Як Укрпошта взяла під контроль підрядників та закрила вимоги регулятора за допомогою PAM Segura

Контроль зовнішніх виконавців з привілейованими правами — один із найскладніших викликів для корпоративної безпеки. На конференції SOC Day Ukraine начальник управління інформаційної безпеки Укрпошти Олексій Лукін представив практичний досвід впровадження системи класу PAM від вендора Segura. Проєкт вирішив проблему «сліпої зони» в роботі підрядників та забезпечив повну відповідність вимогам регулятора щодо журналювання дій адміністраторів.

Запис сесій показав реальну картину виконання робіт підрядниками та дав об’єктивні дані для контролю контрактів.

Передумови проєкту та ключові виклики

Перед командою інформаційної безпеки стояло завдання організувати надійний периметр контролю за обмежених внутрішніх ресурсів. Головні фактори вибору архітектури:

• Зовнішні виконавці: значна кількість підрядників із правами суперкористувачів без інструментів фіксації їхніх фактичних дій усередині систем.
• Вимоги регулятора: жорсткі регуляторні приписи до обліку привілейованого доступу та обов'язкового журналювання подій.
• Оптимальність архітектури: потреба у збалансованому, надійному інструменті без перевантаження функціями, якими команда не планувала користуватися.

Чому для впровадження обрали Segura

Платформа Segura (раніше відома як senhasegura) увійшла до списку лідерів звіту KuppingerCole Leadership Compass завдяки збалансованому підходу до кібербезпеки. Вибір на користь рішення визначили три ключові критерії:

• Сфокусований функціонал: керування паролями, гранулярний доступ, відеозапис сесій і централізований журнал аудиту в єдиному рішенні.
• Модель ліцензування: безстрокова ліцензія значно знижує сукупну вартість володіння (TCO) порівняно зі щорічними підписками.
• Висока доступність: схема з основним і резервним інстансом, перемикання між якими займає близько 15 хвилин.

Порівняння підходів до захисту інфраструктури

Базовий захист без PAM

• Периметр: VPN дає доступ у мережу, але не фіксує конкретних команд адміністратора
• Журналювання: розрізнені системні логи без можливості швидкого аудиту дій сторонніх осіб
• Контроль витрат: складно верифікувати фактично відпрацьовані години зовнішніх експертів

Комплексний контроль із Segura PAM

• Периметр: ізольований сеанс, підрядник не знає прямих паролів до цільових вузлів
• Журналювання: повнотекстовий запис і відеосесії для кожного привілейованого користувача
• Контроль витрат: 100% підтвердження виконаних робіт за об'єктивними даними журналів

Результати впровадження в цифрах

Впровадження системи дозволило перевести роботу всіх зовнішніх ІТ-фахівців на єдині стандарти безпеки:

• 6 місяців: термін повної окупності витрат на проєкт.
• 100% підрядників: підключення до систем відбувається виключно через шлюз безпеки.
• 15 хвилин: нормативний час перемикання на резервний вузол за потреби.
• Комплаєнс: вимоги нормативів закриті за допомогою однієї централізованої консолі.

Як офіційний дистриб'ютор рішень вендора в Україні, компанія Softprom надає експертну підтримку на всіх етапах пілотування та розгортання.