PAM защити крайната точка; привилегиите се преместиха на друго място. Преминете през тези 21 контроли, за да разберете къде се натрупва постоянен достъп във вашата облачна, SaaS и AI инфраструктура — и как да го спрете, без да забавяте никого.

В продължение на двадесет години управлението на привилегирования достъп (PAM) беше дисциплина за крайните точки: съхраняване на идентификационните данни в трезор, премахване на локалните администраторски права, посредничество и записване на сесиите. Това работеше, защото привилегиите съществуваха там, където бяха и контролите.

Днес инфраструктурата работи в AWS, Azure и Google Cloud, най-ценните данни се намират в SaaS, а бързо растящ брой служебни акаунти, тръбопроводи за данни (pipelines) и AI агенти притежават постоянно включени разрешения, каквито никой трезор не е виждал.

Атакуващите забелязаха това: те вече не разбиват защитата, а просто влизат с потребителско име и парола — и наследяват всяко постоянно право, което съответната идентичност е натрупала.

Използвайте контролния списък по-долу, за да одитирате докъде всъщност се простира вашата програма за привилегии.

Тя протича в пет фази, от базовата линия за крайни точки, която вероятно вече имате, до модела „точно навреме“ (just-in-time или JIT), който напълно елиминира постоянния достъп.

Считайте всяко неотметнато квадратче за констатация: определете му собственик, краен срок и метрика. Фазите са последователни по дизайн — откриване преди оптимизиране на размера, оптимизиране преди JIT — но нищо не ви пречи да тествате JIT в една високорискова система, докато тече по-широката инвентаризация.

Моделът на заплахите за крайните точки не е изчезнал — към него се присъедини много по-голям такъв. Скорошни проучвания в индустрията показват колко далеч се е разпространила постоянната привилегия извън всичко, което традиционният трезор е създаден да вижда:

  • Машинните идентичности вече превишават човешките с приблизително 80–100 към 1 в средното предприятие — служебни акаунти, API ключове, тръбопроводи за данни и AI агенти, които в по-голямата си част остават напълно извън видимостта на трезора и директорията.
  • 92% от лидерите по сигурност казват, че им липсва пълна видимост върху идентичностите на техните AI агенти, а повечето се съмняват, че биха могли да открият или ограничат компрометиран такъв.
  • Само 0.01% от нечовешките идентичности контролират приблизително 80% от облачните ресурси — концентрация на радиус на поражение, която рядко се появява при стандартен преглед на достъпа.
  • 80% от инцидентите със сигурността все още включват компрометирани или злоупотребени привилегировани идентификационни данни — проблемът от ерата на крайните точки, който се повтаря в облака.

Какво всъщност струва постоянният достъп

Това не са абстрактни рискове. Докладът на IBM „Cost of a Data Breach Report 2026“, базиран на 602 пробити организации по целия свят, оценява глобалния среден пробив на рекордните 4.99 милиона долара, което е ръст от 12% за една година, а индустриите с най-много постоянни права плащат най-много за това:

  • Здравеопазване — 6.64 милиона долара на пробив, най-скъпият сектор за 13-та поредна година, воден от постоянния достъп до лични данни на пациенти.
  • Финансови услуги — 6.29 милиона долара, вторият най-висок резултат и цел за атаки, управлявани от AI, срещу основния банков достъп и достъпа за търговия.
  • Технологичен и индустриален сектор — по 5.50 милиона долара всеки, където достъпът до производство и CI/CD най-често е отворен по подразбиране.
  • Енергетика — 5.2 милиона долара, като операторите на критична инфраструктура са изправени пред най-голямата концентрация на атаки, подпомагани от AI.
  • САЩ — 11.5 милиона долара средно, повече от два пъти над глобалната стойност.

Източник: IBM Cost of a Data Breach Report 2026 (29 юли 2026 г.)

Два от най-известните инциденти за 2026 г. показват точно как постоянният достъп се превръща в новинарски заглавия:

Vercel / Context.ai, април 2026 г. — еднократно предоставено от служител разрешение „Позволи всичко“ (Allow All) през OAuth за външен AI инструмент се превърна в постоянни идентификационни данни, които атакуващите използваха седмици по-късно, след като самият доставчик беше компрометиран. Резултатът: компрометирани API ключове, изходен код и около 580 записа на служители.

Източник: Trend Micro, „The Vercel Breach: OAuth Supply Chain Attack“

Salesloft Drift, август 2025 г. — дълготрайни OAuth токени, свързани с интеграция на един чатбот, останаха отворени в Salesforce средите на повече от 700 организации. Без зловреден код, без кражба на пароли — просто постоянни токени, които никой не беше ограничил във времето, използвани за масово извличане на данни, докато някой не забеляза.

Източник: Cyber Security News, „Salesloft Takes Drift Offline After OAuth Token Theft“

Решението: Пет контрамерки, подредени по важност

Нито един от двата пробива не изискваше zero-day уязвимост. И Vercel, и Salesloft/Drift се свеждат до една и съща първопричина: разрешение, което е имало смисъл в деня на издаването му и никога след това не е било преразглеждано, проверявано или ограничено по време.

Постоянният достъп не се проваля шумно — той просто чака деня, в който някой друг ще го открие първи. Петте контрамерки по-долу са това, което затваря тази празнина, и те работят само в тази последователност:

  1. Потвърдете отново базовата линия за крайните точки — съхранени в трезор идентификационни данни, сесии с посредник, без постоянни локални администраторски права. (Фаза 1)
  2. Открийте къде всъщност живеят привилегиите сега — IaaS права, SaaS администраторски роли, OAuth разрешения, машинни идентичности, AI агенти. (Фаза 2)
  3. Оптимизирайте размера и премахнете неизползваните права — отнемете това, което данните за употреба показват, че никой не изисква, като започнете с първоначалния достъп до чувствителни среди. (Фаза 3)
  4. Заменете постоянните права с достъп „точно навреме“ — заявка, одобрение, предоставяне и автоматично отнемане, документирани от край до край. (Фаза 4)
  5. Доказвайте го непрекъснато — измервайте дела на реално използване и почистването на права на напуснали служители като постоянни метрики, а не като еднократни действия.