. Чем обусловлен такой высокий спрос на PAM-системы?

Андрей Лаптев: Здесь я бы разделил понятия «крупнейший» и «наиболее зрелый». Если говорить о распространенности технологий, наиболее зрелым я бы назвал сегмент многофакторной аутентификации: ее применяют около 70% опрошенных организаций — почти вдвое больше, чем PAM. Ни один другой инструмент защиты айдентити не встречается в исследовании так часто.

PAM — крупнейший сегмент российского рынка Identity Security в денежном выражении. По нашим оценкам, в 2025 году на системы управления привилегированным доступом пришлось 34,6% рынка, или 5,8 млрд рублей.

Такой спрос закономерен: привилегированные учетные записи открывают расширенный доступ к критичным системам, поэтому их компрометация может иметь особенно серьезные последствия. При этом технические средства для снижения этого риска применяют далеко не все. Более 64% опрошенных компаний по-прежнему контролируют действия администраторов преимущественно с помощью регламентов и журналов событий. Специализированные PAM-системы для этой задачи используют около 36% участников исследования. Поэтому у сегмента остается большой потенциал роста.

CNews: Почему компании продолжают полагаться на регламенты, хотя профильные технологии существуют давно?

Андрей Лаптев: Одна из причин — до недавнего времени требования к привилегированному доступу не были достаточно жесткими. 12 апреля 2026 года ФСТЭК России утвердила методический документ «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах», где этой теме посвящен отдельный раздел. В нем предусмотрено закрепление привилегированных учетных записей за работниками. Групповые привилегированные записи допускаются при условии однозначной идентификации человека, который использует запись в конкретный момент. PAM-система помогает обеспечить такой контроль. Для организаций, которые пока ограничиваются регламентами, это весомый аргумент в пользу технического решения.

Вторая причина — бюджет и зрелость процессов. На нехватку финансирования указала половина участников исследования. Для небольшой компании стоимость PAM может быть существенной, поэтому она нередко ограничивается организационными мерами. Кроме того, бизнес не всегда точно оценивает затраты на внедрение и владение системой и одновременно недооценивает риски ручного контроля. По мере роста инфраструктуры компании появляется потребность автоматизировать выдачу прав доступа и использовать профильные средства защиты, в том числе PAM-системы.

Как IdM и IGA меняют управление доступом

CNews: Раньше доступом обычных сотрудников и пользователей с повышенными правами управляли по отдельности. Где эти процессы пересекаются сегодня?

Андрей Лаптев: Я бы не сказал, что они пересекаются во всех организациях. Это в первую очередь зависит от уровня зрелости компании.

Во многих компаниях управление учетными записями и доступом (IAM) и управление привилегированным доступом (PAM) по-прежнему организованы как отдельные процессы. Они начинают теснее взаимодействовать там, где отдельным сотрудникам или внешним специалистам требуются расширенные полномочия. Особенно это заметно в крупных организациях, которые регулярно привлекают подрядчиков и хотят управлять доступом штатных и внешних специалистов по единым правилам. Пока PAM для подрядчиков используют только 32% опрошенных компаний.

Связующим звеном становится IdM — система управления жизненным циклом учетных записей. По заданным правилам она определяет, кому нужны расширенные полномочия, и при интеграции с PAM передает соответствующие роли в эту систему. В зрелой модели критичный доступ предоставляют по принципу Just-in-Time — на время выполнения конкретной задачи. Но сейчас почти половина опрошенных организаций выдает права бессрочно, до отзыва, и только четверть — на время выполнения задачи.

CNews: Что сегодня сильнее всего влияет на спрос на IdM и IGA — решения для управления учетными записями и контроля прав доступа?

Андрей Лаптев: Мы видим два основных запроса. Первый — быстрее подключать новых сотрудников к работе. При ограниченных бюджетах бизнес не готов ждать несколько дней или недель, пока человеку выдадут все права. Однако в большинстве опрошенных компаний новичок по-прежнему получает все необходимые права доступа не раньше чем через день. Для зрелой организации ориентир составляет полтора-два часа.

Второй запрос связан с быстрым ростом числа сервисных, или технических, учетных записей. Информационным системам нужны собственные аккаунты для взаимодействия с другими компонентами. Их состав постоянно меняется, поэтому внедрение IdM мы начинаем с инвентаризации учетных записей, аудита прав и выстраивания бизнес-процессов. Заказчик начинает видеть, какие сервисные аккаунты существуют, кто за них отвечает, как часто нужно менять их пароли и что с ними происходит, когда систему выводят из эксплуатации.

Как MFA и ITDR защищают учетные записи

CNews: Почему многофакторная аутентификация остается первой линией защиты?

Андрей Лаптев: Это понятная, проверенная и относительно доступная технология. Она помогает быстро снизить риск несанкционированного доступа при подборе или компрометации пароля. Пользователи тоже хорошо знакомы с таким механизмом: второй фактор давно стал привычной частью банковских и других цифровых сервисов.

MFA применяют уже несколько десятилетий, поэтому это наиболее зрелый сегмент Identity Security. Сегодня многофакторная аутентификация стала базовой мерой защиты для любой организации. Об этом говорит и динамика рынка: сегмент MFA и SSO вырос за 2025 год на 7%, тогда как PAM прибавил 13%, а IdM и IGA — 16%. Более низкие темпы в данном случае связаны не со снижением интереса, а с тем, что технология уже получила широкое распространение.

Однако внедрение MFA еще не означает полного охвата: защитить с ее помощью всех сотрудников и всю инфраструктуру смогли лишь 36% опрошенных компаний — примерно половина организаций, которые используют эту технологию. Причем показатель практически не меняется из года в год. Массового перехода к многофакторной аутентификации для всего штата и всех корпоративных систем мы пока не наблюдаем.

CNews: Если охватить вторым фактором все системы, этого будет достаточно?

Андрей Лаптев: Это существенно повысит уровень защиты доступа, но одной проверки при входе уже недостаточно. Риск меняется в течение всей сессии.

Нередко второй фактор внедряют там, где это проще технически: для доступа к личным кабинетам, внутренним порталам и отдельным приложениям. При этом административный доступ к базам данных, системам управления и другим критичным ресурсам может оставаться без дополнительной защиты. Формально MFA используется широко, но наиболее чувствительные точки инфраструктуры по-прежнему уязвимы.

Поэтому необходимо учитывать контекст: с доверенного ли устройства подключается пользователь, находится ли он в контролируемой зоне, обращается ли к привычному ресурсу или впервые запрашивает критичные полномочия. На этих данных строится адаптивная аутентификация, при которой требования к подтверждению подлинности пользователя меняются в зависимости от уровня риска.

Часть атак развивается уже после успешного входа, когда злоумышленник действует от имени легитимной учетной записи. Здесь MFA дополняют решения класса Identity Threat Detection and Response, или ITDR. Они анализируют активность, связанную с айдентити, выявляют подозрительные сценарии и помогают реагировать во время атаки. В зависимости от возможностей решения и настроенных интеграций это может быть блокировка действия, ограничение доступа или запрос дополнительного подтверждения подлинности пользователя. MFA усиливает проверку подлинности, а ITDR помогает выявлять угрозы и реагировать на них, в том числе после входа в систему.

Как защищать сервисные учетные записи

CNews: Насколько значимой становится защита айдентити машин и сервисных учетных записей?

Андрей Лаптев: Это одна из самых сложных задач для служб информационной безопасности. Несанкционированная активность сервисных учетных записей, владельцев которых трудно установить, вошла в четверку наиболее частых инцидентов: с ней столкнулись более 35% опрошенных компаний.

Обычно каталог пользователей и учетные записи находятся в зоне ответственности ИТ-службы. Но по мере роста компании и изменений в инфраструктуре становится непонятно, какие сервисные аккаунты существуют, зачем они созданы и кто за них отвечает. Такие записи могут годами оставаться неизменными. Привычные пользователям способы MFA, например ввод одноразового кода, обычно неприменимы к таким записям: приложения работают без участия человека. Поэтому после проникновения в корпоративную сеть злоумышленники могут искать такие аккаунты, чтобы расширить свои полномочия.

Часть задачи решает IdM: она помогает инвентаризировать сервисные учетные записи и управлять их жизненным циклом. Но этого недостаточно. Нужны средства, которые непрерывно отслеживают действия таких аккаунтов, ограничивают их полномочия и реагируют на отклонения от обычного поведения.

CNews: Какие риски остаются незаметными, если средства защиты айдентити работают по отдельности?

Андрей Лаптев: Прежде всего — избыточные полномочия, которые вовремя не пересматривают. В разрозненной инфраструктуре политики доступа обычно статичны, а изменить их можно только вручную. Чтобы увидеть все права одного сотрудника, приходится собирать сведения из каждой системы и сопоставлять отдельные матрицы доступа.

IdM дает целостную картину: показывает, к каким системам подключен пользователь, какими правами обладает и соответствует ли их набор его должности. Инструменты анализа ролей, или role mining, находят избыточные и дублирующиеся полномочия, которые со временем накапливаются у сотрудников и целых групп.

Для крупных организаций ручной пересмотр прав становится слишком трудоемким. Последствия видны и в статистике: ошибки администраторов при выдаче прав оказались самым частым из отмеченных участниками исследования инцидентов — с ними столкнулись более 43% опрошенных компаний.

Что изменят ИИ и новые требования регулятора

CNews: Какие подходы к защите айдентити через два-три года могут стать базовыми?

Андрей Лаптев: В первую очередь — стандартизированное управление сервисными учетными записями. Сейчас такие практики распространены главным образом в крупных компаниях. По мере накопления опыта появятся более универсальные подходы, которые вендоры смогут заложить в продукты для организаций разного размера.

Следующий этап связан с автономными ИИ-агентами. По сути, это новая категория айдентити: агент получает полномочия от человека, обращается к корпоративным системам и работает с данными. Компаниям придется определять, к каким ресурсам его можно допускать, как ограничивать переданные ему права и каким образом проверять его действия. По нашей оценке, на момент интервью готовых средств для управляемой и безопасной работы с такими помощниками на российском рынке пока нет.

CNews: Может ли искусственный интеллект одновременно помогать в защите айдентити?

Андрей Лаптев: Да. Уже сейчас его можно использовать для анализа больших объемов данных и поиска закономерностей в поведении пользователей. Но при этом ИИ становится и субъектом, и объектом доступа, поэтому возникает вопрос, кто и как управляет самим агентом.

Общего подхода у компаний пока нет. Около 19% опрошенных организаций никак не регулируют использование ИИ-агентов, а 20% полностью их запрещают. Между этими крайностями еще предстоит выстроить рабочую модель. Сотрудник, например, может передать агенту выгрузку из CRM, чтобы быстрее обработать данные. Службе безопасности в этом случае нужно понимать, какие сведения получил внешний инструмент, где они будут обрабатываться и не содержат ли они персональных данных.

Поэтому одних запретов недостаточно. Компаниям придется и вводить технические ограничения, и объяснять сотрудникам, как работают ИИ-инструменты и какие риски возникают при передаче им корпоративной информации.

CNews: Как на развитие Identity Security повлияют изменения в регулировании?

Андрей Лаптев: В 2026 году регулирование информационной безопасности заметно обновилось. 1 марта вступил в силу приказ ФСТЭК России от 11 апреля 2025 года № 117, а 12 апреля 2026 года был утвержден методический документ, который затрагивает в том числе привилегированный доступ.

Главное изменение я вижу в самом подходе регуляторов. Раньше защиту информации нередко сводили к формальному набору базовых мер. Теперь внимание смещается к тому, как в организации устроены конкретные процессы: удаленная работа, подключение с мобильных устройств, управление привилегированным доступом. Вероятно, регулирование продолжит развиваться в сторону процессного управления безопасностью.

Коротко о главном

• Зрелость Identity Security определяется тем, как компания выдает, пересматривает и отзывает права доступа, насколько полно охвачена инфраструктура и какая часть процессов автоматизирована.
• По исследованию Индид и Айдентити Клуба, инциденты с учетными записями и правами доступа затронули 87,5% опрошенных компаний. Исследование охватило 200 организаций со штатом от 100 сотрудников.
• PAM — крупнейший сегмент российского рынка Identity Security по итогам 2025 года: 5,8 млрд рублей, или 34,6% рынка. Такие системы помогают контролировать доступ администраторов и подрядчиков.
• MFA используют около 70% участников исследования, но на всех сотрудников и системы ее распространили только 36%. ITDR дополняет аутентификацию выявлением угроз и реагированием на них.
• IdM помогает управлять жизненным циклом учетных записей. Для сервисных аккаунтов также важны назначение ответственных, ограничение прав и постоянный контроль активности.
• ИИ-агенты создают новые задачи управления доступом: нужно определять допустимые ресурсы, ограничивать полномочия и контролировать действия агента и передачу ему корпоративных данных.