Privileged Access Management (PAM): cine deține cheia infrastructurii IT a companiei?

Există o cheie care deschide tot în cadrul unei infrastructuri IT, anume parola de la un cont membru in „Domain Admin” sau un utilizator de VPN cu drepturi administrative pe un server. Până de curând asta era un detaliu tehnic, aparent neinteresant pentru persoanele non tehnice ale companiei. Astăzi însă apar o serie de figuri de autoritate, ca de exemplu auditorii sau asiguratorii, pe care îi interesează aceste chei de acces.

Ediția 2026 a Verizon Data Breach Investigations Report spune clar că vulnerabilitățile exploatate și credențialele furate sunt principala cale de intrare a atacatorilor. Aceștia vor drepturi de administrator, iar în 83% dintre incidentele de escaladare a privilegiilor din același raport au ajuns la ele fără să exploateze vreo vulnerabilitate. Au escaladat folosind ce exista deja: credențiale valide, permisiuni excesive, configurări greșite.

Aici intervine o categorie de aplicații cu rol important în întărirea securitații infrastructurilor IT, care din punctul nostru de vedere, a fost destul de ignorată de organizațiile din Romania, anume Privileged Access Management. Protejează atât împotriva furturilor de credențiale cât și impotriva exploatării vulnerabilităților pe zona de acces remote.

Dovada faptului că IT-ul românesc nu a prea abordat subiectul PAM, se observă și în lipsa unei traduceri în română a numelui aplicației. Gestionarea conturilor privilegiate – poate ar fi o varianta. Sau poate Gestionarea accesului privilegiat – pare o traducere mai bună.

În limbaj non-tehnic, PAM nu păzește doar ușa de la intrare, ci și tot ce se află în spatele ei.

Ce înseamnă un cont privilegiat (mai mult decât credeți)

Un cont privilegiat este orice cont care poate modifica, citi sau șterge date pe care ceilalți le pot doar folosi. Conturile de administrator de domeniu și de servere sunt cazurile evidente, dar la fel de periculoase sunt și următoarele:

• Conturile de serviciu (service accounts) care rulează backupuri, baze de date și integrări ERP, adesea cu parole setate acum câțiva ani și neschimbate de atunci, pentru că nimeni nu știe ce efect în lanț ar aduce cu sine schimbarea lor.
• Drepturile de administrator local de pe servere individuale sau laptopuri, acordate cândva pentru că era varianta mai simplă, dar care nu au mai fost retrase de nimeni ulterior.
• Conturile implicite și cele partajate de pe echipamentele de rețea (firewall, switch), de pe hipervizoare și de pe sistemele de stocare.
• Administratorii consolei de backup. Grupările de ransomware țintesc de regulă backupurile înainte să cripteze ceva, prin credențiale de administrator furate sau printr-un server de backup neactualizat.
• Rolurile de administrator în cloud și în aplicațiile SaaS, deținute de obicei de mai mulți oameni decât a plănuit cineva vreodată.
• Conturile furnizorilor și ale integratorilor, care se conectează la rețea doar la nevoie, și rămân active tot restul anului. În același raport al Verizon din 2026, 48% dintre breșe au implicat o terță parte, de la furnizori de software la furnizori cu acces în rețeaua victimei.
• Conturile de urgență (break-glass), cu parole păstrate într-un plic, într-un seif sau în memoria cuiva.

Realitatea este că prea puține companii știu exact numărul real de conturi privilegiate pe care îl au.

Ce face PAM-ul?

În esență o solutie de PAM întărește securitatea sistemelor informatice prin 6 capabilități:

• Descoperire. Scanează serverele, serviciile de director, echipamentele de rețea și conturile de cloud în căutarea conturilor privilegiate, umane sau tehnice, ca să știți ce aveți și de unde plecați.
• Securizarea credențialelor de administrare. Furtul de credențiale – hash-uri capturate, privilege escalation – sunt tehnici folosite în majoritatea scenariilor de compromitere a sistemelor. Scenariul ideal ar fi acordarea accesului administrativ fără a transmite credențiale de autentificare și fară a crea utilizatori în AD-ul intern pentru fiecare furnizor terț. Nu mai trebuie să memoreze nimeni parole, fiindcă acestea se introduc într-un seif criptat (vault), unde se schimbă automat, chiar și după fiecare utilizare, dacă doriți.
• Intermedierea și înregistrarea sesiunilor. Administratorii se conectează printr-un gateway controlat, iar fiecare sesiune care trece prin acel gateway este jurnalizată și poate fi înregistrată integral. Astfel se poate urmări simplu ce a făcut fiecare în sesiunile lor, nu doar cand s-au conectat si cat a durat sesiunea. O configurare incorectă ar trebui sa poata fi relaționată imediat cu un anume administrator, fără a dezgropa din SIEM zeci de loguri, normalizate, corelată. Accesul administrativ direct, care ocolește gateway-ul, este blocat. Așa, întrebarea „cine ce a făcut și când” are un răspuns clar.
• Acces just-in-time. Drepturile de administrator se acordă pentru o sarcină și pentru un interval de timp, apoi se retrag. Fără privilegii permanente oferite „pentru orice eventualitate”.
• Gestionarea privilegiilor pe stații (endpoint privilege management). Drepturile de administrator local dispar de pe laptopuri și stații de lucru, iar aplicațiile aprobate rulează în continuare cu drepturi ridicate, ca echipa de suport să nu ajungă punctul de blocaj.
• Controlul accesului terților prin simplificarea accesului administrativ la platforma. VPN-urile chiar si cu 2FA nu mai sunt 100% sigure, dar problema reală apare atunci cand trebuie să oferi access la rețeaua ta internă unui număr ridicat de furnizori de servicii: firma de contabilitate, firma de printing, firma de HR, cei cu BMS-ul, cei cu gestionarea sistemului electric, cei cu pontajul, cei cu HVAC-ul, plus alți furnizori de servicii care au nevoie sa acceseze remote fiecare cate un server, sau un segment de retea. CU PAM furnizorii primesc acces aprobat, limitat în timp și înregistrat, fără o mulțime de VLAN-uri greu de gestionat.

Pentru companie un PAM aduce cu sine rezultate clare. Accesul la sistemele dumneavoastră nu mai depinde de memoria unui singur om. Un administrator care pleacă nu ia cheile cu el: parolele pe care le-a folosit pot fi schimbate în aceeași zi. Iar când un auditor, un asigurător sau un client vă întreabă cum controlați accesul privilegiat, răspundeți cu dovezi, nu cu improvizații.

De ce se împotmolesc proiectele PAM?

PAM are reputația unor proiecte care durează mult și livrează mai puțin decât au promis. Cauza este rareori software-ul:

• Platforma cumpărată înaintea inventarului de conturi. Nu puteți proteja ce n-ați găsit încă.
• Totul din prima zi. Dacă puneți toate parolele în seif și le rotiți din prima zi, ceva critic se va strica, de obicei un cont de serviciu a cărui parolă era scrisă direct într-un script de care nu-și mai amintește nimeni. Începeți cu conturile care ar durea cel mai tare, apoi extindeți în etape.
• PAM prezentat ca supraveghere. Administratorii care se simt urmăriți găsesc ocolișuri. Iar un ocoliș nu e decât un cont privilegiat negestionat, cu o scuză mai bună.
• Niciun plan validat în cazul în care vault-ul pică. Este important să aveți o disponibilitate ridicată, backupurile platformei testate și o procedură documentată de acces de urgență (break-glass). Toate acestea trebuie adresate din timpul implementării proiectului.
• Alegerea după nume, nu după potrivire. Este important să alegeți un provider de PAM care să se plieze pe nevoile companiei dumneavoastră. Nu cel mai scump sau cel mai nou, ci cel pe care să îl folosiți, să nu rămână doar o licență cumpărată și reînnoită.

Platforma este ultima decizie, nu prima

Un producător cu 60 de angajați și o bancă pot avea amândoi nevoie de PAM, dar asta nu înseamnă că au nevoie de același PAM.

Producătorul are nevoie de trei lucruri: parola de domain admin scoasă din capul unui singur om, acces la distanță controlat pentru furnizorul care întreține linia de producție și un istoric auditabil pe care să-l poată arăta clienților din automotive. Banca are nevoie de toate acestea, plus acces de administrator acordat doar când există un motiv, separarea atribuțiilor și raportări care rezistă în fața autorității de reglementare.

Ce decide, de fapt, platforma:

• Unde rulează: SaaS, on-premises sau hibrid – și ce permit obligațiile dumneavoastră privind locația datelor.
• Ce trebuie să acopere: doar Windows și Active Directory sau și Linux, echipamente de rețea, hipervizoare, console de cloud, OT-ul din hala de producție și pipeline-urile DevOps.
• Cine o operează zi de zi: echipa dumneavoastră, a noastră sau amândouă.
• Cum se licențiază: per utilizator, per resursă sau per sesiune – și cât costă asta în al treilea an, nu doar în primul.
• Cu ce trebuie să se integreze: furnizorul de identitate (identity provider) și MFA, sistemul SIEM, sistemul de ticketing, astfel încât fiecare sesiune privilegiată să fie legată de o cerere reală.
• Ce trebuie să demonstrați și cui: NIS2, DORA, ISO 27001, TISAX, chestionarul de securitate al unui client, asigurătorul de risc cibernetic.

De aceea rămânem echidistanți față de producători. 20+ ani în IT, 868+ proiecte finalizate, 20+ furnizori de tehnologie certificați și nicio platformă PAM preferată. Pornim de la conturile, oamenii și obligațiile dumneavoastră. Apoi alegem platforma potrivită, o implementăm în etape și o susținem așa cum preferați: coadministrată cu echipa dumneavoastră sau administrată integral de echipa noastră.

De unde începeți, înainte să cumpărați ceva

• Faceți lista tuturor conturilor cu drepturi de administrator. Toate, inclusiv conturile de serviciu și cele ale furnizorilor.
• Separați administrarea de munca de zi cu zi. Nimeni nu ar trebui să-și citească e-mailul de pe un cont de domain admin.
• Activați MFA pentru fiecare autentificare administrativă, începând cu accesul de la distanță și consolele de cloud.
• Schimbați toate parolele implicite de pe echipamentele de rețea și de stocare.
• Dezactivați conturile furnizorilor între intervenții.

Nimic din toate acestea nu înlocuiește o soluție PAM, dar micșorează problema pe care trebuie s-o rezolve platforma și face alegerea ei mult mai ușoară.

Înainte să comparați platforme, aflați ce aveți de protejat. Vorbiți cu unul dintre inginerii noștri.

SOLICITAȚI O EVALUARE

Surse:

• Verizon — 2026 Data Breach Investigations Report:
• Verizon press release, 19 May 2026
• CIS on the 2026 DBIR
• XM Cyber on the 2026 DBIR
• CMS — Legea nr. 124/2025 approves OUG nr. 155/2024
• CMS — DNSC Orders 1/2025 and 2/2025
• Ordinul DNSC nr. 1/2026, Monitorul Oficial nr. 712 of 27 August 2026
• Implementing Regulation (EU) 2024/2690 on EUR-Lex; Punct în anexa 11.3 (privileged and system administration accounts) ca și citat de CyberDay.
• NIS2 Article 21(2)(i)–(j) and the Regulation’s point 11
• DORA technical standards, Delegated Regulation (EU) 2024/1774, Article 21
• Legea nr. 190/2018, Article 5 (Eurofound summary)