На старте инициативы в 2025 году процесс онбординга характеризовался высокой операционной инерцией: десятки согласований и недели ожидания создавали кассовые разрывы в продуктивности, провоцировали снижение метрик вовлеченности (eNPS) и перегружали службу поддержки, владельцев систем и департамент информационной безопасности (ИБ). Перед банком стояла задача обеспечить своевременную выдачу прав в строгом соответствии с регуляторными нормами и принципом минимальных привилегий без масштабирования штата. Фундаментом новой архитектуры стала IDM-платформа, выведенная в промышленную эксплуатацию к сентябрю 2026 года.

Внедрение принесло измеримый эффект для всех стейкхолдеров. В HR-вертикали цикл вывода сотрудника на полную мощность сократился с семи рабочих дней до нескольких минут. ИТ-поддержка зафиксировала кратное снижение трудозатрат и объема инцидентов, высвободив ресурсы для развития смежных сервисов. Подразделения ИБ получили единый актуальный реестр полномочий, инструменты контроля их жизненного цикла и защиту аутентификационных данных, что существенно снизило поверхность атаки через скомпрометированные учетные записи. Масштаб трансформации подтверждается метриками: IDM-портал администрирует более 20 тысяч ролей, через систему автоматизированно выдано и отозвано свыше 1,2 млн назначений. Гибкая архитектура Avanpost позволила кастомизировать бизнес-логику в полном соответствии со спецификой банковского сектора.

Центральным элементом HR-составляющей стали ПАНДы (профили автоматического назначения доступов) — алгоритмы, которые в момент старта сотрудника выдают ролевую модель исходя из его функционала. Термин закрепился в корпоративном сленге и стал маскотом проекта, породив внутренние слоганы "Каждому сотруднику по ПАНДе" и "ПАНДы работают за вас".

Помимо базового ролевого управления, банк реализовал ряд нетиповых сценариев: механизмы делегирования полномочий, регулярный пересмотр прав (access review), мгновенную разблокировку учетных записей и смену пароля, автоматическую блокировку при срабатывании триггеров ИБ, выдачу расширенных привилегий по итогам обязательного обучения, внедрение многофакторной аутентификации для администраторов, а также полный автоматизированный жизненный цикл учетных записей контрагентов.

Проект позволил инкорпорировать информационную безопасность в HR-процессы. ИБ-команда трансформировалась из контролирующего органа в сервисного партнера, а первые рабочие дни новых специалистов стали бесшовными.

"IDM позволил нам выстроить управление доступами по принципу минимальных привилегий без роста ручных операций. Мы получили актуальный реестр выданных прав, контроль их изменений и автоматическую блокировку при инцидентах ИБ. При этом для сотрудников процесс стал проще и быстрее: именно такое сочетание удобства и безопасности мы считали главной целью проекта", — отмечает Алексей Колпаков, начальник управления развития процессов кибербезопасности ОТП Банка.

"Мы очень рады участвовать в таком масштабном проекте. Опыт ОТП Банка показывает, как IDM-система становится одним из центральных технологических элементов компании и приносит измеримую ценность для ИБ, HR и ИТ, соединяя удобство работы сотрудников с контролем безопасности", — комментирует Александр Махновский, технический директор Avanpost.

Дальнейшая дорожная карта развития IDM в ОТП Банке включает интеграцию процессов согласования доступов в корпоративный Суперапп (мессенджер), внедрение AI-агентов для интеллектуального подбора ролей и валидации корректности назначений, а также автоматизацию управления технологическими учетными записями, профилями AI-агентов и динамическое создание ролей под новые бизнес-процессы.