Як Home Credit Bank побудував систему управління привілейованим доступом на базі Idira (раніше CyberArk)

Цей кейс показує, як Home Credit Bank побудував зрілу систему управління привілейованим доступом на базі Idira (раніше CyberArk) і за вісім років перетворив її з базового PAM-інструменту на ключовий елемент кіберстійкості. Дізнайтеся, як банк масштабував платформу, інтегрував її у процеси ІБ та ІТ, адаптував до організаційних змін і чому, попри перегляд ринку рішень, зберіг Idira (раніше CyberArk) як стратегічну основу захисту критичної інфраструктури.

BAKOTECH здійснює свою діяльність через партнерську мережу.

Профіль компанії

Home Credit Bank — один із провідних роздрібних банків Казахстану з фокусом на цифрові канали та клієнтські сервіси. Банк послідовно розвиває digital-first підхід, посилюючи зручність і доступність фінансових продуктів з одночасним підвищенням вимог до безпеки.

З 2018 року в банку використовуються рішення Idira (раніше CyberArk) для управління привілейованим доступом. Рішення прийшли як частина корпоративного підходу з Європи. Процес захисту привілейованих облікових записів реалізовувався поетапно. Як результат, за 8 років платформа Idira (раніше CyberArk) стала частиною системного підходу до зниження кіберризиків і захисту критичної інфраструктури, а також опорою для розвитку зрілих процесів інформаційної безпеки.

Основні напрями діяльності банку:

• Розвиток роздрібних банківських продуктів і сервісів
• Розширення та оптимізація цифрових каналів обслуговування
• Підвищення кіберстійкості та захист критичної інфраструктури
• Впровадження та розвиток сучасних IT- та DevOps-практик

Виклики

Зростання цифрових сервісів і ускладнення IT-ландшафту посилили вимоги до контролю доступу та прозорості дій привілейованих користувачів. Банк зіткнувся з необхідністю побудувати системний підхід до захисту критичних систем, водночас не уповільнюючи розвиток продуктів і внутрішніх процесів.

Ключові виклики:

• Збільшення кількості привілейованих облікових записів і точок доступу до критичної інфраструктури
• Відсутність централізованого контролю та аудиту дій адміністраторів
• Ризики несанкціонованого доступу та складність їх своєчасного виявлення
• Необхідність відповідності внутрішнім і міжнародним вимогам ІБ
• Зростання навантаження на команди IT та ІБ під час ручного управління доступами
• Потреба у масштабованому рішенні, здатному підтримувати розвиток цифрових сервісів

Обираючи платформу, банк орієнтувався на рішення, які можна вбудувати в наявну інфраструктуру без зайвого ускладнення. На користь Idira (раніше CyberArk) свідчили архітектура без агентів на цільових системах, наявність готових конекторів для ключових технологій та широкий набір інтеграцій з інструментами SIEM, ITSM і DevOps. Завдяки цьому команда банку змогла скоротити час впровадження і одразу вибудувати роботу PAM у поєднанні з уже наявними системами.

Досвід експлуатації Idira (раніше CyberArk)

З моменту впровадження Idira (раніше CyberArk) у Home Credit Bank платформа послідовно розвивалася від базового PAM до комплексної системи управління привілейованим доступом, вбудованої у ключові процеси IT та ІБ.

Розвиток рішення відбувався за кількома напрямами:

• Масштабування платформи. Розширення ліцензій, впровадження High Availability, EPV та додаткових модулів
• Розширення автентифікації. Підключення Idira Identity (раніше CyberArk Identity) з підтримкою MFA, SSO та порталу застосунків
• Формування внутрішньої експертизи. Команда самостійно розгортає, оновлює та налаштовує систему відповідно до своїх процесів

У процесі розвитку навколо PAM побудовано взаємопов’язану екосистему безпеки:

• Інтеграція з SIEM для моніторингу та розслідування інцидентів
• Інтеграція з IDM для автоматизації надання доступів та управління обліковими записами
• Захищений доступ до широкого спектра систем, включно з вебзастосунками та базами даних

Окремий фокус зроблено на моделі управління доступами:

• Перехід від індивідуальних сейфів до командної моделі
• Автоматизація надання доступів через ролі та політики (RBAC)
• Сегментація середовищ (production/non-production)
• Впровадження tiering-моделі Microsoft для ізоляції критичних систем

Отже, банк зміг перейти від точкового використання PAM до системної моделі контролю доступу, де більшість процесів стандартизовані та автоматизовані.

Використання Idira Identity (раніше CyberArk Identity) посилило контроль автентифікації: замість базових OTP/СМС з’явилися різноманітні сценарії MFA, а внутрішні застосунки вивели в єдиний портал доступу.

Результати впровадження рішення

Впровадження Idira (раніше CyberArk) дало змогу Home Credit Bank побудувати керовану та стійку модель роботи з привілейованим доступом, де ключову роль відіграють не лише технології, а й процеси навколо них.

Ключові результати

• Стабільність і відмовостійкість. За 8 років експлуатації не зафіксовано збоїв. Failover використовується лише в межах планових тестів
• Повноцінне покриття сценаріїв PAM. RDP, SSH, вебдоступ, робота з базами даних через RDS, розвиток доступу до контейнерної інфраструктури
• Зріла модель управління доступами. Перехід до командних сейфів, розділення prod/non-prod, автоматизація надання доступів за ролями
• Інтеграція в процеси ІБ. Реалізація tiering-моделі, зв’язок з IDM, централізоване управління привілейованими обліковими записами
• Контроль і реагування. Усі відхилення від роботи через PAM фіксуються, обробляються через SOC і переводяться в інциденти
• Гнучкий підхід ІБ. Взаємодія з IT побудована як партнерство, що спрощує впровадження та використання рішення
• Підтверджена ефективність. За підсумками порівняльних пілотів Idira (раніше CyberArk) залишається найбільш функціональним PAM-рішенням на ринку

У підсумку можна сказати, що платформа стала основою для системного управління привілейованим доступом і зниження кіберризиків з урахуванням реальних завдань бізнесу та IT.

Плани на майбутнє

Home Credit Bank продовжує розвивати використання Idira (раніше CyberArk), зміщуючи фокус у бік сучасних і динамічних IT-середовищ.

У найближчих планах:

• Контейнерна інфраструктура — впровадження PAM-підходу для динамічних середовищ
• SSH-доступ до контейнерів — контроль і аудит інтерактивних сесій без прямого доступу до хостів
• Контроль Kubernetes (kubectl) — управління та аудит адміністративних дій на рівні API
• Вебдоступ до інфраструктури — уніфікація точок входу із записом і моніторингом сесій

Команда банку підтримує ефективність платформи шляхом розвитку процесів управління доступами, регулярного розширення покриття нових систем, точного налаштування інтеграцій і залучення команд, які працюють з привілейованими обліковими записами.