Привилегированные доступы — особая защита по новым требованиям ФСТЭК

С 1 марта 2026 года вступили в силу Требования о защите информации, утвержденные Приказом ФСТЭК России № 117 от 11 апреля 2025 г. Теперь все государственные информсистемы (ГИС), системы госорганов и подведомственных учреждений при создании и модернизации обязаны соответствовать новому своду правил.

Одно из ключевых изменений — пункт 48 Требований, который вводит четкий порядок работы с привилегированными учетными записями. Разберем основные положения:

1. Отсутствие нелегальных доступов. Исключена возможность получения привилегированного доступа теми, кому он не положен, а также использование расширенных прав не по регламенту.

2. Минимум прав. Каждая привилегированная запись создается только под конкретные задачи пользователя.

3. Полная персонификация. Если у учетной записи есть права создавать другие привилегированные записи — она должна быть строго персональной.

4. Строгая аутентификация. Доступ — только через строгую либо усиленную многофакторную аутентификацию.

5. Разделение ролей. Запрещено совмещать в одной учетной записи функции администратора, разработчика и администратора безопасности.

6. Чистота активов. Все неиспользуемые привилегированные записи подлежат блокировке и удалению.

7. Сброс стандартных настроек. Встроенные записи (типа root или admin) должны быть отключены либо переименованы с полной сменой аутентификационных данных.

8. Тотальное логирование. Каждое действие под привилегированной записью регистрируется, контроль ведется постоянно.

Почему это стало критичным именно сейчас?

Многие компании уже живут с этими проблемами, но до 1 марта на них можно было закрывать глаза. Теперь за несоответствие — предписания и санкции. Узнаете свою ситуацию?

• Общий «рут» и никакой ответственности. Несколько администраторов ходят под одной общей записью с доступом к корневому домену. При инциденте киберкриминалисты просто не поймут, кто именно выполнил rm -rf или изменил конфигурацию на сотне серверов.

• Подрядчики как «черный ящик». Вендоры и аутсорсеры заходят удаленно (RDP, SSH), могут менять всё что угодно, но их действия нигде не записываются. Случись инцидент — доказать регулятору (да и самому себе), что подрядчик не украл данные, будет просто нечем.

• Слепая вера в сисадмина. Сотрудник с полным доступом к 1С, ERP или «Альт Сервер» копирует платежки в личную папку или проводит нерегламентные операции. У службы безопасности и топ-менеджмента нет инструментов это вовремя увидеть.

Ваша задача — вернуть контроль

Перед вами стоит хотя бы один из этих вопросов?

1. В инфраструктуре сотни «бесхозных» привилегированных записей и групп, которые невозможно контролировать?

2. Подрядчики и удаленные сотрудники могут технически повысить себе права или злоупотребить доступом?

3. После 1 марта 2026 года ваша система перестала соответствовать требованиям ФСТЭК?

4. Корпоративные данные уже под угрозой, и злоумышленникам открыт путь к ключевым системам?

Всё это решается с помощью Privileged Access Management (PAM) — систем управления привилегированным доступом.

Решение: Infrascope от NGR Softlab

Angara Security предлагает не просто коробочное средство, а внедрение и тонкую настройку Infrascope — российской PAM-системы от компании NGR Softlab. Решение закрывает все восемь требований п. 48 Приказа № 117 и полностью меняет подход к управлению доступами.

Мы обеспечиваем:

1. Полный контроль привилегированных записей. Управление паролями, правами и разрешенными наборами действий из единого окна.

2. Защита чувствительных данных. Маскирование информации (паспортные данные, финансы, персональные сведения) на лету, чтобы подрядчик или оператор не видели того, что им знать не нужно.

3. Непрерывное протоколирование. Каждое действие привилегированного пользователя записывается и доступно для аудита.

4. Безопасная рутина. Автоматизация типовых задач без передачи секретов и паролей в руки человека.

5. Второй фактор защиты. Дополнительная аутентификация для всех корпоративных систем.

6. Временные привилегии. Выдача доступов на время и строго по согласованию.

7. Полный цикл жизни секретов. Безопасное хранение, выдача и автоматическое обновление паролей, токенов и ключей.

8. Поведенческий анализ (UEBA). Автоматическое выявление аномалий в действиях администраторов. 

Как это работает на практике

Infrascope убирает прямой доступ к целевому ресурсу. Взамен создается защищенный изолированный сеанс, в котором:

• Для подрядчиков — полная сессионная запись. Система пишет видео с экрана и фиксирует ввод всех команд в тексте. Если подрядчик вдруг запускает скрипт шифрования или пытается стереть системные логи — офицер безопасности мгновенно завершает сессию. Доступно и наблюдение онлайн с возможностью перехватить управление.

• Для системных администраторов — цифровой профиль. Модуль поведенческой аналитики (UEBA) строит нормальный профиль поведения. Если администратор вдруг начал работать ночью или запускает нетипичные для себя команды, Infrascope оповещает SOC еще до того, как данные утекут.

• Для чувствительных данных — маскирование. Номера паспортов, карт и другие критичные сведения автоматически скрываются или подменяются «звездочками» — администратор работает с системой, но не видит секретных данных. 

Infrascope — первый российский PAM со встроенной поведенческой аналитикой, который превращает хаос в управлении доступом администраторов и подрядчиков в персонализированный, полностью подотчетный процесс.

Мы поможем закрыть требования регулятора, исключить риски компрометации и, наконец, понять, кто и что на самом деле делает в вашей инфраструктуре.