Когда вы привлекаете подрядчика для сопровождения 1С, настройки средств защиты или обслуживания ИТ-инфраструктуры, ему может понадобиться доступ к вашим рабочим компьютерам и серверам. Вместе с доступом вы предоставляете подрядчику возможность работать в вашей инфраструктуре и с вашими данными. Поэтому ещё до подключения важно определить, кто будет выполнять работы, какие действия ему разрешены и когда доступ нужно отключить.

По данным расследований BI.ZONE DFIR, за январь–сентябрь 2026 года каждый пятый расследованный инцидент в промышленном сегменте был связан с уязвимостями или компрометацией подрядчиков и внешних поставщиков. Эти данные относятся к выборке расследований команды, а не ко всем инцидентам на рынке.

В статье разберём, какие ошибки в организации доступа помогают злоумышленникам и как их устранить. Рассмотрим ограничения прав, подключения к рабочим компьютерам, применение PAM-систем и требования приказа ФСТЭК России № 117. 

Злоумышленник может получить доступ к инфраструктуре двумя путями: 

• Через взлом подрядчика – скомпрометировать его компьютер или учётную запись и воспользоваться доступом к системам учреждения.
• Через обман сотрудника – представиться специалистом подрядной организации и убедить работника учреждения разрешить удалённое подключение. 

Рисунок 1. Два пути к АРМ сотрудника через удалённый доступ

Права подрядчика должны соответствовать его задачам. Это касается и доступных устройств, и разрешённых действий. Возможность подключиться к определённому АРМ не должна автоматически давать доступ к остальным компьютерам, серверам и сетевым папкам. 

Начать стоит с проверки действующих подключений. Для каждого подрядчика нужно установить, кто из его специалистов работает с инфраструктурой, какими учётными записями пользуется и какие полномочия имеет. Эти сведения удобно вести в общей таблице вместе со сроком доступа и ответственным сотрудником учреждения. 

Затем права сопоставляют с текущими работами. Убирают ненужные разрешения, пересматривают членство в административных группах и ограничивают доступ к ресурсам, которые исполнитель больше не обслуживает. Временные повышенные права снимают после выполнения задачи. 

Для этого используют настройки ОС и приложений, группы доступа и правила межсетевого экрана. В доменной инфраструктуре учётными записями и группами можно управлять централизованно через службу каталогов, например Active Directory.
Если подрядчик подключается через VPN, следует проверить, какие устройства доступны ему после входа. VPN защищает канал передачи данных, а разрешённые соединения определяются сетевыми правилами. 

Общая учётная запись затрудняет контроль. В журнале останется один логин, даже если под ним работали несколько человек. При замене специалиста также будет сложно определить, у кого сохранился пароль. 

Персональные учётные записи позволяют связать подключение с конкретным исполнителем и отключить его доступ, не затрагивая остальных. Если для администрирования используется общая техническая запись, персональную идентификацию можно организовать через систему, которая управляет подключениями к ней. 

Дополнительно следует настроить многофакторную аутентификацию. При этом важно проверить все разрешённые способы входа: отдельное подключение по одному паролю сохранит риск, даже если основной канал защищён дополнительным фактором. 

В небольших учреждениях подрядчики нередко подключаются непосредственно к АРМ сотрудника. В этом случае внешний специалист работает в уже открытом сеансе и может пользоваться доступными сотруднику документами, приложениями и сетевыми ресурсами. 

Поэтому проверка должна охватывать и полномочия пользователя этого АРМ. Предоставление административных прав во время сеанса дополнительно расширяет возможности подключившегося. 

До начала работ сотрудник должен знать, кто подключится и что будет делать. Неожиданную просьбу открыть доступ следует подтвердить через заранее известный контакт подрядчика. Имя в мессенджере или знакомый логотип не подтверждают личность собеседника. 

Для удалённой помощи стоит установить единый порядок: 

• использовать согласованную программу, установленную из проверенного официального источника или внутреннего хранилища;
• закрывать документы и приложения, которые не относятся к работам;
• ограничивать передачу файлов и буфер обмена, если эти функции не нужны и программа позволяет их отключить;
• завершать сеанс после выполнения задачи. 

Отдельно проверьте настройки постоянного доступа. Для разовой помощи возможность повторно войти без подтверждения сотрудника обычно не требуется. Если она необходима для сопровождения, нужно определить, кому разрешено подключаться, в какое время и как будут проверяться такие подключения.
Сотрудник может наблюдать за работой подрядчика, но не всегда способен оценить каждое действие на экране. Ограничения прав и регистрация событий должны действовать независимо от его присутствия. 

Истечение договора не отключает учётные записи и программы удалённого управления. Без отдельной процедуры доступ может сохраняться после завершения сотрудничества или смены специалиста. 

При прекращении доступа необходимо проверить все способы подключения: учётные записи ОС и приложений, VPN, программы удалённого управления и средства аутентификации. 

Ненужные записи блокируют, разрешения отзывают, активные сеансы завершают. Если выбывшему специалисту были известны общие пароли, их меняют. Постоянный удалённый доступ отключают, когда оснований для него больше нет. 

После этого следует проверить результат: сможет ли специалист подключиться повторно и не осталось ли открытого сеанса. Одного изменения статуса учётной записи для такой проверки недостаточно. 

Даже при продолжающемся сотрудничестве задачи подрядчика меняются. Ранее выданные права могут перестать соответствовать работам, а сведения о составе специалистов – устареть. 

В регламенте учреждения целесообразно закрепить ежеквартальную проверку доступов подрядчиков. Во время неё сопоставляют действующие договоры, состав исполнителей, учётные записи, права и доступные ресурсы. Такой срок – практическая рекомендация для организации проверки. 

При завершении договора, смене специалиста или подозрении на компрометацию доступ пересматривают сразу, не дожидаясь очередной проверки. 

Рисунок 2. Контроль доступа до, во время и после работ

По мере роста числа подрядчиков и административных подключений контролировать доступ вручную становится сложнее. Приходится отслеживать, кому выдали пароль, какие права предоставили и что происходило во время работ. Для этих задач применяют PAM (Privileged Access Management) – системы управления привилегированным доступом. 

В зависимости от продукта и настроек PAM позволяет:

• выдавать доступ только к разрешённым ресурсам;
• хранить и подставлять административные пароли без их раскрытия исполнителю;
• записывать сеансы и просматривать действия пользователей;
• прерывать подключения. 

Такие возможности, в частности, описаны разработчиком Solar SafeInspect.
Перед выбором системы нужно проверить, поддерживает ли она используемые протоколы и способы работы подрядчиков. Если специалист сможет подключаться через отдельную программу в обход PAM, этот сеанс останется за пределами её контроля. 

Потребность в PAM оценивают с учётом объёма работ, инфраструктуры и требований к защите. При этом персональные входы, ограничение полномочий и своевременное отключение доступа необходимы при любом способе организации подключений. 

Для проверки работ нужны сведения о том, кто подключался, когда, откуда и к какому ресурсу. Также следует регистрировать изменения прав, создание учётных записей и изменение настроек удалённого доступа. 

Для этого включают соответствующие журналы ОС, приложений и средств удалённого управления. На устройствах синхронизируют время, устанавливают срок хранения записей и ограничивают возможность их удаления. 

Нужно определить и порядок проверки: кто просматривает события и какие действия требуют внимания. После работ с административными правами следует сопоставлять внесённые изменения с согласованной задачей. При подозрительном подключении – сохранять доступные журналы и записи сеанса для дальнейшего анализа. 

Правила доступа должны быть понятны сотрудникам учреждения и подрядчику. В них следует определить, кто согласовывает подключение, какие программы разрешено использовать, как выдаются права и кто отвечает за их прекращение. 

С подрядчиком также стоит согласовать порядок уведомления о смене специалистов и компрометации учётных данных или устройств. Это поможет своевременно закрыть доступ, который больше нельзя считать доверенным. 

Для систем, подпадающих под действие приказа ФСТЭК России от 11.04.2025 № 117, нужно учитывать следующие положения: 

PAM-система помогает закрыть требования пункта 48 приказа ФСТЭК России № 117 в части ограничения привилегированного доступа, регистрации действий пользователей и контроля использования учётных записей с повышенными правами. Порядок работы через PAM – кто согласовывает подключения, выдаёт права и проверяет действия специалистов – следует закрепить во внутренних регламентах учреждения.

ЦЗИ «Север» помогает организовать безопасный доступ подрядчиков к информационным системам. При выполнении собственных работ мы также уделяем внимание тому, какие права получают наши специалисты и на какой срок. Работаем на основании лицензий ФСТЭК России и ФСБ России в области защиты информации. 

Перед работой проверяем:

• Канал связи – каким способом будет установлено соединение и какие средства защищают передаваемые данные;
• Права учётной записи – какие действия доступны специалисту и соответствуют ли они задаче;
• Срок доступа – на какой период он предоставлен и когда необходимость в нём прекращается;
• Точки доступа – к каким АРМ, серверам и приложениям разрешено подключение.

Этот подход помогает контролировать отдельные подключения, но важно понимать и общую картину: кто имеет доступ к системам, насколько обоснованы выданные права и можно ли отследить действия пользователей. Чтобы проверить, как это организовано у вас, мы проведём аудит ИБ: проанализируем права доступа, настройки и журналы событий, выявим проблемы и подготовим рекомендации по их устранению. 

Если для контроля доступа потребуются дополнительные средства защиты, поможем подобрать их с учётом вашей инфраструктуры и задач, выполним поставку, установку и настройку, обеспечим сопровождение. В том числе предлагаем PAM-системы для управления привилегированным доступом — СКДПУ НТ от «АйТи Бастион» и Indeed Privileged Access Manager от «Индид».