Управление привилегированным доступом в 2026 году: риски учётных записей и PAM
87% российских компаний столкнулись с инцидентами из-за учётных записей, а системы управления привилегированным доступом внедрили лишь 36%. Разбираем, что показало исследование рынка Identity Security и как бизнесу закрыть эти риски.
Управление привилегированным доступом: что показало новое исследование рынка
Управление привилегированным доступом остаётся одним из самых слабых мест корпоративной защиты: по данным нового исследования рынка Identity Security в России, около 87% компаний уже столкнулись с инцидентами, связанными с учётными записями и компрометацией идентификационных данных сотрудников. Об этом рассказал директор по продуктовому развитию компании «Индид» Андрей Лаптев в интервью CNews, опубликованном 21 октября 2026 года.
Рынок Identity Security — решений для управления учётными записями, доступом и привилегиями — по итогам 2025 года достиг 17 млрд рублей. Самый крупный его сегмент — PAM (Privileged Access Management): на него приходится 34% рынка, или 5,8 млрд рублей, а за 2025 год сегмент вырос на 13%. Для сравнения: сегмент многофакторной аутентификации (MFA) и единого входа (SSO) прибавил 7%, а решения класса IdM и IGA растут на 16% в год.
Для бизнеса, который работает с конфиденциальной информацией, коммерческой тайной и персональными данными, это не абстрактная статистика, а прямое указание на то, где искать пробелы в защите. Каждая выданная без контроля привилегия и каждая забытая учётная запись администратора — потенциальная точка входа для атаки или утечки.
Что такое PAM и кто относится к привилегированным пользователям
PAM (Privileged Access Management) — управление привилегированным доступом — класс решений и практик, который контролирует учётные записи с расширенными правами: кто ими пользуется, когда, к каким системам и с каким результатом. В отличие от обычной учётной записи сотрудника, привилегированная учётная запись даёт доступ к критичным настройкам, базам данных, сетевому оборудованию или финансовым операциям — поэтому именно она представляет наибольший риск при компрометации, ошибке или злом умысле.
К привилегированным пользователям обычно относят несколько категорий:
- системных администраторов и DevOps-инженеров с доступом к серверам, базам данных и сетевой инфраструктуре;
- администраторов бизнес-приложений — 1С, ERP, CRM, систем документооборота;
- топ-менеджмент и сотрудников, которые работают с финансовыми данными, персональными данными клиентов и коммерческой тайной;
- подрядчиков и внешних исполнителей — ИТ-аутсорсинг, интеграторов, вендоров оборудования, которым нужен временный доступ к инфраструктуре заказчика;
- сервисные (технические) учётные записи — доступы приложений, скриптов и интеграций;
- ИИ-агентов, которые всё чаще получают доступ к корпоративным данным и системам для автоматизации задач.
Задача PAM — не просто пустить или не пустить пользователя в систему, а контролировать, что происходит после входа: какие команды выполняются, какие данные просматриваются и изменяются, и можно ли при необходимости восстановить полную картину произошедшего.
Кого касается рост инцидентов с учётными данными
Проблема затрагивает компании любого размера — от среднего бизнеса до крупных корпораций с распределённой ИТ-инфраструктурой. Ответственность за управление привилегированным доступом обычно лежит на ИБ-директорах (CISO), ИТ-директорах (CIO) и системных администраторах, но последствия инцидентов — утечки, простой сервисов, репутационный и финансовый ущерб — касаются всей организации.
Многофакторная аутентификация стала базовым требованием: её применяют 70% компаний. Но лишь 36% смогли распространить защиту на весь штат сотрудников и всю инфраструктуру — остальные оставляют часть систем и пользователей без второго фактора, и именно эти пробелы чаще всего используют злоумышленники.
С контролем привилегированных пользователей ситуация ещё тревожнее. Специализированные PAM-системы используют только 36% компаний, а 64% полагаются на организационные меры — регламенты, инструкции, ручные проверки — без технического контроля действий администраторов и других пользователей с расширенными правами. Ручные меры не фиксируют отклонения от регламента автоматически и не дают доказательной базы при расследовании инцидента.
Отдельная зона риска — доступ подрядчиков и внешних исполнителей: только 32% компаний используют PAM для управления их правами. Подрядчики часто получают доступ к критичным системам на время проекта, но после его завершения права вовремя не отзываются — классический сценарий, через который происходят атаки на производство и инфраструктуру.
Как работает PAM-система: архитектура и ключевые функции
Технически PAM-система строится вокруг нескольких взаимосвязанных компонентов. Центральный элемент — сейф (хранилище) паролей и секретов: зашифрованное централизованное хранилище, где находятся пароли, ключи и сертификаты привилегированных учётных записей. Пользователь не видит сам пароль — система выдаёт доступ через прокси-подключение и может автоматически менять («ротировать») пароль по расписанию или сразу после завершения сессии.
Второй элемент — запись и мониторинг сессий администраторов: PAM-система журналирует или записывает действия привилегированного пользователя — выполненные команды, открытые файлы, изменённые настройки. Это не инструмент слежки, а доказательная база: при расследовании инцидента ИБ-команда видит точную хронологию событий, а не реконструирует её по разрозненным логам.
Остальные функции дополняют эти два базовых механизма:
- workflow заявок и согласований — доступ выдаётся не автоматически, а после подтверждения ответственным лицом;
- Just-in-Time доступ — повышенные права выдаются на ограниченное время под конкретную задачу, а не бессрочно;
- многофакторная проверка перед выдачей привилегии — дополнительный барьер даже для уже авторизованного сотрудника;
- аналитика поведения пользователей — выявление отклонений от типичного шаблона действий администратора;
- интеграция с SIEM и другими системами мониторинга — события PAM становятся частью общей картины ИБ.
Привилегированный доступ и MFA в цифрах: где бизнес защищён, а где есть пробелы
Собрали ключевые показатели исследования в одной таблице — она наглядно показывает, какие именно участки защиты сотрудников и привилегированных учётных записей чаще всего остаются без технического контроля.
| Показатель | Значение |
|---|---|
| Компании с инцидентами из-за учётных записей | 87% |
| Компании, применяющие MFA | 70% |
| Компании, распространившие MFA на всю инфраструктуру | 36% |
| Компании с выделенной PAM-системой | 36% |
| Компании, использующие PAM для доступа подрядчиков | 32% |
| Доля PAM на рынке Identity Security | 34% (5,8 млрд руб.) |
| Рост сегмента PAM за 2025 год | 13% |
| Новые сотрудники, подключённые к системам в течение 4 часов | 28% |
| Компании со стандартизированным/стратегическим уровнем зрелости Identity Security | 46% |
| Инциденты из-за несанкционированной активности сервисных учётных записей | 35% |
| Инциденты из-за ошибок администраторов при выдаче прав | 43% |
| Компании без политики для ИИ-агентов | 19% |
| Компании, полностью запрещающие ИИ-агентов | 20% |
PAM, IAM, IGA, PIM и PUM: в чём разница и как они связаны
Термины вокруг управления доступом часто путают, хотя у каждого — своя зона ответственности. Общая логика такая: IAM управляет учётными записями и доступом всех пользователей, IGA добавляет к этому слой контроля и отчётности, а PAM (как и его синонимы PIM и PUM) — специализируется именно на привилегированных учётных записях.
| Система | Что контролирует | Для кого применяется |
|---|---|---|
| IAM (Identity and Access Management) | Жизненный цикл учётной записи: создание, изменение прав, отзыв при увольнении | Все сотрудники компании |
| IGA (Identity Governance and Administration) | Контроль соответствия прав политикам, периодическая сертификация доступа, отчётность для аудита | Все сотрудники, фокус на комплаенс |
| PAM (Privileged Access Management) | Выдача, запись и контроль сессий с расширенными правами, хранение секретов | Администраторы, подрядчики, сервисные УЗ, ИИ-агенты |
| PIM / PUM (Privileged Identity / User Management) | Те же задачи, что и PAM — различие в терминологии у разных вендоров и аналитиков | Администраторы и привилегированные пользователи |
На практике эти системы не конкурируют, а дополняют друг друга: IAM и IGA выстраивают общий порядок доступа для всей компании, а PAM берёт на себя самый чувствительный участок — учётные записи, компрометация которых способна нанести наибольший ущерб.
Чем грозит бизнесу отсутствие контроля привилегированного доступа
Статистика исследования, приведённая выше, напрямую переводится в конкретные бизнес-риски. Если 87% компаний уже сталкивались с инцидентами из-за учётных записей, а 43% таких случаев вызваны ошибками при выдаче прав, это означает, что без технического контроля привилегированного доступа компания практически гарантированно столкнётся с одним из следующих сценариев:
- утечка персональных данных, конфиденциальной информации или коммерческой тайны через скомпрометированную или избыточную учётную запись администратора;
- нарушение требований 152-ФЗ о защите персональных данных и связанные с этим санкции регулятора;
- простой критичных систем из-за неконтролируемых действий администратора или подрядчика, в том числе на объектах, подпадающих под требования 187-ФЗ о безопасности критической информационной инфраструктуры;
- невозможность восстановить хронологию событий при расследовании инцидента, если действия привилегированных пользователей не журналировались;
- репутационный ущерб и потеря доверия клиентов и партнёров при публичной утечке.
Главная особенность этих рисков в том, что они реализуются не через сложную внешнюю атаку, а через обычную повседневную практику — бессрочные права, доступ подрядчика, который забыли отозвать, или сервисную учётную запись, за которой никто не следит.
Сервисные учётные записи и ИИ-агенты — новая зона риска
Помимо учётных записей сотрудников, растёт число сервисных (технических) учётных записей — доступов для приложений, скриптов, интеграций и теперь ИИ-агентов. По данным исследования, несанкционированная активность сервисных учётных записей затронула 35% компаний, а самой частой причиной инцидентов — 43% случаев — стали ошибки администраторов при выдаче прав доступа.
ИИ-агенты — новая категория идентичности, для которой у большинства компаний пока нет внятной политики: 19% организаций вообще не регулируют их использование, а 20% полностью запрещают такие инструменты. Оба подхода не решают проблему: запрет не останавливает сотрудников от использования ИИ-сервисов в обход правил, а отсутствие регламента оставляет без контроля доступ агентов к корпоративным данным и системам.
Ситуацию усугубляет то, что права доступа в большинстве компаний выдаются без привязки к задаче и сроку: почти половина организаций предоставляет их бессрочно, и лишь четверть работает по принципу Just-in-Time — то есть выдаёт доступ ровно на время выполнения конкретной задачи. Похожая картина и с онбордингом: только 28% компаний подключают новых сотрудников к нужным системам в течение первых 4 часов, остальные теряют время и часто выдают права «с запасом», которые потом никто не отзывает.
PAM, Zero Trust и принцип наименьших привилегий
PAM — это практический инструмент реализации модели Zero Trust («никому не доверяй, всегда проверяй») применительно к привилегированным учётным записям. Вместо того чтобы один раз выдать администратору или подрядчику широкий набор прав и доверять ему постоянно, Zero Trust требует проверять каждый запрос на доступ отдельно, независимо от того, кто его делает и где находится пользователь.
На практике это реализуется через принцип наименьших привилегий (least privilege) и Just-in-Time доступ: сотрудник или сервисная учётная запись получает ровно тот объём прав, который нужен для конкретной задачи, и ровно на то время, пока задача выполняется. Как показывает исследование рынка, по этому принципу пока работает лишь около четверти компаний — остальные выдают права бессрочно, что прямо противоречит логике Zero Trust и увеличивает поверхность атаки.
Для бизнеса переход к Zero Trust и Just-in-Time доступу не требует одномоментной перестройки всей инфраструктуры — обычно это происходит поэтапно, по мере внедрения PAM-системы и пересмотра политик доступа для каждой группы привилегированных пользователей.
Критерии выбора PAM-системы: чек-лист для ТЗ
При подготовке технического задания или сравнении решений на тендере удобно опираться на единый список критериев. Ниже — базовый чек-лист, который закрывает большинство практических задач управления привилегированным доступом.
| Критерий | Почему важен |
|---|---|
| Хранение и ротация паролей/секретов | Исключает хранение паролей администраторов в открытом виде и их передачу напрямую |
| Запись и воспроизведение сессий | Даёт доказательную базу при расследовании инцидентов |
| Just-in-Time доступ и workflow согласования | Исключает бессрочные права «на всякий случай» |
| Поддержка сервисных УЗ и ИИ-агентов | Закрывает новую и быстрорастущую зону риска |
| Отдельный контур для подрядчиков | Позволяет ограничивать доступ сроком проекта и отзывать его автоматически |
| Интеграция с AD/LDAP, SIEM и системами MFA | Встраивает PAM в существующую инфраструктуру без дублирования процессов |
| Отказоустойчивость и масштабируемость | Критично, так как PAM становится точкой входа ко всем привилегированным системам |
| Наличие в реестре отечественного ПО | Требование для госсектора, КИИ и компаний с программой импортозамещения |
| Модель лицензирования и совокупная стоимость владения | Определяет итоговую стоимость с учётом роста числа учётных записей |
Этапы внедрения PAM-системы
Внедрение PAM — это не разовая установка ПО, а проект, который затрагивает процессы ИТ и ИБ. Типовой порядок внедрения выглядит так:
- инвентаризация привилегированных учётных записей — администраторов, сервисных УЗ, доступов подрядчиков — многие компании на этом этапе впервые получают полную картину того, сколько таких УЗ существует;
- разработка политики доступа и матрицы ролей — кто, к каким системам и на каких условиях может получать повышенные права;
- пилотное внедрение на ограниченном контуре — обычно на одной группе систем или одном отделе, чтобы проверить сценарии и настройки без риска для всей инфраструктуры;
- поэтапное подключение остальных систем и пользователей с переносом паролей в сейф и настройкой ротации;
- настройка workflow согласования заявок и Just-in-Time доступа для каждой группы привилегированных пользователей;
- обучение администраторов и ИБ-команды работе в новом режиме;
- опытная эксплуатация с донастройкой правил по результатам реальной работы;
- перевод в промышленную эксплуатацию и регулярный аудит журналов сессий.
Сроки сильно зависят от масштаба инфраструктуры и числа систем, которые нужно подключить: пилотный проект на ограниченном контуре обычно занимает несколько недель, а полное покрытие всех привилегированных учётных записей в крупной организации с распределённой инфраструктурой растягивается на несколько месяцев.
PAM и регуляторные требования в России
Контроль привилегированного доступа — не только внутренняя практика безопасности, но и требование ряда регуляторов. Для информационных систем, обрабатывающих персональные данные, действует 152-ФЗ «О персональных данных» — контроль доступа администраторов к базам с ПДн напрямую влияет на выполнение этого закона. Для государственных информационных систем и информационных систем персональных данных ФСТЭК России устанавливает требования к мерам защиты, включая разграничение и контроль привилегированного доступа.
Объекты критической информационной инфраструктуры подпадают под 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» — здесь контроль действий администраторов и подрядчиков, обслуживающих промышленные и технологические системы, особенно важен из-за потенциального масштаба последствий. Финансовые организации дополнительно ориентируются на ГОСТ Р 57580 — отраслевой стандарт защиты информации для финансового сектора.
Отдельный фактор — импортозамещение: для государственных заказчиков и значимых объектов КИИ важно, чтобы используемое программное обеспечение, включая средства защиты информации, было включено в реестр отечественного ПО, который ведёт Минцифры России. Это снижает регуляторные риски и упрощает прохождение проверок.
PAM-решения на российском рынке
Как показывает уже упомянутое исследование рынка Identity Security, сегмент PAM в России оценивается в 5,8 млрд рублей и растёт быстрее смежных направлений — на 13% за 2025 год. На рынке представлено несколько российских решений, многие из них включены в реестр отечественного ПО, что стало особенно значимым после ограничений на использование зарубежного программного обеспечения в госсекторе и на объектах КИИ.
При выборе решения разумно ориентироваться не на маркетинговые заявления, а на чек-лист критериев, приведённый выше, и на то, насколько решение интегрируется с уже используемой у вас инфраструктурой — каталогом пользователей, системой MFA, SIEM. Мы, как партнёр СКБ Контур, предлагаем в этом направлении линейку Контур.Эгида: она закрывает задачи контроля привилегированного доступа в связке с многофакторной аутентификацией и мониторингом действий сотрудников, что избавляет от необходимости интегрировать между собой разрозненные продукты разных производителей.
Что делать бизнесу: как выстроить управление привилегированным доступом
Эксперты сходятся в том, что одного внедрения MFA или отдельной PAM-системы недостаточно — важны процессы и общая зрелость управления доступом. Авторы исследования выделяют четыре уровня зрелости Identity Security — от начального до стратегического, и пока только 46% российских компаний относят себя к двум высшим уровням: стандартизированному и стратегическому.
- Внедрить PAM-систему для всех привилегированных учётных записей — администраторов, сервисных аккаунтов, подрядчиков — а не только регламенты и ручные проверки.
- Перейти на принцип Just-in-Time: выдавать повышенные права не бессрочно, а на срок выполнения конкретной задачи.
- Сократить время подключения новых сотрудников к нужным системам и одновременно исключить выдачу избыточных прав «с запасом».
- Отдельно контролировать доступ подрядчиков и внешних исполнителей — ограничивать его сроком проекта и отзывать сразу после завершения работ.
- Включить сервисные и ИИ-агентские учётные записи в общую систему контроля доступа, а не оставлять их без политики.
- Регулярно проверять действия администраторов и пользователей с расширенными правами: автоматический контроль снижает долю инцидентов, вызванных человеческими ошибками при выдаче прав.
Каждый из этих шагов закрывает конкретный риск, подтверждённый статистикой исследования — от компрометации учётных записей до неконтролируемого доступа подрядчиков и ИИ-агентов.
Частые вопросы об управлении привилегированным доступом
Что такое управление привилегированным доступом (PAM)?
Это набор технических и организационных мер контроля над учётными записями с расширенными правами — администраторов, сервисных аккаунтов, подрядчиков. PAM-система фиксирует, кто, когда и к каким системам получал повышенный доступ, и позволяет ограничивать его по времени и задаче.
Почему одной многофакторной аутентификации недостаточно?
MFA защищает вход в систему, но не контролирует, что пользователь делает после входа и какие у него права. По данным исследования, 70% компаний применяют MFA, но лишь 36% распространили её на всю инфраструктуру, а отдельного контроля привилегированных действий у большинства компаний всё ещё нет.
Какой сценарий инцидента встречается чаще всего?
Чаще всего — 43% случаев — причиной становятся ошибки администраторов при выдаче прав, например избыточные или бессрочные права, которые никто не отзывает. Дополнительный риск создают сервисные учётные записи приложений и интеграций: их несанкционированная активность затронула 35% компаний.
Нужно ли контролировать доступ подрядчиков отдельно?
Да: PAM для управления доступом подрядчиков используют лишь 32% компаний, хотя именно внешние исполнители часто получают доступ к критичным системам на время проекта. Без отзыва прав после завершения работ такой доступ надолго остаётся источником риска.
Как ИИ-агенты влияют на управление привилегированным доступом?
ИИ-агенты — новая категория учётных записей, которой нужны полномочия для работы с данными и системами. Сейчас 19% компаний не регулируют их использование, а 20% полностью их запрещают — оба подхода не заменяют контроль доступа, нужный такому агенту для безопасной работы.
Чем PAM отличается от IAM?
IAM управляет учётными записями и доступом всех сотрудников компании — от приёма на работу до увольнения. PAM — более узкое и глубокое решение именно для привилегированных учётных записей: администраторов, подрядчиков, сервисных УЗ. На практике PAM часто внедряют как дополнение к уже существующей системе IAM, а не как её замену.
Сколько времени занимает внедрение PAM-системы?
Сроки зависят от масштаба инфраструктуры. Пилотный проект на ограниченном контуре систем обычно занимает несколько недель, а полное покрытие всех привилегированных учётных записей в крупной организации с распределённой инфраструктурой может растянуться на несколько месяцев.
Нужен ли сертификат ФСТЭК для PAM-системы?
Это зависит от типа информационной системы. Для государственных информационных систем и систем, обрабатывающих персональные данные на высоких уровнях защищённости, требования ФСТЭК России могут предполагать использование сертифицированных средств защиты информации — это стоит уточнять отдельно для конкретной системы и класса защищённости.
Как PAM связан с принципом Zero Trust?
PAM — это практический инструмент реализации Zero Trust для привилегированных учётных записей: вместо постоянного доверия администратору или подрядчику система проверяет и ограничивает каждый запрос на доступ, в идеале — по принципу Just-in-Time, то есть выдавая права ровно на время выполнения задачи.
Итог: привилегированный доступ нужно не запрещать, а контролировать
Исследование рынка Identity Security показывает: управление привилегированным доступом в большинстве российских компаний держится на организационных мерах и доверии, а не на техническом контроле. Риск концентрируется именно там, где его легче всего закрыть — в учётных записях администраторов, сервисных аккаунтов и подрядчиков.
Закрыть эти пробелы помогают специализированные решения для защиты учётных записей и привилегированного доступа. Мы, как партнёр СКБ Контур, предлагаем бизнесу решения линейки Контур.Эгида: многофакторную аутентификацию для входа в Windows, VPN, RDG и ADFS, а также инструменты контроля действий привилегированных пользователей и мониторинга сотрудников — именно то, что закрывает пробелы, на которые указывает исследование: бесконтрольные права администраторов, доступ подрядчиков и сервисных учётных записей.
Важно, что такой контроль не должен мешать работе: современные решения для MFA и управления привилегированным доступом работают незаметно для сотрудников, но дают ИБ-команде полный контроль и журнал действий для расследования инцидентов — то, чего, по данным исследования, не хватает большинству компаний при ручном контроле доступа.
При выборе конкретного решения стоит ориентироваться на чек-лист критериев — поддержку Just-in-Time доступа, запись сессий, интеграцию с уже используемой инфраструктурой и, для госсектора и КИИ, присутствие в реестре отечественного ПО. Это помогает не просто закрыть формальное требование регулятора, а выстроить управление привилегированным доступом как часть общей стратегии Zero Trust, а не как разовую техническую меру.
📢 Новые правила, сроки и требования для бизнеса коротко разбираем в Telegram-канале «Контур-Центр» — подписывайтесь, чтобы не пропустить важное.
