Этот кейс показывает, как Home Credit Bank выстроил зрелую систему управления привилегированным доступом на базе Idira (ранее CyberArk) и за восемь лет превратил ее из базового PAM-инструмента в ключевой элемент киберустойчивости. Узнайте, как банк масштабировал платформу, интегрировал ее в процессы ИБ и IT, адаптировал к организационным изменениям и почему, несмотря на пересмотр рынка решений, сохранил Idira (ранее CyberArk) как стратегическую основу защиты критической инфраструктуры.

BAKOTECH осуществляет свою деятельность через партнерскую сеть.

Профиль компании

Home Credit Bank — один из ведущих розничных банков Казахстана с фокусом на цифровые каналы и клиентские сервисы. Банк последовательно развивает digital-first подход, усиливая удобство и доступность финансовых продуктов при одновременном повышении требований к безопасности.

С 2018 года в банке используются решения Idira (ранее CyberArk) для управления привилегированным доступом. Решения пришли как часть корпоративного подхода из Европы. Процесс защиты привилегированных учетных записей реализовывался поэтапно. Как итог, за 8 лет платформа Idira (ранее CyberArk) стала частью системного подхода к снижению киберрисков и защите критической инфраструктуры, а также опорой для развития зрелых процессов информационной безопасности.

Основные направления деятельности банка

• Развитие розничных банковских продуктов и сервисов
• Расширение и оптимизация цифровых каналов обслуживания
• Повышение киберустойчивости и защита критической инфраструктуры
• Внедрение и развитие современных IT- и DevOps-практик

Вызовы

Рост цифровых сервисов и усложнение IT-ландшафта усилили требования к контролю доступа и прозрачности действий привилегированных пользователей. Банк столкнулся с необходимостью выстроить системный подход к защите критических систем, при этом не замедляя развитие продуктов и внутренних процессов.

Ключевые вызовы:

• Увеличение числа привилегированных учетных записей и точек доступа к критической инфраструктуре
• Отсутствие централизованного контроля и аудита действий администраторов
• Риски несанкционированного доступа и сложность их своевременного выявления
• Необходимость соответствия внутренним и международным требованиям ИБ
• Рост нагрузки на команды IT и ИБ при ручном управлении доступами
• Потребность в масштабируемом решении, способном поддерживать развитие цифровых сервисов

При выборе платформы банк ориентировался на решения, которые можно встроить в существующую инфраструктуру без лишнего усложнения. В пользу Idira (ранее CyberArk) сыграли архитектура без агентов на целевых системах, наличие готовых коннекторов для ключевых технологий и широкий набор интеграций с инструментами SIEM, ITSM и DevOps. Благодаря этому команда банка смогла сократить время внедрения и сразу выстроить работу PAM в связке с уже используемыми системами.

Опыт эксплуатации Idira (ранее CyberArk)

С момента внедрения Idira (ранее CyberArk) в Home Credit Bank платформа последовательно развивалась от базового PAM к комплексной системе управления привилегированным доступом, встроенной в ключевые процессы IT и ИБ.

Развитие решения происходило по нескольким направлениям:

• Масштабирование платформы. Расширение лицензий, внедрение High Availability, EPV и дополнительных модулей
• Расширение аутентификации. Подключение Idira Identity (ранее CyberArk Identity) с поддержкой MFA, SSO и портала приложений
• Формирование внутренней экспертности. Команда самостоятельно разворачивает, обновляет и настраивает систему под свои процессы

По мере развития вокруг PAM была выстроена связанная экосистема безопасности:

• Интеграция с SIEM для мониторинга и расследования инцидентов
• Интеграция с IDM для автоматизации выдачи доступов и управления учетными записями
• Защищенный доступ к широкому спектру систем, включая веб-приложения и базы данных

Отдельный фокус был сделан на модели управления доступами:

• Переход от индивидуальных сейфов к командной модели
• Автоматизация выдачи доступов через роли и политики (RBAC)
• Сегментация сред (production/non-production)
• Внедрение tiering-модели Microsoft для изоляции критичных систем

Таким образом, банк смог перейти от точечного использования PAM к системной модели контроля доступа, где большинство процессов стандартизированы и автоматизированы.

Использование Idira Identity (ранее CyberArk Identity) усилило контроль аутентификации: вместо базовых OTP/СМС появились разнообразные сценарии MFA, а внутренние приложения были выведены в единый портал доступа.

Результаты внедрения решения

Внедрение Idira (ранее CyberArk) позволило Home Credit Bank выстроить управляемую и устойчивую модель работы с привилегированным доступом, где ключевую роль играют не только технологии, но и процессы вокруг них.

Ключевые результаты

• Стабильность и отказоустойчивость. За 8 лет эксплуатации не зафиксировано сбоев. Failover используется только в рамках плановых тестов
• Полноценное покрытие сценариев PAM. RDP, SSH, веб-доступ, работа с базами данных через RDS, развитие доступа к контейнерной инфраструктуре
• Зрелая модель управления доступами. Переход к командным сейфам, разделение prod/non-prod, автоматизация выдачи доступов по ролям
• Интеграция в процессы ИБ. Реализация tiering-модели, связка с IDM, централизованное управление привилегированными учетными записями
• Контроль и реагирование. Все отклонения от работы через PAM фиксируются, обрабатываются через SOC и переводятся в инциденты
• Гибкий подход ИБ. Взаимодействие с IT построено как партнерство, что упрощает внедрение и использование решения
• Подтвержденная эффективность. По итогам сравнительных пилотов Idira (ранее CyberArk) остается наиболее функциональным PAM-решением на рынке

Подытожив, можно сказать, что платформа стала основой для системного управления привилегированным доступом и снижения киберрисков с учетом реальных задач бизнеса и IT.

Планы на будущее

Home Credit Bank продолжает развивать использование Idira (ранее CyberArk), смещая фокус в сторону современных и динамичных IT-сред.

В ближайших планах:

• Контейнерная инфраструктура — внедрение PAM-подхода для динамических сред
• SSH-доступ к контейнерам — контроль и аудит интерактивных сессий без прямого доступа к хостам
• Контроль Kubernetes (kubectl) — управление и аудит административных действий на уровне API
• Веб-доступ к инфраструктуре — унификация точек входа с записью и мониторингом сессий 

Команда банка поддерживает эффективность платформы за счет развития процессов управления доступами, регулярного расширения покрытия новых систем, точной настройки интеграций и вовлечения команд, работающих с привилегированными учетными записями.