IAM и PAM — разные задачи
IAM управляет учётными записями и правами доступа для всех пользователей, PAM отдельно контролирует привилегированный доступ к критичным системам. Внедряем оба компонента вместе или по отдельности.
Нет услуг
IAM/PAM + управление доступом
IAM/PAM — управление идентификацией, доступом и привилегированными учётными записями
Управляем тем, кто и как получает доступ к вашим системам: от выдачи и отзыва прав при найме, переводе и увольнении сотрудника до контроля и записи сессий администраторов, подрядчиков и специалистов на аутсорсинге, работающих с критичной инфраструктурой.
Для руководителя коротко
Доступ есть только у тех, кому он нужен
Задача этой услуги — обеспечить, что доступ к системам есть только у тех, кому он нужен, ровно в том объёме, который нужен, и что действия администраторов и подрядчиков с широкими правами можно проконтролировать и расследовать при необходимости.
Не заменяет решение заказчика
Система управления доступом снижает риск избыточных и забытых прав, но не заменяет решение организации о том, кому какой доступ действительно нужен.
Когда актуально
Когда особенно актуально
Особенно актуально в следующих ситуациях.
Нет единой картины прав
В компании нет единой картины, у кого какие права доступа и почему.
Доступ отзывается не сразу
При увольнении или переводе сотрудника доступ к системам отзывается не сразу или не полностью.
Широкие привилегии без контроля
Администраторы, подрядчики или аутсорсеры имеют широкие привилегии без записи сессий и контроля действий.
Нужна многофакторная аутентификация
Нужно внедрить МФА для удалённого и привилегированного доступа в соответствии с применимым нормативным режимом.
Есть значимые объекты КИИ
Применимый состав мер предусматривает идентификацию, аутентификацию и управление доступом, а также переход на предусмотренное законодательством российское ПО.
С чего начинаем
С чего начинаем, если инфраструктура ещё не готова
Отвечаем на типичные опасения перед стартом проекта.
Не знаете, сколько у вас записей и прав?
Начинаем с инвентаризации — учётные записи, роли, права доступа, привилегированные аккаунты, включая забытые и никому не принадлежащие.
Опасаетесь нарушить бизнес-процессы?
Модель проектируется на основе фактических потребностей доступа и тестируется на ограниченной группе пользователей, прежде чем применяться повсеместно.
Не уверены, нужен ли IAM, PAM или оба?
Обсуждаем это отдельно — обычно начинают с компонента, который закрывает наиболее критичный риск: массовое управление учётными записями (IAM) или контроль привилегированного доступа (PAM).
Что важно учитывать
Система снижает риск избыточных прав, но ролевая модель строится на основе бизнес-процессов, которые определяет заказчик.
Соседние услуги
Как это соотносится с соседними услугами
Несколько услуг относятся к информационной безопасности, но решают разные задачи.
Разница по существу
IAM/PAM контролирует, кто и с какими правами получает доступ к системам; межсетевые экраны/VPN/IDS-IPS и NDR контролируют, что происходит в сети; SIEM/SOAR сводит сигналы от всех источников, включая IAM/PAM, в единую картину. Компрометация учётной записи и компрометация сети — разные, хотя и связанные риски.
Из чего складывается
Из чего складывается IAM/PAM
Эти элементы не заменяют друг друга: IAM управляет учётными записями и правами доступа для всех пользователей; PAM отдельно контролирует наиболее рискованную категорию — привилегированный доступ; идентификация и аутентификация — общий фундамент для обоих.
Важно понимать границы: система контролирует технический процесс выдачи, использования и отзыва прав, но не принимает решение о том, кому какой доступ нужен, — это остаётся ответственностью заказчика.
Идентификация и аутентификация. Однозначное определение пользователя или устройства перед предоставлением доступа; где применимо — строгая или усиленная многофакторная аутентификация.
Управление жизненным циклом (IAM). Автоматизированное создание, изменение и отзыв учётных записей и прав при найме, переводе, увольнении — там, где поддерживается интеграцией с кадровой системой.
Ролевая модель. Права назначаются на основе роли и фактической потребности; периодический пересмотр выявляет избыточные и неиспользуемые права. В согласованном объёме учитываются и сервисные учётные записи.
Привилегированный доступ (PAM). Контроль, запись и, где согласовано, ограничение по времени или задаче сессий администраторов, подрядчиков, аутсорсеров.
Мониторинг и аудит. Журналирование действий в системах управления доступом и, при поддержке платформой, аналитика подозрительного поведения привилегированных пользователей.
Форматы работы
Форматы работы
Можем выполнить полный цикл или отдельные этапы — в зависимости от того, что уже есть в инфраструктуре.
Аудит и инвентаризация
Существующие учётные записи, права доступа, привилегированные аккаунты, включая избыточные и никому не принадлежащие.
Проектирование ролевой модели
Разграничение прав доступа на основе фактических потребностей бизнес-процессов, а не текущих ad hoc назначений.
Внедрение IAM
Автоматизация жизненного цикла учётных записей — создание, изменение, отзыв прав при найме, переводе, увольнении.
Внедрение PAM
Контроль, запись и, где согласовано, ограничение по времени и задачам сессий привилегированных пользователей.
Настройка МФА
Многофакторная аутентификация для удалённого и привилегированного доступа, с учётом применимого нормативного режима.
Сопровождение
Периодический пересмотр прав доступа, разбор инцидентов избыточного доступа, обновление ролевой модели.
Процесс
Как мы выстраиваем управление доступом
Прозрачный процесс позволяет понимать, что происходит на каждом этапе и какой результат он даёт.
Проводим аудит.
Учётные записи, права доступа, привилегированные аккаунты, интеграция с кадровой системой, если есть.
Проектируем ролевую модель.
На основе фактических потребностей доступа для основных ролей и бизнес-процессов.
Внедряем и настраиваем IAM.
Автоматизация жизненного цикла учётных записей — сначала для приоритетных систем и групп пользователей.
Внедряем и настраиваем PAM.
Контроль и запись сессий — сначала для привилегированных учётных записей и наиболее критичных систем.
Тестируем на ограниченной группе.
Проверка ролевой модели и процессов на практике, прежде чем распространять на всю организацию.
Передаём в сопровождение.
Периодический пересмотр прав, донастройка ролевой модели, разбор инцидентов избыточного доступа.
Что вы получаете
Что вы получаете
Результат проекта — работающая система управления доступом, а не просто поставленное ПО.
Управление жизненным циклом
Настроенную систему управления жизненным циклом учётных записей и правами доступа.
Ролевая модель под процессы
Ролевую модель, адаптированную под ваши бизнес-процессы.
Контроль привилегированных сессий
Контроль и запись сессий администраторов, подрядчиков, аутсорсеров.
Строгая и многофакторная аутентификация
При включении в проект соответствующего компонента — настроенную аутентификацию для предусмотренных сценариев доступа.
Регламент пересмотра прав
Регламент пересмотра прав доступа и реагирования на инциденты избыточного или несанкционированного доступа.
Особенности
Особенности и ограничения
Честно о границах технологии, чтобы ожидания совпадали с результатом.
- Ролевая модель отражает бизнес-процессы заказчика — система не решает организационные вопросы о том, кому какой доступ нужен.
- Первые недели после внедрения возможны отдельные случаи недостаточных прав, если не все процессы учтены заранее.
- Глубина интеграции с целевыми системами зависит от используемой платформы и поддерживаемых коннекторов.
- Для значимых объектов КИИ применимы требования 187-ФЗ к переходу на российское ПО, для отдельных заказчиков — ограничение по указу №166.
- IAM/PAM контролирует доступ к системам, но не заменяет защиту самой инфраструктуры — сетевую защиту, защиту почты и конечных точек.
Эскалация
Эскалация при критичном инциденте
Порядок согласуется на установочной сессии и фиксируется в договоре.
Что фиксируем заранее
Назначенных представителей заказчика и порядок их замещения, канал связи; целевое время оповещения о подтверждённом инциденте несанкционированного или избыточного доступа; порядок действий в отношении учётных записей — блокировка, отзыв прав — по умолчанию без предварительного согласования не предпринимается; порядок действий, если контакт недоступен.
Границы ответственности
Настройка IAM/PAM и предусмотренные договором сопровождение и оповещение о событиях входят в согласованный объём услуги. Расследование за пределами данных платформы и меры на затронутых системах выполняет команда заказчика, если иное не согласовано.
Метрики и конфиденциальность
Как измеряем результат и защищаем ваши данные
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.
- Доля учётных записей и систем, охваченных управлением жизненным циклом доступа, от согласованного объёма.
- Среднее время выполнения изменения прав при кадровом событии — найме, переводе, увольнении.
- Доля привилегированных сессий, записанных и доступных для аудита, от согласованного объёма.
- Количество и структура выявленных избыточных или неиспользуемых прав при периодическом пересмотре.
- Доля удалённого и привилегированного доступа, защищённого многофакторной аутентификацией.
- Не используем как показатель: общее число учётных записей само по себе — оно отражает масштаб, а не корректность контроля.
- Конфиденциальность: NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды и журналирование обращений к консолям.
- Согласованное место обработки и хранения материалов, ограниченный срок хранения с возвратом или уничтожением по окончании работ.
Регуляторный контекст
Регуляторный контекст
Ключевые нормы, применимые к идентификации, аутентификации и управлению доступом.
Меры ИАФ и УПД, приказ №117
Идентификация, аутентификация и управление доступом предусмотрены группами мер ИАФ и УПД — методический документ ФСТЭК от 12.04.2026 детализирует их. Для ГИС и связанных систем — приказ ФСТЭК №117 от 11.04.2025, вступивший в силу 1 марта 2026 года взамен приказа №17.
Приказы №21 и №239
Для информационных систем персональных данных — приказ №21, для значимых объектов КИИ — приказ №239. Конкретный состав и усиление мер ИАФ и УПД зависит от нормативного режима, класса защищённости или категории значимости.
Аутентификация по приказу №117
При удалённом доступе для служебных обязанностей (с учётом приказа ФСТЭК №137 от 08.05.2026, вступившего в силу 1 сентября 2026 года) — защита канала передачи и строгая или усиленная МФА. Для привилегированного доступа — строгая аутентификация, при технической невозможности — усиленная МФА.
187-ФЗ и российское ПО для КИИ
После изменений №58-ФЗ от 07.04.2025 (в силе с 1 сентября 2025 года) субъекты КИИ со значимыми объектами обязаны переходить на предусмотренное законом российское ПО в порядке и сроки Правительства РФ.
Указ Президента РФ №166
Для органов государственной власти и отдельных заказчиков дополнительно действует ограничение на иностранное ПО на значимых объектах КИИ по указу №166 от 30.03.2022, с учётом исключения «если иное не установлено федеральным законом» по указу №214 от 07.04.2025.
Материалы работ могут использоваться как документы, подтверждающие принятые меры защиты. Подтверждением полного соответствия нормативным требованиям сам по себе факт использования IAM/PAM-решений не является.
Порядок работы
Порядок работы, сроки, стоимость и приёмка
Прозрачный процесс от первичной оценки до передачи в сопровождение.
Как начинается работа
Бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → определение задачи, систем и нормативного режима → договор и NDA → аудит учётных записей и прав → проектирование ролевой модели → внедрение IAM и (или) PAM → тестирование на ограниченной группе → передача в сопровождение.
Объём и сроки
Объём определяется числом пользователей и систем, интеграцией с кадровой системой, составом компонентов и нормативным режимом. Ориентировочно: аудит и ролевая модель — от 3 до 5 недель; внедрение IAM и (или) PAM — от 4 до 8 недель.
Стоимость и приёмка
Стоимость зависит от числа пользователей и систем, состава компонентов, глубины интеграции и сопровождения — фиксируется до начала работ. В договоре — состав работ, критерии приёмки и порядок эскалации.
Почему IST
Почему IST
Проектируем ролевую модель под реальные бизнес-процессы, а не по типовому шаблону.
С 2011 года
В сфере информационной безопасности с 2011 года.
Более 80 специалистов
Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве.
Лицензии ФСТЭК и ФСБ
Работаем в рамках требований регуляторов на основании действующих лицензий.
Модель под реальные процессы
Проектируем ролевую модель под реальные бизнес-процессы, а не по типовому шаблону.
Тест на ограниченной группе
Тестируем на ограниченной группе перед распространением на всю организацию — меньше риска нарушить процессы.
Полный цикл
От базового периметра и IAM/PAM до NDR, SIEM/SOAR и проактивного мониторинга (SOC).
FAQ
Частые вопросы
Ответы на главные вопросы заказчиков.
- Чем IAM отличается от PAM? — IAM управляет жизненным циклом учётных записей и правами доступа для всех пользователей. PAM — отдельный компонент, который контролирует, записывает и ограничивает доступ пользователей с расширенными привилегиями. Их часто внедряют вместе, но можно начать с одного.
- Нужно ли внедрять сразу оба компонента? — Нет. Можно начать с того, что закрывает наиболее критичный риск — например, PAM, если риск в широких правах администраторов, или IAM, если проблема в разрозненном управлении учётными записями.
- Заменяет ли PAM обычные учётные записи администраторов? — Не обязательно полностью — зависит от архитектуры внедрения. PAM может выдавать временный доступ через выделенные механизмы либо контролировать и записывать сессии при сохранении существующих учётных записей.
- Какое ПО можно использовать на объектах КИИ? — Зависит от статуса объекта. По 187-ФЗ субъекты КИИ со значимыми объектами обязаны переходить на российское ПО в порядке Правительства РФ. Для органов власти дополнительно действует ограничение по указу №166.
- Что будет с текущими правами, если найдём избыточные? — Мы фиксируем найденное и согласовываем с вами порядок пересмотра — как правило, поэтапно, начиная с наиболее рискованных случаев.
Обсудить управление доступом
Оценим текущее состояние и предложим план внедрения
Расскажите, сколько у вас пользователей и систем, как сейчас устроено управление правами доступа и есть ли отдельный контроль привилегированных учётных записей. Первичная оценка — бесплатно, до 30 минут, без подключения к инфраструктуре.