当访问成为管理问题时
IDM 和 PAM 不仅是大型银行或 CII 运营商所需要的。当公司拥有许多员工、承包商、分支机构、集成、管理员、服务帐户、机器人、ERP、1C、DWH、个人帐户以及包含个人或财务数据的系统时，它们就成为强制性主题。
对于 CISO 来说，这是一种降低特权被泄露风险并提供控制证据的方法。对于 CIO 和基础设施 - 为 AD、LDAP、IdP、VPN、管理员和服务访问带来秩序。对于合规性、内部审计和业务系统所有者来说，不要再生活在从 Excel 手动下载和事后有争议的批准模式中。
关键术语说明
| 学期 | 这在企业术语中意味着什么？ |
|---|---|
| IDM | 身份管理：帐户、角色、声明和访问批准的生命周期管理。 |
| IAM | 身份和访问管理：对身份、身份验证、授权和访问策略进行更广泛的管理。 |
| IGA | 身份治理和管理：访问管理作为控制过程 - 所有者、规则、审计、SOD 冲突、确认和证据。 |
| PAM | 特权访问管理：控制特权帐户、管理员会话、密码、命令、远程访问和紧急访问。 |
| MFA | 多重身份验证：当仅密码不足以登录或执行敏感操作时，进行多重身份验证。 |
| SSO | 单点登录：通过受信任的身份提供商（例如企业 IdP）单点登录到多个系统。 |
| RBAC / ABAC | 基于角色和基于属性的访问控制：按角色或按员工、系统、上下文和操作属性授予权限。 |
| JML | 加入者-调动者-离开者：雇用员工、调任新角色并通过自动更改或撤销权利解雇员工的过程。 |
| SoD | 职责分离：权力分离，使一个人不能同时创建、协调和执行一项关键操作。 |
| JIT / JEA | 及时且恰到好处的管理：在所需的时间段内临时访问并且仅访问所需的一组操作。 |
| ITDR | 身份威胁检测和响应：通过帐户、令牌、会话和异常活动识别和响应攻击。 |
| NHI | 非人类身份：非人类身份 - 服务帐户、API 密钥、令牌、机器人、集成用户和工作负载身份。 |
风险通常发生在哪里？
解雇和调动员工
在角色变更、解雇、产假、调动到另一个分支机构或完成项目后，权利仍然存在。
承包商和临时通道
访问权限会被及时授予，但权利的撤销、到期日期和所有权往往没有严格记录。
管理员和本地权限
特权用户可以访问操作系统、DBMS、网络设备、备份、管理程序和关键应用程序。
服务账户
密码和令牌可以存在多年，用于脚本、集成和调度程序，但并不总是有所有者和轮换。
手动审批
信件、聊天和 Excel 并不能提供可靠的信息来说明谁就具体发布的内容、持续时间和原因达成了一致。
可证明性弱
在审计过程中，很难快速显示当前权限、系统所有者、变更历史、SOD冲突和审计结果。
俄罗斯监管和企业背景
IDM/PAM 很少为了美观的设计而实现。当访问与个人数据、CII、GIS、金融交易、商业秘密、ERP、技术系统或内部控制相关时，通常需要它。 RESTART有助于将技术措施与实际操作联系起来，而不是将它们作为单独的文件。
| 环境 | 为什么访问控制很重要 |
|---|---|
| 152-FZ 和ISPDn | ISPDn 是一个个人数据信息系统。角色、最低权限、日志、管理员、数据访问和可验证的安全措施对她来说很重要。 |
| FSTEC 第 21 号命令 | 对于ISPD，它规定了组织和技术措施的组成。 IDM/PAM 有助于使访问管理不再是一次性行为，而是一个受控过程。 |
| 187-FZ 和 FSTEC 第 239 号 | 对于重要的 CII 资产，管理员、流程帐户、承包商操作、分段、日志记录和事件准备至关重要。 |
| GIS 和 FSTEC 第 117 号 | 在政府和其他受监管的信息系统中，访问控制、角色分离和安全措施的可证明性必须与系统的安全级别和生命周期联系起来。 |
| GOST R 57580.1-2017 | 对于金融机构而言，访问控制涉及保护金融交易、远程访问、管理员控制和流程弹性。 |
世界实践和基准
一个好的IDM/PAM项目不应该与国际惯例相冲突。在零信任中，身份成为主要边界之一：网络不再是信任的充分标志，访问必须通过用户、设备、上下文、资源和操作进行验证。
| 地标 | 如何在项目中使用 |
|---|---|
| NIST SP 800-207 Zero Trust Architecture | 我们删除隐式信任：在验证用户、设备、资源、策略和上下文后授予访问权限。 |
| CISA Zero Trust Maturity Model v2 | 我们将身份视为成熟度的关键层之一：MFA、生命周期、治理、最小特权和可见性。 |
| CIS Controls v8.1 | 我们使用实用的控制语言：资产、帐户、访问、日志、管理员和治理的核算。 |
| Verizon DBIR 2026 | 我们将优先级与真实事件进行比较：漏洞、勒索软件、网络钓鱼、凭据被盗和人工智能增强攻击需要权限控制和监控。 |
| IBM Cost of a Data Breach 2025 | 我们考虑到人工智能风险、非人类身份的增长以及对人工智能系统和数据进行强有力的访问控制的需求。 |
RESTART如何运作
修复画像
系统、所有者、AD/LDAP/IdP、ERP、1C、DBMS、网络设备、VPN、承包商、服务帐户、监管机构和当前痛点。
构建访问模型
我们描述角色、JML 流程、SoD 冲突、审批所有者、访问截止日期、审核规则和目标指标。
我们设计PAM
我们定义特权帐户、远程访问场景、会话记录、保管库、紧急访问、秘密轮换和命令控制。
让我们整合一下
我们将 IDM/PAM 与 AD、LDAP、IdP、MFA、HR、ITSM、SIEM/SOAR、DBMS、ERP、1C、DevOps、网络设备和日志连接起来。
启动试点
我们采用一组有限的系统和角色，检查流程、负载、用户体验、容错、报告和真实操作场景。
我们投入运行
我们在工业启动后准备法规、运行手册、RACI、角色矩阵、说明、证据包、审计计划和支持。
IAM/PAM 合作伙伴基础
为了管理身份、特权访问、MFA、证书和身份风险，RESTART 可以在架构中包含 InDEED 产品：Indeed PAM、Indeed ITDR、Indeed Access Manager、Indeed Certificate Manager、Octopus IdM、BearPass 和 Indeed MFA。对于客户来说，这不是“演示文稿中的徽标”，而是一个组装国内身份安全环境的机会，用于实际角色、远程访问、管理、审计和替换国外 IAM/PAM 工具。
合作伙伴被列为解决方案类的技术骨干。产品的具体构成、版本、许可证、证书、兼容性和交付条件均在项目前确认。
人工智能在访问控制中的作用
当人们需要快速理解访问、请求、日志和异常的大图时，人工智能非常有用。但它不应该任意授予或撤销权利：此类行为应该经过批准的流程、系统所有者和记录的决定。
寻找额外权利
人工智能有助于查找孤立帐户、稀有特权、过时的组、意外的角色交叉以及无所有者的访问。
准入审核
准备访问审查草案：发生了什么变化、哪些权利需要确认、哪里存在风险以及将问题发送给谁。
SOD 和业务风险
突出显示冲突的权限，例如创建供应商、更改详细信息以及同意一个人的付款。
异常情况和 ITDR
帮助分析登录、会话、命令、角色更改和身份环境泄露的迹象。
Evidence pack
收集审计说明：哪些控制措施有效，哪些情况存在例外，谁是风险的所有者以及哪些内容已得到纠正。
AI环境受控
对于 RAG、AI 助手和代理，我们分别检查对源、日志、提示、秘密和服务身份的访问。
企业得到什么？
| 结果 | 商业价值 |
|---|---|
| 托管访问生命周期 | 员工、承包商和服务帐户通过明确的流程而不是聊天室中的历史请求来授予权利。 |
| 权限控制 | 管理行为变得可见：谁连接、他们做了什么、何时、基于什么以及在什么系统中。 |
| 更快的入职和离职 | 新员工可以更快地获得合适的职位，并且解雇或调动不会在关键系统中留下痕迹。 |
| 减少人工审核 | 权限审核、证据包、报告和异常的收集速度更快，并且对个别管理员的依赖更少。 |
| 零信任和 SOC 就绪 | 身份事件、MFA、权限、会话和角色成为监控、响应和管理风险的来源。 |
交付成果
- 身份画像图：系统、所有者、帐户、角色、组、权限、服务用户和承包商；
- 目标IDM/IAM/PAM模型：角色、JML、SoD、MFA、SSO、特权访问、紧急访问和访问审查；
- 针对所选线路的 HLD/LLD，包括与 AD、LDAP、IdP、HR、ITSM、SIEM/SOAR、ERP、1C、DBMS 和网络系统的集成；
- 按访问进行风险登记：关键权限、孤立帐户、薄弱流程、手动异常、日志记录差距和快速修复；
- 试点和生产计划：积压工作、团队角色、验收标准、路线图、迁移计划和运营指标；
- 法规、RACI、管理员和用户说明、应用程序模板、角色矩阵、证据包和定期审核计划。
第一步实践
最好不要从选择产品开始，而是从访问风险的简短诊断开始：哪些系统至关重要，哪些权限最多，哪些流程在被解雇时崩溃，承包商和服务帐户在哪里没有所有者，需要首先解决哪些网络安全和合规性要求。
诊断后，您可以选择安全的第一阶段：针对管理员的 PAM 试点、针对员工和承包商的 IDM/JML、服务帐户审核、与 SIEM/SOAR 连接或为采购和实施准备 HLD/LLD。
常见问题
IDM 与 PAM 有何不同？
IDM 管理访问生命周期：申请、角色、批准、接受、转移和解雇。 PAM 控制特权帐户和管理操作：保管库、会话、命令、记录、紧急访问和秘密轮换。
是否可以仅从 PAM 开始？
是的。通常第一步是关闭管理员、承包商和关键服务帐户。但最好将 PAM 与 IDM/IAM、HR、ITSM、MFA 和 SIEM 连接起来，以便访问不会与流程分开。
您需要 PAM 的 SOC 吗？
SOC 不需要启动，但与 SIEM/SOAR 的连接增加了价值：管理员操作、登录异常、紧急访问和关键命令成为监控和响应的一部分。
如何处理服务帐户？
首先，您需要一个清单：所有者、目的、系统、期限、权限、秘密的存储位置以及如何轮换。此后，某些帐户可以被删除、限制或转移到受控保管库。
应多久审查一次访问权限？
频率取决于系统的风险：对于关键和受监管的环境，修订通常会更频繁地进行，而对于低风险的环境，修订的频率则较低。重要的是，审核不是正式签名，而是系统和业务所有者的检查。
AI本身可以撤销权利吗？
我们不建议未经批准的流程自动撤销。 AI可以发现风险，准备解释和任务，但最终行动必须由负责人确认并记录在日志中。
提供访问控制解决方案
让我们讨论一下您的环境
描述任务、当前系统、约束和预期结果。我们将提供实用的第一步：诊断、试点、审计、路线图或项目团队。
