UKRSIBBANK и Idira (ранее CyberArk): как централизованное управление привилегированным доступом стало основой киберустойчивости банка

В этом кейсе мы делимся опытом внедрения платформы Idira (ранее CyberArk) для централизованного управления привилегированными учетными записями, автоматизации контроля доступа и повышения общей киберустойчивости UKRSIBBANK.  

BAKOTECH осуществляет свою деятельность через партнерскую сеть. 

Профиль компании  

UKRSIBBANK — один из крупнейших банков Украины, который активно развивает цифровые сервисы и современную ИТ-инфраструктуру для обеспечения банковских услуг, онлайн-каналов обслуживания и внутренних бизнес-процессов.  

В условиях глубокой цифровизации финансового сектора банк уделяет особое внимание защите критически важных систем, контролю доступа к инфраструктуре и управлению киберрисками. Для UKRSIBBANK кибербезопасность — это не только техническая функция, но и один из ключевых элементов обеспечения стабильности бизнеса, соблюдения требований регулирующих органов и поддержания доверия клиентов. 

Вызовы 

До внедрения Idira (ранее CyberArk) управление привилегированным доступом сопровождалось рядом организационных, технических и связанных с безопасностью проблем, характерных для крупных финансовых организаций со сложной ИТ-инфраструктурой.  

Одной из главных проблем было отсутствие централизованного управления привилегированными учетными записями. Административные и сервисные учетные записи существовали в разных системах, и было сложно проводить регулярные проверки и аудиты в ручном режиме.  

Дополнительные риски создавали ручные процессы управления паролями: нерегулярная ротация, использование одинаковых паролей для разных учетных записей и отсутствие централизованного контроля за их сложностью и безопасным хранением, а также отсутствие двухфакторной аутентификации, которая в настоящее время является обязательным условием для повышения уровня киберзащиты ИТ-активов.   

Отдельной проблемой оставалась ограниченная видимость действий привилегированных пользователей. Команда по безопасности не обладала полной прозрачностью в отношении того, кто, когда и с какой целью использовал повышенные права в критически важных системах. Это затрудняло аудит, контроль соблюдения требований информационной безопасности и расследование потенциальных инцидентов.  

Кроме того, банк сталкивался с рисками, связанными с использованием shared-accounts, которые исключали личную ответственность администраторов и создавали дополнительные трудности для контроля доступа.  

В совокупности эти факторы повышали операционные и киберриски, а также затрудняли выполнение нормативных и аудиторских требований в отношении контроля доступа к критически важной инфраструктуре. 

Выбор решения  

При выборе PAM-платформы банк сформулировал ряд ключевых требований к будущему решению. Среди них — централизованное управление привилегированными учетными записями, полный аудит действий пользователей, автоматическая ротация паролей, поддержка двухфакторной аутентификации, масштабируемость и интеграция с существующей ИТ-инфраструктурой.  

Важным условием также стало соблюдение нормативных требований и международных практик в сфере информационной безопасности, в частности принципов least privilege access, audit trail и разделения ролей.  

После анализа доступных решений UKRSIBBANK выбрал платформу Idira (ранее CyberArk).  

«Idira в полной мере соответствует требованиям НБУ, международным стандартам и практикам в области принципа минимальных привилегий, подотчетности, журналирования и разграничения ролей и полномочий, что было крайне важно для банка», — отметил Максим Ященко, начальник службы информационной безопасности. 

Одним из ключевых факторов стала зрелость платформы и её многолетний опыт использования в финансовом секторе. Для банка также было важно получить комплексное PAM-решение в рамках единой платформы — без необходимости интегрировать большое количество отдельных инструментов.  

Idira (ранее CyberArk) обеспечил:  

• централизованное управление привилегированными учетными записями;
• автоматическую ротацию паролей;  
• контроль привилегированных сеансов;  
• полный аудит действий администраторов;  
• поддержку MFA;  
• доступ «по запросу» с четкой идентификацией пользователей.  

Помимо технических возможностей, банк рассматривал Idira (ранее CyberArk) не только как систему контроля доступа, но и как инструмент управления киберрисками и обеспечения общей устойчивости бизнеса.  

Внедрение  

Учитывая масштаб ИТ-инфраструктуры и количество критически важных систем, полноценное внедрение Idira (ранее CyberArk) длилось почти два года и осуществлялось поэтапно.  

На начальном этапе команда провела инвентаризацию привилегированных учетных записей, критически важных систем и текущих процессов доступа. Это позволило выявить зоны с наибольшим риском и сформировать целевую модель PAM.  

Далее был реализован пилотный проект для тестирования архитектуры решения, сценариев доступа и политик безопасности без влияния на бизнес-операции. После успешного завершения пилотного проекта банк приступил к постепенному подключению критически важных систем и привилегированных учетных записей.  

На первом этапе Idira (ранее CyberArk) была интегрирована с Active Directory, средами Windows, Unix и Linux, сетевой инфраструктурой, системами виртуализации, базами данных и системами промежуточного программного обеспечения.  

Команда уделила особое внимание минимизации воздействия на бизнес-процессы. Все изменения тестировались в non-production средах, а внедрение в производственную среду осуществлялось в контролируемые временные окна с четкими процедурами восстановления.  

Еще одним важным направлением стала работа с ИТ-командами. Для администраторов были организованы тренинги и демонстрации практических преимуществ платформы — автоматическая смена паролей, упрощение доступа к большому количеству серверов и сокращение объема ручной работы.  

Результаты  

После внедрения Idira (ранее CyberArk) банк получил централизованный контроль над привилегированными доступами и существенно повысил уровень прозрачности действий администраторов.  

Общие учетные записи больше не используются напрямую — каждый доступ привязан к конкретному пользователю, что обеспечивает полную личную подотчетность и значительно упрощает аудит.  

Благодаря автоматической ротации паролей, централизованному хранению секретных данных и внедрению MFA удалось существенно снизить риски компрометации привилегированных учетных записей и влияние человеческого фактора.  

Все сеансы с привилегированным доступом теперь проходят через контролируемый шлюз с полным ведением журнала и записью сеанса. Это позволило команде безопасности обеспечить полную прозрачность доступа и ускорить расследование потенциальных инцидентов. 

Среди ключевых результатов проекта:  

• 100% привилегированных пользователей используют отдельные административные учетные записи;
• 100% критически важных систем и компонентов ИТ—инфраструктуры интегрированы с Idira (ранее CyberArk);  
• все действия администраторов фиксируются и доступны для аудита;
• автоматическая смена паролей заменила ручные процессы; 
• сократилось время подготовки к аудитам благодаря централизованному audit trail; 
• уменьшилось количество аудиторских замечаний, касающихся контроля доступа.

В результате Idira (ранее CyberArk) стал одним из ключевых элементов повышения киберзрелости и устойчивости банка.  

Планы на будущее  

UKRSIBBANK продолжает развивать стратегию защиты учетных записей и расширять применение подходов PAM и Zero Trust.  

Следующим этапом станет усиление защиты не только классических привилегированных учетных записей, но и сервисных, API- и machine-to-machine-учетных записей, а также секретов в средах DevOps и CI/CD.  

Банк также планирует углублять интеграцию Idira (ранее CyberArk) с IAM, SIEM и процессами SOC для дальнейшей автоматизации управления доступом и сокращения количества ручных операций.  

Особое внимание будет уделяться развитию подхода Zero Trust, при котором каждый доступ к критически важным системам проверяется в режиме реального времени с учетом роли, контекста и уровня риска.