# СКДПУ и PAM-система для предприятия — внедрение и интеграция | ICE Partners > Как ICE Partners проектирует и внедряет СКДПУ (PAM) на предприятиях: Бастион, Solar SafeInspect, интеграция с инфраструктурой, требования ФСТЭК и 187-ФЗ. Опыт реальных проектов. Source: https://icepartners.ru/blog/skdpu-bastion Published: 2026-06-16 --- # СКДПУ: система контроля доступа к привилегированным учётным записям К нам редко приходят с формулировкой «нам нужна СКДПУ». Чаще — с конкретным поводом: предстоящая проверка ФСТЭК, требование службы ИБ после внутреннего инцидента, или объект попал в реестр КИИ и теперь нужно закрывать регуляторные требования по 187-ФЗ. Иногда — после того как уволился системный администратор, и выяснилось, что никто точно не знает, к каким системам у него был доступ и что именно он делал в последние недели. Это и есть типичный контекст, в котором начинается проект по привилегированному доступу. ## Что решает СКДПУ в реальном проекте Задача системы контроля привилегированного доступа — не «заблокировать всё», а создать наблюдаемость там, где её раньше не было. Администраторы продолжают работать, но каждая сессия под учёткой root, admin или sa записывается: что делал, когда, с какого рабочего места. На практике это меняет несколько вещей: **Расследование инцидентов.** Когда что-то пошло не так — упала БД, изменились настройки сетевого оборудования, исчезли данные — журнал сессий позволяет восстановить хронологию с точностью до команды. Без СКДПУ это занимает недели и часто заканчивается ничем. **Контроль подрядчиков.** Типичная ситуация: вендор оборудования или аутсорсинговая команда имеет постоянный или периодический привилегированный доступ. СКДПУ позволяет ограничить его по времени, зафиксировать каждое подключение и в нужный момент предъявить полный лог. **Снижение радиуса поражения.** Скомпрометированная привилегированная учётная запись — это полный доступ ко всей инфраструктуре. СКДПУ в связке с политиками минимальных привилегий ограничивает, что именно можно сделать даже при успешной атаке. **Соответствие требованиям.** Для объектов КИИ, банков, госструктур наличие системы контроля привилегированного доступа — уже не рекомендация, а требование. ## Бастион, Solar SafeInspect и другие решения — наш взгляд из практики Российский рынок СКДПУ за последние три года существенно изменился. После ухода CyberArk и Wallix ниша заполняется отечественными решениями, часть из которых — функциональные продукты с реальной историей внедрений. **Бастион (BI.Zone)** — одно из наиболее зрелых решений на рынке. Хорошо интегрируется с Active Directory, поддерживает запись RDP, SSH, веб-сессий. Из особенностей: относительно гибкая политика лицензирования и нормальная техническая поддержка для enterprise-сегмента. Подходит для крупных инфраструктур с разнородным парком оборудования. **Solar SafeInspect** — продукт «Ростелеком-Солар», имеет сертификаты ФСТЭК. Для организаций, которым важна сертифицированная версия «из коробки» и готовность к проверкам регулятора — аргумент весомый. На практике интерфейс требует привыкания, но функционально задачи закрывает. **СКДПУ НТ (АйТи Бастион)** — сертифицированный продукт, часто фигурирует в госсекторе именно из-за сертификата ФСТЭК и включения в реестр отечественного ПО. Поставляется как программно-аппаратный комплекс или ПО под виртуальную машину. Мы не работаем с каким-то одним производителем — выбор решения зависит от инфраструктуры клиента, требований регулятора и бюджета. Там, где нужна сертификация, смотрим на реестр ФСТЭК. Там, где важнее интеграция с существующим стеком — оцениваем коннекторы и API. ## Интеграция с инфраструктурой — что это даёт на практике СКДПУ не работает как изолированный инструмент. Ценность системы появляется только при интеграции с тем, что уже есть. **Active Directory / LDAP.** Привилегированные учётные записи должны браться из того же источника, что и обычные пользователи. Изолированный пул учёток для СКДПУ — источник рассинхрона и дополнительной нагрузки на администраторов. **SIEM.** Журналы привилегированных сессий должны попадать в систему мониторинга событий безопасности. Отдельный архив, который никто не читает в реальном времени — половина пользы от решения. **СКУД.** В ряде проектов мы интегрируем физический доступ и цифровой: подключение к серверной или ЦОД становится возможным только при наличии физического прохода сотрудника через контролируемую точку. Это ликвидирует возможность удалённой работы под чужой учёткой в нерабочее время. **Тикетинг.** Для ряда клиентов настраиваем интеграцию с ITSM: привилегированная сессия может быть открыта только при наличии активного тикета на выполнение работ. Это даёт аудиторский след не только «что делал», но и «зачем». ## Регуляторика: ФСТЭК, 187-ФЗ — кому обязательно Требования к контролю привилегированного доступа в российском регулировании появились давно, но стали практически обязательными к исполнению в последние два-три года. **Объекты КИИ (187-ФЗ).** Организации, попавшие в реестр значимых объектов КИИ, обязаны выполнять требования по защите информационных систем. Контроль привилегированного доступа — одна из мер, прямо предусмотренных приказами ФСТЭК № 239 и 235. При этом требования различаются по категориям значимости объекта. **Финансовый сектор.** ГОСТ Р 57580.1 для финансовых организаций включает управление привилегированным доступом как элемент базового уровня защиты. ЦБ это проверяет. **Госсектор и госкорпорации.** Требования 17-го приказа ФСТЭК для государственных информационных систем. Для ГИС второго класса и выше — применение сертифицированных средств защиты, что сужает выбор решений. **Для всех остальных** СКДПУ — не обязательство, но страховка. Стоимость расследования одного серьёзного инцидента с компрометацией привилегированной учётной записи, как правило, многократно превышает стоимость внедрения системы. --- Если у вас есть конкретная задача — объект попал в КИИ, предстоит аудит ФСТЭК, или нужно разобраться с тем, кто и как имеет доступ к вашей инфраструктуре — расскажите о вашем объекте. Подготовим концепцию и предварительную оценку.