IAM-системы в 2026 году: как выстроить управление доступом и не потерять контроль над инфраструктурой

16.06.2026

Анастасия Розанова

Автор

Пока одни компании продолжают выдавать права доступа вручную и узнают об уволившемся сотруднике с активным аккаунтом спустя месяцы, другие уже выстраивают автоматизированные системы, где каждое изменение в кадровой базе моментально отражается на правах в десятках корпоративных сервисов. Разрыв между этими двумя подходами — это не только вопрос удобства, но и вопрос безопасности, ведь значительная доля успешных кибератак начинается с компрометации учетных данных сотрудников или использования избыточных привилегий. Кибер Медиа разбирается, как устроены IAM-системы, с чего начинать их внедрение в российских условиях, чем они отличаются от PAM-решений и какое место занимают в архитектуре Zero Trust.

Содержание:

Что такое IAM

Identity and Access Management — это целая концепция управления цифровыми идентичностями: кто является пользователем, к каким ресурсам он имеет доступ, при каких условиях этот доступ предоставляется и как он прекращается. В зрелом виде IAM охватывает весь жизненный цикл учетной записи — от момента, когда сотрудник приходит в компанию, до момента, когда он ее покидает, — и все, что происходит между этими событиями: смена должности, переход в другой отдел, временное расширение прав для конкретного проекта.

Исторически управление доступом в большинстве компаний было ручным и децентрализованным. Каждая система — корпоративная почта, ERP, файловые хранилища, CRM — управляла учетными записями самостоятельно. Когда в организации десять систем и сто сотрудников, это еще может работать. Когда систем пятьдесят, а сотрудников — тысяча, ручное управление превращается в источник постоянных ошибок: кто-то получает лишний доступ, кто-то не получает нужный, а уволившиеся продолжают числиться активными пользователями в системах, о которых просто забыли.

IAM-система решает эту проблему через централизацию: все операции с учетными записями и правами проходят через единую точку управления. Изменения в кадровой системе автоматически транслируются в изменения прав во всех подключенных приложениях. Новый сотрудник получает стандартный набор доступов в соответствии со своей ролью еще до первого рабочего дня.

Дмитрий Бабич

Ведущий инженер отдела сопровождения информационных систем, UDV Group

IAM не заменяет существующую инфраструктуру, а встраивается поверх нее как управляющий слой. AD, 1С, корпоративные порталы и другие системы остаются на своих местах — меняется сам подход к управлению доступами. На практике IAM становится единой точкой, через которую проходят операции с учетными записями и правами. 1С остается источником кадровых данных, AD — каталогом пользователей, а приложения — точками доступа. IAM связывает их и задает логику: кому и какие доступы положены. За счет этого исчезает разрозненное управление, когда права выдаются отдельно в каждой системе. Изменения автоматически применяются во всей инфраструктуре.

Важно понимать, что IAM — это не замена Active Directory или других каталогов, а надстройка над ними. Компания не переписывает существующую инфраструктуру, а добавляет слой, который управляет ею в соответствии с бизнес-логикой. Именно поэтому внедрение IAM при правильном подходе не требует болезненной перестройки IT-среды и может идти поэтапно, не нарушая текущих рабочих процессов.

С чего начинать внедрение

Один из самых распространенных сценариев неудачного внедрения IAM выглядит так: компания замахивается на полный охват — подключить все системы, автоматизировать все сценарии, выстроить идеальную ролевую модель с первого дня. Проект разрастается, сроки сдвигаются, команда теряет ориентиры, и в итоге либо внедрение затягивается на годы, либо система запускается в усеченном виде, не решая ни одной из заявленных задач.

Наибольший эффект в первые месяцы дает фокус на базовых, хорошо понятных процессах. Первый из них — управление жизненным циклом учетных записей: автоматическое создание аккаунтов при приеме на работу, изменение прав при переводе, немедленная блокировка при увольнении. Это решает сразу несколько проблем: убирает «забытые» активные аккаунты, устраняет избыточные права, снижает нагрузку на IT-отдел и дает службе безопасности прозрачность.

Второй быстрый выигрыш — внедрение Single Sign-On. SSO позволяет сотруднику входить во все корпоративные системы с одним набором учетных данных, устраняя необходимость помнить десятки паролей и снижая вероятность того, что люди будут использовать слабые или одинаковые пароли в разных сервисах. Для службы безопасности SSO означает нечто важное: единую точку контроля аутентификации. Аномальный вход, подозрительная активность, попытка использовать скомпрометированные учетные данные — все это становится видимым в одном месте.

Дмитрий Бабич

Ведущий инженер отдела сопровождения информационных систем, UDV Group

Управление жизненным циклом учетных записей: создание, изменение и блокировка доступов при приеме, переводе и увольнении сотрудников, — автоматизация этих операций быстро убирает типовые проблемы. Дальше все это подключают к основным системам: AD, 1С и паре ключевых бизнес-приложений. Этого обычно достаточно, чтобы перестать управлять доступами «вручную» и свести все в одну точку. Дополнительно быстрый эффект дает внедрение SSO: для пользователей это удобство, для ИБ — единая точка контроля аутентификации.

После того как базовые процессы запущены и стабилизированы, можно расширять охват — постепенно подключать новые системы и усложнять ролевую модель. Каждый новый этап должен опираться на работающую базу, а не добавляться поверх нерешенных проблем предыдущего.

Вячеслав Селихов

Ведущий пресейл-инженер Cloud Networks

Для того, чтобы избежать ошибок внедрения IAM, нужно начать с процессов создания карты жизненного цикла. Последовательно — поэтапно, от простого к сложному. Провести инвентаризацию учетных записей для исключения несуществующих, лишних. После внедрения IAM, внедрить PAM для ПП, не смешивая задачи в одном инструменте. С периодичностью проводить аудит и уточнения необходимости прав доступа (подтвердить или отозвать). Сделать доступный интерфейс для всех, с решением вопроса за пару кликов.

IAM и PAM: в чем разница

Разграничение между IAM и PAM — один из тех вопросов, которые на первый взгляд кажутся сугубо техническими, но на самом деле имеют принципиальное значение для архитектуры безопасности. IAM управляет доступом всех пользователей — тысяч рядовых сотрудников, которые каждый день открывают почту, работают в CRM и обращаются к корпоративным порталам. PAM (Privileged Access Management) — это отдельный класс решений, предназначенный исключительно для управления привилегированными учетными записями: системными администраторами, DevOps-инженерами, сервисными аккаунтами, внешними подрядчиками с доступом к инфраструктуре.

Одним инструментом обойтись вряд ли возможно, потому что природа рисков принципиально разная. Компрометация учетной записи рядового сотрудника — неприятный инцидент, который, как правило, имеет ограниченные последствия. Компрометация учетной записи системного администратора — потенциально катастрофа для всей инфраструктуры. Именно поэтому к привилегированным аккаунтам применяются совершенно иные меры контроля: временный характер выданных прав, обязательная запись всех действий в сессии, возможность немедленного прерывания подозрительного сеанса, использование паролей, известных только PAM-системе и недоступных самому пользователю.

Последовательность внедрения обычно такова: сначала IAM — для наведения порядка с массовым управлением учетными записями, затем PAM — для защиты критичных административных доступов. Попытка решить обе задачи одновременно одним инструментом, как правило, заканчивается тем, что ни одна из них не решается в полной мере.

Zero Trust: от концепции к практике

Zero Trust — это архитектурная концепция, которая отказывается от идеи «доверенного периметра». В традиционной модели безопасности внутренняя сеть считается доверенной зоной: все, что внутри, по умолчанию может взаимодействовать с другими ресурсами внутри. Zero Trust говорит: никакого доверия по умолчанию нет ни для кого и ни для чего — ни для внешних пользователей, ни для внутренних, ни для устройств в корпоративной сети. Каждое обращение к ресурсу требует верификации: кто этот пользователь, с какого устройства он работает, соответствует ли запрос его типичному поведению и политикам безопасности.

Концепция звучит привлекательно, но ее практическая реализация — особенно в российских условиях — сопряжена с серьезными ограничениями. Большинство организаций работают с унаследованными системами, которые проектировались без учета модели Zero Trust и плохо вписываются в ее требования. Переход к полноценной Zero Trust-архитектуре требует значительных инвестиций — не только финансовых, но и организационных: нужно пересматривать процессы, обучать людей, менять укоренившиеся практики.

Дмитрий Бабич

Ведущий инженер отдела сопровождения информационных систем, UDV Group

Полноценный Zero Trust в строгом виде встречается редко — особенно в российских реалиях, где часто приходится работать с унаследованными системами и сложной ИТ-структурой. Чаще это не готовая модель, а постепенное усиление контроля доступа через практические меры: минимальные привилегии, регулярную проверку прав, сегментацию доступа и отказ от постоянного доверия к пользователю или устройству. IAM здесь выступает базовым слоем: он управляет идентификацией и правами доступа. Без него невозможно поддерживать актуальную модель доступа в масштабе организации. При этом IAM не реализует Zero Trust в одиночку — он работает вместе с MFA, мониторингом, контролем устройств и сетевой сегментацией.

В российском контексте актуальность Zero Trust дополнительно усиливается несколькими факторами: ростом числа атак с использованием скомпрометированных учетных записей, переходом на отечественные IT-системы (который нередко происходит в сжатые сроки, без должного внимания к безопасности), а также требованиями регулятора, которые становятся все более конкретными в части управления доступом.

Вячеслав Селихов

Ведущий пресейл-инженер Cloud Networks

Принцип Zero Trust особенно важен в российских реалиях с ростом внутренних атак, компрометации учетных записей, фишинга, брутфорса, перехода на отечественные ИТ-системы, требований регулятора и нехватка финансовых и человеческих ресурсов. IAM с функцией MFA — ключевой механизм реализации Zero Trust. Для доступа обязателен дополнительный фактор (токен, push, биометрия, SMS). В российских условиях используют ГОСТ-криптографию и токены с ЭЦП, одноразовые пароли (OTP) по ГОСТ Р ИСО/МЭК 27001, встроенные решения в СКЗИ.

Будущее IAM

Индустрия IAM переживает период активной трансформации. Три темы доминируют в обсуждениях: беспарольная аутентификация, биометрия и применение искусственного интеллекта для управления доступом. Все три — реальны, но в разной степени зрелости.

Алексей Хмельницкий

Генеральный директор компании RooX

За последние несколько лет IAM отлично оконтурился как система. Уже мало у кого вызывает вопросов, зачем он требуется и какое место занимает в архитектуре. И может показаться, что будущее IAM заключается только в появлении новых методов аутентификации. Но я думаю, что ближайшие пути развития IAM в другом. Во-первых, это identity и управление доступов для автономных агентов. Эта уже не задача будущего, а настоящего. Полагаю, у крупных заказчиков уже к концу года появятся конкретные планы по этому направлению на 2027 год.

Во-вторых, это IAM для B2B (партнеры, подрядчики и другие юрлица). Сейчас это направление не стандартизовано не только у нас, но и в целом в мире. В третьих, управление правами доступа. В более старых архитектурах это направление было отведено системам IDM. Но в современных системах задачу вполне может решать IAM с некоторыми расширенными функциями.

Passwordless-аутентификация — наиболее продвинутое из трех направлений. Пароль — слабое звено, которое можно

украсть, угадать, перехватить. Аппаратный ключ или криптографический токен — принципиально иной уровень защиты. Однако полный отказ от паролей сталкивается с практическими ограничениями.

Дмитрий Бабич

Ведущий инженер отдела сопровождения информационных систем, UDV Group

IAM сейчас развивается не в сторону «одной большой революции», а в сторону постепенного усложнения и автоматизации уже существующих механизмов. Passwordless — это уже не теория, а вполне рабочая практика. Во многих корпоративных средах постепенно уходят от паролей в пользу push-уведомлений, аппаратных ключей, сертификатов и SSO-схем. Но полностью отказаться от паролей пока нельзя: пароли всё ещё остаются в унаследованных системах и как резервный механизм.

Биометрия технически вполне работоспособна, но ее массовое внедрение сдерживается организационными и регуляторными барьерами. Вопросы хранения биометрических данных, ответственности за их утечку, доверия со стороны сотрудников — все это замедляет внедрение даже там, где техническая база готова. Тем не менее точечные применения уже существуют.

Вячеслав Селихов

Ведущий пресейл-инженер Cloud Networks

Биометрия — это уже ближе к реальности, стоит вспомнить планы одной отечественной авиакомпании применить бесконтактную биометрию при посадке. С ростом и накоплением корпоративных данных их анализом, с помощью ИИ, повышается качество этих данных, что позволяет использовать качественно новые методы для обнаружения угроз.

Применение ИИ в IAM-системах — самое перспективное и одновременно наименее зрелое из направлений. Сегодня машинное обучение уже используется для анализа поведенческих аномалий: система замечает, что пользователь вошел с нетипичного устройства, в нетипичное время, из нетипичной географии — и повышает уровень проверки или блокирует сессию. Это полезно, но ограничено реактивной функцией. Следующий шаг — проактивное управление правами на основе анализа паттернов использования: система сама рекомендует, какие права следует отозвать как избыточные, или предупреждает об аномальном накоплении привилегий. Полностью автономное принятие решений о доступе пока остается перспективой: цена ошибки слишком высока, чтобы убрать человека из контура принятия решений.

Итого

Общий вектор развития IAM-систем прослеживается четко: меньше паролей, больше контекста при принятии решений о доступе, непрерывная оценка риска вместо разовой проверки при входе. Компании, которые начинают выстраивать IAM сегодня, через три-пять лет окажутся в значительно лучшей позиции — и с точки зрения безопасности, и с точки зрения готовности к новым технологиям, — чем те, кто продолжает управлять доступами вручную.