Определены главные тренды развития систем управления привилегированным доступом

Магические квадранты Gartner и исследования Forrester Wave стали стандартом оценки решений различных классов. Однако наряду с ними существует и узкоспециализированная аналитика в различных областях ИТ и ИБ. В отношении управления привилегированным доступом (PAM) признанным европейским экспертом выступает KuppingerCole, который фокусируется на вопросах управления идентификацией и доступом. Отчет KuppingerCole Leadership Compass Privileged Access Management предлагает свой рейтинг вендоров, а также дает представление о состоянии рынка PAM, ключевых факторах и направлениях развития. Несмотря на отсутствие вендоров на отечественном рынке, исследование KuppingerCole актуально и для российских пользователей, поскольку описывает глобальные тенденции развития PAM. Обзор отчета специально для TAdviser подготовила компания Web Control.

Аналитики KuppingerCole считают, что рынок PAM быстро растет благодаря широкому использованию облачных технологий, цифровой трансформации и увеличению учетных данных различных типов. При этом на рынке присутствуют как лидеры рынка, известные по отчетам Gartner и Forrester, так и новые участники. Лидеры ориентированы на комплексные платформы защиты идентификационных данных, а небольшие компании часто предлагают специализированные решения для точечного привилегированного доступа. Лидерами рынка KuppingerCole считает ARCON, BeyondTrust, CyberArk и Delinea, эти компании предлагают надежные решения с широкими возможностями развертывания и расширенным функционалом.

Эксперты подчеркивают, что системы PAM решают важные задачи, но сложны в использовании и требуют значительных затрат на внедрение, особенно это актуально для малых и средних предприятий. Нехватка квалифицированных ИБ-специалистов во всем мире еще больше усугубляет трудности, связанные с эффективным внедрением и управлением такими инструментами. В таких случаях KuppingerCole рекомендует присмотреться к менее крупным вендорам.

Ключевые выводы отчета

• К лидерам рынка PAM относятся ARCON, BeyondTrust, CyberArk, Delinea, EmpowerID, OneIdentity, Saviynt, Senhasegura и WALLIX.
• Рынок PAM растет, поскольку он ориентирован на защиту от растущих угроз, связанных с идентификацией, и расширяющейся поверхностью привилегированного доступа.
• На рынке представлены как поставщики с узкоспециализированным решениями, так и с широкими платформенными.
• Пользователи PAM высоко ценят простоту использования и развертывания, это отмечает и Gartner. Хотя удобство пользователя сейчас находится в фокусе всех вендоров, некоторые решения все еще требуют сложных процессов установки и длительного обучения персонала.
• Вендоры-инноваторы фокусируются на поддержке привилегированного доступа с наименьшими привилегиями (Least Privilege) «точно в срок» (Just-In-Time, JIT) для всех типов идентификационных данных.
• Менее крупные вендоры реагируют на растущий спрос на нишевые PAM-решения, фокусируясь на критически важных, но специфических сценариях использования, таких как доступ к IaaS и PaaS, DevOps и эскалация привилегий по требованию.
• Большинство поставщиков предлагают решения, построенные на микросервисной архитектуре и модульном принципе, что сокращает время развертывания.
• Некоторые поставщики также предоставляют возможность внутренней настройки микросервисов, ориентируясь на компании, обладающие ресурсами для создания индивидуальных интеграций и сервисов.

Рынок PAM

PAM решает широкий круг задач, связанный с привилегированным доступом. В любой компании есть важные данные, серверы и рабочие процессы, которые требуют дополнительной защиты, поэтому доступ к таким ресурсам предоставляется только авторизованным лицам. Инструмент PAM может значительно упростить управление такими идентификационными данными и привилегированным доступом. В зависимости от потребностей компании PAM может быть простым средством предоставления одноразового доступа, а может включать такие функции, как управление паролями, безопасное хранилище паролей, управление сеансами и журнал действий пользователя.

KuppingerCole специализируется на управлении идентификационными данными и доступом, поэтому разделяет PAM на три категории с точки зрения того, какую задачу он выполняет в общей стратегии защиты идентификационных данных.

• PAM — традиционный подход к управлению привилегированным доступом, который фокусируется на контроле и аутентификации привилегированного доступа.
• CIEM (Cloud Infrastructure Entitlement Management) — управление правами на облачную инфраструктуру, централизованное управление идентификацией при работе в облачной и мультиоблачной среде.
• ITDR (Identity Threat Detection and Response) — относительно новый класс решений, направленный на управление рисками, связанными с идентификацией. Такие решения позволяют обнаружить несанкционированный привилегированный доступ к различным ИТ-ресурсам и минимизировать угрозы, связанные с ним.

Некоторые крупные вендоры PAM-решений уже включают инструменты ITDR и CIEM в свои PAM-платформы или предлагают их в качестве дополнений. Аналитики предупреждают, что эти решения не взаимозаменяемы. Отдельные решения CIEM обеспечивают комплексное управление несколькими облачными платформами, но в них могут отсутствовать традиционные инструменты, связанные с PAM. И наоборот, решения PAM, интегрирующие некоторые функции CIEM, часто не могут эффективно конкурировать со специализированными инструментами CIEM.Дмитрий Бородачев, DатаРу Облако: Наше преимущество — мультивендорная модель предоставления облачных услуг

PAM необходим компаниям любого размера и из любой отрасли, особенно компаниям, хранящим персональные данные. Небольшим компаниям также нужен PAM для защиты своих инфраструктур от атак, однако их может отпугивать сложность внедрения и стоимость. Таким компаниям аналитики рекомендуют обращаться к небольшим вендорам. Эксперты утверждают, что спрос на традиционные возможности PAM (хранилища, управление учетными данными, управление сеансами, доступ администратора и т. д.) по-прежнему высок, и поставщики продолжают совершенствовать эти возможности, делая их более эффективными и удобными для пользователей.

Прогноз развития рынка PAM

Рынок PAM растет, и аналитики предполагают, что будут увеличиваться инвестиции в PAM. Это связывают с ростом идентификационных данных в облаках, приложениях, сервисах, базах данных и пр. Ожидается, что на рынок выйдут больше поставщиков CIEM и ITDR, а также платформ Identity Security, включающих все три решения (PAM, CIEM, ITDR).

KuppingerCole считает, что рынок PAM будет дробиться на специализированные решения для привилегированного доступа, включая традиционные PAM с хранилищами, а также решения на базе платформ. Отсутствие однородности на рынке открывает новые возможности как для производителей, так и для покупателей, поэтому новым пользователям, особенно из малого и среднего бизнеса, не стоит спешить с выбором платформы Identity Security, особенно той, которая не может быть интегрирована с инструментами других поставщиков. Инновации на этом рынке стимулируются небольшими PAM-стартапами, главным образом теми, которые появляются в пространстве CIEM.

Рост рынка PAM

Функциональные возможности PAM-решений

PAM-системы могут обладать широким функционалом, при этом аналитики KuppingerCole подчеркивают, что набор возможностей зависит от поставщика, и компаниям часто не нужен весь предлагаемый функционал. Эксперты советуют покупателям определить требования к управлению привилегированным доступом и оценить масштаб внедрения исходя из потребностей компании, при этом оставить пространство для роста и масштабирования.

PAM-системы могут предоставлять следующие возможности:

• управление учетными записями;
• хранение паролей/учетных данных;
• управление паролями общих учетных записей (SAPM);
• управление привилегированными сеансами (PSM);
• управление контролируемой эскалацией и делегированием привилегий (CPEDM);
• управление привилегиями на конечных точках (EPM);
• управление секретами межмашинного взаимодействия (AAPM);
• удаленный привилегированный доступ;
• управление секретами в конвейере DevOps;
• обеспечение доступа «точно в срок» (Just in Time);
• поддержка эфемерных учетных данных;
• обеспечение доступа без паролей;
• CIEM;
• обеспечение аутентификации;
• поддержка SSO;
• многофакторная аутентификация;
• генерирование аналитики сеансов;
• гранулированный контроль доступа;
• обнаружение привилегированных учетных данных и обеспечение их жизненного цикла;
• анализ поведения привилегированных пользователей;
• мониторинг и запись сеансов удаленного привилегированного доступа;
• автоматизация доступа.

Основные игроки рынка PAM

Лидеры рынка PAM в отчете Privileged Access Management KuppingerCole Leadership Compass 2024

Лидерами рынка PAM, по мнению KuppingerCole, являются ARCON, BeyondTrust, CyberArk, Delinea, EmpowerID, One Identity, Saviynt, Senhasegura и WALLIX. Аналитики подчеркивают, что CyberArk, Delinea, BeyondTrust и ARCON предлагают как традиционный PAM-функционал, так и новые возможности CIEM и ITDR. При этом Saviynt, EmpowerID, WALLIX, One Identity, Senhasegura и Kron Technologies часто предлагают лучшую стоимость, простоту внедрения и использования и превосходят в специализированным сценариях использования, таких как облачный контроль доступа, например.

Для определения лидеров рынка KuppingerCole оценивает вендоров по стандартным для подобной аналитики категориям, таким как продукт, инновации, рынок. Отчет Leadership Compass PAM содержит краткое описание компании и продукта, включающее сильные и слабые стороны, рейтинг по таким показателям как безопасность, функциональность, развертывание, совместимость и удобство использования, а также оценку их дополнительных возможностей в виде радарной диаграммы для 25 вендоров.

Важно отметить, что удобство использования становится важным фактором при оценке PAM-систем не только в отчете KuppingerCole, но и Gartner этого года. Инструменты PAM из нишевых продуктов превратились в решения управления привилегиями для широкого круга пользователей, к которым относятся не только ИТ-, но и бизнес пользователи. Это приводит к повышению требований к удобству использования.

Рынок PAM сформирован и ключевые возможности решений этого класса стали общепринятыми, поэтому при выборе продукта покупателям приходится ориентироваться на удобство использования, развертывания и какие-то дополнительные характеристики. В качестве дополнительного ориентира KuppingerCole предлагает учитывать следующие возможности решений.

Доступ «точно в срок» (Just in Time)

Доступ «точно в срок» — это способность поставщика предоставлять безопасный доступ к привилегированным ресурсам по требованию, который активируется только в случае необходимости, что сводит к минимуму риски, связанные с длительным или ненужным доступом. Поддержка доступа «точно в срок» становится обязательным функционалом PAM-систем.

Пользовательский опыт

Удобство работы с системой является необходимым условием для ее регулярного использования. Эксперты предлагают при выборе продукта оценивать дизайн и удобство интерфейса, в первую очередь обращать внимание на то, насколько интуитивно понятна и удобна система, а также насколько эффективно пользователи могут ориентироваться в ней и выполнять задачи.

Аналитика

При выборе продукта рекомендуется оценить способность системы генерировать аналитику, включая возможность анализировать данные на выявление тенденций, создавать отчеты и предоставлять выводы, способствующие принятию обоснованных решений.

AI/ML

Для расширения функциональных возможностей системы производители интегрируют в свои решения алгоритмы ИИ и машинного обучения. Это позволяет автоматизировать процессы, прогнозировать проблемы и повышать операционную эффективность.

Управление данными

Аналитики предлагают обращать внимание на то, как поставщик управляет данными, как поддерживает целостность данных и обеспечивает безопасность и соблюдение нормативных требований на протяжении всего жизненного цикла данных.

Поддержка IAAS

Некоторым компаниям может оказаться важным поддержка поставщиком развертывания инфраструктуры как услуги (IAAS) и способность эффективно работать в облачных средах, обеспечивая масштабируемость, гибкость и бесшовную интеграцию.

Обнаружение учетных записей

Возможности поставщика идентифицировать и управлять учетными записями пользователей в различных платформах обеспечивают всесторонний надзор и контроль над всеми точками доступа в системе из единого окна.

Поддержка тонкой настройки политик

Поддержка гранулированного управления политиками позволяет компаниям создавать и применять политики доступа и безопасности, отвечающие их уникальным потребностям.

Вендоры, к которым стоит присмотреться

Как и в отчете Gartner, KuppingerCole называет вендоров, к которым следует присмотреться. Как правило, это альтернативные решения, сфокусированные на решении узких задач, либо PAM-инструменты, не выполняющие условия для включения в исследование KuppingerCole. Apomo, например, предлагает сервис для управления привилегированным just-in-time -доступом к облачным ресурсам для разработчиков и администраторов и может быть использован DevOps-инженерами.

FortiPAM от компании Fortinet интегрирован с FortiClient ZTNA и имеет встроенные возможности DLP и антивируса. Это дает надежную защиту устройств привилегированного доступа и трафика сеанса и позволяет снизить риски злоупотребления привилегированным доступом или утечки критических данных. SailPoint приобрел в 2023 году PAM-решение Osirium, известное по предыдущим отчетам KuppingerCole, и убрал его с рынка, чтобы интегрировать в свою платформу к 2025 году. Аналитики агентства ожидают, что в результате должно получиться конкурентное PAM-решение. Teleport не является классическим PAM-решением, что признают ведущие аналитики мира. Он предоставляет доступ к инфраструктуре с минимальными привилегиями на основе принципа Just in Time, обеспечивая защиту от угроз, связанных с идентификацией.

KuppingerCole называет Teleport развивающимся специализированным точечным PAM-решением. VaultOne предоставляет ряд традиционных возможностей PAM в компактном решении и может хорошо подойти для небольших организаций. Veza — относительно новая CIEM-платформа авторизации для гибридных, мультиоблачных сред, которая позволяет понимать, управлять и контролировать кто и какие действия может и должен совершать с теми или иными данными.

Заключение

Решения, отраженные в отчете, не присутствуют на отечественном рынке. Однако тенденции развития рынка применимы и к российскому сегменту. Развитие рынка идет в сторону интеграции PAM-инструментов с другими системами безопасности, использования алгоритмов машинного обучения и ИИ для обнаружения угроз и проактивного управления рисками как в локальных, так и облачных средах.

Настоящим трендом в выборе продукта становится удобство его использования с учетом стандартного набора возможностей, присутствующего у всех производителей. Это связано с тем, что PAM из нишевого продукта трансформировался в универсальное многофункциональное решение управления любыми привилегиями. Пользователями PAM теперь являются не только ИТ-специалисты и подрядчики, но и бизнес-пользователи, имеющие доступ к критическим данным. Это повышает требования к удобству использования, интерфейсу и соответствию реальным потребностям пользователями, чтобы последние не рассматривали PAM как препятствие в работе.