У среднего бизнеса уже нет «средних» киберрисков

Когда говорят о киберрисках, в первую очередь вспоминают крупные организации — банки, промышленные холдинги, телеком и госсектор. Но для злоумышленника размер компании не всегда имеет значение: у организации с несколькими сотнями сотрудников могут быть базы клиентов, доступ к финансовым системам, удаленные подключения, облачные сервисы и интеграции с крупными партнерами. Через такую компанию нередко можно добраться и до инфраструктуры более крупного игрока.

Вместе с тем вектор атак все чаще уходит к целенаправленным атакам на субъектов: сотрудников, подрядчиков и их учетные записи. Последствия таких инцидентов для среднего бизнеса — непропорционально тяжелые: утечка данных, остановка бизнес‑процессов, срыв работы с клиентами или потеря доверия партнеров.

И защита доступа субъектов становится критичным слоем безопасности: если злоумышленник получает легитимные учетные данные, он сможет зайти в компанию под видом сотрудника. Поэтому для таких компаний главный вопрос не «нужна ли защита доступа», а «как ее организовать без превращения в долгий и ресурсоемкий проект».

Для организации защиты доступа у компании, в основном, стоит выбор между двумя базовыми вариантами: on‑premise и облачным решением.

On‑premise (инфраструктурный проект) — IAM‑решение разворачивается и поддерживается внутри контура компании. Это требует подготовки инфраструктуры, развертывания компонентов системы, настройки интеграций, тестирования отказоустойчивости и организации сопровождения. Для среднего бизнеса без выделенной команды такой подход часто означает либо многомесячные (и даже многолетние) сроки, либо отказ от внедрения.

Облачное решение (сервис по подписке) — ядро платформы развернуто и обслуживается вендором. Заказчику не нужно ничего разворачивать самостоятельно: фокус смещается на содержательные вопросы — какие ресурсы защищать, кому и на каких условиях давать доступ. Такой подход позволяет закрывать риски поэтапно: начать с MFA для VPN и критичных приложений, затем добавить SSO, контроль сессий, контекстные политики и так далее.

Именно эту логику реализует Avanpost Identity Cloud — сервис для защищенного доступа к корпоративным ресурсам для сотрудников и подрядчиков на базе эталонной облачной архитектуры. Оплата формируется за ежемесячное или ежегодное использование в расчете на одного сотрудника, а стоимость за пользователя начинается от 168 рублей в месяц.

Барьер безопасности: что уходит наружу. Первый вопрос, который возникает при слове «облако»: какие данные и секреты покидают периметр компании? Это обоснованный вопрос, так как статистика показывает, что именно небезопасное хранение (28,65 миллиона секретов было случайно скомпрометировано в публичных коммитах на GitHub в 2025 году) и компрометация учетных данных с избыточными правами остаются одними из главных векторов атак.

В Avanpost Identity Cloud у каждого клиента свой тенант — логически изолированный экземпляр сервиса со своими настройками и политиками доступа. Связь облачной платформы с внутренней инфраструктурой клиента обеспечивает компонент Access Bridge, который разворачивается внутри периметра компании. Секреты не передаются в облако, аутентификация работает даже в оффлайн-режиме.

Барьер интеграций: неоднородный ИТ‑ландшафт. Реальная инфраструктура среднего бизнеса — это почти всегда не одна система: Active Directory, VPN, 1С, несколько SaaS‑сервисов и внутренний портал.

Чтобы снизить объем ручной настройки в Avanpost Identity Cloud есть механизм пресетов. Они позволяют подключать распространенные корпоративные системы по заранее подготовленным шаблонам: 1С, Яндекс 360, Termidesk VDI, Jira/Confluence, Cisco, Fortinet, OpenVPN.

Для систем, которые не поддерживают современные протоколы, в Avanpost Identity Cloud предусмотрены отдельные сценарии: Reverse Proxy для legacy‑веб‑приложений, Enterprise SSO для десктопных приложений без поддержки OAuth/OpenID Connect.

Барьер стоимости: собственный IAM‑проект vs оплата по подписке. При on‑premise‑модели стоимость сопоставляется с масштабом всего будущего IAM‑ландшафта, отсюда крупные бюджеты и долгие сроки. При сервисной модели стоимость определяется перечнем сценариев и количеством пользователей. У Avanpost Identity Cloud открытая тарифная модель без скрытых смет, а стоимость за одного пользователя начинается от 168 рублей в месяц. Это позволит защитить конкретные приложения и расширяться при росте зрелости процессов компании.

Барьер технологической экспертизы: кто несет ответственность за баги и обновления. Это, пожалуй, самый недооцененный барьер. При самостоятельном внедрении Open‑Source‑решений, например Keycloak, компания остается один на один с багами, обновлениями и уязвимостями платформы, часто без нужной экспертизы внутри и без документации, которая помогла бы быстро разобраться в проблеме. При сервисной модели обслуживание, обновление и устранение уязвимостей платформы — это ответственность поставщика (вендора), а не внутренней команды заказчика. Для компании это означает не просто экономию на инфраструктуре, а исчезновение риска остаться один на один с технической проблемой.

Честность здесь работает на доверие лучше, чем избыточный оптимизм.

Во‑первых, Avanpost Identity Cloud закрывает прежде всего слой аутентификации, единого входа и контроля доступа — MFA, SSO, контекстные политики, сценарии Zero Trust. Это не отменяет других задач по защите доступа. Identity Security — это не только доступ, но и управление жизненным циклом учетных записей (IDM/IGA‑решения) и контроль привилегированных учетных записей с помощью PAM‑систем. Эти зоны ответственности нужно держать в фокусе параллельно: подключение облачного MFA не закрывает автоматически ни ролевые модели, ни аудит прав, ни управление привилегиями.

Во‑вторых, для российского среднего бизнеса соответствие регуляторным требованиям часто не менее значимо, чем защита от конкретной атаки. В контексте защиты персональных данных речь прежде всего о требованиях 152‑ФЗ и мерах по обеспечению безопасности ПДн, включая разграничение доступа и фиксацию событий аутентификации.

В‑третьих, для реализации проекта, однозначно, нужно минимальное планирование: определить, какие системы критично защитить прямо сейчас, а какие можно подключить позже. На практике разумно начинать с «очевидных точек риска»: VPN, почта, критичные бизнес‑приложения, доступ подрядчиков. Такой поэтапный подход снижает нагрузку на команду и позволяет быстрее получить эффект.

Главный сдвиг не в том, что защита стала дешевле в моменте (хотя это тоже так), а в том, что изменился сам порог входа. Раньше вопрос звучал: «Готовы ли мы запустить большой проект по защите и управлению доступом?» Теперь вопрос другой: «Какая у нас сейчас самая очевидная точка риска и как быстро мы ее закроем?».

Avanpost Identity Cloud как раз и закрывает эти точки риска, и снимает ключевые барьеры по внедрению и использованию IAM‑сервиса: барьер безопасности, интеграций, технологической экспертизы и стоимости.