UKRSIBBANK и Idira (ранее CyberArk):
как централизованное управление привилегированным доступом стало основой киберустойчивости банка
В современной банковской среде кибербезопасность стала неотъемлемой частью бизнес-стратегии. Для финансовых учреждений защита привилегированного доступа — это не только вопрос защиты ИТ-активов и сервисов, но и фактор доверия клиентов, непрерывности бизнеса и соответствия нормативным требованиям.
В этом кейсе мы делимся опытом внедрения платформы Idira (ранее CyberArk) для централизованного управления привилегированными учетными записями, автоматизации контроля доступа и повышения общей киберустойчивости UKRSIBBANK.
Профиль компании
UKRSIBBANK — один из крупнейших банков Украины, который активно развивает цифровые сервисы и современную ИТ-инфраструктуру для обеспечения банковских услуг, онлайн-каналов обслуживания и внутренних бизнес-процессов.
В условиях глубокой цифровизации финансового сектора банк уделяет особое внимание защите критически важных систем, контролю доступа к инфраструктуре и управлению киберрисками. Для UKRSIBBANK кибербезопасность — это не только техническая функция, но и один из ключевых элементов обеспечения стабильности бизнеса, соблюдения требований регулирующих органов и поддержания доверия клиентов.
Вызовы
До внедрения Idira (ранее CyberArk) управление привилегированным доступом сопровождалось рядом организационных, технических и связанных с безопасностью проблем, характерных для крупных финансовых организаций со сложной ИТ-инфраструктурой.
Одной из главных проблем было отсутствие централизованного управления привилегированными учетными записями. Административные и сервисные учетные записи существовали в разных системах, и было сложно проводить регулярные проверки и аудиты в ручном режиме.
Дополнительные риски создавали ручные процессы управления паролями: нерегулярная ротация, использование одинаковых паролей для разных учетных записей и отсутствие централизованного контроля за их сложностью и безопасным хранением, а также отсутствие двухфакторной аутентификации, которая в настоящее время является обязательным условием для повышения уровня киберзащиты ИТ-активов.
Отдельной проблемой оставалась ограниченная видимость действий привилегированных пользователей. Команда по безопасности не обладала полной прозрачностью в отношении того, кто, когда и с какой целью использовал повышенные права в критически важных системах. Это затрудняло аудит, контроль соблюдения требований информационной безопасности и расследование потенциальных инцидентов.
Кроме того, банк сталкивался с рисками, связанными с использованием shared-accounts, которые исключали личную ответственность администраторов и создавали дополнительные трудности для контроля доступа.
В совокупности эти факторы повышали операционные и киберриски, а также затрудняли выполнение нормативных и аудиторских требований в отношении контроля доступа к критически важной инфраструктуре.
Выбор решения
При выборе PAM-платформы банк сформулировал ряд ключевых требований к будущему решению. Среди них — централизованное управление привилегированными учетными записями, полный аудит действий пользователей, автоматическая ротация паролей, поддержка двухфакторной аутентификации, масштабируемость и интеграция с существующей ИТ-инфраструктурой.
Важным условием также стало соблюдение нормативных требований и международных практик в сфере информационной безопасности, в частности принципов least privilege access, audit trail и разделения ролей.
После анализа доступных решений UKRSIBBANK выбрал платформу Idira (ранее CyberArk).
«Idira в полной мере соответствует требованиям НБУ, международным стандартам и практикам в области принципа минимальных привилегий, подотчетности, журналирования и разграничения ролей и полномочий, что было крайне важно для банка», — отметил Максим Ященко, начальник службы информационной безопасности.
Одним из ключевых факторов стала зрелость платформы и её многолетний опыт использования в финансовом секторе. Для банка также было важно получить комплексное PAM-решение в рамках единой платформы — без необходимости интегрировать большое количество отдельных инструментов.
Idira (ранее CyberArk) обеспечил:
● централизованное управление привилегированными учетными записями; ● автоматическую ротацию паролей; ● контроль привилегированных сеансов; ● полный аудит действий администраторов; ● поддержку MFA; ● доступ «по запросу» с четкой идентификацией пользователей.
Помимо технических возможностей, банк рассматривал Idira (ранее CyberArk) не только как систему контроля доступа, но и как инструмент управления киберрисками и обеспечения общей устойчивости бизнеса.
Внедрение
Учитывая масштаб ИТ-инфраструктуры и количество критически важных систем, полноценное внедрение Idira (ранее CyberArk) длилось почти два года и осуществлялось поэтапно.
На начальном этапе команда провела инвентаризацию привилегированных учетных записей, критически важных систем и текущих процессов доступа. Это позволило выявить зоны с наибольшим риском и сформировать целевую модель PAM.
Далее был реализован пилотный проект для тестирования архитектуры решения, сценариев доступа и политик безопасности без влияния на бизнес-операции. После успешного завершения пилотного проекта банк приступил к постепенному подключению критически важных систем и привилегированных учетных записей.
На первом этапе Idira (ранее CyberArk) была интегрирована с Active Directory, средами Windows, Unix и Linux, сетевой инфраструктурой, системами виртуализации, базами данных и системами промежуточного программного обеспечения.
Команда уделила особое внимание минимизации воздействия на бизнес-процессы. Все изменения тестировались в non-production средах, а внедрение в производственную среду осуществлялось в контролируемые временные окна с четкими процедурами восстановления.
Еще одним важным направлением стала работа с ИТ-командами. Для администраторов были организованы тренинги и демонстрации практических преимуществ платформы — автоматическая смена паролей, упрощение доступа к большому количеству серверов и сокращение объема ручной работы.
Результаты
После внедрения Idira (ранее CyberArk) банк получил централизованный контроль над привилегированными доступами и существенно повысил уровень прозрачности действий администраторов.
Планы на будущее
UKRSIBBANK продолжает развивать стратегию защиты учетных записей и расширять применение подходов PAM и Zero Trust.
Следующим этапом станет усиление защиты не только классических привилегированных учетных записей, но и сервисных, API- и machine-to-machine-учетных записей, а также секретов в средах DevOps и CI/CD.
Банк также планирует углублять интеграцию Idira (ранее CyberArk) с IAM, SIEM и процессами SOC для дальнейшей автоматизации управления доступом и сокращения количества ручных операций.
Особое внимание будет уделяться развитию подхода Zero Trust, при котором каждый доступ к критически важным системам проверяется в режиме реального времени с учетом роли, контекста и уровня риска.
Если вас заинтересовало решение Idira и вы хотите протестировать его персонально,нажмите, пожалуйста, на кнопку ниже: