21 октября 2026 года в Москве, в Кибердоме, состоялась встреча Айдентити Клуба — профессионального сообщества экспертов в области Identity Security. Тема встречи — «За границами Identity: что остается за пределами привычного контроля?» Участники обсудили угрозы, которые выходят за рамки традиционной защиты учетных данных и управления доступом, но напрямую влияют на безопасность корпоративных ресурсов. Мероприятие прошло при поддержке компании «Индид», российского разработчика решений в области защиты айдентити.
Программа включала три выступления: о цифровых следах компаний, безопасности пользовательских устройств и симуляции кибератак — и панельную дискуссию «Цена ошибки».
Коротко о главном
- Границы Identity Security расширяются: идентификация, аутентификация и управление доступом тесно связаны с безопасностью устройств, внешних сервисов и всей ИТ-инфраструктуры.
- Забытые сайты, облачные сервисы и личные аккаунты сотрудников образуют «серую зону» цифровых следов. В одном из пентестов такие находки позволили провести имитацию фишинга и получить учетные данные 80% сотрудников.
- MDM-системы помогают постоянно проверять соответствие устройств политикам ИБ и автоматически отзывать доступ к Wi-Fi и VPN при нарушениях.
- Симуляция кибератак показывает, как на деле работают мониторинг и реагирование: в одном из проектов первые действия внешнего SOC последовали только через десять часов после начала тестирования.
- По итогам дискуссии эффективность защиты айдентити определяет не число инструментов, а умение объединять данные о пользователях, устройствах и событиях безопасности.
Почему границы Identity Security расширяются
Модератором встречи стал Лев Овчинников, руководитель продукта Indeed ITDR компании «Индид». Открывая мероприятие, он отметил, что по мере развития технологий границы Identity Security постепенно расширяются. Вопросы идентификации, аутентификации и управления доступом сегодня тесно связаны с безопасностью конечных устройств, внешних сервисов и всей корпоративной инфраструктуры.
«Последние несколько лет мы активно обсуждаем традиционные направления Identity Security: управление учетными записями, многофакторную аутентификацию, контроль привилегированного доступа. На первый взгляд может показаться, что основные задачи уже решены, а оставшиеся вопросы связаны преимущественно с импортозамещением и развитием существующих систем. Однако границы безопасности айдентити постоянно расширяются. Механизмы аутентификации и управления доступом присутствуют практически в каждом корпоративном приложении и бизнес-процессе, поэтому мы неизбежно сталкиваемся со смежными областями информационной безопасности.
На этой встрече мы решили выйти за пределы привычной тематики и обсудить, какие угрозы остаются вне традиционного контроля и какие технологии способны дополнить существующие механизмы защиты», – Лев Овчинников, руководитель продукта Indeed ITDR компании «Индид».
Цифровые следы: какие угрозы остаются за пределами корпоративного периметра
Павел Ашарин, сооснователь компании RebrandyCo, предложил взглянуть на проблему глазами злоумышленника. Он рассказал, как цифровые следы компаний и данные из открытых источников (OSINT) используются для подготовки кибератак. По его словам, организации часто контролируют только известные им системы, домены и учетные записи, а забытые сайты, сторонние облачные сервисы, личные аккаунты сотрудников и резервные копии остаются вне поля зрения ИТ- и ИБ-служб. Такие неучтенные активы расширяют внешнюю поверхность атаки: они могут содержать конфиденциальные данные и открывать злоумышленникам путь в корпоративную инфраструктуру.
«Одна из главных проблем, которую мы видим при тестировании на проникновение, заключается в том, что компании зачастую контролируют только известный им периметр: корпоративные системы, IP-адреса и домены. При этом за его пределами остается серая зона в виде цифровых следов. Сотрудники используют сторонние сервисы, создают сайты, хранят документы в облаках, не всегда сообщая об этом ИТ- и ИБ-службам. Любой пентест начинается с киберразведки, и даже информация, которая на первый взгляд не содержит критичных данных, может оказаться полезной для атакующего. Например, получив резервную копию системы, злоумышленник может изучить ее структуру, настройки и политики безопасности. Это помогает ему заранее выстроить возможные сценарии атаки и сократить время на закрепление в инфраструктуре после проникновения», – Павел Ашарин, сооснователь компании RebrandyCo.
В качестве примера эксперт привел один из проектов по тестированию на проникновение. Специалисты обнаружили забытую корпоративную страницу, которая раньше использовалась для рекламной кампании, и скомпрометированную учетную запись топ-менеджера. Сочетание этих находок позволило провести имитацию фишинговой атаки, в ходе которой удалось получить учетные данные 80% сотрудников организации.
Безопасность устройств как условие корпоративного доступа к корпоративным ресурсам
О безопасности пользовательских устройств рассказал Ильдар Бигашев, владелец продукта РИНГО. Он объяснил, как системы централизованного управления устройствами (Mobile Device Management, MDM) помогают автоматизировать подготовку рабочих мест, поддерживать соответствие требованиям информационной безопасности и контролировать состояние устройств на протяжении всего срока их использования.
Отдельное внимание эксперт уделил связи цифровой идентичности пользователя с устройством, с которого тот подключается к корпоративным ресурсам. Сертификаты для подключения к корпоративной сети, интеграция с каталогами пользователей, персонализация рабочих мест и автоматическая настройка единого входа (Single Sign-On, SSO) сокращают число операций с паролями. Кроме того, такой подход позволяет учитывать состояние устройства при предоставлении доступа и привязать цифровую идентичность пользователя к конкретному устройству.
«Когда заказчики приходят к нам с задачами по обеспечению безопасности рабочих мест, одним из первых требований становится соответствие устройств политикам ИБ. Но недостаточно просто настроить компьютер один раз: со временем могут измениться версии программного обеспечения, настройки или состояние средств защиты. Поэтому необходимо постоянно контролировать соблюдение этих требований. С помощью MDM можно не только автоматизировать подготовку рабочих мест, но и отслеживать их состояние, а при обнаружении нарушений запускать ответные действия. Например, если пользователь включил нежелательные функции на устройстве, система может автоматически отозвать корпоративные доступы к Wi-Fi или VPN. При этом пользователь продолжит работать на своем компьютере, но уже не сможет подключиться к ресурсам компании, пока устройство не будет соответствовать установленным требованиям», – Ильдар Бигашев, владелец продукта РИНГО.
Эксперт также рассмотрел возможности использования сертификатов для подключения к корпоративной сети, персонализации рабочих мест и автоматической настройки механизмов единого входа. Такой подход сокращает количество ситуаций, в которых пользователю приходится вводить учетные данные, и позволяет связать его цифровую идентичность с конкретным устройством.
Симуляция кибератак: как проверить готовность к реальной атаке
Тему эффективности действующих механизмов защиты развил Сергей Куприн, генеральный директор CtrlHack. Компания разрабатывает платформу симуляции кибератак (Breach and Attack Simulation, BAS). Эксперт рассказал, как организации могут проверять свою готовность к атакам и находить недостатки в работе систем мониторинга и реагирования на инциденты.
По его словам, даже современные средства защиты не гарантируют своевременного обнаружения злоумышленника. Кибератака развивается последовательно: от первоначального проникновения и закрепления в инфраструктуре до компрометации учетных данных, перемещения между системами и нанесения ущерба. При этом отдельные действия атакующего могут выглядеть как обычные операции пользователей или администраторов, поэтому обнаружить их сложно.
«В корпоративной инфраструктуре постоянно происходит огромное количество событий, и далеко не каждое подозрительное действие означает атаку. Например, администраторы могут использовать те же инструменты, что и злоумышленники. Если реагировать на каждое такое событие, специалисты столкнутся с большим количеством ложных срабатываний. Но если исключить эти действия из мониторинга, можно пропустить настоящую атаку. Поэтому необходимо понимать не только отдельные техники, но и всю последовательность действий атакующего. Симуляция кибератак позволяет проверить, какие события обнаруживают действующие средства защиты, насколько быстро реагирует команда безопасности и на каком этапе можно остановить злоумышленника. Лучше выявить недостатки сейчас, во время тестирования, чем столкнуться с ними при реальном инциденте», – Сергей Куприн, генеральный директор CtrlHack.
В качестве примера Сергей Куприн привел проект, в котором компания с помощью симуляции кибератаки проверяла работу внешнего центра мониторинга безопасности (Security Operations Center, SOC). Заказчик рассчитывал на оперативное реагирование, но первые действия со стороны SOC последовали только через десять часов после начала тестирования.
Дискуссия «Цена ошибки»: где проходят границы ответственности за кибербезопасность
Завершила встречу панельная дискуссия «Цена ошибки». Ее участники обсудили, как взаимодействуют разные технологии защиты и можно ли рассматривать безопасность айдентити отдельно от защиты устройств, сетей и приложений.
Identity и Endpoint в модели Zero Trust
Ильдар Бигашев предложил рассматривать безопасность конечных устройств и управление цифровыми идентичностями как взаимосвязанные направления. Особенно это важно для Zero Trust — модели нулевого доверия, в которой ни пользователю, ни устройству не доверяют по умолчанию.
«Я бы объединил Identity и Endpoint, потому что сегодня конечное устройство тесно связано с цифровой идентичностью пользователя. На нем могут находиться уникальные криптографические данные и сертификаты, позволяющие подтвердить, с какого устройства происходит подключение. Если мы говорим о Zero Trust, недостаточно просто убедиться, что человек ввел правильный пароль. Необходимо учитывать, с какого устройства он работает, соответствует ли оно требованиям безопасности и какие полномочия ему разрешены. В идеале пользователь получает доступ только к тем ресурсам, которые необходимы ему в конкретной сессии», – Ильдар Бигашев, владелец продукта РИНГО.
Технологические партнерства вместо зависимости от одного поставщика
Павел Ашарин высказался в пользу технологических партнерств между специализированными разработчиками. Такие партнерства позволяют объединять возможности разных продуктов без жесткой привязки к единой экосистеме.
«Я поддерживаю технологические партнерства, но не технологическую зависимость. Когда один поставщик объединяет множество разных продуктов, заказчик рискует оказаться полностью привязанным к его экосистеме. На мой взгляд, эффективнее выстраивать взаимодействие между несколькими специализированными решениями. Пусть каждый разработчик занимается своим направлением, развивает собственные технологии и обеспечивает возможность интеграции с другими системами. Тогда организация получает преимущества совместной работы продуктов и при этом сохраняет свободу выбора», – Павел Ашарин, сооснователь компании RebrandyCo.
Универсального набора средств защиты не существует
Сергей Куприн отметил, что универсального набора средств защиты и единой последовательности их внедрения нет. Эффективность технологий определяется тем, насколько они отвечают задачам конкретного заказчика.
«Когда меня спрашивают, какой продукт компании приобрести следующим, у меня как у вендора нет универсального ответа. Я не знаю всех проблем, с которыми сталкивается конкретный CISO, не вижу его инфраструктуру и не могу за него определить приоритеты. Когда мы приходим к заказчику, наша задача — прежде всего выслушать его и понять, что мешает ему обеспечивать безопасность. Именно у специалистов, которые ежедневно работают с собственной инфраструктурой, сосредоточена основная экспертиза. Разработчики могут предложить инструменты и помочь выстроить процессы, но исходить нужно из задач самой организации», – Сергей Куприн, генеральный директор CtrlHack.
Итоги встречи
Обсуждение показало, что развитие защиты айдентити связано не столько с увеличением числа отдельных инструментов, сколько с возможностью объединять информацию о пользователях, устройствах, событиях безопасности и потенциальных угрозах. Такой подход позволяет точнее оценивать риски, своевременно выявлять нарушения и полнее использовать возможности уже внедренных технологий.
Об Айдентити Клубе
Айдентити Клуб — профессиональное сообщество специалистов по кибербезопасности, которые развивают сферу безопасности айдентити в России и популяризируют ее лучшие практики.
Официальные каналы Индид в соцсетях
Больше экспертных материалов по безопасности айдентити в удобном формате