Почему управление секретами становится новым стандартом безопасности Enterprise-компаний

В 2025 году 56% российских компаний увеличили свои расходы на киберзащиту. Тем не менее около 94% собственных пентестов бизнеса до сих пор заканчиваются захватом корпоративного контура. Бюджеты распределяются в сторону средств сетевой защиты внешнего периметра, но кейсы резонансных кибератак на российские компании подтверждают: хакеры все чаще стремятся нанести критический ущерб изнутри, получив доступ к инфраструктуре. В последние два года одними из самых часто атакуемых сотрудников стали именно специалисты, обладающие административным доступом к ИТ-системам.

Используя потенциальные уязвимости или фишинг, злоумышленники пытаются получить доступ к секретам — чувствительным данным, необходимым для доступа к ИТ-инфраструктуре. Для читателей Кибер Медиа Алишер Камалов, лидер системы управления секретами StarVault в Orion soft, объясняет, почему у компаний возникают сложности с хранением секретов и какие факторы заставляют бизнес менять подход к управлению конфиденциальными данными.

Не только пароль: какими бывают секреты

Секреты — это различные конфиденциальные данные для доступа к инфраструктуре: логины и пароли, API-ключи, административные данные для доступа к серверам, цифровые сертификаты для защищенного соединения между приложениями, конфигурации для пайплайнов, секреты микросервисов Kubernetes, веб-токены. Не стоит путать их с обычными пользовательскими паролями — секреты дают привилегированный или сервисный доступ к инфраструктуре, а не только возможность пользователю войти в приложение или сервис. В крупных организациях, где достаточно развито ИТ-направление, количество секретов может достигать десятков тысяч.

Утечка даже одного такого секрета может привести к развитию масштабной кибератаки. Например, в 2016 году злоумышленники проникли в GitHub-репозиторий инженеров Uber, где обнаружили учетные данные от облака Amazon Web Services и смогли украсть данные 57 млн пользователей. В 2022 году Toyota предупредила клиентов о возможной утечке данных: компания обнаружила в открытом доступе на GitHub ключ доступа, который позволял получить данные из приложения для связи смартфона с мультимедиасистемой автомобилей T-Connect. Ключ хранился в открытом доступе в течение пяти лет.

Проблема Enterprise — фрагментация секретов

Многие компании до сих пор хранят чувствительные данные в незашифрованном виде, не принимая во внимание кейсы утечек. Согласно исследованию GitGuardian, в 2026 году около 29 млн секретов находятся в публичном доступе. При этом 64% секретов, обнаруженных в 2024 году, с тех пор не обновлялись.

По мере развития компаний их ИТ-инфраструктура масштабируется. Конфиденциальных данных и политик безопасности становится больше, и бизнес сталкивается с проблемой фрагментации секретов — проще говоря, хаосом в управлении ими. Пароли и API-ключи хранятся прямо в коде или конфигурационных файлах, сертификаты не обновляют по истечении их срока действия, доступ к базам данных происходит через «вечные» пароли, ключи для доступа к серверам отзывают вручную. Без системного подхода растет риск нарушения корпоративного compliance, несанкционированного доступа и проникновения хакеров в инфраструктуру.

Как выглядит системный подход к управлению секретами

Единое хранилище

Согласно стандарту, который сформировался на мировом рынке за последние годы, секреты не должны находиться в открытом доступе. При системном подходе они помещаются в единое хранилище. Оно должно быть безопасным, и для его защиты часто используют технологии шифрования. Например, один из распространенных вариантов, который реализуют как западные, так и российские разработчики систем управления секретами, — это технология ключа Шамира. Для расшифровки хранилища необходим ключ распечатки, который разделяется на пять частей и распределяется между пятью различными доверенными сотрудниками (настраиваемый параметр). Расшифровать хранилище возможно, только собрав минимум три ключа из пяти. Это обеспечивает повышенную защиту от взлома. Даже если хакер получит один из ключей, он не сможет расшифровать хранилище.

Доступ по модели Zero Trust

Доступ к каждому секрету настраивается по модели «нулевого доверия», в которой изначально «все запрещено». Настройка доступа к каждому секрету происходит по отдельным правилам, которые четко разграничивают зоны доверия — например, команда DevOps может читать все, а приложение — только свой пароль от базы данных. Каждое обращение к секрету логируется, система показывает, кто, когда и к какому секрету обращался. Это обеспечивает прозрачность и возможность интеграции с ИБ-инструментами для расследования возможных инцидентов.

Динамические пароли с автоматизированной ротацией

Системный подход подразумевает также замену «вечных» паролей на динамические. Например, если компания привлекает для обслуживания инфраструктуры внешнего подрядчика, для него создаются одноразовые учетные данные. Контрагент запрашивает доступ, система верифицирует его обращение и выдает доступ на определенное время — как билет на концерт или общественный транспорт. Эта функция особенно актуальна, учитывая, что каждая четвертая атака сегодня совершается через подрядчиков.

Сама система управления секретами в свою очередь должна получать регулярные обновления, проходить внутренние и внешние проверки на уязвимости.

Почему это становится стандартом в России

Стандарт системного подхода к управлению секретами изначально сформировало иностранное решение HashiCorp Vault. Но с 2023 года его использование стало юридически небезопасным. Вендор перевел собственное хранилище секретов с открытой лицензии MPL 2.0 на лицензию BSL, которая является открытой только частично. Заплатить за лицензию «по-белому» при этом российские компании не могут, так как вендор ушел из страны.

Изменение политики западного вендора дало старт спросу на российские решения с аналогичной функциональностью. Но сегодня на рынке все большую роль играют и другие факторы, которые делают централизованное управление секретами необходимостью даже для тех, кто не пользовался HashiCorp Vault.

Параллельно с тем, как HashiCorp ужесточала лицензионную политику, на российском рынке появлялись все новые и новые требования регуляторов к защите корпоративных контуров. Например, в марте 2026 года в силу вступил приказ ФСТЭК №117, обязывающий усилить защиту государственных информационных систем. Для организаций, которые развивают собственные цифровые сервисы и разрабатывают ПО, существует ГОСТ Р 56939-2024 по безопасной разработке, который предписывает организовать централизованное хранение, защищенную выдачу и отзыв, ротацию секретов, контроль доступа к ним. Регуляторы напрямую предписывают компаниям менять устаревающие подходы к управлению учетными данными.

Темпы масштабирования инфраструктуры

В Enterprise-компаниях постоянно увеличивается количество секретов. Появляются новые проекты и роли, инфраструктура наращивает мультитенантность — то есть одни и те же системы использует все больше независимых команд, у которых могут быть разные уровни доступа. Управлять таким объемом учетных данных и политик вручную становится неэффективно и рискованно. Поэтому российские решения, нацеленные на Enterprise, обеспечивают поддержку мультитенантности и развивают функциональность namespaces — возможность добавлять в систему новые проекты и команды без создания отдельного кластера под каждого нового пользователя.

Рост количества кибератак на инфраструктуру

В первом квартале 2026 года уже 77% от всех атак на российском рынке составили атаки на объекты критической инфраструктуры. Хакеры стремятся организовать высококритичные инциденты — закрепиться в корпоративном контуре, изучить его и нанести как можно больший ущерб. При этом наложенные средства для внешнего периметра — это только одна ступень защиты. Цена отсутствия внутреннего контроля секретов, как показывают последние крупные кейсы кибератак, становится слишком высокой.

Российский рынок управления секретами только начал формироваться, но эти факторы обеспечивают ему высокоскоростные темпы роста.

Рост российского рынка управления секретами

По оценке Orion soft, среди компаний, внедряющих систему управления секретами, только половина замещает имеющийся продукт HCV. Другие 50% внедряют практики управления секретами «с нуля», стремясь повысить защищенность ИТ-инфраструктуры. При этом 60-70% компаний внедряют такое ПО как часть практики безопасной разработки.

Активнее всего спрос на системы управления секретами растет в финансовом, нефтегазовом и энергетическом секторах — именно там сконцентрирована большая часть объектов КИИ. Но в ближайшие годы стоит ожидать расширения тренда и на другие отрасли.

Выводы

Управление секретами становится универсальной задачей Enterprise по нескольким основным причинам.

Первая — любая крупная компания с развитой цифровой инфраструктурой рано или поздно наращивает объем секретов, которыми очень сложно управлять вручную.

Вторая — цена утечки стала слишком высокой. Системы управления секретами становятся инструментом для снижения влияния человеческого фактора, сокращения киберрисков и предотвращения убытков.

Третья — несоблюдение регуляторных требований не только влечет юридические проблемы, но и ограничивает развитие собственных цифровых сервисов. Чем быстрее компания обеспечит централизованное хранение секретов и подтвердит безопасность разработки, тем быстрее получит преимущество на рынке в части защищенности собственных продуктов.

В результате рынок «пересобирает» практику управления секретами: ищет не только функциональность, но и решение, которое поддерживается отечественным разработчиком и развивается под российский реалии. Те, кто уже начинает внедрение, получают преимущество на рынке: сокращают трудозатраты, увеличивают управляемость инфраструктуры и могут плавно выстроить интеграцию системы управления секретами со смежным ПО, сохранив стабильность бизнес-процессов.