Можно ли считать, что основной этап импортозамещения в информационной безопасности завершен? Какие задачи выходят на первый план?
Я бы не спешил говорить, что импортозамещение уже состоялось. Многие крупные заказчики выполнили значительную часть работы, но нередко это лишь первые этапы: компании выбрали технологии, развернули пилотные зоны, наметили целевую архитектуру. У организации федерального масштаба может быть одних только межсетевых экранов 800–900 штук, поэтому до полного замещения им еще далеко. Работы хватит еще на несколько лет.
Есть и другая история — зрелость продуктов. Западные решения развивались десятилетиями. Многие российские — хоть уже и достаточно зрелые с точки зрения функционала, но еще не вполне обкатаны под серьезными нагрузками и в сложных интеграционных схемах. Поэтому ближайшие годы, уверен, уйдут на стабилизацию инфраструктуры, устранение технического долга и отладку интеграций.
В то же время бюджеты на разработку сжимаются, вендоры оптимизируют команды, но при этом продолжают выпускать новые продукты и все активнее используют ИИ для написания кода. Я ничего не имею против разработки с помощью ИИ — иногда код получается даже чище, чем из заимствованных библиотек. Но физику процесса не обманешь: если компания сократила число разработчиков и параллельно выпустила на рынок 5-7-10 новых продуктов, значит, на чем-то она сэкономила: на разработке, тестировании или чем-то еще.
Так что я ожидаю большого спроса на инженерные компетенции и сервисное сопровождение. Нужно будет отлаживать новые решения в реальной инфраструктуре, выявлять причины сбоев, устранять проблемы совместимости. Для заказчиков важно не потерять устойчивость инфраструктуры в процессе столь масштабной смены технологического стека.
Российских ИБ-разработчиков стало больше, и заказчики собирают инфраструктуру из продуктов разных компаний. Насколько усложнилось управление такой системой?
Мы возвращаемся к ситуации, когда ИБ-инфраструктура состоит из множества «кирпичиков» разных производителей. Иногда это обусловлено экономикой, иногда функциональными особенностями, иногда желанием построить эшелонированную защиту. Ну и за последние пару лет резко выросло количество стартапов в ИБ, которые тоже ищут своих клиентов. В итоге мы возвращаемся к среде гетерогенной. В ней решения правильно склеить, наладить обмен данными и телеметрией, сделать так, чтобы они комфортно чувствовали себя вместе. Хорошая инженерная задачка, непростая и интересная.
Долгое время говорили, что интеграторский рынок скоро исчезнет, останутся только вендоры и провайдеры. Мне кажется, сегодня спрос на сильные инженерные компетенции, напротив, дает этому рынку новый импульс.
А как вы оцениваете готовность самих заказчиков к работе с такой разнородной инфраструктурой? Хватает ли им для этого инженерных компетенций?
В целом заказчики справляются. Крупные компании давно умеют работать с разнородной инфраструктурой и развивают необходимые инженерные компетенции внутри. Небольшие организации чаще обращаются к сервис-провайдерам, которые берут на себя эксплуатацию и поддержку технологий. Так что в целом российский рынок научился решать подобные задачи.
К тому же кадровая ситуация начала меняться. Мы уже лет пятнадцать на каждой конференции говорим о дефиците ИБ-специалистов, а сейчас я как работодатель вижу, что сильных кандидатов на рынке стало заметно больше. Причины, конечно, не самые радостные: компании оптимизируют штат, многие люди ищут работу не по собственному желанию. Спрос на редкие компетенции — белых хакеров, специалистов по расследованиям, аналитиков, архитекторов — по-прежнему высок. А вот закрыть типовую инженерную позицию сегодня не так уж сложно.
Сами знания по кибербезопасности тоже стали доступнее. Раньше обучение требовало серьезных вложений, создания полигонов, организации практических занятий. Сейчас увлеченный специалист вполне может многому научиться самостоятельно, а какие-то пробелы в знаниях восполнить с помощью нейросетей.
Все чаще вместо защищенности говорят о киберустойчивости бизнеса. Что принципиально меняется в подходе к безопасности?
Я бы говорил об устойчивости в целом. Кибератака — только один из рисков для работы компании, и сегодня особенно важно сращивание ИТ и ИБ. Как бы хорошо организация ни защищалась, она все равно может стать жертвой атаки. Поэтому ИБ выходит за рамки привычной логики «увидеть и предотвратить»: нужно еще помочь бизнесу быстро восстановиться.
Многое зависит от того, как устроена сама ИТ-инфраструктура. Например, недостаточно просто создавать резервные копии — необходимо обеспечить их защиту от шифрования и удаления злоумышленниками. Настройки инфраструктуры тоже должны помогать сдерживать атаку и ограничивать ее последствия.
Несколько лет на рынке была популярна логика: у нас есть SOC, он обязательно спасет. Неважно, как устроена система, аналитик на последнем рубеже все увидит и заблокирует. Сейчас с текущим ускорением атак и вовлечением ИИ в атакующие активности мы возвращаемся к архитектуре, построенной по принципу подводной лодки, с эшелонированной защитой отдельных рубежей. Нельзя рассчитывать только на SOC, если сама инфраструктура не готова противостоять атаке и восстанавливаться после нее.
Как проверить, что компания действительно стала киберустойчивой?
Здесь как в «Алисе в Стране чудес»: чтобы оставаться на месте, нужно бежать вдвое быстрее. Киберустойчивость — это не состояние в моменте, а непрерывный процесс. Сегодня систему проверили, а завтра у вендора обнаружилась критическая уязвимость, и то, что казалось надежно защищенным, уже не так безопасно.
Поэтому заказчики все чаще переходят от разовых киберучений к непрерывным проверкам, когда белые хакеры постоянно исследуют инфраструктуру и ищут способы ее взломать. Это хороший способ учиться. Белый хакер найдет у вас «дырку», но не станет шифровать и уничтожать систему, а значит, к приходу злоумышленника вы будете подготовлены лучше.
Innostage, например, уже три года живет в режиме открытых кибериспытаний. Вознаграждение за реализацию недопустимого события составляет 20 млн рублей. Для сильного белого хакера это серьезный стимул проверить свои навыки. Пока никому не удалось реализовать у нас недопустимое событие, но попытки не прекращаются.
Бизнес не может бесконечно наращивать расходы на ИБ. Как определить разумную границу инвестиций в защиту?
Вопрос, конечно, местами философский. Коммерческая компания существует для того, чтобы зарабатывать деньги, поэтому расходы на безопасность должны быть соразмерны возможным потерям. Если небольшую организацию взломали, но у нее сохранилась резервная копия в облаке, из которой она за день–два восстановилась и продолжила работать, то и подход к инвестициям будет не в пользу кибербеза Совсем другая история — атомная промышленность, электроэнергетика, жилищно-коммунальное хозяйство. Даже не хочется вслух обсуждать возможные последствия серьезного инцидента на атомной станции. Такой ущерб нельзя оценивать только деньгами отдельного предприятия. Для этого и существует регулирование критической информационной инфраструктуры. Если компания системообразующая, безопасность для нее — серьезная обязанность, а полумеры могут создавать риски уже на уровне государства.
Что искусственный интеллект уже реально изменил в действиях злоумышленников?
Первое очевидное изменение — скорость. И здесь есть любопытный обратный эффект: когда злоумышленник ломает быстро, атака становится более шумной, ее легче заметить и автоматически заблокировать. Поэтому ускорение не всегда работает только на стороне атакующего.
ИИ ускоряет и создание вредоносного кода. Но, по-честному, если уязвимости закрываются неделями, так ли принципиально, написали вредонос за два часа или за восемь? Правила игры от этого не меняются. ИИ пока не изобретает принципиально новые способы атак, а ускоряет работу специалиста.
Вот что действительно меняется — плотность атак. Если раньше условная группа из трех человек могла одновременно работать по трем целям, то теперь инструменты автоматизации позволяют ей атаковать тысячи компаний. Порог входа снижается: можно буквально голосом поставить задачу «поищи мне такие-то данные», не погружаясь глубоко в технический контекст.
Мы на своем опыте видим и другую проблему — инцидент-шторм. Злоумышленники создают сотни мелких инцидентов, чтобы забить руки и ресурсы ИБ-команды. У всех, образно говоря, замигали лампочки, аналитики разбирают поток событий, а среди них можно пропустить по-настоящему опасную атаку. Раньше это было экзотикой, теперь для SOC это серьезная задачка со звездочкой.
А на стороне защиты где ИИ уже приносит пользу? Какие задачи ИБ-команда уже может передать ему, а какие пока опасно оставлять без человека?
Пока все ищут свой путь. Искусственный интеллект плохо понимает контекст конкретной инфраструктуры, поэтому ждать, что он прямо сейчас заменит аналитика SOC, рановато. Более полезный подход в моменте — использовать его как помощника: дать аналитику дополнительный контекст, объяснить сложный фрагмент кода, расшифровать команду, помочь быстрее принять решение.
По-честному, готового ответа, как правильно встроить ИИ в кибербезопасность, сейчас ни у кого нет. Но время реакции на атаку нужно сокращать, а без автоматизации это очень сложно. Некоторые видят в ИИ прежде всего способ сократить расходы на персонал, но мне кажется, это неверный ориентир. Главный эффект должен быть в скорости реагирования, а не в экономии на зарплатах аналитиков.
Насколько мы приблизились к Agentic SOC — центру мониторинга, где ИИ-агенты самостоятельно расследуют инциденты и принимают решения?
Хорошие наработки есть, в том числе у Innostage. Многие участники рынка этим занимаются, но стабилизированной методологии и единого подхода пока нет. Каждый ищет свою правду. Думаю, рано или поздно отрасль придет к решению, которое можно будет массово тиражировать на заказчиков. Пока это поиск решения, а не готовая к массовому внедрению технология.
На Kazan Digital Week Innostage собирается обсуждать киберустойчивость, безопасность ИИ и будущее SOC. Что станет центральной темой программы?
Мы будем говорить и про SOC, и про ИИ, но центральной темой все-таки останется устойчивость бизнеса: киберустойчивость, функциональная устойчивость и поиск правильного взаимодействия ИТ и ИБ на фоне импортозамещения и изменения хакерских атак.
Нас интересует вся цепочка вопросов: от того, какие исходные данные и телеметрия нужны, чтобы вообще понять, насколько компания устойчива, до финансовых расчетов и оценки эффективности защитных мер. Подходы еще не устоялись, поэтому мы делаем акцент на дискуссиях и обмене опытом. Будут доклады о проектах, рассчитываем привлечь регуляторов. С руководителями будем говорить об экономике и бюджетах, с инженерами и архитекторами — погружаться в технические детали.
Какие события и решения 2026 года вы считаете поворотными для Innostage? Что за этот год изменилось в компании сильнее всего?
Мы проходим через большую трансформацию и движемся к продуктовому подходу. Не потому, что перестаем быть интегратором и становимся вендором, хотя мы в том числе и вендор. Скорее меняется логика того, что мы предлагаем заказчикам. Мы фокусируемся на сильных компетенциях: мониторинге и реагировании на атаки, сетевой безопасности, защите технологических процессов. Где-то будем создавать типовые решения, уже апробированные на собственной инфраструктуре, где-то — усиливать экспертные команды.
При этом, говоря о нашей вендорской части бизнеса, не хочется разрабатывать двадцать пятый SIEM или сороковой NGFW, когда на рынке уже есть проработанные технологии. Важно сохранить партнерство с вендорами и одновременно находить направления, где собственная разработка действительно оправдана.
У нас есть преимущество — долгосрочная работа с крупнейшими российскими компаниями. Если решение пройдет горнило их требований к функциональности и отладке, думаю, нам будет что предложить и остальному рынку. Мы ищем подходящую бизнес-модель под свои сильные стороны, а не наоборот. Кроме того, у Innostage большие компетенции и в ИБ, и в ИТ. На их стыке мы видим новые возможности, но анонсировать их пока рано.
Что опыт работы с заказчиками в 2026 году заставил вас пересмотреть в собственных подходах? Как меняются ожидания бизнеса от поставщиков ИБ?
Мне кажется, кибербезопасность — это во многом история про человеческие отношения и доверие. Сейчас это особенно заметно. Рынок становится все более конкурентным, компании ищут новые возможности, выходят в сегменты, где уже работают другие игроки. И в этих условиях доверие заказчика приобретает совершенно новое значение.
Клиенты все чаще хотят видеть в поставщике не просто исполнителя, который формально закрывает пункты технического задания, а партнера, отвечающего за конечный результат. Причем в некоторых случаях такая ответственность уже закрепляется в договорах, в том числе финансово. По сути, заказчик ожидает от ИБ-компании определенных гарантий собственной безопасности. Думаю, это серьезно изменит отношения на рынке.
Но насколько оправданно, на ваш взгляд, требовать от поставщика финансовой ответственности за безопасность заказчика? Не слишком ли многого хотят клиенты?
Мне эта тема очень близка. Я всегда строил бизнес на доверии и личной ответственности за результат. И считаю, что готовность брать на себя финансовые обязательства за качество своих работ, за эффективность построенной тобой защиты может стать хорошим отличием на рынке. Но, конечно, нельзя без оглядки обещать заказчику заплатить штраф в десятки или сотни миллионов рублей. Чтобы брать такие обязательства, компания должна обладать необходимыми компетенциями и понимать риски.
Мне кажется, финансовая ответственность станет своеобразным водоразделом между поставщиками, которые готовы отвечать за результат, и теми, кто предоставляет более простые, типовые услуги. Для заказчика это понятный критерий выбора, ведь сейчас формальные требования конкурса могут выполнить компании с совершенно разным уровнем экспертизы.
Если выделить одну главную мысль, которую вы хотели бы донести до руководителей бизнеса, что это будет?
Есть известная поговорка: «Не дай нам Бог жить в эпоху перемен». А мне кажется, для ИТ и ИБ как раз наступило время больших изменений, и в такой период очень любопытно поискать новые возможности. Но одновременно важно всерьез переосмыслить свое отношение к безопасности и устойчивости, место этих понятий в бизнесе и их значение для государства.