PAM — оптом и в розницу
В Москве прошла IV PAMференция, организованная «АйТи Бастион». ИБ-сообщество оценило зрелость российского рынка ИБ, а практикующие безопасники поделились ценными знаниями.
Само словосочетание «ИБ-рынок» в заголовках деловых СМИ обычно звучит довольно абстрактно: чаще всего речь о долях, выручке, темпах роста, новых продуктах и интеграциях. На своей четвёртой ежегодной конференции «АйТи Бастион» возвращает словам буквальный смысл. В этот раз на PAMференции стенды участников были оформлены как торговые лавки: продукты — в продуктовых корзинах, все свежие и соблюдают требования ГОСТ ФСТЭК. После «Алисы в стране чудес», морской экспедиции с Петром I и Джеймса Бонда, ИБ-ярмарка меняет регистр: впервые антураж совпадает с содержанием — весь день участники говорили про цены, окупаемость и то, как PAM теперь продавать.
К примеру, заместитель директора по развитию бизнеса «АйТи Бастион» Константин Родин сделал доклад о запуске первой в России MSSP-программы для PAM. Начинали с того, как рынок устроен сейчас: классическую PAM-систему до сих пор представляют только в виде дорогой и тяжелой on-prem-инсталляции, где лицензия, штат администраторов и операционные траты могут доходить до сумм в десятки миллионов рублей и до года времени закупки. Соседние сегменты ИБ — коммерческие SOC, anti-DDoS и email security давно ушли в подписку. PAM оставался последним, куда сервисная модель не добралась. Второй тезис Родина — про самого CISO и его роль: он перестает быть просто закупщиком средств защиты, становясь управляющим портфелем рисков, которому приходится отчитываться перед советом директоров и финансовым директором на понятном им языке: NPV, payback и ROI. Сервисная модель вполне отвечает такой тенденции и готова к выходу на рынок: в сроках подключения можно ориентироваться на месяц, соглашения с провайдерами Nubes и OXYGEN уже подписаны, а ещё — на ЦИПРе в Нижнем Новгороде был намечен страховой контур с «АльфаСтрахованием». Подписка полностью повторяет on-prem-решение и не является облегчённой версией, а лицензия и администрирование переходят на сторону сертифицированного партнёра. Такой подход подкрепляют и цифры: согласно исследованию Piccard, на модельной организации ROI классического варианта поставки оценили примерно в 201% с окупаемостью менее 10 месяцев. У сервисного варианта показатель возврата инвестиций сильно выше из-за почти отсутствующего CAPEX.
С позиции прилавка поговорили, но что думает покупатель? Доклад Сергея Фомина из Минцифры Кузбасса — это полтора года ежедневной эксплуатации системы в региональном ЦОД. Поговорили о том, зачем понадобился PAM, как проходят расследования инцидентов и по каким критериям выбор остановился на СКДПУ НТ. В первую очередь, коллегам было важно получить отзывчивого разработчика, чью систему было бы удобно интегрировать и поддерживать в нужном часовом поясе. Понятный интерфейс и российские корни продукта — само собой. Итог полутора лет работы — прозаичный, но настоящий: полное отсутствие критичных инцидентов, связанных с пользователями, и выросший уровень защищенности.
Были представлены и лавки с сопутствующими товарами, что свидетельствует о зрелости решения: PAM должен и может встраиваться в экосистему. К примеру, коллеги из банка-заказчика представили интеграцию СКДПУ НТ с 2FA по RADIUS-протоколу: украденный пароль без второго фактора не даёт доступа ни сотруднику, ни подрядчику. Генеральный партнёр конференции «Газинформсервис» представил Efros DefOps NAC — контроль доступа на сетевом уровне в логике «нулевого доверия»: около 30% атак в 2025 году начинались с компрометации сторонних подрядчиков. «Базис» разобрал синергию PAM и VDI: если через VDI мы решаем ИТ-задачи и видим сам факт входа в систему, то что происходит внутри сессии — нет. «Можно ли обойтись без PAM? Можно, а зачем?» Конечно, не обошлось и без ИИ: Максим Прокопов из Axxtel говорил про нейросети и как про инструмент защиты, и как про новую поверхность атаки, которую тоже нужно контролировать.
ИБ-ярмарка представила и новые продукты: теперь «Синоникс» от «АйТи Бастион» принадлежит к собственному классу решений — СКИО (система контроля информационного обмена). Заместитель генерального директора по развитию бизнеса Владимир Перминов сформулировал эту идею так: PAM контролирует, кто и что делает внутри контура, а СКИО — что пропускается между корпоративным сегментом и технологическим. В совокупности получается защищённый удалённый доступ к АСУ ТП end-to-end. Отдельно коснулись и перехода с приказа ФСТЭК №17 на №117 — изменения в «Синониксе» под требуемые стандарты уже размечены.
Ближе к финалу официальной части бизнес- и техно-треки слились воедино. Общую сессию завершили продуктовые стратеги «АйТи Бастион» — директор Дмитрий Михеев и руководитель развития продуктов Алексей Ширикалов в докладе «Сегодня и завтра PAM-систем». Показали роадмап СКДПУ НТ 3.1: планируется новый интерфейс, аутентификация по SSH-ключам и OAuth 2.0, а также проактивный мониторинг с автоматической блокировкой сессий и управление всеми сервисами из единого UI-интерфейса. До конца года были обещаны Discovery, веб-клиенты RDP и SSH, управление секретами, публичный API и собственный язык запросов ntQL. Дмитрий Михеев же рассказал в целом о развитии класса: контроль повышения привилегий, MFA/SSO, поведенческая аналитика и скоринг, zero-trust с микросегментацией и динамическими политиками, управление секретами, а также шлюзы для API, ML и агентов. Одна из ключевых мыслей, отсылающих к «Синониксу» — контроль доступа и контроль обмена информацией сегодня сливаются воедино.
И самая важная и неотъемлемая часть конференции — вопросы из зала: конечно, тоже состоялась. На бизнес-треке слушателей заметно меньше интересовала красивая подача — важно было понять, как кейсы работают на практике: как именно заводят инфраструктуру в СКДПУ НТ, кого и как подключать, что брать под контроль и т.д. Отдельно обсуждалась проверка подрядчиков не только «на бумаге», но и «на деле» — чтобы не получалось так, что подрядчики по документам в Новосибирске, а по факту — где-нибудь в Таиланде. Получается, что PAM не отменяет необходимости выдвигать требования по ИБ к контрагентам — технологии и организационные меры работают только сообща.
Так что же разговор о привилегированном доступе говорит о зрелости рынка? Главное — что он научился считать деньги. Ещё пару лет назад внедрение PAM защищали ссылкой на регулятора и известные кибератаки. Теперь — окупаемостью и сэкономленными человеко-часами. Считать ROI рынок выучился ровно потому, что, кажется, не может оценить реальные риски: инциденты в России часто замалчиваются, статистики нет, и аргумент «гипотетический ущерб» давно не проходит у финансового директора. Во-вторых, рынок научился не доверять. Ещё недавно всё строилось на доверии к бренду, поставщику, подрядчику — но теперь нужно мыслить критически, а недоверие оформлять в процесс.
До встречи в следующем году!