Сектор решений для управления привилегированным доступом (PAM) продолжает оставаться самым крупным сегментом на российском рынке Identity Security. По прогнозам, его объем к концу 2025 года составит 5,8 миллиарда рублей, что на 13% больше по сравнению с предыдущим годом. При этом темпы роста рынка опережают внедрение PAM в самих организациях. Эти данные были озвучены в исследовании «Identity Security 2026» компании «Индид». Редакция IT Speaker ознакомилась с результатами.
Султан Салпагаров, архитектор по информационной безопасности в Getmobit, отметил, что внедрению PAM-решений в организациях могут препятствовать следующие факторы:
-
Эффективный контроль доступа требует отлаженных бизнес-процессов согласования. В условиях инцидентов, когда администратор начинает контроль разрушений в реальном времени, получение согласования может стать критическим препятствием.
-
Сама PAM-система. В случае ее сбоя работа в условиях инцидента приведет к полной блокировке. При этом сама система защиты от администраторов может оставаться вне контроля администраторов или требовать увеличения штата сотрудников по безопасности.
«На первый взгляд, ситуация выглядит парадоксально: объем продаж растет, а количество внедрений – нет. Однако в этом нет ничего необъяснимого. Во многих компаниях, особенно крупных, имеется значительное количество унаследованных кастомизированных систем. Интеграция PAM с такими системами – это сложная и трудоемкая задача, поэтому важно, чтобы PAM-решение было гибким и настраиваемым. Не каждый отечественный вендор может этим похвастаться. Есть еще один аспект: управление привилегированным доступом – это комплекс организационных и технических мероприятий, поэтому скорость внедрения зависит как от качества проработки организационных вопросов, так и от возможностей реализовать эти мероприятия с помощью приобретенного продукта», – рассказал IT Speaker Андрей Акинин, директор по продукту направления систем управления привилегированным доступом ГК InfoWatch, объясняя, почему распространение PAM-решений отстает от роста рынка.
При этом Игорь Еньков, владелец продукта Innostage PAM, компании Innostage, среди основных причин отставания внедрения PAM-решений указывает недостаток бюджета или нежелание выделять средства на подобные решения. По его словам, зачастую решения о закупках принимают руководители, ориентированные на быструю окупаемость, а не на долгосрочное управление киберрисками.
Согласно исследованию «Индид», специализированные PAM-решения пока что не применяются во всех сценариях привилегированного доступа. Для контроля администраторов их используют 36,5% российских организаций, а для внешних подрядчиков – 32%. Во многих компаниях управление таким доступом по-прежнему осуществляется преимущественно на основе регламентов и логирования.
Схожая ситуация наблюдается и в отношении распространения Zero Trust. Только 16,5% организаций уже внедрили основные элементы концепции нулевого доверия.
Еще 22% применяют элементы Zero Trust исключительно для внешних подключений и подрядчиков. Для многих организаций PAM пока остается инструментом для отдельных сценариев, а не основой общей модели управления привилегированным доступом. Еще один показатель этого разрыва – срок действия выданных полномочий. В 45,5% компаний права остаются в силе до их ручного отзыва. Таким образом, доступ, необходимый для выполнения конкретной задачи, может продолжать действовать и после завершения этой работы.
Один из возможных сценариев инцидентов из-за ручного отзыва – это сохранение доступов уволенных сотрудников, отметил Султан Салпагаров. Забытые доступы становятся причиной подавляющего большинства успешных атак. Администраторы инфраструктуры, как правило, имеют полный контроль над информационным ландшафтом.
«Могут возникать довольно экзотические сценарии: сотрудник перемещается из одного отдела в другой с изменением зоны ответственности, например, разработчик переходит в отдел маркетинга. У него остается доступ к репозиторию с открытым кодом и права администратора БД, о которых забыли. А если он переходил несколько раз, то у него может накопиться целый шлейф унаследованных привилегий. В случае компрометации такой учетной записи злоумышленник получает доступ сразу к нескольким ресурсам различных подразделений. Сотрудник может иметь доступ к общим привилегированным учетным записям. После увольнения его данные заблокировали, а пароли общих учетных записей не были изменены. Ситуация может усугубиться, если этот сотрудник уволился по причине конфликта. Нелояльный сотрудник с расширенными правами может удалить данные, нарушить работу ИТ-систем или организовать утечку персональных данных. Это представляет собой серьезный риск для компании, который часто остается без внимания», – добавил Андрей Акинин.
Более точный подход Just-in-Time, при котором необходимые права предоставляются только на время выполнения задачи, используют 26% организаций. В этом случае срок действия привилегий определяется не только ролью сотрудника, но и конкретной задачей, для которой они нужны, а также сроком ее выполнения.
Тем не менее, переход от постоянных привилегий к модели Just in Time влечет за собой дополнительные сложности. Андрей Акинин отметил, что поддержка модели Just in Time – это трудоемкая задача, требующая автоматизации процессов предоставления доступа. Ключевая проблема заключается в том, что переход требует четкой организации самого процесса согласования. Децентрализованная модель согласования доступа с использованием автоматических правил может решить эту задачу, но она не всегда реализуется во всех PAM-системах.
«Организационные меры в таких случаях требуют постоянной инвентаризации доступов и отзыва просроченных. Из-за особенностей реализации информационных систем внешний контроль со стороны IdM не всегда возможен, поэтому возникают проблемы, которые одновременно являются техническими и организационными», – отметил Султан Салпагаров.
В «Индид» считают, что следующий этап развития российского рынка PAM будет связан не только с дальнейшим распространением специализированных решений. Меняется сама модель привилегированного доступа – от постоянных прав и контроля отдельных подключений к более точному управлению полномочиями. В этой модели доступ предоставляется для конкретной задачи, в необходимом объеме и прекращается, когда в нем больше нет нужды.
Игорь Еньков отмечает, что российские PAM-решения уже без проблем справляются с большинством классических сценариев их применения: управление паролями, аудит доступа, фрагментация доступов, инвентаризация ресурсов и аккаунтов. Однако в сравнении с зарубежными продуктами все еще существует определенное отставание в работе с облачными средами, а также с сервисами и машинными учетными записями.
Эксперты поделились своими прогнозами о трендах, которые будут определять рынок PAM в России в ближайшие два-три года. По словам Андрея Акинина, с ростом автоматизации ИТ-инфраструктуры и использованием ИИ-агентов возрастет спрос на универсальный контроль не только человеческих, но и нечеловеческих пользователей. Также будет востребована бесшовная интеграция: с одной стороны, потребуется обеспечить контроль привилегированного доступа растущего числа нечеловеческих сущностей, с другой стороны – необходима связь с системами идентификации, проверки контекста и оценки рисков, тикет-системами. Главным фактором роста станут растущие киберугрозы и развитие ИИ-атак.
«IdM будут развиваться как экстенсивно – сокращение разрыва с западными конкурентами в количестве коннекторов, – так и интенсивно – увеличение функциональности, удобства и количества поддерживаемых сценариев с учетом российских реалий», – прокомментировал Султан Салпагаров.
Ранее редакция IT Speaker сообщала, что по итогам 2025 года российский рынок безопасности идентификации (Identity Security) достигнет 17 миллиардов рублей. Крупнейшим сегментом остается управление привилегированным доступом (PAM) с долей 34,6%, а наиболее динамичное развитие среди PAM, IdM и MFA демонстрирует направление IdM/IGA – 16% за год. 87,5% опрошенных компаний сталкивались с инцидентами, связанными с учетными записями и правами доступа.
ИТ-рынок в РФ может вырасти до 5,1 трлн рублей к 2032 году
