Ещё несколько лет назад под привилегированным доступом в первую очередь понимали доступ системного администратора: человек получает права root или Administrator и может управлять сервером, базой данных или другой критичной системой.
Но в современной инфраструктуре важными правами обладают не только люди, но и программы, сервисы и автоматизированные системы.
И чем активнее компании используют облачные хранилища, системы непрерывной интеграции и непрерывной доставки (CI — Continuous Integration и CD — Continuous Delivery), интерфейс программирования приложений (Application Programming Interface или API) и AI-агентов, тем больше становится таких машинных идентичностей — и тем сложнее контролировать их привилегии.
Сегодня программа может самостоятельно разворачивать приложения на production, резервный сервис — получать доступ к базам данных, а облачная роль — создавать и удалять виртуальные машины. Формально это не пользователи, но фактически они обладают серьёзными привилегиями.
Рост количества киберугроз повышает спрос на системы управления привилегированным доступом (Privileged Access Management или PAM).
Это хорошо видно по результатам опроса, проведенного «АМ Медиа» среди зрителей и участников эфира «Как выбрать лучший PAM в 2026 году?». По данным опроса, чаще всего за пределами полноценного контроля оказываются привилегии ИИ-агентов и автоматизированных сервисов — 68%. Почти столько же приходится на API-ключи, токены и секреты — 67%, а доступы CI/CD и DevOps-инструментов — 63%. Облачные роли и права набрали 52%.
То есть, главный вызов сегодня заключается уже не только в том, чтобы защитить администратора, а в том, чтобы понять, сколько привилегированных машинных идентичностей существует в инфраструктуре, какими правами они обладают и действительно ли им нужны все эти права.
Для сравнения, доступы системных администраторов находятся на уровне 34%, а сервисных учётных записей — 26%.
Иными словами, специалисты по информационной безопасности (ИБ) научились лучше контролировать привилегированные аккаунты, а вот новые типы машинного доступа зачастую остаются в стороне. При этом зачастую они могут обладать большими правами, чем «человеческие» учётки, отметил менеджер по продукту PAM Infrascope компании NGR Softlab Дмитрий Симак.
«В отличие от человеческой учётной записи, машинная или сервисная учётная запись часто используется сразу для взаимодействия с несколькими системами. Поэтому ей могут предоставлять довольно широкие привилегии. Сервисные учётные записи нередко остаются вне такого контроля. В результате их компрометация может привести не просто к взлому одной системы, а к получению доступа ко всем системам, с которыми эта учётная запись взаимодействует».
При этом человек зачастую неспособен самостоятельно отражать угрозы, создаваемые искусственным интеллектом. Об этом заявил Менеджер по развитию бизнеса Safeinspect ГК Солар Руслан Шарифуллин:
«Человек должен задавать границы и правила, но он физически не способен реагировать на угрозы за миллисекунды. Главная задача PAM сейчас — поставить нечеловеческие сущности: сервисы, программы и ИИ-агентов — в чёткие рамки и не позволять им выходить за пределы тех полномочий, которые действительно необходимы для их работы».
В то же время, зрители эфира отметили, что при выборе PAM они в первую очередь руководствуются удобством сервиса для администраторов и пользователей. Такой вариант выбрали 72% респондентов. Ещё 63% отметили простоту внедрения и эксплуатации сервисов. При этом вопрос цены заботит всего 41% проголосовавших. Эти данные показывают, что рынок хорошо осознает важность PAM для информационной безопасности, но потребители стремятся к улучшению условий работы.
Одним из способов упрощения работы с системой в будущем может стать интеграция ИИ в структуру PAM, отметил генеральный директор JumpServer PAM Денис Морозов:
«ИИ - единственная система достаточно мощная, чтобы разобраться в матрице прав и выдать PAM вердикт, что с риском там 92% у нас будет проблема если мы дадим такие права. И вывести это всё в таблицу с объяснениями. Дальше IT-специалист или специалист по информационной безопасности получит, условно, табличку, что пришла заявка на такие то права и такие то риски из этого следуют».
В целом участники дискуссии сошлись во мнении, что угрозы, создаваемые ИИ -агентами, не отменяют существование PAM как инструмента информационной безопасности Однако его функциональные возможности должны расширяться в сторону контроля нечеловеческих сущностей.
