Применение средств удаленного доступа выходит за рамки привычных задач по поддержке дистанционной работы сотрудников и централизованному администрированию устройств компании. Раньше их использовали только для поддержки пользователей и удаленного администрирования. Сегодня они входят в состав защищенной ИТ-инфраструктуры организации, поэтому только удобства, производительности и цены для выбора решения уже недостаточно. Для ГИС, объектов КИИ и информационных систем персональных данных (ИСПДн) действует отдельный набор правил: защита канала передачи данных, аутентификация, аудит и разграничение прав.

Разберем, почему выбор подобных решений теперь утверждает служба безопасности, а не только ИТ-отдел, какие критерии и нюансы компаниям необходимо учитывать на всех этапах проекта внедрения и как будут меняться регуляторные требования к этому классу продуктов.

Удаленный доступ — один из базовых элементов современной ИТ-инфраструктуры. Он используется в самых разных сценариях: от поддержки одного сотрудника до управления тысячами устройств в распределенных сетях. Такие решения востребованы в корпоративных системах и географически распределенных компаниях, а также применяются в АСУ ТП, ГИС, ИСПДн и объектах критической информационной инфраструктуры.

Среди множества сценариев применения удаленного доступа в контексте защищенной инфраструктуры особое значение имеют три направления:

• организация дистанционной работы сотрудников, особенно в крупных компаниях с филиалами и распределенными командами;
• предоставление подрядчикам контролируемого доступа с настройкой минимально необходимых прав;
• централизованное администрирование устройств и техническая поддержка для оперативного управления парком устройств.

В 2022 году поиск зрелого отечественного решения стал вынужденным шагом: с российского рынка ушли западные вендоры, среди них — TeamViewer и Dameware. Сегодня выбор системы удаленного доступа осложняется рисками безопасности: на фоне роста количества кибератак на российские компании требования регуляторов к защите информационных систем становятся жестче. Подключение через скомпрометированную учетную запись или один клик сотрудника по фишинговой ссылке могут открыть злоумышленнику путь в корпоративный контур. Поэтому в текущих реалиях отечественная система удаленного доступа должна закрывать не только задачи заказчика, но и нормы регуляторов, а также быть совместимой с другими элементами ИТ-инфраструктуры компании (операционной системой, СУБД и т.д.).

Раньше средство удаленного доступа выбирал ИТ-отдел, а служба ИБ лишь согласовывала внедрение продукта постфактум. Сегодня решение все чаще принимают специалисты по безопасности. На мой взгляд, есть ряд причин, повлекших подобные изменения:

Первая причина — регуляторная. Приказ ФСТЭК России от 11.04.2025 № 117 прямо описывает, как организовать удаленный доступ в государственных информационных системах. Служба ИБ несет ответственность за соответствие выбранного продукта этим нормам.

Вторая причина — характер угрозы. Использование удаленного доступа расширяет поверхность атаки. Злоумышленники активно используют такие каналы для проникновения в инфраструктуру: перехватывают трафик, крадут учетные данные через фишинг, ищут уязвимости в клиентских устройствах. Оценить эти риски может только специализированная экспертиза службы ИБ.

Третья причина — разные приоритеты у двух служб:

• ИТ-отдел ориентируется на функциональность, скорость подключения, стабильность, простоту масштабирования;
• служба ИБ оценивает минимизацию поверхности атаки, полноту аудита, предсказуемость поведения системы.

Продукт, идеальный с точки зрения ИТ, может не подойти службе безопасности — например, из-за скрытого канала утечки данных или невозможности контролировать сессию.

Четвертая причина — интеграция систем удаленного доступа с другими системами защиты, которая включает несколько важных аспектов:

• Для ГИС, объектов КИИ и систем персональных данных важен статус самого продукта — например, наличие сертификатов ФСТЭК или ФСБ. Этот статус проверяет служба безопасности. При выборе решения она оценивает его гораздо выше, чем удобство и функциональность. Регуляторы также требуют доказательств защиты: журналы событий, корреляцию в SIEM (Security Information and Event Management, система сбора и анализа событий безопасности со всей инфраструктуры), правильное хранение логов, защиту записей от подмены. Формат и сроки хранения журналов, а также способы защитить их от изменений, тоже определяет служба ИБ.
• Меняется и сама архитектура доступа: классический VPN уступает место ZTNA (Zero Trust Network Access, удаленный доступ с нулевым уровнем доверия). Пользователь получает доступ не ко всей сети, а к конкретному приложению или сервису. Здесь служба безопасности выступает архитектором политик и определяет критерии для каждой группы пользователей.

Похожая логика применима к работе с подрядчиками и партнерами. Как выдать права без создания постоянной учетной записи? Как ограничить срок и область доступа? Как гарантировать, что права отзовут сразу после завершения проекта? Ответы