7 октября в Москве состоялась III ежегодная Айдентити Конф 2026 — единственная в России конференция, посвященная защите учетных данных и современным подходам к управлению доступом. Участники обсудили, как развитие искусственного интеллекта, новые сценарии доступа, регуляторные требования и усложнение корпоративной инфраструктуры меняют подходы к Identity Security.

Конференция прошла при поддержке компании «Индид», российского разработчика решений в области защиты айдентити. Мероприятие стало масштабной площадкой для диалога между руководителями компаний, работающих в ключевых секторах экономики, и лидерами отрасли кибербезопасности. Ведущим Айдентити Конф 2026 стал Олег Шабуров, Kaspersky.

В конференции приняли участие более 30 спикеров – представители крупных российских компаний и ведущие эксперты отрасли. Своими подходами и опытом реализации проектов поделились топ-менеджеры и директора направлений информационной безопасности Банка ДОМ.РФ, Билайна, Ламоды Тех, Шереметьево Хэндлинг, A101, ГК «Элемент», Сбера, ЕВРАЗа, Яндекса и других компаний. В течение дня участники обсуждали развитие технологий айдентити, новые задачи и сценарии применения IdM, PAM и MFA, а также подходы к защите корпоративного доступа в условиях распространения искусственного интеллекта и усложнения ИТ-инфраструктуры.

Открыл мероприятие Алексей Баранов, генеральный директор Индид. В приветственном слове он подчеркнул роль профессионального сообщества в развитии отрасли и необходимость совместного поиска ответов на новые вызовы информационной безопасности.

Алексей Баранов, генеральный директор Индид:

«Сильные продукты, сервисы и бизнес интеграторов не возникают на ровном месте. Для их развития необходима зрелая индустрия, в которой выстроен диалог, существуют горизонтальные связи и возможности для обмена опытом. Именно поэтому три года назад мы создали Айдентити Конф как площадку, способствующую развитию всей индустрии. Сегодня эта задача приобретает особое значение: цифровая инфраструктура становится масштабнее, поверхность атаки увеличивается, сами атаки ускоряются и усложняются, а цепочки поставок становятся длиннее. При этом сохраняется кадровый дефицит. Все эти факторы действуют одновременно, и отвечать на такие вызовы компаниям и отрасли в целом предстоит совместно».

Исследование позволило сформировать целостную картину российского рынка Identity Security: определить, какие технологии защиты айдентити уже получили широкое распространение, насколько компании продвинулись в автоматизации управления доступом и какие задачи пока остаются нерешенными.

Согласно результатам исследования, по итогам 2025 года российский рынок защиты айдентити вырос более чем на 20% и достиг 17 млрд рублей. Из Крупнейшим его сегментом по-прежнему остается управление привилегированным доступом (Privileged Access Management, PAM) с объемом около 6 млрд рублей.

При этом по распространенности среди российских компаний лидирует многофакторная аутентификация (MFA), которую используют около 70% респондентов. Системы управления идентификацией и доступом (IdM) пока внедрены лишь в каждой четвертой организации, что свидетельствует о сохраняющемся потенциале автоматизации процессов управления доступом.

Значительная часть процессов управления привилегированным доступом также сохраняет зависимость от организационных мер. Для управления доступом администраторов PAM используют 36,5% компаний, тогда как 64,5% преимущественно полагаются на регламенты и журналирование действий. На этом фоне сохраняется высокая распространенность инцидентов, связанных с айдентити. Около 90% организаций сталкивались с подобными угрозами. Среди наиболее частых проблем — ошибки при ручном назначении прав, компрометация привилегированных учетных записей и несанкционированная активность технических и сервисных аккаунтов.

Яков Фишелев, амбассадор Айдентити Клуба:

«При подготовке исследования для нас было принципиально уйти от субъективных экспертных оценок и получить данные, на которые действительно можно опираться. Поэтому мы совместили количественное исследование 200 компаний с интервью заказчиков и разработчиков решений из разных сегментов Identity Security. Наша задача состояла не просто в том, чтобы оценить объем рынка, а в том, чтобы понять, как российские компании сегодня управляют доступом, какие технологии уже стали массовыми и где сохраняется большой потенциал для автоматизации. Мы рассматриваем это исследование как первый шаг сформировать системную базу знаний о российском рынке защиты айдентити, которую можно использовать для анализа его развития и при обосновании собственных проектов».

Отдельное внимание в исследовании уделили применению искусственного интеллекта и вопросам контроля ИИ-агентов. Результаты показали, что российские компании пока находятся на этапе формирования подходов к их использованию: одни ограничивают работу с такими технологиями, другие еще не выстроили механизмы контроля, а третьи ищут способы интегрировать ИИ-агентов в корпоративные процессы, сохраняя безопасность и управляемость их действий.

Спикеры отметили принципиальные отличия ИИ-агентов от традиционных сервисных учетных записей. Автономные системы способны самостоятельно выбирать последовательность действий для достижения поставленной цели, взаимодействовать с несколькими корпоративными ресурсами, запускать субагентов и выполнять операции с машинной скоростью. В таких условиях привычных механизмов идентификации и разграничения полномочий становится недостаточно. Помимо определения субъекта и доступных ему операций, необходимо учитывать контекст задачи, цели действий и допустимые границы самостоятельности агента.

Павел Конюхов, технический директор Индид:

«Использование ИИ-агентов становится массовым. Они уже не просто готовят тексты и рекомендации, но и совершают реальные действия в информационных системах — в том числе действия с необратимыми последствиями. Для Identity Security это принципиально новый вызов: в корпоративной инфраструктуре появляется новый класс цифровых субъектов, для управления которыми привычных моделей защиты уже недостаточно».

Развитие автономных систем требует пересмотра подходов к предоставлению прав. В отличие от сотрудников, которым полномочия часто назначаются на длительный срок, ИИ-агенты могут выполнять множество краткосрочных задач с разными уровнями доступа. Эксперты сошлись во мнении, что можно использовать модель временных привилегий, предоставляемых под конкретную операцию и автоматически отзываемых после ее завершения. При масштабировании до сотен и тысяч агентов ручное управление такими процессами становится практически невозможным.

Максим Ткаченко, директор по информационной безопасности A101:

«Раньше при организации процессов в Identity Security мы в основном отвечали на два вопроса: кто ты и что тебе разрешено.

 С появлением автономных агентов к ним добавляется третий — зачем ты это делаешь. В этом и заключается сдвиг парадигмы. Агент может иметь легитимный доступ, действовать в рамках выданных полномочий и выполнять по отдельности разрешенные операции, но их совокупность способна привести к результату, которого никто не ожидал. Формально нарушений может не быть, а ущерб при этом уже возникнет.

 Поэтому привычной модели, где достаточно определить субъект и набор его полномочий, становится недостаточно.

 Нам необходимо учитывать цель, ради которой действует агент, контекст конкретной задачи и останавливать действия, которые расходятся с задачей, до наступления последствий».

Еще один вопрос — возможность быстро вернуть контроль над автономным процессом. Простого отзыва прав доступа может оказаться недостаточно: агент способен запускать дополнительные процессы и субагентов, которые продолжат работу даже после его остановки. Кроме того, за время стандартной процедуры отзыва полномочий он может успеть выполнить множество операций. Поэтому механизмы принудительной остановки необходимо реализовывать независимо от самого агента, обеспечивая возможность прекратить не только его работу, но и все запущенные им процессы.

При этом требования к безопасности напрямую зависят от степени автономности ИИ-агента. Чем больше решений он принимает самостоятельно, тем строже должен быть контроль его действий. Для операций, способных привести к необратимым последствиям, при этом необходимо сохранять участие человека.

Участники также обсудили обратную сторону запретительного подхода. Полная блокировка ИИ-инструментов не устраняет связанные с ними риски: сотрудники могут перейти на личные устройства и неконтролируемые сервисы, а использование ИИ уйдет из поля зрения информационной безопасности. Поэтому одной из задач становится не запрет технологии, а создание управляемой модели ее применения внутри компании.

Представители бизнеса и директора по ИБ рассмотрели переход от традиционной защиты периметра к обеспечению киберустойчивости, изменения регуляторных требований и подходы к распределению бюджетов на информационную безопасность.

Важной темой обсуждения стала защита айдентити при работе с подрядчиками: легитимная учетная запись, полученная злоумышленником через менее защищенного участника цепочки поставок, позволяет действовать внутри инфраструктуры от имени доверенного пользователя. 

По мнению экспертов, отправной точкой должна становиться не покупка конкретного средства защиты, а понимание собственной инфраструктуры: какие информационные системы использует организация, какие требования распространяются на каждый сегмент и какие сценарии создают наибольший риск для бизнеса. При ограниченном бюджете это позволяет сопоставлять требования регуляторов с актуальными угрозами и определять приоритеты защиты.

Александр Дворянский, директор по информационной безопасности ГК «Элемент»:

«Я бы начинал с аудита всей компании и ее бизнес-процессов. Причем смотреть не только на наличие средств защиты и специалистов, а шире: чем занимается компания, с кем взаимодействует, как устроены ее цепочки поставок и где находятся слабые места. Атаковать будут по наиболее уязвимому звену. Поэтому задача информационной безопасности — не просто закрыть требования на бумаге, а понимать, какие сценарии действительно способны повлиять на работу бизнеса. Для этого нужен постоянный диалог с руководством: не раз в год при согласовании бюджета, а регулярно, чтобы безопасность воспринималась не только как статья затрат, а как инструмент сохранения устойчивости бизнеса».

Участники также обратили внимание на несоответствие между традиционной структурой расходов на информационную безопасность и актуальными способами атак. Значительная часть инвестиций по-прежнему направляется на сетевую защиту, тогда как злоумышленники все активнее используют скомпрометированные учетные данные, социальную инженерию и доверенные подключения. Такой дисбаланс эксперты связали с многолетней ориентацией на защиту периметра и масштабными задачами импортозамещения.

Таким образом, соответствие регуляторным требованиям и фактическая защищенность организации должны дополнять друг друга. Основой для выбора мер безопасности становятся оценка инфраструктуры, анализ бизнес-процессов и понимание наиболее существенных рисков.

Эксперты сошлись в том, что результат внедрения PAM определяется не только возможностями самого продукта. Решение встраивается в уже существующие процессы информационной безопасности и ИТ, поэтому проблемы возникают там, где не определены владельцы и правила предоставления прав, не проведена инвентаризация привилегий или новый порядок работы создает дополнительные сложности для администраторов.

При этом границы самого класса решений постепенно расширяются — от контроля отдельных привилегированных учетных записей к управлению разными моделями доступа.

Сергей Рычихин, заместитель генерального директора по комплексной безопасности АО «Расчетные решения» Группы Сбер:

«Сегодня PAM уже нельзя рассматривать только как инструмент контроля привилегированных учетных записей. Мы ожидаем, что область его применения будет расширяться. Сначала это были обычные пользователи, затем сервисные учетные записи и теперь ИИ-агенты.  Но одного продукта недостаточно. Чтобы PAM действительно работал в компании, вокруг него должны быть выстроены процессы, учтены требования регуляторов и интегрированы другие средства защиты. Поэтому дальнейшее развитие этого направления связано не только с новыми функциями самого PAM, но и с тем, насколько органично он становится частью общей системы управления доступом».

Одним из перспективных направлений развития PAM является контроль нечеловеческих идентичностей (Non-Human Identity, NHI). Наряду с администраторами привилегированный доступ получают сервисные учетные записи, автоматизированные системы и ИИ-агенты. Последние могут использовать учетные данные и токены, обращаться к защищенным ресурсам и одновременно инициировать множество подключений. Это расширяет привычную модель привилегированного доступа и требует контролировать уже не только действия администраторов, но и сервисные учетные записи и автономных агентов.

Артем Назаретян, руководитель BI.ZONE PAM:

«Появился новый тип субъекта — ИИ-агент, и привычное представление о PAM только как о средстве контроля привилегированных пользователей уже становится слишком узким. Теперь речь идет о привилегированном доступе в целом: его получают люди, технические и сервисные учетные записи, агенты. При этом сами каналы остаются знакомыми: SSH, RDP и другие протоколы,  но меняется субъект и масштаб его действий. Агент способен одновременно создавать сотни сессий и использовать учетные данные из разных источников. Поэтому часть этих сценариев уже можно контролировать средствами PAM, а для новых типов взаимодействия еще предстоит определить подходы. При этом задачи идентификации, аутентификации и управления доступом логично оставлять за PAM, а защиту промптов и другие специфические риски ИИ закрывать специализированными средствами».

Вместе с тем участники обозначили ограничения существующих механизмов. Если пользователь передает агенту разрешенные учетные данные, система PAM может воспринимать его подключение как легитимное. При этом наличие полномочий не гарантирует, что последующие действия агента будут соответствовать исходной задаче.

На примере корпоративных проектов эксперты рассмотрели развитие ролевых моделей, автоматизацию согласования прав, управление нечеловеческими идентичностями и перспективы применения искусственного интеллекта в IdM.

Одной из центральных тем для дискуссии  стало использование накопленных данных для совершенствования процессов управления доступом. В частности, в Ламода Тех для развития ролевой модели анализируют историю заявок, должности и подразделения сотрудников, распространенность определенных полномочий внутри команд и критичность информационных систем. На основе этих данных IdM формирует предложения по назначению должностных прав, которые затем проходят согласование.

Первоначально автоматизация привела к неожиданному результату: система сформировала слишком много предложений, увеличив нагрузку на согласующих. После изменения процесса количество новых рекомендаций ограничили 20 в рабочий день. В результате доля одобренных предложений превысила 70%. При этом анализ выполняется с помощью алгоритмов без применения искусственного интеллекта.

Константин Петров, руководитель группы развития и автоматизации продуктов информационной безопасности Ламода Тех:

«Мы хотели использовать накопленные в IdM данные, чтобы не согласовывать одни и те же права снова и снова. Система анализирует историю заявок, должность, подразделение, повторяемость роли, ее распространенность внутри команды и критичность сервиса, а затем сама предлагает кандидатов на должностной доступ. Но первая итерация показала, что автоматизировать поиск недостаточно: если сразу сформировать сотни предложений, мы просто создадим новую очередь для ручной обработки. Поэтому мы начали дозировать изменения — каждый рабочий день передаем ограниченное число кандидатов на согласование. В результате доля принятых предложений превысила 70%. Так тысячи отдельных решений постепенно превращаются в управляемую систему, при этом окончательный контроль остается за человеком».

Другой подход к автоматизации представил Билайн. В компании разделение обычных и привилегированных полномочий предусмотрено непосредственно в архитектуре IdM. В зависимости от уровня доступа система определяет тип учетной записи и требования к аутентификации. Если подходящей учетной записи у сотрудника нет, она создается автоматически.

Такой механизм дополняется постоянной проверкой фактически предоставленных прав. Если привилегия назначена непосредственно в целевой системе в обход IdM и нарушает установленную модель, решение выявляет несоответствие, отзывает полномочие и передает информацию в центр мониторинга информационной безопасности. По словам представителей компании, этот подход уже позволил обнаружить и устранить ряд нелегитимных назначений.

Александр Едриванов, руководитель направления управления доступами Билайн:

«Когда мы создавали свой IdM, мы изначально руководствовались концепцией Secure by Design и одной из задач было сразу определить, какие права могут назначаться обычной учетной записи, а какие требуют отдельной привилегированной. Мы заложили это непосредственно в модель полномочий: если сотруднику требуется доступ более высокого уровня, система автоматически работает с соответствующей учетной записью, и пользователю не приходится самому разбираться, куда должно быть назначено право применяется концепция Segregation of Duties (разделение полномочий) by design. При этом мы учитываем и сценарии обхода IdM, например администраторами систем. Политики проверяют фактические права в системах и, если обнаруживают несоответствие между уровнем учетной записи и предоставленными полномочиями, отзывают такой доступ и передают информацию в SOC. В результате разделение прав работает не как отдельное правило на бумаге, а как часть самой архитектуры управления доступом».

По итогам обсуждения эксперты отметили, что развитие IdM не обязательно начинать с построения полной ролевой модели. Более последовательный подход предполагает первоначальную автоматизацию кадровых процессов, создания учетных записей и обработки заявок с последующим переходом к управлению ролями, контролю конфликтов полномочий и более сложным сценариям.

Эксперты отметили, что распространение MFA пока не сопровождается полным охватом корпоративной инфраструктуры. Во многих организациях дополнительные факторы применяются преимущественно для администраторов, удаленных сотрудников и отдельных критичных систем. В результате компрометация обычной учетной записи, не защищенной MFA, может стать отправной точкой для проникновения во внутреннюю сеть и последующего повышения привилегий.

Лев Овчинников, руководитель продукта Indeed ITDR:

«Многофакторная аутентификация давно стала одним из базовых механизмов защиты корпоративного доступа. Однако наличие MFA еще не означает, что задача решена. Компании продолжают сталкиваться с неполным охватом пользователей и приложений, ограничениями устаревших систем и атаками, направленными на обход дополнительных факторов. Сегодня необходимо обсуждать не только распространение MFA, но и качество самой аутентификации: насколько выбранные методы устойчивы к фишингу, и соответствуют принятому уровню допустимого риска . Отдельное направление развития — непрерывная проверка доверия, когда безопасность определяется не только в момент входа, но и на протяжении всей пользовательской сессии».

В качестве перспективных направлений участники отметили беспарольную аутентификацию, технологии FIDO2 и Passkeys, биометрию и аппаратные ключи. Еще одна важная тема — адаптивная аутентификация, позволяющая изменять требования к подтверждению личности в зависимости от контекста подключения, характеристик устройства и критичности ресурса.

Развитие этих технологий постепенно меняет принципы настройки MFA. Вместо жестко заданной последовательности действий администратор может определять требования к уровню защищенности, а система управления идентификацией и доступом — выбирать подходящие способы их выполнения.

Андрей Кузнецов, архитектор Yandex Cloud IAM:

«Раньше при настройке многофакторной аутентификации мы часто мыслили последовательностью действий: сначала пароль, затем одноразовый код, потом еще один способ подтверждения. Но сегодня я считаю более перспективным другой подход. Администратор должен определять не конкретную цепочку, а требования к безопасности входа. Например, для определенного приложения необходимо подтвердить два независимых фактора и использовать устойчивый к фишингу метод аутентификации. А система управления идентификацией и доступом уже самостоятельно определяет, какими средствами выполнить эти требования. Такой подход позволяет отделить политику безопасности от технических особенностей отдельных методов и гибче управлять аутентификацией в разнородной инфраструктуре».

В конце эксперты затронули вопрос контроля действующих сессий после обнаружения угроз. Среди возможных механизмов — отзыв токенов, обмен событиями безопасности и интеграция MFA с системами управления доступом, защиты конечных устройств и обнаружения угроз, связанных с айдентити.

Такая модель позволяет реагировать на компрометацию не только при следующей попытке входа, но и во время уже установленного соединения, сокращая время, в течение которого злоумышленник может использовать полученные полномочия.

Меняются и сами модели управления доступом. Компании переходят к более гибкому предоставлению полномочий, автоматизируют процессы назначения и отзыва прав, развивают устойчивые к фишингу способы аутентификации и усиливают контроль действий пользователей и цифровых субъектов.

Дальнейшее развитие Identity Security связано не только с появлением новых технологий, но и с их интеграцией в корпоративные процессы, где безопасность, управляемость и удобство доступа становятся взаимосвязанными задачами.

Айдентити Конф объединила свыше 500 участников – руководителей служб безопасности, ведущих специалистов и экспертов отрасли. Официальными партнерами конференции выступили Индид, BI.ZONE, ГК «Солар», «Аладдин», Группа Астра, «Аметист», «Айти Таск», Yandex Cloud, «Актив», MFA Soft, АПБ2Б, BioSmart и ExploitDog.

О компании «Индид»

Индид — российский разработчик комплекса решений в области защиты айдентити. Продукты Индид уже более 17 лет внедряют крупнейшие компании из России и СНГ, работающие во всех отраслях экономики. Программное обеспечение Индид включено в  реестр Минцифры (реестр российского ПО, ранее — реестр Минкомсвязи), подходит для выполнения требований программы импортозамещения, принятой в РФ, и помогает соблюдать положения различных нормативно-правовых актов в сфере информационной безопасности (государственных стандартов, постановлений ФСТЭК и других подобных документов). Индид самостоятельно разрабатывает все свои продукты на территории Российской Федерации. Сайт компании: indeed-id.ru.