Что такое PAM: система управления привилегированным доступом

PAM, Privileged Access Management — класс средств защиты информации, которые контролируют, записывают и защищают учётные записи с повышенными правами: сисадминов, DBA, сетевых инженеров, подрядчиков с удалённым доступом к инфраструктуре, а также сервисные и технические аккаунты, от имени которых работают приложения и скрипты. Привилегированной считается учётная запись, которая может делать больше, чем обычный пользователь: менять конфигурацию систем, устанавливать ПО, читать и изменять чужие данные, управлять правами других пользователей.

Ядро типичного PAM-решения — защищённое хранилище паролей и секретов (password vault) с автоматической ротацией, шлюз или брокер доступа, который проксирует привилегированные сессии (SSH, RDP, Telnet, HTTP(S), SQL, PowerShell и другие протоколы) и записывает их в виде видео и текстового лога, а также контроль в реальном времени вплоть до принудительного разрыва подозрительной сессии.

Ключевое отличие PAM от обычного управления доступом — он не назначает права сотруднику, а контролирует, что реально делает уже допущенная до системы узкая группа привилегированных пользователей. Кто именно получает статус администратора и на каком основании — решает другой класс, IdM, разбор которого — в разделе ниже.

Привилегированная учётная запись даёт максимальный контроль над системой, поэтому именно она чаще всего становится финальной целью атакующего внутри периметра — а не случайной находкой по пути. Компрометация обычного пользователя обычно ограничивает атакующего правами этого пользователя. Компрометация администратора сервера, домена или базы данных нередко означает контроль над целым сегментом инфраструктуры: доступ ко всем данным, которыми управляет эта система, и возможность скрыть собственные следы.

Отдельная и часто недооценённая проблема — сервисные и технические учётные записи: аккаунты, от имени которых работают приложения, интеграции и автоматизированные скрипты. У таких учёток обычно широкие права, пароль к ним редко меняют, а знает его сразу несколько человек — что делает их удобной мишенью и одновременно неудобным объектом контроля без специализированного инструмента.

PAM сокращает это окно возможностей: пароли от инфраструктуры не хранятся у людей в личных заметках, а выдаются системой на время задачи и автоматически меняются, каждое действие администратора фиксируется, а повышенные права можно ограничить конкретным сроком и задачей вместо постоянного доступа «на всякий случай».

Набор функций у большинства PAM-продуктов похож — различается глубина реализации, поддерживаемые протоколы и удобство интеграции с уже существующей инфраструктурой. Ниже — функции, которые встречаются практически в любом решении этого класса.

↔ таблицу можно прокрутить вбок

Отдельно почти все PAM-решения требуют многофакторную проверку при входе в сам PAM — это дополнительный рубеж помимо перечисленных функций: даже кража основного пароля от PAM недостаточна, чтобы получить доступ к хранилищу секретов и привилегированным сессиям.

PAM часто путают со смежными классами управления доступом — у всех на входе стоит проверка личности, но задачи разные. Ниже — короткое разведение понятий.

На практике границы между классами размыты: часть вендоров продаёт PAM как отдельный модуль внутри более широкой платформы управления доступом вместе с SSO и MFA под одним брендом — но сама функциональность (хранилище паролей, запись сессий, JIT-доступ) внутри такой платформы всё равно остаётся отдельным PAM-компонентом, а не частью IdM или SSO.

Отдельного норматива, который прямо обязывал бы внедрить именно PAM как класс СЗИ, в российском законодательстве нет. Но задачи, которые решает PAM, входят в состав более широких требований к управлению доступом.

Для финансового сектора действует дополнительный трек требований — национальный стандарт ГОСТ Р 57580.1 (меры защиты информации финансовых организаций) и связанные положения Банка России № 821-П и № 851-П, где контроль привилегированного доступа входит в состав обязательных мер защиты информации наравне с другими механизмами управления доступом. Это делает PAM практически стандартным элементом ИБ-инфраструктуры для банков и некредитных финансовых организаций.

В Реестре российского ПО нет отдельного кода именно под PAM — записи класса «Управление доступом» (код 03.12) объединяют IdM, IAM, PAM, SSO, MFA и другие средства управления доступом одной широкой меткой. Из примерно 225 действующих записей этого кода специализированных PAM-продуктов, определяемых по названию и заявленной функциональности (сейф паролей, брокер сессий, запись действий администраторов), — по факту около десятка.

По данным исследования рынка PAM в РФ за 2025 год (Piccard, заказчик исследования — вендор АйТи Бастион, что стоит учитывать при оценке независимости цифр), крупнейшую долю удерживает СКДПУ НТ (АйТи Бастион) — 47%, на втором месте Indeed Privileged Access Manager (Индид) с наиболее быстрым ростом среди крупных игроков — 26%, на третьем — Solar SafeInspect (РТ-Солар) — 10%.

Среди других продуктов с действующей сертификацией ФСТЭК в этом классе — BI.ZONE Privileged Access Management, Infrascope (NGR Softlab), Innostage Privileged Access Management и sPACE PAM (Web Control).

Полное сравнение всех решений — по вендору, номеру и сроку действия сертификата ФСТЭК, году основания компании и охвату функций — на странице класса PAM на SecRadar.

Управление привилегированным доступом на практике работает в связке с соседними классами управления доступом — каждый закрывает свою часть задачи.