Слабое звено КИИ: как управлять паролями в системах 1-й категории значимости без нарушения требований ФСТЭК

За последние годы ландшафт киберугроз в России изменился кардинально: атаки на государственный сектор и стратегические предприятия стали сложнее, а требования регуляторов к безопасности КИИ — жестче. Однако пока службы ИБ фокусируются на выстраивании сложных эшелонов защиты периметра, хакеры продолжают беспрепятственно проникать вглубь систем кратчайшим путем — через компрометацию учетных записей. Управление паролями до сих пор остается недооцененной «слепой зоной» для многих CISO, а использование Excel-таблиц или браузеров в защищенных контурах ведет к прямым штрафам ФСТЭК.

Кибер Медиа разбирает технические и правовые риски хаотичного хранения секретов, актуальные требования регулятора к контролю доступа и возможности корпоративных менеджеров паролей для системного решения этой проблемы.

Как учетные данные становятся вектором атак на КИИ

Когда речь заходит о защите критической инфраструктуры, фокус внимания ИБ-служб обычно смещается на внешний периметр. Организации инвестируют значительные бюджеты в развертывание NGFW, внедрение SIEM-систем или подключение к коммерческим SOC. Однако на практике злоумышленники все чаще обходят эти барьеры. Вместо

взлома периметра они используют самый простой вектор — компрометацию учетных записей. При этом глубина недооценки этой проблемы внутри защищенных контуров до сих пор остается критической.

Антон Незнаев, Ведущий ИБ-специалист ООО «Пассворк»

Проблема по-прежнему сильно недооценена. Формально все знают, что есть 187-ФЗ и приказ ФСТЭК №239, который прямо требует управлять средствами аутентификации. В 2024 году туда даже внесли дополнительные изменения приказом №159. Но на практике мы видим иллюзию защищенности. Компании вкладывают огромные бюджеты в сложные системы защиты вроде NGFW или SIEM, но забывают про базовые вещи.

Атакующим не нужно пробивать сложную защиту, если они могут просто зайти через парадную дверь. По свежим данным BI.ZONE за 2025 год, 39% киберинцидентов связаны с компрометацией привилегированных учеток, а в 57% случаев злоумышленники использовали действующие учетные данные. То есть хакеры идут по пути наименьшего сопротивления, и скомпрометированные пароли легитимных пользователей или сервисных аккаунтов остаются самым рабочим сценарием атаки.

Опасность усугубляется тем, что легитимный доступ, полученный злоумышленниками, полностью легализует их действия для стандартных систем мониторинга. Вместо внедрения очевидного вредоносного ПО хакеры используют встроенные административные инст

рументы операционных систем. Для SIEM-системы такие действия выглядят как рутинная работа штатного персонала. Но первоисточником этой уязвимости почти всегда выступает банальная халатность при организации хранения паролей внутри компании — использование Excel-таблиц, локальных текстовых файлов или встроенных менеджеров браузеров.

Антон Незнаев, Ведущий ИБ-специалист ООО «Пассворк»

Использование несертифицированных способов хранения паролей внутри критической инфраструктуры влечет за собой разные риски:

Отсутствие управляемости и доказуемости. В Excel или браузере нет разграничения прав, нет ротации, нельзя быстро отозвать доступ или посмотреть, кто что делал. Приказ №239 требует именно этого — аудита и контроля.

Технические угрозы. Браузерные менеджеры паролей — любимая цель хакеров. Стилеры вытаскивают сохраненные логины из Chrome или Edge за секунды. Кроме того, злоумышленники могут использовать фишинг для перехвата ПИН-кода от хранилища и экспортировать всю базу паролей. Для объекта КИИ 1-й категории это прямая потеря контроля над критической инфраструктурой.

Правовые последствия. Использование несертифицированного средства защиты там, где регулятор требует сертифицированного, само по себе нарушение — независимо от того, был инцидент или нет. При проверке ФСТЭК это зафиксируют вне зависимости от того, насколько хорош ваш продукт технически.

И есть момент, который часто упускают: сертификация — это не бюрократия, а доказуемое подтверждение независимой проверки. Без нее вы принимаете безопасность продукта на веру. Сертификация ФСТЭК — главный механизм в российском правовом поле, который дает доказуемое подтверждение безопасности продукта.

В результате хаотичное распределение секретов по незащищенным файлам и браузерам лишает ИБ-службу главного — возможности централизованно управлять доступом и оперативно реагировать на компрометацию учетных записей. Традиционные средства защиты периметра фиксируют аномалии слишком поздно, когда деструктивные действия в системе уже начались. Это превращает управление паролями из сугубо технической задачи в критически важный элемент общей стратегии выживания предприятия.

Что требует ФСТЭК России от критических систем

Для ГИС 1-го класса защищенности и значимых объектов КИИ 1-й категории требования к безопасности жестко регламентированы. Ключевыми нормативными актами здесь выступают Приказ ФСТЭК России № 76 и Приказ № 239. В ходе регуляторного аудита инспекторы проверяют не абстрактную «защищенность», а выполнение конкретных групп мер, под которые напрямую подпадает процесс управления учетными данными:

• Идентификация и аутентификация. Регулятор требует обязательного контроля жизненного цикла учетных записей (ИАУ.1) и запрещает использование обезличенных доступов (ИАУ.2). Если условный администратор заходит в систему под общей учеткой admin, это является грубым нарушением — ИБ-служба обязана точно знать, какое именно физическое лицо совершило действие.
• Управление доступом. Меры группы УПД.2 предписывают реализацию строгой ролевой модели. Доступ к технологическим сегментам или базам данных должен распределяться на основе принципа наименьших привилегий, исключая избыточные права.
• Регистрация событий безопасности. Согласно мере РСБ.1, обязательному журналированию подлежат любые действия с правами и секретами: создание, просмотр, изменение или удаление учетных данных. Лог-файлы при этом должны быть защищены от модификации.
• Обеспечение целостности. Требования ОЦЛ.1 обязывают защищать саму информацию о конфигурациях и доступах от несанкционированного чтения и подмены, что подразумевает использование сертифицированных механизмов криптографии.

Несмотря на прозрачность этих правил, на практике ИБ-директора годами сталкивались с серьезными регуляторными рисками при попытке автоматизировать данный процесс.

Антон Незнаев, Ведущий ИБ-специалист ООО «Пассворк»

Управление паролями исторически считалось некой внутренней админской рутиной, а не полноценным процессом безопасности. Регуляторика требует не просто выдать пароль, а управлять всем его жизненным циклом: хранением, ротацией, блокировкой при увольнении и аудитом доступа.

На практике же процесс часто не успевал за требованиями — и это объяснимо. Исследования ГК «Солар» показывают, что более 40% компаний не блокируют учетки уволенных сотрудников, а треть не ведет реестр технических аккаунтов. Не потому, что кто-то халатен, а потому что не было удобного инструмента, который бы встраивался в рабочий процесс. Требования были, а подходящих сертифицированных решений для КИИ — нет. Отсюда и «серая зона»: люди закрывали задачу как могли, подручными средствами.

Этот дефицит сертифицированных инструментов приводил к тому, что организациям приходилось закрывать глаза на технические несоответствия в надежде, что при проверке фокус внимания регулятора сместится на другие СЗИ. Однако с усилением контроля за объектами КИИ 1-й категории и ГИС 1-го класса комплаенс в части управления секретами стал обязательным условием для успешного прохождения любого государственного аудита.

Корпоративный менеджер паролей как инструмент комплаенса

Для закрытия требований регулятора в контуре ГИС и КИИ недостаточно просто внедрить организационные запреты — необходим технический инструмент, который автоматизирует контроль над секретами. Таким решением становится корпоративный менеджер паролей, развернутый строго в формате On-Premise. Локальная инсталляция гарантирует, что критически важные учетные данные не покинут изолированный периметр безопасности предприятия и не будут зависеть от доступности внешних облачных сервисов.

Соответствие жестким государственным стандартам обеспечивается за счет трех базовых архитектурных механизмов:

1. Шифрование на стороне клиента. Все пароли и секреты шифруются непосредственно на рабочем месте пользователя перед отправкой в базу данных. Сервер оперирует только зашифрованной информацией, к которой у системных администраторов или потенциальных злоумышленников нет ключей дешифрования.
2. Централизованная ролевая модель и интеграция с AD/LDAP. Права доступа к секретам распределяются автоматически на основе организационной структуры компании. Как только сотрудник меняет должность или увольняется, его учетная запись блокируется в едином каталоге, что мгновенно и превентивно лишает его доступа ко всем рабочим паролям в менеджере.
3. Неизменяемый аудит-лог. Система ведет непрерывное журналирование, фиксируя любое действие: создание, просмотр, редактирование или экспорт пароля. ИБ-служба получает полную прозрачность и защищенные от модификации логи, необходимые для расследования инцидентов и успешного прохождения государственных проверок.

Такая глубокая техническая автоматизация процессов ИБ отражает глобальные изменения в подходах крупных заказчиков к управлению безопасностью.

Антон Незнаев, Ведущий ИБ-специалист ООО «Пассворк»

Запрос стал гораздо более зрелым. Если раньше заказчики просто искали «какую-нибудь программу, чтобы хранить пароли», то сейчас им нужен комплексный инструмент. На это повлияли два фактора: ужесточение проверок по линии ФСТЭК и реальная практика атак через скомпрометированные учетки.

Сегодня на первый план выходит управляемость. Заказчикам нужно решение, которое одновременно снижает риск человеческой ошибки и закрывает требования регулятора без «серых зон». Наличие сертификата ФСТЭК по 4-му уровню доверия стало обязательным гигиеническим минимумом для КИИ 1-й категории. Это уже не выбор между удобством и комплаенсом. Заказчики хотят систему, где удобство работы администраторов жестко подчинено безопасности и проверяемости.

В результате современный менеджер паролей перестал быть просто утилитой для удобства ИТ-отдела. В инфраструктурах КИИ 1-й категории и ГИС 1-го класса он выступает как полноценное средство защиты информации, связывающее повседневные рабочие процессы сотрудников с обязательными требованиями законодательства.

Регуляторный прорыв: сертификация систем управления секретами

До недавнего времени на российском рынке корпоративного ПО существовал серьезный правовой и технический вакуум. Организации были вынуждены либо использовать несертифицированные решения на свой страх и риск, либо отказываться от автоматизации управления секретами в пользу архаичных и небезопасных методов.

Ситуация кардинально изменилась 30 апреля 2026 года, когда Пассворк официально получил сертификат соответствия ФСТЭК России № 5063 по 4-му уровню доверия. На сегодняшний день это первый и единственный менеджер паролей в стране, успешно прошедший столь жесткую процедуру регулятора. С юридической точки зрения 4-й уровень доверия полностью снимает любые ограничения на применение софта в критических контурах. Наличие этого сертификата позволяет официально и легально разворачивать Пассворк в самых защищаемых инфраструктурах:

• значимых объектах КИИ 1-й категории;
• ГИС 1-го класса защищенности;
• ИСПД 1-го уровня защищенности;
• АСУ ТП 1-го класса защищенности.

Техническое значение этого события гораздо глубже формального комплаенса. Сертификация по 4-му уровню доверия подтверждает, что исходный код продукта прошёл полный статический и динамический анализ на отсутствие недекларированных возможностей. Экспертный аудит подтвердил, что архитектура продукта, механизмы шифрования и эксплуатационные стандарты Пассворка полностью соответствуют требованиям российского законодательства в области защиты информации. Для ИБ-директоров это означает возможность закрыть давнюю слепую зону комплаенса без компромиссов с удобством пользователей.

Заключение

Безопасность любой критической инфраструктуры всегда определяется прочностью ее самого слабого звена. До тех пор, пока учетные данные от серверов КИИ или баз данных ГИС хранятся хаотично, риски успешных кибератак будут оставаться высокими, независимо от мощности внешних межсетевых экранов.

Появление на рынке сертифицированного менеджера паролей позволяет CISO полностью закрыть риски компрометации учетных данных внутри компании. Наличие официального статуса дает возможность легально автоматизировать управление секретами в самых критичных системах и проходить любые проверки регулятора, больше не выбирая между удобством пользователей и требованиями безопасности.

erid: 2SDnjbykC9x

* Реклама, Рекламодатель ООО «Пассворк», ИНН 2901311774.