PAM и приказ ФСТЭК № 117: какие требования помогает выполнить система

Актуально на 23 октября 2026 года.

PAM помогает организовать контроль привилегированных пользователей: управлять подключениями, защищать учетные данные и разбирать действия администраторов. Для выполнения приказа ФСТЭК № 117 эти возможности нужно связать с настройками ресурсов и правилами работы организации.

Основные функции решения описаны в статье «Что такое PAM-система». Здесь рассмотрим практику выполнения требований ФСТЭК.

Кого касается приказ № 117

Приказ ФСТЭК России от 11.04.2025 № 117 действует с 1 марта 2026 года. Он распространяется на государственные информационные системы и иные ИС государственных органов, государственных унитарных предприятий и государственных учреждений, работающие на территории России. Для муниципальных ИС требования применяются, если законодательством не установлено иное. Обзор приказа и его отличий от приказа № 17 — в отдельной статье.

Коммерческим компаниям нужно отдельно проверить, распространяются ли требования приказа № 117 на их системы. Например, по пункту 2 требованиям о защите должны соответствовать и системы, которые получают информацию ограниченного доступа из ГИС. Статья адресована ИТ- и ИБ-командам и подрядчикам организаций, которые обязаны выполнять эти требования.

Какие требования помогает выполнить PAM

Привилегированному доступу в Приказ ФСТЭК № 117 посвящен пункт 48: минимальные права, разделение ролей, аутентификация, управление учетными записями и регистрация действий.

В 2026 году требования приказа № 117 скорректировали: ФСТЭК России внесла в них изменения приказом № 137 от 08.05.2026. Основная часть поправок действует с 1 сентября 2026 года. Пункт 48 они не затронули: требования к привилегированному доступу остались прежними. Изменения коснулись мобильного и удаленного доступа (пункты 42 и 46) — там теперь допускается не только строгая, но и усиленная многофакторная аутентификация. 

Порядок выполнения требований пункта 48 раскрывает пункт 3.10 методического документа ФСТЭК от 12.04.2026 «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» (МД). Он уточняет правила выдачи и отзыва доступа, работы с учетными записями и контроля действий.

Таблица связывает требования пункта 48 с возможностями PAM. Набор функций зависит от продукта, версии и способа подключения.

*Целевая учетная запись — привилегированная запись на ресурсе (сервере, СУБД, сетевом устройстве), под которой пользователь работает через PAM. Ее пароль или ключ хранит PAM, поэтому пользователю он обычно неизвестен.

Как выполнить требования на практике

Пункт 3.10 МД помогает связать требования приказа с повседневной работой администраторов. Рассмотрим основные задачи.

Определить права и ответственных

Например, подрядчику для обслуживания одной базы данных настраивают запись с нужными правами в СУБД и ограничивают время подключения через PAM. Если дать ему запись с полными правами на сервер, ограничение времени не устранит лишние полномочия.

Назначение привилегированной записи фиксируют в заявке, использовать ее для других целей нельзя. По пункту 3.10 МД групповые записи допустимы, если в каждый момент можно однозначно определить пользователя.

При этом записи с правом создавать другие привилегированные записи должны быть персонифицированы по пункту 48. Личный вход в PAM с последующим подключением к общей целевой записи не заменяет это требование.

Для технологических записей, через которые взаимодействуют программы, назначают ответственных сотрудников и контролируют использование.

Своевременно прекращать доступ

Для временной записи в заявке указывают срок и состав работ. По окончании срока ее блокируют автоматически или в автоматизированном режиме: в целевой ИС и системе управления привилегированными записями, если она используется. Важно проверить обе системы: окончание срока доступа в PAM не означает блокировки записи на сервере.

Другое основание для блокировки — отстранение сотрудника от обязанностей. Не позднее чем через восемь часов он должен потерять возможность использовать привилегированную запись. При работе через PAM сотрудник обычно не знает реквизитов общих целевых записей, поэтому сами записи, как правило, не блокируют: ему закрывают вход в PAM и отзывают разрешения. Персональные привилегированные записи сотрудника, если они есть, блокируют на ресурсах. При этом МД требует сменить аутентификационные данные всех записей, к которым у него был доступ, — в PAM это можно сделать автоматической сменой пароля. Ответственные за доступ должны своевременно узнавать об отстранении.

Защитить учетные данные и встроенные записи

Пункт 3.10 МД предусматривает смену аутентификационных данных не реже раза в шесть месяцев, кроме доступа по сертификатам безопасности. Данные производителя меняют при первоначальной настройке, а созданные при настройке, ремонте или обслуживании — после завершения работ. Одинаковые данные для привилегированных, технологических привилегированных и обычных записей использовать нельзя. После смены пароля через PAM проверяют результат на ресурсе и работу зависимых служб.

Встроенные записи используют только для первоначальной настройки, ремонта, обслуживания, аварийного восстановления при невозможности использовать другие записи и создания локальных записей главных администраторов.

Проверить схему аутентификации

Пункт 48 требует строгой аутентификации, а усиленную многофакторную допускает при технической невозможности строгой. По ГОСТ Р 58833-2020 строгая аутентификация предполагает несколько факторов, взаимную проверку подлинности и криптографические протоколы. В пункте 3.10 МД оба варианта перечислены через «или», но условие приказа это не отменяет.

При работе через PAM пользователь проходит аутентификацию на входе в систему, а соединение с ресурсом она устанавливает сама — от имени целевой учетной записи, пароль которой пользователю неизвестен. Второй фактор на самом ресурсе в такой схеме обычно не применяется и технически реализуем не всегда. Поэтому требования к аутентификации выполняют на входе в PAM: именно там сессия привязывается к конкретному пользователю. Если строгую аутентификацию на входе обеспечить нельзя, используют усиленную многофакторную и фиксируют, почему строгая технически невозможна.

Приказ и МД такую схему прямо не описывают, поэтому выбранный подход и его обоснование закрепляют в документах по защите информации. Обязательное условие — отсутствие обходных путей: если к ресурсу можно подключиться напрямую, аутентификация на входе в PAM ничего не гарантирует.

Учесть ограничения удаленного доступа

В МД удаленным считается доступ из-за пределов контролируемой зоны через сети связи общего пользования, включая интернет. По пункту 3.10 его предоставляют при служебной необходимости из мест, где нет физического доступа к средствам ИС, и на отведенное время.

Учетные записи главных администраторов, создающих другие привилегированные записи и назначающих им права, не должны иметь удаленного доступа. Системным администраторам и администраторам безопасности запрещено использовать мобильные устройства для привилегированного доступа. Эти ограничения сохраняются и при подключении через PAM.

Регистрировать и проверять действия

После настройки доступа нужно контролировать, как им пользуются. Запись привилегированных сессий дополняют сведениями о пользователе, целевой записи, ресурсе и времени доступа. Для главного администратора пункт 3.10 МД предусматривает журнал, где фиксируют факт доступа, должность и ФИО, время и перечень действий. Его ведение контролируют специалисты ИБ.

Видео, текстовые логи и журналы ИС дополняют друг друга. Аудит привилегированных сессий позволяет сопоставить действия с согласованной задачей. Заранее определяют, кто проверяет материалы, кому доступен архив и что делать при сбое записи сессий.

При выборе сроков хранения учитывают усиления — дополнительные требования раздела 3 МД, применяемые по решению оператора или обладателя информации. Усиление 5 пункта 3.10 предусматривает постоянный мониторинг удаленного доступа системных администраторов и администраторов безопасности и хранение журналов не менее шести месяцев. Этот срок нельзя автоматически переносить на все видеозаписи PAM.

Как помогает Indeed PAM

Рассмотрим эти задачи на примере Indeed PAM 3.5. В нем разрешение на подключение связывает пользователя, ресурс и целевую учетную запись. Можно задать срок, расписание и источник подключения. По истечении срока разрешение становится неактивным, а открытая сессия прерывается. Так контроль доступа привилегированных пользователей связывают с рабочей задачей.

Чтобы связать сессию с заявкой, в политике включают обязательную причину подключения и подтверждение сессии администратором PAM. Причина и имя администратора, который подтвердил сессию, сохраняются в профиле запроса.

Пароли и SSH-ключи целевых записей хранятся в PAM. Политика задает их автоматическую смену по расписанию, после просмотра или по завершении сессии. Период смены указывают в днях, поэтому срок из МД — не реже раза в шесть месяцев — можно закрепить в настройках. Проверка учетных данных показывает, совпадает ли пароль в PAM с паролем на ресурсе.

Для входа в PAM доступны следующие варианты: пароль с одноразовым кодом, подключение системы аутентификации по протоколу RADIUS, аутентификация с использованием протокола Kerberos, аутентификация через IDP с поддержкой OpenID Connect и аутентификация с использованием сертификатов X.509. Способ выбирают с учетом требований пункта 48, описанных выше.

Для контроля действий администраторов доступны материалы сессий. Их состав зависит от способа подключения и настроек, поэтому полноту регистрации проверяют на рабочих сценариях. Срок хранения видео задают в политике сессии по правилам организации. Для ГИС также проверяют, есть ли у выбранной версии сертификат ФСТЭК России и какие из описанных функций в ней доступны.

Как продукты Индид соотносятся с требованиями приказа № 117, показано в оценке соответствия на странице о выполнении требований регуляторов.

Как закрепить правила и проверить результат

Настройки PAM должны опираться на принятые в организации правила. В регламенте описывают выдачу, учет, изменение и отзыв доступа, ответственных за эти действия и проверку журналов. Во внутренних стандартах — первичную идентификацию пользователей, типы записей, их права и запрещенные действия. Отдельно определяют порядок аварийного доступа и его контроля.

При приемке на нескольких сценариях проверяют, соответствует ли работа системы этим правилам:

• Пользователь пытается войти без разрешения, вне согласованного времени или в обход PAM. Неразрешенный доступ блокируется.
• Администратор выполняет разрешенную операцию и пробует выйти за пределы прав. Ограничения работают на целевом ресурсе.
• Срок временной записи истекает или сотрудника отстраняют от обязанностей. Доступ блокируется в нужных системах и в установленный срок.
• Специалист ИБ находит сессию, определяет пользователя и сопоставляет действия с заявкой. При отказе регистрации команда получает сигнал и действует по согласованному порядку.

Результаты сохраняют вместе с матрицей доступа, настройками и примерами журналов. Проверку повторяют при изменениях в управлении доступом. Испытания не заменяют обязательные процедуры контроля и аттестации.

Коротко о главном

• Требования к привилегированному доступу закреплены в пункте 48 приказа ФСТЭК № 117. Они охватывают права, разделение ролей, аутентификацию, работу с учетными записями и регистрацию действий. Пункт 3.10 методического документа ФСТЭК раскрывает практику их выполнения.
• PAM управляет доступом к привилегированным учетным записям, а права самих записей настраивают на целевых ресурсах. Ограничение времени подключения не устраняет лишние полномочия в ОС, СУБД или приложении.
• Аутентификацию проверяют по всей схеме подключения: от входа в PAM до целевого ресурса. Для привилегированного доступа требуется строгая аутентификация; усиленная многофакторная допускается при технической невозможности строгой. В схеме с PAM эти требования выполняют на входе в PAM, а подключение к ресурсам в обход него исключают.
• Учетные записи требуют постоянного управления: для них определяют назначение и ответственных, меняют данные аутентификации, прекращают временный доступ. Записи с правом создавать другие привилегированные записи должны быть персонифицированы.
• Запись привилегированных сессий помогает восстановить действия администратора, но важны полнота материалов и их проверка. Организация определяет ответственных за аудит, доступ к архиву и действия при отказе регистрации.
• Внедрение PAM нужно связать с регламентами и проверить на рабочих сценариях. Матрица доступа, настройки, результаты испытаний и примеры журналов помогают подтвердить, что меры работают. Само наличие продукта не подтверждает выполнение всех требований приказа.