UKRSIBBANK та Idira (раніше CyberArk): як централізоване управління привілейованим доступом стало основою кіберстійкості банку

У цьому кейсі ми ділимося досвідом впровадження платформи Idira (раніше CyberArk) для централізованого управління привілейованими обліковими записами, автоматизації контролю доступу та посилення загальної кіберстійкості UKRSIBBANK. 

BAKOTECH здійснює свою діяльність через партнерську мережу. 

Профіль компанії 

UKRSIBBANK — один із найбільших банків України, який активно розвиває цифрові сервіси та сучасну ІТ-інфраструктуру для підтримки банківських послуг, онлайн-каналів обслуговування та внутрішніх бізнес-процесів. 

В умовах глибокої цифровізації фінансового сектору банк приділяє особливу увагу захисту критичних систем, контролю доступу до інфраструктури та управлінню кіберризиками. Для UKRSIBBANK кібербезпека є не лише технічною функцією, а й одним із ключових елементів забезпечення стабільності бізнесу, дотримання вимог регуляторів та підтримки довіри клієнтів.

Виклики 

До впровадження Idira (раніше CyberArk) управління привілейованим доступом супроводжувалося низкою організаційних, технічних та безпекових викликів, характерних для великих фінансових організацій зі складною ІТ-інфраструктурою. 

Однією з головних проблем була відсутність централізованого управління привілейованими обліковими записами. Адміністраторські та сервісні акаунти існували в різних системах, і було складно здійснювати регулярні перевірки та аудити в ручному режимі. 

Додаткові ризики створювали ручні процеси управління паролями: нерегулярна ротація, використання однакових паролів для різних акаунтів та відсутність централізованого контролю над їхньою складністю та безпечним зберіганням, а також відсутність двофакторної автентифікації, що сьогодні є обов’язковою умовою для підвищення рівня кіберзахисту ІТ-активів.  

Окремим викликом залишалася обмежена видимість дій привілейованих користувачів. Команда безпеки не мала повної прозорості щодо того, хто, коли та з якою метою використовував підвищені права у критичних системах. Це ускладнювало аудит, контроль дотримання вимог інформаційної безпеки та розслідування потенційних інцидентів. 

Також банк стикався з ризиками використання shared-accounts, які унеможливлювали персональну відповідальність адміністраторів і створювали додаткові труднощі для контролю доступу.

Разом ці фактори збільшували операційні та кіберризики, а також ускладнювали дотримання регуляторних і аудиторських вимог щодо контролю доступу до критичної інфраструктури. 

Вибір рішення

Під час вибору PAM-платформи банк сформував низку ключових вимог до майбутнього рішення. Серед них — централізоване управління привілейованими акаунтами, повний аудит дій користувачів, автоматична ротація паролів, підтримка двофакторної автентифікації, масштабованість та інтеграція з наявною ІТ-інфраструктурою. 

Важливою вимогою також стало дотримання регуляторних вимог та міжнародних практик у сфері інформаційної безпеки, зокрема принципів least privilege access, audit trail і розмежування ролей. 

Після оцінки доступних рішень UKRSIBBANK обрав платформу Idira (раніше CyberArk). 

«Idira добре відповідає вимогам НБУ, міжнародних стандартів і практик щодо least privilege, підзвітності, журналювання та розмежування ролей та повноважень, що було критично важливо для банку»,— зазначивМаксим Ященко, начальник служби інформаційної безпеки.

Одним із ключових чинників стала зрілість платформи та її багаторічний досвід використання у фінансовому секторі. Для банку також було важливо отримати комплексне PAM-рішення в межах єдиної платформи — без потреби інтегрувати велику кількість окремих інструментів. 

Idira (раніше CyberArk) забезпечив: 

• централізоване управління привілейованими обліковими записами; 
• автоматичну ротацію паролів; 
• контроль привілейованих сесій; 
• повний аудит дій адміністраторів; 
• підтримку MFA; 
• доступ «on-demand» із чіткою ідентифікацією користувачів. 

Окрім технічних можливостей, банк розглядав Idira (раніше CyberArk) не лише як систему контролю доступу, а й як інструмент управління кіберризиками та підтримки загальної бізнес-стійкості. 

Впровадження

Враховуючи масштаб ІТ-ландшафту та кількість критичних систем, повноцінне впровадження Idira (раніше CyberArk) тривало майже два роки та здійснювалося поетапно. 

На початковому етапі команда провела інвентаризацію привілейованих облікових записів, критичних систем і поточних процесів доступу. Це дало змогу визначити найризикованіші зони та сформувати цільову модель PAM. 

Далі було реалізовано пілотний проєкт для тестування архітектури рішення, сценаріїв доступу та політик безпеки без впливу на бізнес-операції. Після успішного пілоту банк перейшов до поступового підключення критичних систем і привілейованих акаунтів. 

На першому етапі Idira (раніше CyberArk) було інтегровано з Active Directory, Windows, Unix- та Linux-середовищами, мережевою інфраструктурою, системами віртуалізації, базами даних та middleware-системами. 

Окрему увагу команда приділила мінімізації впливу на бізнес-процеси. Усі зміни тестувалися в non-production середовищах, а впровадження в production виконувалося в контрольовані часові вікна з чіткими процедурами відновлення. 

Ще одним важливим напрямом стала робота з ІТ-командами. Для адміністраторів організували навчання та демонстрації практичних переваг платформи — автоматичної ротації паролів, спрощення доступу до великої кількості серверів і зменшення ручної роботи. 

Результати 

Після впровадження Idira (раніше CyberArk) банк отримав централізований контроль над привілейованими доступами та суттєво підвищив рівень прозорості дій адміністраторів. 

Спільні акаунти (shared-accounts) більше не використовуються напряму — кожен доступ прив’язаний до конкретного користувача, що забезпечує повну персональну підзвітність і значно спрощує аудит. 

Завдяки автоматичній ротації паролів, централізованому зберіганню секретів та впровадженню MFA вдалося суттєво знизити ризики компрометації привілейованих акаунтів і вплив людського чинника. 

Усі привілейовані сесії тепер проходять через контрольований шлюз із повним журналюванням і записом сеансу. Це дало змогу команді безпеки отримати повну прозорість доступу та прискорити розслідування потенційних інцидентів. 

Серед ключових результатів проєкту: 

• 100% привілейованих користувачів використовують окремі адміністративні облікові записи; 
• 100% критичних систем та компонентів ІТ-інфраструктури інтегровані з Idira (раніше CyberArk); 
• усі дії адміністраторів фіксуються та доступні для аудиту; 
• автоматизована ротація паролів замінила ручні процеси; 
• скоротився час підготовки до аудитів завдяки централізованому audit trail; 
• зменшилася кількість аудиторських зауважень щодо контролю доступу. 

Завдяки цьому Idira (раніше CyberArk) став одним із ключових елементів підвищення кіберзрілості та стійкості банку. 

Плани на майбутнє

UKRSIBBANK продовжує розвивати стратегію захисту облікових записів та розширювати застосування підходів PAM і Zero Trust.

Наступним етапом стане посилення захисту не лише класичних привілейованих акаунтів, а й сервісних, API- та machine-to-machine облікових записів, а також секретів у DevOps і CI/CD-середовищах. 

Банк також планує поглиблювати інтеграцію Idira (раніше CyberArk) із IAM, SIEM та SOC-процесами для подальшої автоматизації управління доступом і зниження кількості ручних операцій.