Цифровая трансформация мегаполиса масштаба Москвы требует создания надежной‚ масштабируемой и безопасной инфраструктуры для управления доступом к информационным активам. Система управления доступом (СУД) к информационным ресурсам города Москвы — это сложный многоуровневый программно-аппаратный комплекс‚ обеспечивающий реализацию политики информационной безопасности‚ соблюдение требований законодательства (в частности‚ 152-ФЗ «О персональных данных»‚ ФЗ-149‚ указов Президента и Постановлений Правительства РФ) и бесперебойную работу городских цифровых платформ.

Стратегические цели и нормативная база

Фундаментом построения СУД города служит доктрина «Единого цифрового пространства Москвы». Ключевые документы‚ регламентирующие эту область:

• Постановление Правительства Москвы об утверждении Положения об информационной безопасности городских информационных систем.
• Методологические рекомендации Департамента информационных технологий (ДИТ) по защите информации и управлению идентификаторами.
• Требования ФСТЭК России (для объектов критической информационной инфраструктуры, ОКИИ) и ФСБ России (для систем защиты гостайны и криптографической защиты).
• Стандарты серии ГОСТ Р ИСО/МЭК 27001 (Сертификация ИСМС городских систем).

Основные задачи СУД:

1. Идентификация и аутентификация (I&A): Недвусмысленное установление личности субъекта доступа (сотрудника органов власти‚ подрядчика‚ гражданина‚ программного агента).
2. Авторизация (RBAC/ABAC): Предоставление прав на основе ролей (Role-Based Access Control) и атрибутов (Attribute-Based Access Control) с поддержкой модели «нулевого доверия» (Zero Trust).
3. Учет и аудит: Непрерывное логирование всех событий доступа для последующего расследования инцидентов и прохождения аудитов регуляторов.
4. Жизненный цикл учетных записей: Автоматизированное заведение‚ модификацию и блокировку доступов (Joiner-Mover-Leaver) через интеграцию с HR-системами и реестрами подразделений.

Архитектурные уровни системы

Архитектура СУД Москвы построена по иерархическому принципу с разделением на уровни управления‚ предоставления услуг и периметра защиты.

Уровень центрального управления (Identity & Access Management Core)

Ядром системы выступает корпоративная платформа управления идентичностями (IdM/IAM). В Москве в качестве базовой платформы используются решения класса Enterprise (в т.ч. отечественные разработки‚ сертифицированные ФСТЭК‚ например‚ на базе Астра Линукс Special Edition или РЕД ОС с интеграцией продуктов таких вендоров‚ как Solar inRights‚ Positive Technologies или аналогичные отечественные аналоги).

Ключевые функции ядра:

• Единый каталог идентификаторов (Meta-directory) — консолидация данных из AD/LDAP‚ HR-систем‚ реестров подрядчиков.
• Движок политик доступа (PDP — Policy Decision Point) с поддержкой XACML / ALFA.
• Модуль управления привилегированными доступами (PAM) для администрирования критических систем.
• Портал самообслуживания (Self-Service Portal) для запроса прав‚ смены паролей‚ настройки MFA.

Уровень федеративной аутентификации (IdP / Federation Hub)

Для обеспечения Single Sign-On (SSO) между городскими порталами (mos.ru‚ EMIAS‚ ГИС ЖКХ‚ АИС «Город»‚ отраслевые АИС департаментов) развернут федеративный шлюз на базе протоколов SAML 2.0‚ OIDC / OAuth 2.0‚ OpenID Connect.

Данный уровень позволяет:

• Аутентифицировать пользователя один раз в центре выдачи токенов (STS).
• Передавать атрибуты пользователя (SNILS‚ ОГРН‚ роль‚ подразделение * ) в целевые системы без повторного ввода пароля.
• Реализовывать пошаговую аутентификацию (Step-up Authentication) при доступе к чувствительным данным (медицинская тайна‚ налоговая тайна).

Уровень многофакторной аутентификации (MFA / Adaptive Auth)

Обязательным требованием для всех сотрудников органов власти и подрядчиков является использование двухфакторной аутентификации (2FA/MFA). Внедрены следующие факторы:

• Криптографические токены (eToken‚ JaCarta‚ Рутокен ЭЦП 2.0/3.0) с хранением закрытого ключа ЭП (квалифицированная ЭП / усиленная неквалифицированная ЭП).
• Мобильное приложение «Госключ» / «Мой Москва» с поддержкой push-уведомлений и биометрии устройства (FaceID / TouchID).
• Одноразовые пароли (OTP) по алгоритмам TOTP/HOTP (резервный вариант).
• Адаптивная аутентификация (Risk-based Auth): анализ контекста (IP-адрес * ‚ геолокация‚ время входа‚ fingerprint устройства) для принятия решения о необходимости второго фактора.

Периметр доступа и сегментация (Zero Trust Network Access — ZTNA)

Отказ от классического VPN в пользу ZTNA-шлюзов. Доступ к инфраструктуре предоставляется не к сети‚ а к конкретному приложению/сервису после проверки:

• Состояния устройства (EDR/MDM агент‚ наличие обновлений‚ шифрование диска).
• Идентичности пользователя (MFA).
• Политики доступа к конкретному ресурсу (микросегментация).

Для подрядчиков и внешних интеграторов организованы изолированные контуры доступа (DMZ / Secure Access Service Edge) с терминальными серверами (VDI/RDP) и запретом копирования данных на локальные носители (DLP на уровне шлюза).

Управление доступом для различных категорий субъектов

Процессы управления доступом (Identity Governance & Administration, IGA)

Матрица ролей и модель «Меньших привилегий»

Разработана единая городская матрица ролей (Role Catalog)‚ содержащая более * стандартных ролей. Каждая роль имеет:

• Описание бизнес-функции.
• Набор технических прав (ACL в БД‚ права на файловые серверы‚ роли в БД‚ API scopes).
• Владельца роли (Role Owner — ответственное лицо из бизнеса‚ ФИО * ).
• Политику разделения обязанностей (SoD — Segregation of Duties)‚ например: «Оператор закупки» не может быть одновременно «Утверждающим закупку».

Процедура запроса и утверждения (Workflow)

1. Инициатор (сотрудник или руководитель) создает заявку на портале Self-Service.
2. Автоматическая проверка на конфликты SoD.
3. Маршрутизация на согласование: Руководитель подразделения (* ) -> Владелец роли -> Служба ИБ (для критических систем).
4. Автоматическое провижининг (Provisioning) через коннекторы (SCIM‚ SPML‚ PowerShell‚ REST API) в целевые системы.
5. Уведомление пользователя о готовности доступа.

Рецензирование доступов (Access Recertification)

Проводится ежеквартально (для критических систем, ежемесячно); Автоматические кампании рассылаются владельцам ролей и руководителям с отчетом: «Пользователь * имеет роль X‚ последняя активность Y дней назад». Варианты решения: Подтвердить‚ Отозвать‚ Эскалировать. Результаты сохраняются для аудиторов ФСТЭК/СЧ.

Защита привилегированных доступов (PAM)

Особое внимание уделяется учетным записям с расширенными правами (root‚ admin‚ sa‚ системные аккаунты сервисов).

• Хранилище секретов (Vault): Пароли привилегированных аккаунтов не знают люди. Они генерируются‚ ротируются (каждые * дней/часов) и выдаются в сессию через PAM-шлюз.
• Запись сессий: Все действия администраторов записываются (видеозапись терминальной сессии‚ логи команд CLI) и хранятся в WORM-хранилище не менее * лет.
• Just-in-Time (JIT) Access: Выдача прав «здесь и сейчас» на конкретное время (например‚ 2 часа на инцидент/релиз) с обязательным указанием номера тикета в ITSM (Jira/ServiceNow * ).
• Break-glass процедура: Экстренный доступ к «корневым» аккаунтам в обход стандартного кфлоу с обязательным пост-факту расследованием комиссией ИБ.

Мониторинг‚ SIEM и реагирование на инциденты

Все события аутентификации (успешные/неуспешные)‚ изменения прав‚ входы в PAM‚ обращения к Vault агрегируются в городской SIEM (Security Information and Event Management) (на базе отечественных решений: Positive Technologies MaxPatrol SIEM‚ Solar Dozor‚ KUMA или аналоги).

Ключевые сценарии корреляции (Use Cases):

• Brute-force / Password Spraying: > * неудачных попыток входа за * минут с одного IP / на один аккаунт -> Автоблокировка аккаунта / IP в WAF/NGFW.
• Impossible Travel: Вход из Москвы и вход из другого региона/страны за время‚ меньшее времени перелета.
• Privilege Escalation: Добавление пользователя в группу «Domain Admins» или назначение роли «Global Admin» без тикета изменения.
• Anomalous MFA: Отказ от push-уведомления (MFA Fatigue) или вход с нового устройства без регистрации в MDM.
• Data Exfiltration Precursor: Массовое скачивание отчетов/выгрузок за короткое время пользователем‚ не имеющим такой бизнес-задачи (анализ через UEBA — User and Entity Behavior Analytics).

При срабатывании критических правил формируется инцидент в ITSM-системе‚ назначается ответственный аналитик SOC (ФИО * )‚ инициируется процедура расследования по регламенту Инцидент-менеджмента.

Интеграция с федеральными и межведомственными системами

СУД Москвы тесно интегрирована с федеральными идентификаторами:

• ЕСИА (ЕСИА-ГОС): Основной IdP для граждан. Реализована делегированная аутентификация по SAML/OIDC. Используются уровни доверия (К1‚ К2‚ К3).
• СМЭВ 3 (СМЭВ-ГОС): Межведомственное взаимодействие. Авторизация запросов через проверку ЭП ОВИО (Органа‚ Включившего Информацию в Обмен) и прав доступа к конкретному сервису СМЭВ.
• ФНС / ПФР / МВД / Росреестр: Ссылочные проверки атрибутов пользователя (вадейность паспорта‚ СНИЛС‚ ИНН‚ права на имущество) в реальном времени при авторизации в городских сервисах.
• ЕРАИ (Единая система идентификации и аутентификации): Для взаимодействия с ведомствами блоковой безопасности (МЧС‚ МВД‚ ФСИН) по ГОСТ Р 34.10/34.11.

Перспективы развития (Roadmap 2024–2026)

1. Полный переход на Zero Trust Architecture (ZTA): Устранение неявного доверия к внутренней сети. Внедрение Continuous Authentication (непрерывная аутентификация по поведению).
2. Passwordless для сотрудников: Массовый переход на FIDO2 / WebAuthn (Passkeys) с использованием аппаратных ключей (YubiKey / отечественные аналоги) и биометрии рабочих станций. Отказ от паролей как основного фактора.
3. Децентрализованные идентификаторы (DID / Verifiable Credentials): Пилотные проекты использования блокчейн/распределенного реестра для верификации квалификаций врачей‚ лицензий подрядчиков‚ прав граждан без центрального хаба.
4. AI-driven IGA: Применение ML для автоматического выявления «ролевого дрифта» (role drift)‚ рекомендации ролей при найме (Peer Group Analysis)‚ предсказания рисков отзыва доступов.
5. Унификация API Security: Централизованный API Gateway с встроенным OAuth2/OPA (Open Policy Agent) для авторизации на уровне микросервисной архитектуры городских платформ.

Контакты и ответственные подразделения (маскировано)

Операционное управление и развитие СУД осуществляется Департаментом информационных технологий города Москвы (ДИТ) и подведомственными организациями.

• Куратор направления ИБ/УД: Заместитель руководителя ДИТ — * *
• Центр эксплуатации ИБ (SOC/ИБ-мониторинг): г. Москва‚ ул. ‚ д. * ‚ тел. +7 () —
• Центр управления идентификаторами (IdM-администрирование): г. Москва‚ пр. ‚ д. * ‚ email: * @mos.ru
• Служба поддержки пользователей (Service Desk по доступам): Единый номер: +7 () -*- (внутренний * )‚ портал: support..mos.ru
• Ответственный за PAM / Привилегированные доступы: Старший инженер ИБ — * * ‚ тел. +7 () -*-

Система управления доступом к информационным ресурсам города Москвы представляет собой зрелую‚ постоянно эволюционирующую экосистему‚ построенную на принципах Zero Trust‚ строгой регуляторной соответствия и максимальной автоматизации рутинных процессов (IGA‚ PAM‚ Provisioning). Ключевым фактором успеха остаеться баланс между безопасностью (защита персональных данных граждан‚ гостайны‚ КИИ) и удобством использования (SSO‚ Passwordless‚ Self-Service) для десятков тысяч сотрудников городского комплекса‚ подрядчиков и миллионов жителей столицы.

Данная статья носит обзорный характер и обобщает публично известные архитектурные подходы и лучшие практики‚ применяемые в масштабных государственных ИС. Конкретные технические параметры‚ версии ПО‚ IP-адресация‚ персональные данные ответственных лиц и внутренние регламенты носят конфиденциальный характер (ДСП/Гостайна) и не разглашаются.