Avanpost, российский вендор в области управления доступом и защиты цифровых идентичностей, завершил внедрение Avanpost IDM для ДОМ.РФ. Решение позволило автоматизировать управление более чем 5000 учетными записями и их правами доступа, а также выстроена ролевая модель доступа к корпоративным системам по принципу наименьших привилегий. Для новых сотрудников реализовано предварительное создание учетных записей и базовых доступов еще до первого рабочего дня. Масштабный проект укрепил экосистему информационной безопасности ДОМ.РФ.

На начальном этапе команда экспертов Avanpost и ДОМ.РФ оцифровала существующий ландшафт: более 150 информационных систем и свыше 20 000 ролей. Затем была проведена паспортизация прав доступа и сформирована целевая сервисная модель.

Для проекта такого масштаба требовалось решение, способное работать с гетерогенным ландшафтом, выходить за рамки стандартного цикла создания учетных записей, бесшовно масштабироваться и встраиваться в концепцию сквозного контроля. Решение Avanpost IDM отвечает этим требованиям благодаря высокой функциональной зрелости из коробки, архитектурной гибкости сценариев согласования и возможности адаптировать бизнес-логику под процессы компании.

На первом этапе проектная команда произвела полную инвентаризацию информационных систем. Затем на основе анализа ролевых сущностей был развернут сквозной дашборд аналитики, позволивший устранить избыточные и дублирующие права до момента их импорта в IDM. После этого внедряемые системы перевели на авторизацию через службу каталога Active Directory. Связывание бизнес-ролей систем напрямую на группы безопасности минимизировало разработку: для подключения новой системы к IDM достаточно типового коннектора к AD. Это сократило объем разработки и ускорило выдачу доступов. Для нестандартных интеграций разрабатывали специализированные сценарии синхронизации и гибридные коннекторы.

После нормализации модели команда перешла к развертыванию связующих интерфейсов и сценариев жизненного цикла учетных записей (JML - Joiner, Mover, Leaver). Теперь типовые доступы к корпоративным системам и приложениям выдаются автоматически (без участия администраторов инфраструктуры) при приеме сотрудника на работу, изменяются при его переводе и отзываются при увольнении.

В ходе проекта были настроены важные для онбординга и соответствия требованиям информационной безопасности решения: безопасный предварительный доступ и защита от ручных изменений в обход IDM.

Классическая реализация бизнес-процесса приема на работу предполагает создание учетных записей сотрудника после фактического оформления и занесения в кадровую базу в первый рабочий день. Это неизбежно порождает простой в несколько часов или дней. В рамках проекта на базе Avanpost IDM без вмешательства в код продукта был реализован бизнес-процесс, когда учетная запись сотрудника и базовый цифровой профиль формируются заблаговременно, еще до появления записи в 1С:ЗУП (1С: Зарплата и управление персоналом). В день выхода в компанию сотрудник получает готовое рабочее место с настроенным доступом к корпоративным сервисам за считанные секунды без компрометации контура ИБ.

Для защиты от ручных изменений в обход IDM команда проекта внедрила регулярный обратный аудит, сопоставление фактических прав в целевых хранилищах с эталонной базой IDM, а также обнаружение несанкционированных прав, выданных в обход процесса согласования.

Проект показал, что IDM-система закрывает критический пласт работы в части управления и разграничения прав доступа, но безопасность чувствительной информации требует экосистемного подхода. Для работы с неструктурированными данными (например, S3-хранилищами и распределенными файловыми ресурсами) заложен вектор интеграции с решениями класса DCAP (Data-Centric Audit and Protection). Это позволяет закрыть сценарий легального владения с нелегитимной передачей, когда пользователь имеет легитимный доступ к критичному файлу, например зарплатной ведомости, но пересылает его коллеге по внутренним нетипичным каналам.