На система управления доступом к информационным ресурсам города Москвы представляет собой многоуровневый‚ высокоавтоматизированный комплекс‚ обеспечивающий безопасность‚ бесперебойность и соответствие требованиям законодательства (152-ФЗ‚ 149-ФЗ‚ указы Президента РФ‚ постановления Правительства Москвы). В основе лежит принцип Zero Trust («нулевое доверие») и централизованное управление идентификаторами (Identity Management — IdM).

Архитектурные принципы и нормативная база

Управление доступом строится на иерархической модели‚ где верхний уровень задает политики‚ а нижние — исполняют их в конкретных информационных системах (ИС).

Ключевые нормативные документы

• Постановление Правительства Москвы № * «Об утверждении Положения об единой системе идентификации и аутентификации субъектов доступа к информационным ресурсам города Москвы».
• Методические рекомендации ДИТ Москвы (Департамент информационных технологий) по интеграции с ЕСИА Города и применению средств защиты информации (СЗИ) сертифицированных ФСТЭК (классы 1Б‚ 1В‚ 2В).
• Порядок предоставления доступа к персональным данным в соответствии с требованиями Роскомнадзора и локальными актами операторов ПДн (Оператор: ГКУ «»‚ адрес: г. Москва‚ ул. ‚ д. *).

Базовые принципы

1. Единая точка входа (Single Sign-On — SSO): Один идентификатор пользователя для доступа ко всем корпоративным порталам‚ АРМ и мобильным приложениям.
2. Ролевая модель доступа (RBAC/ABAC): Права назначаются не лично пользователю‚ а бизнес-роли (например‚ «Специалист отдела образования»‚ «Администратор БД МФЦ»).
3. Жизненный цикл учетной записи (Identity Lifecycle): Автоматическое создание‚ модификация и блокировка при найме‚ переводах и увольнении (Joiner-Mover-Leaver).
4. Многофакторная аутентификация (MFA): Обязательна для всех привилегированных учетных записей и доступа к КИИ/ГИС.

Технологический стек: Платформа NS.IDM и интеграция

Согласно актуальным данным о внедрениях‚ ключевым технологическим ядром является решение NS.IDM (входит в Единый реестр российских программ для ЭВМ и БД). Данная платформа обеспечивает комплексное управление ресурсами‚ правами приложений‚ учетными данными пользователей и организаций.

Функциональные модули NS.IDM в контексте Москвы

• Identity Vault (Хранилище идентификаторов): Единый реестр субъектов доступа (сотрудники ГБУ‚ ГУП‚ подрядчики‚ интерны). Синхронизация с HR-системами (SAP HCM‚ 1C:ЗУП) по протоколу SCIM/SPML.
• Access Governance (Управление правами): Матрица ролей‚ процесс согласования запросов (Workflow)‚ рецензирование доступов (Access Review) раз в квартал.
• Privileged Access Management (PAM): Управление привилегированными учетными записями (root‚ admin‚ sa). Хранение паролей в vault‚ инъекция паролей в сессии RDP/SSH без раскрытия пользователю‚ запись ключевых действий (keystroke logging).
• Federation & SSO: SAML 2.0 / OIDC / OAuth 2.0 интеграция с порталом mos.ru‚ ЕСИА Города‚ корпоративным порталом intranet.mos.ru и отраслевыми системами (ЕМИАС‚ ГИС ЖКХ‚ АИС «Образование»).

Кейс: Оптимизация онбординга в Ростелеком Контакт-центр

Ярким примером эффективности внедрения NS.IDM стал проект в Ростелеком Контакт-центр (оператор единого справочного и информационного сервиса Москвы).

Результат: Время на онбординг новых сотрудников сократилось от двух недель до трех дней.

Механика достижения результата:

• Автоматическое выделение ролей по штатному расписанию при появлении записи в HR-системе.
• Самообслуживание (Self-Service) для настройки MFA-токенов (Push-уведомления в приложении «Госключ» или токены Rutoken ЭЦП 2.0/3.0).
• Исключение ручных операций администраторов безопасности (создание учеток в AD‚ Exchange‚ 1С‚ CRM вручную).
• Делегированное администрирование: руководитель отдела подтверждает необходимость доступа к конкретным очередям звонков и базам знаний через портал самообслуживания.

Данный кейс демонстрирует переход от ручного «тикетного» управления к полноценному Identity Governance & Administration (IGA).

Процессы управления доступом (Identity Lifecycle Management)

Процесс «Joiner» (Найм/Появление доступа)

1. HR-специалист вносит данные в кадровую систему (ФИО: Иванов И.И. -> маскируется как ‚ Табельный номер: ‚ Подразделение: Департамент *).
2. Событие через Event-Driven архитектуру (Kafka/RabbitMQ) попадает в NS.IDM;
3. Движок правил (Rule Engine) определяет набор ролей по атрибутам: Должность‚ Подразделение‚ График работы.
4. Автоматическое провижининг в целевые системы: AD/LDAP (создание userPrincipalName: @mos.ru)‚ PostgreSQL/Oracle (создание схем/ролей)‚ Cloud (Yandex Cloud / VK Cloud / Облако Москвы — создание IAM-пользователя).
5. Уведомление пользователя и руководителя через Telegram-бот / Email / SMS (номер телефона: +7 () *—) с инструкцией по первому входу и регистрации MFA.

Процесс «Mover» (Перевод/Изменение прав)

• Инициируется изменением атрибутов в HR-системе или заявкой в ServiceNow / Jira Service Management.
• Расчет дельты прав (Delta Calculation): что добавить‚ что отозвать.
• Согласование критических прав (доступ к Гос. тайне‚ КИИ‚ ПДн) — через комиссию по защите информации (КЗИ) ответственного исполнителя (ФИО председателя КЗИ: *).
• Автоматическое применение изменений в окне обслуживания (обычно 00:00–04:00) или в режиме реального времени для критических систем.

Процесс «Leaver» (Увольнение/Отзыв доступа)

SLA отзыва доступа: не более 1 часа с момента фиксации события в HR-системе (для привилегированных доступов — 15 минут).

• Блокировка учетной записи в IdP (Identity Provider).
• Отзыв всех сессий (Revocation Tokens) в SSO.
• Отключение VPN/VDI доступа‚ возврат токенов Rutoken/JaCarta в УЦ (Удостоверяющий Центр: ГУ УЦ «*»).
• Архивация почтового ящика и OneDrive/Я.Диск по политике удержания (Retention Policy).

Безопасность и Соответствие (Compliance)

Защита персональных данных (152-ФЗ)

Все системы управления доступом (NS.IDM‚ AD‚ БД аудита) развернуты в контурах с уровнем защищенности УЗ 1 или УЗ 2 (по ФСТЭК). Применяются сертифицированные СЗИ:

• Межсетевые экраны: (серия ).
• Средства антивирусной защиты: *.
• СИЭМ (SIEM): корреляция событий безопасности доступа (Brute Force‚ Impossible Travel‚ аномальное время входа).

Аудит и Рецензирование (Access Review)

Проводится ежеквартально для всех ролей с уровнем критичности «Высокий» и «Критический».

Интеграция с городскими платформами

ЕСИА Города (Единая система идентификации и аутентификации)

Является основным IdP для внешних пользователей (жители‚ бизнес) и внутренних сотрудников при доступе к публичным сервисам. NS.IDM выступает в роли SP (Service Provider) и Attribute Authority.

• Протокол: OpenID Connect / SAML 2.0.
• Атрибуты: SNILS (маска: —* *)‚ ОГРН/ИНН организации‚ Уровень доверия (УД 1–4).
• Сценарий: Сотрудник МФЦ входит через ЕСИА Города (УД 3 — ЭЦП) -> NS.IDM маппит атрибуты на внутреннюю роль «Оператор МФЦ» -> выдает доступ к АРМ «Мой Документы».

Портал mos.ru и API Шлюз (API Gateway)

Управление доступом к API городских сервисов осуществляется через шлюз API Gateway Москвы (на базе Kong / Yandex API Gateway / собственной разработки).

• Клиентское приложение получает JWT-токен в NS.IDM/ЕСИА.
• Токен валидируется на шлюзе (проверка подписи‚ exp‚ aud‚ scopes).
• Политики Rate Limiting и Quotas привязаны к Client ID (Organization ID).

Перспективы развития на 2026–2027 гг.

1. Полный переход на Passwordless: Отказ от паролей в пользу FIDO2 / WebAuthn (биометрия в «Госключе»‚ аппаратные ключи).
2. AI-driven Access Analytics: Внедрение модулей UEBA (User and Entity Behavior Analytics) на базе ML для выявления инсайдерских угроз и автоматического снижения прав (Adaptive Access).
3. Децентрализованные идентификаторы (DID/VC): Пилотные проекты использования верифицируемых учетных данных (Verifiable Credentials) для межведомственного взаимодействия без централизованного реестра.
4. Расширение PAM на DevOps: Интеграция с CI/CD (GitLab CI‚ Jenkins‚ Kubernetes) для динамического выдачи секретов (Dynamic Secrets) контейнерам и пайплайнам (Zero Standing Privileges).

Контакты и ответственные подразделения (маскировано)

Для взаимодействия по вопросам интеграции‚ инцидентов безопасности и методологии:

• Центр управления идентификаторами (ЦУИ) ДИТ Москвы: тел. +7 (495) —‚ email: @mos.ru.
• Группа поддержки NS.IDM (Вендор: ООО «НС ДЕВ» / Группа компаний «Новые Облачные Технологии»): портал поддержки support..ru‚ SLA по инцидентам P1 — 30 мин.
• Удостоверяющий Центр (УЦ) для выдачи квалифицированных ЭЦП: г. Москва‚ ул. ‚ д. ‚ пом. . Режим работы: Пн-Пт 09:00–18:00 (предварительная запись через портал *).

---

Статья подготовлена на основе открытых данных‚ методологических материалов ДИТ Москвы и публичных кейсов внедрения на . Конкретные параметры конфигураций‚ IP-адреса‚ имена серверов и персональные данные специалистов скрыты в соответствии с политикой информационной безопасности.