Что происходит на рынке кибербезопасности после ухода иностранных игроков?

За последние два года российский рынок кибербезопасности существенно изменился. Количество игроков выросло кратно: если раньше в отдельных категориях было одно‑два российских решения, то теперь их десятки. Импортозамещение в ИБ оказалось гораздо более динамичным, чем в классическом ИТ: сегодня практически все ключевые классы продуктов закрыты отечественными разработками.

Сразу после ухода зарубежных вендоров ключевой задачей было заменить критически важные решения, например, HSM‑модули, без которых невозможно обеспечить работу платежных систем. Эта проблема уже решена. Однако в ряде категорий рынок ещё не полностью созрел. Так, в сегменте NGFW разработчики продолжают активную доработку, поэтому часть компаний предпочитает подождать появления более стабильных аналогов.

R‑Vision выпускает собственные ИБ‑продукты с 2011 г. В период 2016‑2018 гг. мы усилили конкуренцию на рынке SOAR — задолго до ухода иностранных вендоров. Мы сформировали этот сегмент в России, когда на рынке доминировали зарубежные решения, и уже тогда заняли свою нишу.

Когда рынок освободился, мы точно знали, как развиваться дальше. После 2022 г. мы запустили новые продукты: SIEM для управления событиями информационной безопасности, и VM для управления уязвимостями.

Сегодня наши ключевые решения направлены на создание центров мониторинга и реагирования на кибератаки (SOC). Флагманскими продуктами линейки выступают SOAR и SIEM — взаимодополняющие решения для SOC.

Как изменились киберугрозы и ожидания бизнеса от компаний в сфере информационной безопасности?

За последние 10 лет кибератаки стали точечными и продуманными: вместо массовых рассылок злоумышленники выбирают конкретные компании, изучают их инфраструктуру и слабые места. При этом в России сложилась уникальная ситуация: ни одна страна сейчас не наращивает свой суверенитет в ИБ и ИТ столь быстрыми темпами. Это меняет и ожидания бизнеса.

Во‑первых, компании приходят к пониманию, что абсолютной защиты не существует. Мы часто сравниваем ИБ с иммунитетом человека: важно не исключить возможность «заболеть», а быстро восстановиться. Задача ИБ сегодня — обеспечить устойчивость бизнес‑процессов, без иллюзий полной неуязвимости. И как в заботе о здоровье не всегда нужны самые дорогие препараты, так и в кибербезопасности зачастую достаточно надёжного «витамина С» — базовых мер, доказавших свою эффективность: межсетевых экранов, антивирусов, защиты конечных устройств и инструментов автоматизации.

Во‑вторых, на рынке заметен отчетливый курс на оптимизацию. В условиях дефицита ресурсов бизнес стремится сокращать затраты. На этом фоне растет востребованность платформенных решений: они требуют меньше специалистов для администрирования, позволяют работать в режиме «одного окна» и повторно использовать некоторые компоненты.

Наконец, в эпоху масштабного импортозамещения заказчики ожидают от отечественных ИБ‑продуктов зрелости и стабильности. Миграция затрагивает крупные инсталляции, ранее построенные вокруг зарубежных решений. Бизнесу важно понимать, что отечественные продукты способны выдерживать такие нагрузки, а от вендоров ожидают качественной поддержки, экспертизы для помощи в миграции и создания долгосрочного роадмапа.

Меняется ли отношение руководства бизнеса к защите информации?

Отношение руководства к защите информации заметно изменилось. Несмотря на стремление к оптимизации, за последние пять лет бюджеты на кибербезопасность выросли кратно. Это прямой отклик на произошедшие инциденты, когда одна атака могла парализовать работу компании на месяцы. Теперь ИБ перестала быть формальностью и стала фактором устойчивости и конкурентным преимуществом.

Значимость ИБ выросла в глазах руководства, в том числе на фоне появления уголовной ответственности для первых лиц субъектов критической инфраструктуры (КИИ). Руководители стали глубже вовлекаться в процессы ИБ и участвовать во всех ключевых задачах — от стратегического планирования до реагирования на инциденты.

Как следствие, изменилась и роль CISO: теперь он не просто руководитель ИБ‑подразделения, а стратегический советник руководства, принимающий участие в ключевых решениях. Команды кибербезопасности пользуются гораздо большим доверием, а сама ИБ рассматривается не как издержка, а как инвестиция в долгосрочный успех.

Кто в России лучше всего защищен от киберугроз, а кто по‑прежнему уязвим?

В госсекторе есть базовая защита, но он реагирует на новые угрозы достаточно медленно. Закупки и бюджеты утверждаются заранее, а киберугрозы меняются каждую неделю. В итоге между появлением угрозы и ответом на неё может пройти полгода.

Частные компании гибче: они могут оперативно перестроить процессы и внедрить нужные инструменты. Поэтому в корпоративном сегменте уровень защиты растёт быстрее.

Особенно уязвим малый и средний бизнес. Здесь в приоритете развитие, а не защита. Нанять опытного ИБ‑специалиста дорого, а держать такого сотрудника в штате без достаточного объёма задач нерентабельно. Поэтому большинство малых компаний остаются без базовых мер киберзащиты, и атакующие это прекрасно понимают.

На уровень защищенности влияет и география компаний. В крупных городах ситуация стабильная благодаря наличию ресурсов и кадров. Однако большинство регионов испытывают дефицит профессионалов, поскольку специалисты переезжают в крупные центры, где предлагают лучшие условия.

В этом году вы решили выйти на ИТ‑рынок. Зачем это нужно вам и для кого предназначены ваши ИТ‑решения?

За 14 лет работы мы построили около 100 SOC и накопили уникальный опыт. Мы убедились, что эффективность работы SOC зависит от слаженности ИТ- и ИБ‑команд, особенно в моменты реагирования на инциденты. Вместе с тем мы часто сталкивались с разрозненностью подходов к решению одних и тех же задач: ИТ и ИБ часто действуют в разных системах и процессах, что снижает скорость реакции и прозрачность управления рисками.

Регулярно заказчики делились с нами своими потребностями и вызовами. Чем больше обратной связи мы получали, тем точнее формировался запрос на решения, способные повысить прозрачность и управляемость ИТ‑инфраструктуры.

Так появилась продуктовая линейка для ИТ‑направления, объединяющая CMDB, ITSM и ITAM. Мы вложили в неё весь накопленный опыт работы с реальными корпоративными инфраструктурами, десятками интеграций, сложными инсталляциями и ежедневной эксплуатацией систем в крупнейших компаниях. Поэтому линейка изначально создавалась как зрелая и ориентированная на практику.

Наша главная цель — обеспечить синергию ИТ и ИБ и создать единое управление цифровыми рисками. Расскажу немного о каждом продукте.

R‑Vision CMDB предназначена для консолидации данных обо всех конфигурационных единицах и их связях. Она помогает обеспечить «чистоту» данных, создать единый «золотой источник» без дублей и устаревшей информации. Благодаря этому компании получают актуальную, структурированную модель корпоративной архитектуры, на которую можно опираться в принятии решений.

R‑Vision ITSM автоматизирует и стандартизирует процессы поддержки ИТ‑услуг, включая управление инцидентами, проблемами, запросами на обслуживание, изменениями, знаниями и уровнем сервиса. Это позволяет ускорить обработку обращений, повысить предсказуемость изменений и обеспечить надёжный контроль над ними.

Кроме того, наша реализация ITSM даёт возможность выстраивать сквозные процессы между ИТ- и ИБ‑командами, такая интеграция повышает прозрачность и делает совместную работу максимально эффективной.

R‑Vision ITAM обеспечивает системный подход к управлению жизненным циклом всех ИТ‑активов компании. Его задача — обеспечить оптимизацию расходов, снижение юридических и операционных рисков, а также эффективность использования ресурсов. ITAM помогает отслеживать актуальный статус активов, контролировать соответствие лицензионным требованиям и принимать более взвешенные решения о закупках и эксплуатации.

Планируете ли вы осваивать еще какие-то направления? Какие новые продукты планируете выпустить?

Помимо внутренних разработок, в этом году мы запустили корпоративный венчурный фонд R‑Vision Ventures, который сосредоточен на поддержке перспективных стартапов в таких ключевых направлениях, как: кибербезопасность, ИИ, корпоративное ПО и аналитика данных. Помимо инвестиций, R‑Vision Ventures предоставляет молодым компаниям отраслевую экспертизу, доступ к инфраструктуре и технологиям, а также помощь в работе с крупными заказчиками. Фонд сфокусирован на финансировании проектов ранних стадий развития, поддержке продвижения и продаж, масштабировании решений и интеграции их в экосистему корпоративных клиентов.

В ближайший период наша стратегия сосредоточена на укреплении позиций продуктов на рынке. Мы последовательно развиваем существующие решения: повышаем качество, расширяем функциональность и удобство, ориентируясь на реальные задачи клиентов. R‑Vision выступает для бизнеса надёжным партнёром, а наши продукты демонстрируют высокую результативность в своих сегментах. Когда ключевые направления работают максимально эффективно для заказчиков, мы готовы масштабировать экспертизу и расширять участие в смежных областях. Такой прагматичный подход позволяет нам сочетать стабильность и инновации, cоздавая решения, которые приносят ощутимую пользу.

Введение

Эксплуатация уязвимостей продолжает оставаться основным вектором атак, а потому качество и своевременность сканирования напрямую определяют устойчивость компаний к киберинцидентам. При этом само понятие «качественное сканирование» каждый может воспринимать по‑своему: для кого‑то это скорость и актуальность базы, для других — минимум ложных срабатываний, для третьих — широта покрытия сканера и глубина анализа.

Чтобы разобраться, что именно пользователи VM‑систем вкладывают в понятие «качество сканирования», R‑Vision провёл исследование среди инженеров ИБ, CISO, руководителей SOC и технических специалистов, ответственных за эксплуатацию VM‑решений. Опрос стал логичным продолжением одного из наших исследований, где 78% респондентов назвали качество сканирования главным фактором при выборе VM‑системы.

Методология исследования

Исследование проводилось в сентябре‑октябре 2025 года.

Опрос проходил:

• Во время вебинара «Внутри базы уязвимостей R-Vision VM: источники, обогащение, верификация».
• На отраслевых ИБ‑мероприятиях и митапах R‑Vision.
• Через email‑рассылку и лично на встречах с заказчиками и партнерами компании.

В опросе приняли участие 92 специалиста из компаний различных отраслей: финансового сектора, промышленности, госсектора, ИТ, телекоммуникаций, энергетики и ритейла.

Размер компаний

Почти половина опрошенных (48%) работают в организациях с численностью от 1 000 до 10 000 сотрудников, ещё 32% — в крупных корпорациях (свыше 10 000 сотрудников). 20% респондентов представляют компании малого масштаба.

Это подтверждает, что VM‑решения становятся стандартом не только для корпораций, но и для средних предприятий.

Количество ИТ‑активов

37% участников работают в инфраструктурах с 1 000‑10 000 активов, 30% — с 10 000‑50 000, а 15% — более 50 000 активов.

Основные результаты исследования

Что пользователи считают «качественным сканированием на уязвимости»

Большинство респондентов связывают качество сканирования прежде всего с наличием механизмов оперативного обнаружения уязвимостей и актуальностью базы уязвимостей — оба фактора получили оценки выше 9 баллов. Для специалистов важно, чтобы база регулярно обновлялась, оперативно включала новые CVE и рекомендации производителей, а появление критичных уязвимостей быстро отражалось в результатах сканирования.

Высокие оценки широты покрытия (выше 8 баллов) говорят о том, что компании ценят способность сканера обнаруживать уязвимости в разных типах систем — от распространенных операционных систем и прикладного ПО до специализированных корпоративных и отраслевых решений. Такая потребность характерна для компаний с крупной и разнородной ИТ‑инфраструктурой, где важно, чтобы база уязвимостей покрывала все используемые технологии.

Прозрачность логики сканирования респонденты также отмечают как значимую, но её средняя оценка находится ниже 8 баллов: это важно для доверия к результатам (понимание, как формируются проверки и по каким признакам подтверждается уязвимость), однако по приоритету уступает актуальности и широте охвата. Относительно более низкие оценки факторов, связанных с ложными и пропущенными срабатываниями, указывают на то, что пользователи готовы мириться с некоторым уровнем FP/FN (False Negative и False Positive), если система остается актуальной и обеспечивает видимость уязвимостей по всей ИТ‑инфраструктуре.

Что главное в результате сканирования

Если в первой части респонденты говорили о том, что делает сканирование качественным, то во второй — о том, каким они хотят видеть его результат.

Респонденты поставили на первое место контекст и рекомендации по устранению уязвимостей (9,2 балла) — именно этого они ожидают от результата сканирования в первую очередь. Для большинства пользователей важно не просто получить список найденных уязвимостей, а понять, что именно делать с уязвимостью дальше и как оценить достоверность представляемых сканером результатов. Такой результат показывает, что рынок постепенно уходит от восприятия VM‑инструментов как чисто технических сканеров и все чаще ожидает от них аналитическую составляющую — помощь в интерпретации результатов и выборе дальнейших действий.

Высокие оценки получили также параметры, связанные с полнотой и детализацией результатов (8,5 и 8,3 соответственно) — пользователи хотят видеть весь перечень обнаруженных уязвимостей с подробными описаниями, источниками, ссылками на эксплойты и другими важными атрибутами уязвимости. Это говорит о том, что компании ценят глубину анализа и стремятся к максимальной информативности отчета, даже если часть выявленных уязвимостей может оказаться ложными срабатываниями. При этом пропущенные уязвимости (FN) воспринимаются как гораздо более серьезная проблема, чем единичные FP.

Приоритизация критичных уязвимостей (8,2) также вошла в число важных факторов, что подчеркивает потребность в инструментах, способных не просто выявлять, но и определять порядок их устранения. Это особенно актуально для крупных организаций с десятками тысяч активов, где автоматическая оценка критичности помогает оптимизировать нагрузку на команды и не терять фокус на действительно важных задачах.

Относительно более низкую оценку получил параметр «только подтвержденные уязвимости (без FP)» — 8 баллов. Это подтверждает вывод выше, что пользователи готовы мириться с определенным уровнем ложных срабатываний, если система обеспечивает полноту, актуальность и понятную интерпретацию данных.

В целом прослеживается тенденция: пользователи VM‑систем все чаще рассматривают результат сканирования как инструмент для принятия решений, а не как технический отчет. Главная ценность — не количество найденных уязвимостей, а понятные, структурированные и приоритизированные данные, которые помогают действовать быстрее и увереннее.

Характеристики базы уязвимостей

Респонденты высоко оценили гибкость базы уязвимостей (9,0 баллов) — именно эта характеристика оказалась на первом месте среди всех параметров. Для пользователей важно, чтобы вендор мог оперативно добавлять новые проверки, корректировать возникающие ошибки и адаптировать логику обнаружения с учетом особенностей в ИТ‑инфраструктурах клиентов. Такая гибкость воспринимается как показатель зрелости и экспертизы производителя, а также напрямую влияет на доверие к результатам сканирования.

Ненамного отстали по значимости широта покрытия (8,9) и прозрачность логики проверок (8,8). Это говорит о том, что компании хотят видеть базу уязвимостей максимально прозрачной и всеобъемлющей — чтобы она покрывала все используемые технологии, включая отечественные, и позволяла понимать, как именно выполняются проверки. Пользователи хотят понимать, почему уязвимость была выявлена и на основании каких признаков — прозрачность становится частью доверия к инструменту.

Чуть менее приоритетными, но все же значимыми оказались частота обновлений базы (8,4) и количество источников обогащения (8,2). Это указывает на то, что скорость поступления данных и их разнообразие важны, но воспринимаются скорее как следствие гибкости и прозрачности базы, а не самостоятельная цель. Пользователи ждут от вендора регулярных, но обоснованных обновлений, где приоритет отдан качеству и проверенности данных.

В целом результаты показывают, что качество базы уязвимостей воспринимается комплексно — как сочетание гибкости, прозрачности и широты охвата, обеспечивающее актуальность и предсказуемость работы сканера.

Важность понимания источников базы уязвимостей

Почти 80% участников считают важным понимать, из каких источников формируется база уязвимостей — они оценивают перечень используемых фидов и доверяют результатам только при прозрачной информации о происхождении данных. Лишь 22% респондентов полностью полагаются на вендора и не требуют раскрытия источников. Это показывает, что доверие к системе напрямую связано с её открытостью: пользователи хотят видеть, на какие базы и бюллетени опирается продукт, чтобы оценить качество и актуальность детектирования.

Допустимый уровень ложных срабатываний (False Positive)

Большинство пользователей воспринимают FP как неизбежность, но готовы терпеть небольшой уровень ложных срабатываний, если база остаётся актуальной и охватывает максимум технологий.

Почти половина респондентов (46%) считают приемлемым уровень ложных срабатываний до 5%, ещё 19% готовы допустить до 10%. Для 30% участников наличие FP не является проблемой вовсе — они отмечают, что важнее обеспечить максимально полное покрытие инфраструктуры. Лишь 5% опрошенных указали, что любые ложные срабатывания неприемлемы.

Эти результаты показывают, что пользователи VM‑инструментов подходят к вопросу реалистично: они понимают, что абсолютная точность недостижима, и готовы жертвовать ею ради широты охвата и уверенности, что система не пропустит важные уязвимости.

Основные проблемы сканеров

Пользователям было предложено выбрать несколько вариантов ответов.

Самой часто упоминаемой проблемой оказались пропуски уязвимостей (False Negative) — их отметили 45 раз. Это подтверждает, что пользователи особенно чувствительны к неполному охвату и считают надежность детектирования ключевым показателем качества сканера.

На втором и третьем местах — недостаток аналитики и отчётности (34) и ложные срабатывания (32). Такое распределение показывает, что пользователи ожидают от VM‑инструментов не только технического выявления уязвимостей, но и качественной аналитики, понятных отчетов и возможности интерпретации результатов.

Отсутствие поддержки нужных ОС и ПО (29), а также задержки обновления базы (27) остаются типичными проблемами эксплуатации, особенно в крупных инфраструктурах, где важна оперативность и актуальность базы уязвимостей.

Реже встречались упоминания проблем с производительностью (25) и отсутствия уязвимостей российских вендоров (20). Эти аспекты пока не входят в число ключевых, но сохраняют значение для части пользователей, особенно в организациях с большим числом активов и смешанным технологическим стеком.

— Ирина Карпушева, менеджер по продуктовому маркетингу R‑Vision

Понимание того, что пользователи вкладывают в понятие качественного сканирования, — лишь часть картины. Далее важно проверить, как это качество проявляется на практике: по каким признакам можно убедиться, что сканер действительно работает точно, актуально и надежно.

Как проверить качество сканера на практике

В одном из наших исследований мы уже анализировали, как компании оценивают качество сканирования на этапе пилотных проектов. Тогда 74% участников делали акцент именно на проверке точности детектирования, рассматривая их как ключевые показатели эффективности VM‑решений.

Почти все участники — 92% — изучали документацию вендора и заявленное покрытие, 86% проверяли структуру карточек уязвимостей (наличие CVSS, EPSS, ссылок на патчи и эксплойты), 81% анализировали качество и актуальность базы уязвимостей, а 64% отслеживали скорость появления новых записей. Более половины — 62% — проводили повторное сканирование после устранения уязвимостей, чтобы проверить корректность фиксации изменений.

Чтобы помочь систематизировать процесс оценки качества сканирования, специалисты R‑Vision разработали практическую методику, которая позволяет оценить работу сканера по ключевым параметрам — от покрытия и полноты данных в карточках уязвимостей до качества базы и точности детектирования.

Проверка покрытия сканера

При оценке качества сканера важно учитывать, насколько его функциональность охватывает реальные задачи и потребности сканирования ИТ‑инфраструктуры компании. Ключевые параметры, на которые стоит смотреть:

• Состав ИТ‑инфраструктуры. Перечень используемых ОС, прикладного ПО, СУБД, сетевого и специализированного оборудования.
• Поддерживаемые режимы сканирования. Анализ доступных режимов (например: Audit, Pentest, Compliance) и их соответствия задачам компании.

Пример карты покрытия сканера уязвимостей R‑Vision VM

Карточка описания уязвимости. Ключевые атрибуты

Чтобы понимать, как оценивать, приоритизировать и устранять уязвимость, карточка должна содержать ключевые данные для всестороннего анализа и принятия решений.

Среди них:

• Идентификатор уязвимости — уникальный внутренний ID, который обеспечивает отслеживание уязвимости в системе, связывает ее с тикетами и отчетами. Без него возможны дубли и путаница при работе с результатами.
• Название и описание — короткий и понятный заголовок (например, RCE в модуле X) и развёрнутое пояснение сути проблемы: где она возникает, при каких условиях и с какими последствиями. Помогает быстро оценить контекст и потенциальное влияние.
• Критичность и метрики CVSS — оценка опасности уязвимости на уровне вендора или по системе CVSS (версии 2–4). Эти данные дают технический ориентир по риску и помогают проводить последующую самостоятельную оценку приоритета устранения.
• Пользовательский рейтинг — самостоятельно рассчитанная оценка критичности с учетом особенностей инфраструктуры и других атрибутов уязвимости. Позволяет более точно определить приоритет устранения.
• Результаты сканирования — описание оснований, по которым сканер определил уязвимость. В карточке должны быть приведены понятные доказательства логики детектирования - например, какая версия ПО обнаружена на хосте и с какой версией выполнялось сравнение.
• Эксплойты и ссылки на них — указывают, можно ли эксплуатировать уязвимость на практике. Наличие эксплойта и ссылка на него подтверждают реальность риска и помогают воспроизвести проблему при тестировании исправления.
• Рекомендации и ссылки на патчи — конкретные действия по устранению уязвимости: обновление версии, изменение конфигурации, патчи (не все вендоры уязвимого ПО/ОС включают такую информацию в свои базы). Наличие прямых ссылок на патчи и инструкции экономит время специалистов и снижает риск ошибок.
• Идентификаторы и ссылки на внешние источники (CVE, БДУ ФСТЭК России и др.) — идентификаторы во внешних базах уязвимостей позволяют однозначно определить уязвимость, обеспечивая единое понимание между участниками процесса. Они помогают корректно выстраивать приоритеты устранения и находить дополнительную информацию об уязвимости во внешних источниках.
• Данные из БДУ ФСТЭК России — дополнительный контекст: от рекомендаций по устранению уязвимостей до сведений о проверке обновлений безопасности на наличие программных закладок.
• EPSS (Exploit Prediction Scoring System) — вероятность эксплуатации уязвимости в ближайшее время. Помогает расставлять приоритеты при устранении уязвимостей.
• Трендовые уязвимости — это те уязвимости, которые активно эксплуатируются злоумышленниками в атаках. Используются также при определении приоритетов устранения. Наличие собственных данных по трендовым уязвимостям показывает, что вендор обладает достаточным ресурсом и экспертизой для формирования качественной базы уязвимостей.
• Перевод на русский язык — важен для удобства работы с зарубежным ПО и ускоряет обработку результатов внутри команды.

Качество базы уязвимостей

Если карточка отражает, насколько полно и понятно представлены данные, то база уязвимостей показывает, насколько точно и своевременно они добавляются в продукт. В R‑Vision мы рассматриваем качество базы через несколько ключевых характеристик:

• Частота обновления
  Чем чаще выходят обновления базы уязвимостей, тем меньше вероятность пропустить критичные уязвимости, о которых стало известно лишь недавно. Рекомендуем ориентир — обновления как минимум один раз в сутки (а лучше быстрее).
• Источники данных
  Важно знать, из каких источников формируется и чем обогащается база уязвимостей. Ключевой момент — поддержка фидов вендоров уязвимого ПО/ОС, чтобы обеспечивать качественное определение уязвимостей.
• Принципы детектирования
  Некоторые сканеры определяют уязвимости только по правилам, описанным в базах агрегаторах уязвимостей (например, NVD), не опираясь на данные и рекомендации производителей ПО. Из-за этого часть проверок может быть некорректной — логика определения уязвимостей у разных вендоров часто отличается. Качественная база формирует детект комплексно: учитывает не только версии ПО или ОС, но и дополнительные параметры. Примеры некоторых из них мы приведем ниже.
• Технологические партнёрства
  Некоторые вендоры предоставляют данные по своим уязвимостям через закрытые партнерские каналы и не публикуют их открыто. Если в VM‑решении заявлена поддержка обнаружения уязвимостей в конкретном источнике (например, отечественном производителе), желательно убедиться в существовании партнерства между ними или получить иные доказательства наличия доступа вендора VM к этим данным.
• Развитие базы уязвимостей
  Одним из важных параметров является скорость добавления новых источников — как по плану развития (RoadMap) самого вендора, так и по запросам клиентов. Если компании требуется поддержка дополнительных источников, уточните у вендора, предусмотрено ли их добавление и в какие сроки он готов реализовать такую интеграцию.

Качество детектирования уязвимостей

На точность детектирования влияет то, насколько детально сканер учитывает нюансы работы различных ОС. Ниже приведены примеры, по которым можно оценить проработанность правил детектирования и уровень внимания вендора к качеству результатов сканирования.

Обновления пакетов вендором

Некоторые производители ОС (например, RHEL, Ubuntu, Debian) исправляют уязвимость, не меняя основную версию пакета - только номер сборки. Если сканер ориентируется лишь на версию, он может ошибочно посчитать систему уязвимой. Качественный сканер учитывает номер сборки и историю изменений пакета, поэтому не отмечает исправленные версии как уязвимые.

Например, в базе NVD указано, что уязвимости CVE-2023-4736 подвержены все версии vim ниже 9.0.1833:

Однако в Debian 12 (bookworm) эта уязвимость уже исправлена в пакете vim 9.0.1378-2+deb12u2.

Соответственно, если сканер не учитывает наличие подобных обновлений для пакетов и ориентируется только на данные NVD, он посчитает ПО уязвимым, хотя на самом деле проблема уже закрыта.

Учёт окружения

Некоторые уязвимости проявляются только при определенных условиях - например, когда активна конкретная служба или используется определённая библиотека. Качественный сканер анализирует контекст и проверяет: запущен ли сервис, используется ли уязвимый модуль, и только потом делает вывод, действительно ли хост подвержен риску.

Например критическая уязвимость CVE-2021-24078 связана со службой DNS-сервера в Windows и позволяет нарушителю выполнить произвольный код.

Если сканер проверяет данную уязвимость только по отсутствию установленного пакета обновления Microsoft, но не учитывает, что служба DNS может быть отключена, он отметит хост как уязвимый, что автоматически может повлиять на приоритеты устранения уязвимости.

Такие случаи показывают, что без анализа окружения — статуса служб, модулей и зависимостей, зачастую сложно однозначно определить, действительно ли система подвержена уязвимости.

Именно поэтому важно, чтобы все подобные ситуации заранее прорабатывались экспертами, формирующими и поддерживающими базу уязвимостей сканера.

Кумулятивные обновления Microsoft

В Windows уязвимости часто устраняются через кумулятивные апдейты, которые включают десятки исправлений сразу. Сканеры, не умеющие корректно учитывать такие обновления, могут ошибочно отмечать закрытые уязвимости как актуальные. Надежный сканер определяет наличие установленных KB (Knowledge Base) или номер актуальной сборки Windows и корректно интерпретирует, какие уязвимости уже устранены.

— Андрей Селиванов, руководитель продукта R‑Vision VM

Вывод

В данном исследовании мы ставили цель разобраться, как специалисты по ИБ и ИТ сегодня воспринимают качество сканирования и какие характеристики делают VM-систему надежным инструментом.

Ответы респондентов и проведенные пилотные проекты показывают, что все больше компаний стали уделять пристальное внимание именно качеству сканирования. Результаты сканирования постепенно перестают восприниматься как данность: их начинают анализировать более тщательно.

Именно поэтому мы дополнили исследование практической методикой оценки качества сканирования — чтобы перевести эти ожидания в конкретные критерии, по которым можно оценить надежность выбираемого VM-решения.

Что будет происходить с рынком труда в ИБ‑отрасли?

С одной стороны, тема нехватки кадров в области информационной безопасности в России — затертая пластинка последних 5‑7 лет. С другой — каждый год она сверкает новыми вопросами: не хватает специалистов? Каких именно? Что делать, когда людей попросту нет и не предвидится? До каких пор будут расти зарплаты в этой отрасли и что вообще происходит? Эти вопросы остаются без однозначного ответа, но именно поэтому они заслуживают обсуждения. Сегодня я попробую раскрыть эту тему поделиться своими наблюдениями, а также прогнозами на ближайший год и на горизонт трёх лет. Материал будет скорее размышлением — я буду опираться на личный опыт и наблюдения, а не только на статистику (хотя и без неё, конечно, не обойтись).

Как всегда, чтобы понять, что происходит, нужно знать предысторию и разбираться в текущем контексте. Итак, как развивалась ситуация в последние годы?

Ситуация до 2022

В это время происходило так называемое «мягкое» импортозамещение. Крупный бизнес и государственные структуры действовали по плану, выстраивая кибербезопасность на своих участках. Там, где отечественный производитель не мог дотянуться по функционалу или качеству, а также в случаях, когда отсутствовали российские аналоги, подавляющее большинство организаций все ещё предпочитали проверенные зарубежные решения. В частности, в таких сегментах, как сетевая безопасность, инфраструктурная защита, сканеры уязвимостей — словом, практически во всём, что относится к «комодити»‑решениям.

Основным драйвером для отечественных разработок была нормативная база по КИИ, которая медленно, но уверенно вела отрасль к снижению зависимости от иностранных технологий. И здесь действительно есть значимые успехи: на рынке можно было найти отечественные решения для большинства задач ИБ. Другое дело, что конкурировать с иностранными продуктами по-прежнему было сложно, а о серьезной локальной конкуренции пока только мечтали.

Тем временем экономика страны росла, цифровизация перестала быть абстрактной идеей и превратилась в настоящее знамя: Россия в этой теме на передовых позициях. Уровень безработицы оставался крайне низким, а работы становилось все больше. Рынок труда в ИТ, а особенно в ИБ, был и остаётся очень горячим.

Перелом: 2022–2025 годы

Вмиг, буквально за неделю, ситуация кардинально изменилась. С началом СВО практически все зарубежные производители технологий кибербезопасности приостановили свою деятельность в России. На рынке остались лишь единицы из их представителей, кто решился продолжить работу. Бизнес и государственные структуры оказались под невиданным шквалом.

Ситуация с кадрами оказалась следующей:

• нужны дополнительные специалисты, чтобы быстро и эффективно отражать атаки;
• нужно разрабатывать и дорабатывать отечественные решения на замену ушедшим западным;
• необходимо заново внедрять технологии для решения старых задач с помощью новых отечественных разработок (это незапланированная работа, и для неё требуются незапланированные люди);
• параллельно нужно справляться с дополнительными кадровыми сложностями: релокацией сотрудников, добровольцами на фронте, мобилизованными.

Уже и так дефицитный рынок труда в ИБ буквально «вскипел». Началась настоящая борьба за специалистов: все участники рынка отчаянно нуждались в людях. Зарплаты взлетели до небес. Если взглянуть на ситуацию через призму «кому нужнее», картина выглядит примерно так:

• Разработчики (вендоры)
  Для них открылось окно возможностей — расширять ассортимент продуктов и услуг, увеличивать свою долю рынка. Это их непосредственный бизнес, поэтому они в авангарде.
• Интеграторы
  Их положение аналогично: огромный спрос на услуги и реализацию проектов.
• Бизнес-титаны и финтех
  Эти компании традиционно в первых рядах развития ИТ: технологии для них — конкурентное преимущество, а риски кибербезопасности могут привести к катастрофическим последствиям. Они готовы делать любые предложения, рассматривают команды как долгосрочные инвестиции и могут себе это позволить.
• Крупный бизнес и государственные структуры
  Ситуация схожа: объём работы резко вырос. Кибератаки усилились, а борьба с их последствиями и замена технологий — незапланированные изначально, но абсолютно необходимые задачи. Здесь киберустойчивость — это вопрос жизнеспособности бизнеса.
• Регионы: крупные компании, интеграторы, государственные структуры
  Им сложнее всего. Во-первых, ковид научил всех работать удалённо. Во‑вторых, зарплатная конкуренция с «титанами» из столицы для них недосягаема. Хотя региональные специалисты ничуть не хуже, а порой и лучше. Все чаще регионы выбирают аутсорсинг и сервисные модели, превращаясь в «кузницы кадров» — это данность, с которой нужно смириться для сохранения ментального здоровья.

Не могу не упомянуть и изменение роли образования в этом периоде: возрождение и «пятилетка за год» — такими словами я бы кратко охарактеризовал его положение в российском кибербезе. В эти годы образование в области ИБ в России переживает настоящую революцию. Кафедры в вузах выросли кратно, появились новые ПТУ по кибербезу, и уже со второго курса студентов разбирают как горячие пирожки. Университеты начали получать коммерческие заказы на исследования. Появились новые стартапы в сфере обучения, а крупные игроки рынка открыли целые направления в этой области. Сегодня образование всерьёз и надолго стало частью развития отрасли.

Краткий итог этого периода: жаркое время создания новых технологий, ожесточённые сражения на полях кибервойны и глобальная перестройка ландшафта кибербезопасности компаний.

Период с 2022 по 2025 год стал временем, когда нужно было срочно закрывать огромный объём незапланированной работы: заменять западные технологии, адаптировать инфраструктуру, запускать стартапы для быстрого закрытия дефицита. Этот рывок истощил все кадровые резервы, но по завершении этого цикла часть ресурсов неизбежно высвободится: ведь не все компании смогут удержаться на плаву и занять свою нишу, а часть задач исчезнет как временная аномалия.

2025 и 2026 годы станут временем, когда на рынок выйдут компетентные, опытные специалисты. Здесь речь идет в первую очередь про зрелых специалистов.

Все мы знаем, сколько компаний заявилось в разработку своих NGFW, SIEM, VM, EDR и пр. Подводя промежуточный итог, можно сказать: часть игроков примет решение не инвестировать дальше и сократят целые команды. Однако их опыт и квалификация очень нужны тем, кто продолжает гонку. То же самое касается и смежного ИТ-направления, ведь решаемые задачи ИТ и ИБ очень похожи, а опыт (пусть и негативный), очень ценен и найдёт свое применение. Так что можно ловить момент.

Важное явление в образовании: топ-5 ведущих технических университетов не просто обучают, а стали партнёрами рынка, реализуя заказы на исследования и закрывая те задачи, на которые у бизнеса не хватает рук. Это направление будет активно развиваться: у университетов появятся новые партнёры и заказы, а у бизнеса — возможность получить результат, сохранив собственные ресурсы.

Кроме того, бизнес, приходящий в вузы, создаёт отличную среду для студенческих проектов.

Некоторые из этих студентов могут не пойти работать напрямую в индустрию, и это неплохо. Пусть они создадут свой проект, займут свою нишу — так растёт отечественный рынок, появляются новые компании и решения, а это, в конечном итоге, сыграет на пользу всем. Одновременно с этим образовательные программы дадут первый ощутимый результат. Уже сейчас видно, как быстро распробовали ведущие ИТ- и ИБ-компании плотную работу с вузами, активно развивая программы стажировок и выращивая специалистов из молодого поколения. Кафедры выросли в разы, появились коммерческие ПТУ, и их количество будет только увеличиваться.

Отличный момент для того, чтобы усилить свои команды уже готовыми профессионалами и наладить долгосрочную работу с вузами. Пора переходить от «войны за кадры» к более здоровой и устойчивой стратегии.

В эти годы компании наконец-то насытятся нужными специалистами, а конкуренция сместится от работодателей к соискателям. Инвестиции в ИТ- и ИБ‑образование огромны, хайп вокруг отрасли сохранится, поэтому рынок быстро придёт к равновесию, а временами будет даже наблюдаться избыток кадров. «Остывание» неизбежно. Возможно, зарплаты перестанут расти, хотя и не снизятся.

Считаю, что в этот период особая роль будет за средними учебными заведениями. Профессионально‑технические колледжи станут кузницами кадров для первой линии SOC, а также для эксплуатации внедренных решений, особенно в регионах. Для многих выпускников школ и их родителей это будет важным выбором: пойти в колледж и уже через два года «войти в айти» или продолжать обучение в школе и вузе. Считаю, что это направление даст приток новых специалистов.

Что касается одной из популярных тем для обсуждения — возвращения зарубежных вендоров в Россию в ближайшие годы: считаю, что это маловероятно.

Во‑первых, мы знаем позицию руководства страны на этот счёт, во‑вторых, у нашего рынка уже практически не осталось задач, решение на которые мы не можем найти. Российская инженерная школа традиционно сильна, и этот тренд только усиливается, поэтому мы будем развивать свои технологии дальше. Хотя, на мой взгляд, частичное возвращение западных вендоров могло бы стать полезным для правильной конкуренции и повышения качества технологий, но только при грамотном регулировании этого процесса со стороны государства. На кадровый рынок это существенно не повлияет, так как зарубежные игроки держат разработку в своих странах, а у нас они в большинстве своем открыли бы локальную поддержку и обучение интеграторов.

Также в этот период неизбежно вырастет спрос на исследования и создание новых прорывных технологий. На первый план выйдет командная работа бизнеса, государства и вузов с фокусом на то, чтобы новые технологии служили основой конкурентоспособности и безопасности страны. Считаю крайне важным не упустить этот момент: нужно перестроиться и начать работать вдолгую, чтобы оставаться на волне развития отрасли и не потерять позиции.

Что повлияет на будущее ближайших пары лет?

Ключевыми факторами, которые будут влиять на рынок труда и ситуацию в ИБ в ближайшие годы, останутся геополитика и экономика. Что касается моих оценок ситуации, я бы описал их как осторожный оптимизм: если тенденции, заданные с начала СВО, сохранятся, нас ждет развитие экономики и сценарий, который я описал для 2026−2028 годов. Но если возникнут новые потрясения, предсказывать будет бесполезно, останется только действовать по ситуации и принимать, пусть и непростые, но необходимые решения.

Также CEO R‑Vision рассказал JetInfo о нюансах взаимодействия ИТ- и ИБ‑подразделений в российских компаниях и поделился прогнозами на 2050 г.

Расскажите об опыте, который вы получили в ИТ до прихода в R‑Vision, а также о ваших первых проектах в компании.

На меня значительно повлиял интеграторский опыт, который подразумевает работу с широким спектром российских и зарубежных ИТ‑решений. Я смог хорошо изучить рынок и разобраться в особенностях представленных на нём продуктов. Иными словами — выработал насмотренность, которая до сих пор помогает в работе. И уже с этим багажом в 2017 г. начал работать в R‑Vision. Моим первым проектом здесь было открытие центра экспертизы, предназначенного для внедрения решений компании и технической поддержки клиентов. А затем к этому добавлялись различные бэк-офисные подразделения, которые также попадали в зону моей ответственности. При этом компания стремительно продвигалась на рынке и её штат увеличивался. Когда я только пришёл в R‑Vision, это был небольшой вендор, там работали 10 сотрудников. Сейчас в R‑Vison занято больше 500 человек.

Получается, что вы фактически выступали в качестве одного из основателей R‑Vision?

Мой приход совпал по времени со стартом активного роста R‑Vision, к тому моменту проект существовал уже около 6 лет. За это время команда прошла большой путь и сделала хорошие наработки в области рыночного позиционирования и формирования точек роста, акцент на которых затем поспособствовал дальнейшему развитию.

Вы стали генеральным директором R‑Vision в прошлом году. Каковы были ваши первые шаги на новом посту? Что вы поменяли в стратегии развития компании? И есть ли сейчас в принципе смысл заниматься долгосрочным планированием с учётом текущей экономической ситуации?

На мой взгляд, планировать нужно в любой ситуации. В нашей компании два
уровня управления: стратегию определяет совет директоров, а за её реализацию отвечает генеральный директор. Поэтому в мои задачи входит именно реализация уже принятых планов развития. В частности, сейчас мы делаем ставку на commodity‑решения в области ИБ. В первую очередь это SIEM- и VM‑системы, в технологическое развитие которых мы серьезно вложились ещё в 2022 г., когда рынок опустел после ухода иностранных вендоров. И если SIEM‑систему для централизованного управления событиями ИБ мы собирались выпускать в любом случае (только немного позже по срокам), то относительно сканера уязвимостей R‑Vision VM таких планов не было. Поэтому появление именно этого проекта можно считать удачным результатом пересмотра стратегии в связи со стремительными рыночными изменениями. В целом же мы планируем продолжать наращивать свои компетенции в создании SOC и тех базовых commodity‑решений, без которых не может существовать ни одна корпоративная ИБ‑система.

В течение следующих пяти лет вы планируете войти в топ‑5 ведущих компаний ИБ‑отрасли. На какие шаги вы готовы пойти для достижения столь амбициозной цели? Планируете ли для этого расширять продуктовый портфель?

Данная цель вполне достижима для R‑Vision. Это не какие‑то розовые мечты, а желаемый результат реализации чёткого плана действий, который принят в компании. Наш продуктовый портфель уже значительно расширен для достижения необходимых показателей, и сейчас нам предстоит бороться за рыночные доли, которые активно перераспределяются между крупными вендорами (например, такими как «Лаборатория Касперского» или Positive Technologies) и новыми амбициозными игроками. В таких условиях у нас есть все шансы на лидерство как в области SIEM‑систем, так и в сегменте VM.

Каковы ваши прогнозы в отношении темпов роста российского рынка ИБ? Можем ли мы ожидать насыщения спроса и ослабления стимулирующего влияния импортозамещения?

Мы активно взаимодействуем с другими участниками ИБ‑рынка, и ещё в середине прошлого года многие из них говорили о том, что большинство продуктовых задач решено: уже сейчас в России есть продукты, позволяющие закрыть практически все потребности компаний. Конечно, здесь не обходится и без исключений. Например, это сегмент NGFW, но отечественные межсетевые экраны быстро развиваются, и уже сейчас есть уверенность в том, что вскоре они достигнут необходимого уровня.

На этом фоне компании начинают смотреть в сторону тех областей, в которые ранее было нецелесообразно вкладываться — например, из‑за малого объёма спроса или низкой отдачи от инвестиций. Сейчас многие такие ниши становятся более интересными с точки зрения бизнеса, что может стать дополнительным драйвером роста. Тем более что компании видят: инвестиции, вложенные в ИБ‑проекты в 2022 г., сейчас оправдались и привели к расширению рынка, — и это стимулирует их вкладывать средства в новые области.

В своей работе вы делаете акцент на платформенных решениях, и в этом смысле появление платформы R‑Vision EVO, наверное, можно считать знаковым для компании. Почему в использовании именно таких систем вы видите будущее развитие ИБ? В чем эффективность платформенного подхода?

Как правило, заказчики хотят получить не продукты как таковые, а решение своих задач, которое будет происходить по определенному плану (стратегии), своего рода roadmap. И уже затем компании анализируют, с помощью каких технологий можно достичь поставленных целей. Идеальная ситуация для потребителя — это когда все технологические возможности присутствуют в каком‑то одном решении с единым интерфейсом, поскольку в противном случае придется держать в штате нескольких специалистов, обладающих компетенциями по различным продуктам. Добиться такого идеала позволяет подход, при котором различные ИБ‑решения работают в рамках единой платформы — в нашем случае это R‑Vision EVO. Сейчас она охватывает уже около половины нашей продуктовой линейки, а остальные решения активно на неё переезжают. Мы ожидаем, что этот процесс завершится уже в следующем году, и тогда все решения будут работать в едином интерфейсе, что очень удобно для клиентов и экономит их ресурсы.

В последнее время в экспертном сообществе часто обсуждается тема тесной интеграции между ИТ- и ИБ‑отделами компаний. Какие преимущества даст более слаженная работа этих подразделений и как можно ее достичь?

За последние 15 лет отношения между ИТ- и ИБ‑подразделениями переросли из антагонистических в партнёрские. Иными словами, если раньше для внедрения новых систем айтишникам приходилось преодолевать сопротивление ИБ‑специалистов, то сейчас все вместе работают на бизнес. У сотрудников ИТ‑отделов появилось понимание того, что их решения должны соответствовать требованиям безопасности, а безопасники, в свою очередь, перестали выстраивать дополнительные преграды для развития компаний. В настоящее время специалисты обоих направлений всё чаще оказываются в общей рабочей среде, а их задачи постоянно пересекаются. И поэтому им важно иметь общие исходные данные о корпоративной инфраструктуре и инструментарий для эффективного взаимодействия. Уверен, что сближение этих подразделений, построенное на данных принципах, будет продолжаться.

Используются ли в ваших ИБ‑решениях технологии искусственного интеллекта? Каких результатов вам удается добиться с помощью их внедрения?

В нашей компании работает отдельная команда, которая внедряет ИИ в ИБ‑решения. Как правило, речь тут идет об автоматизации простых рутинных задач, на решение которых человеку требуется много времени. На практике мы получаем ассистента, который обрабатывает информацию, а затем выдает результат своей работы (например, в виде подсказок) специалисту. Данный метод показал свою эффективность. При этом мы помним, что разработчикам ИБ‑решений противостоят хакеры, которые постоянно пытаются находить новые способы взлома, в том числе используя инструменты ИИ. Поэтому в данном соревновании R‑Vision применяет все доступные современные технологии для более быстрого детектирования атак и предотвращения киберинцидентов.

А увеличивается ли количество атак на компании?

Число хакерских атак и ущерб от них постоянно растут параллельно с процессом цифровизации бизнеса, которая продвигается бешеными темпами по всему миру. И у нас есть ощущение, что данный тренд будет в силе ещё очень длительное время.

Как вы относитесь к практике использования компонентов open source в ИБ‑решениях? В каких случаях это можно считать действенным методом, а когда следует полагаться исключительно на собственную разработку?

Open source есть смысл использовать для быстрого старта проекта, однако в дальнейшем я бы советовал уходить от этой практики и стремиться полностью опираться на внутренние разработки. Потому что, когда вы делаете серьезный проект для enterprise‑компаний, клиенты предъявляют требования, которым open source уже не соответствует — в частности, по контролю работы получившегося решения. Поэтому чем больше ваш проект, тем сильнее будет необходимость самостоятельно переписывать код и заменять им заимствованные ранее блоки. И к этому просто нужно быть готовым. Также не стоит забывать о том, что компоненты open source могут содержать лишний функционал, который не нужен в вашей системе. Из-за этого будет увеличиваться кодовая база, а соответственно, и поверхность потенциальной хакерской атаки. В результате ваш продукт будет сложнее защищать после его внедрения у заказчиков, что может стать ощутимой проблемой.

В одном из выступлений вы говорили о том, что для вас, как для управленца, близка роль тренера: набираете команду и тренируете её для достижения целей. По каким принципам вы выбираете людей и как удерживаете баланс между творческой свободой талантливых сотрудников и управленческим контролем, чтобы избежать текучести кадров и выгорания?

Это очень сложная задача. Поэтому, для того чтобы быть лидером и взять на себя роль тренера, нужно иметь определенный талант. Люди — это не винтики в большом корпоративном механизме. Они личности, работа с которыми требует индивидуального подхода, если вы хотите построить по-настоящему эффективную команду. И здесь крайне важны принципы и ценности, которые объединяли бы весь коллектив компании и задавали вектор развития, определяя, что и как мы делаем. В этом смысле миссия R‑Vision — эффективно решать максимальное количество значимых задач наших заказчиков, принося им ценность. И чем лучше мы это делаем, тем больше ресурсов получим для будущего развития.

Кроме того, важно определить конкретные качества, на которые нужно обращать внимание при подборе персонала и его развитии. Для нас это в первую очередь профессионализм, деловой подход, открытость, честность, интеллигентность в общении и нацеленность на результат. Каждое подразделение нашей компании знает, чем занимаются коллеги из соседних отделов и по каким вопросам с ними можно взаимодействовать для достижения наилучшего результата.

Пока численность нашей команды не превысила 150 человек, мы не брали в неё начинающих junior‑специалистов, делая упор на экспертов с хорошим опытом работы. Затем HR‑концепция значительно изменилась: мы начали выращивать специалистов самостоятельно, в том числе вкладываясь в образовательные проекты в рамках сотрудничества с профильными вузами.

Расскажите подробнее об этих проектах. Позволяет ли данный подход смягчить проблему нехватки квалифицированного персонала на российском рынке труда?

В настоящее время R‑Vision сотрудничает более чем с 30 вузами, которые готовят специалистов в разных регионах страны. Для взаимодействия с ними у нас есть отдельное подразделение в HR — отдел развития карьеры, который занимается как образовательными программами, так и вовлечением в работу нашей компании практикантов и стажеров, многие из которых впоследствии остаются у нас в штате. Как правило, молодые специалисты быстро обучаются и хорошо перформят. Это прекрасно знают и в других компаниях, поэтому они конкурируют за таких студентов в крупных вузах. Например, в МГТУ им. Баумана присутствуют представители всех лидеров нашей отрасли: они участвуют в учебном процессе и присматривают толковых ребят для трудоустройства. Наряду с этим сами вузы начинают заниматься проектной деятельностью, чтобы решать некоторые задачи бизнеса (в первую очередь исследовательские) у себя внутри, формируя собственные сильные команды из студентов, выпускников и преподавателей. Сейчас по такой схеме активно работают ИТМО, МФТИ и некоторые другие университеты.

Среднее время прохождения от стадии стажера до позиции middle‑специалиста в нашей компании составляет всего один год. Разумеется, в период стажировки и последующего профессионального роста до крепкого среднего уровня специалисты не выходят на рынок труда: многие из них остаются с нами и в дальнейшем становятся ведущими специалистами и руководителями. Таким образом, сейчас у нас есть костяк из компетентных специалистов с экспертизой по целевым направлениям и кадровый резерв, который мы обучаем и развиваем внутри компании. Если же нам необходима экспертиза по какому‑либо новому направлению (например, при расширении продуктового портфеля), то тут мы уже идём на рынок труда и активно привлекаем экспертов с необходимыми знаниями.

В 2021 г. вы запустили просветительский проект «Безопашка», в рамках которого рассказываете детям о правилах безопасного поведения в интернете. Что явилось предпосылкой для этой инициативы и почему, на ваш взгляд, сегодня важно уметь правильно и безопасно пользоваться ИТ‑технологиями уже с раннего возраста?

Процесс цифровизации затрагивает не только бизнес, но и всю нашу жизнь в целом. Теперь с информационными технологиями люди сталкиваются в раннем детстве: телефоны, планшеты, общение в чатах и по видеосвязи — всё это в порядке вещей. И если уж наши дети попадают в это цифровое пространство, они должны знать, что далеко не все его обитатели белые и пушистые. В интернете есть люди и вещи, способные навредить детям и их родителям. Как можно от этого защититься в рамках цифровой гигиены, мы рассказываем в нашем проекте, информацию о котором активно распространяем.

Вы могли бы дать долгосрочный прогноз по развитию ИТ и ИБ? Возможно ли сейчас представить, как они будут выглядеть, например, в 2050 г.?

Для начала предлагаю вспомнить, что мы имели в этих областях 25 лет назад. Тогда у нас стояли Dial-up-модемы, мы не пользовались смартфонами и даже не могли представить, какие возможности получим с их появлением. Интернет‑банкинг и оплата банковскими картами, кстати, тоже не были доступны — всё это появилось позже. С другой стороны, уже работал мессенджер ICQ, который, впрочем, сильно отличался от тех решений, которые есть сейчас. Какой в то время была ИБ? Эта сфера все еще находилась под сильным влиянием опыта спецслужб. Там работали силовики, и подходы были соответствующие — похожие на те, которые используются для защиты государственной тайны.

Могли ли мы в то время представить состояние, в котором ИТ- и ИБ‑отрасли находятся сейчас? Наверное, для этого нужно быть очень сильным футурологом и визионером, но и такие люди, бывает, ошибаются в своих прогнозах. Но про 2050 г. можно точно сказать одно: ИТ и ИБ будут существовать и развиваться, проникая все глубже в нашу жизнь. Процессы станут динамичнее, а взаимодействие с ними — удобнее для пользователей. А решения будут создаваться все теми же программистами и инженерами, в том числе прошедшими российскую школу. Уверен, что эти профессии с нами надолго.

Введение

На протяжении последних лет эксплуатация уязвимостей остается одним из самых распространенных способов проникновения в сети организаций. На этом фоне инструменты управления уязвимостями становятся неотъемлемой частью защиты ИТ-инфраструктуры. Однако подходы к их выбору и применению существенно различаются в зависимости от масштаба организации, отрасли, зрелости процессов ИБ, уровня автоматизации, состава ИТ-ландшафта и требований регуляторов. Одни делают упор на качество и полноту сканирования, другие — на выстраивание процессов: приоритизацию, автоматизацию, контроль устранения. Третьи стараются комбинировать все доступные инструменты. Вендоры стремятся интегрировать эти возможности в единые системы, отвечающие реальным потребностям безопасности.

Чтобы глубже разобраться в приоритетах заказчиков и понять, какие задачи они решают в области управления уязвимостями, мы провели опрос среди наших заказчиков и партнеров — специалистов по ИБ, CISO, ИТ-руководителей и технических специалистов. Мы хотели узнать, какие функции востребованы, какие инструменты применяются на практике и что в итоге влияет на выбор VM-систем.

Также в течение 2024 года и в первом квартале 2025 года мы собирали и анализировали обратную связь от заказчиков, участвовавших в пилотных проектах по внедрению R‑Vision VM (результаты см. в разделе «Что показывают пилоты: практическая сторона выбора VM-систем»). Это позволило нам лучше понять, что именно важно для компаний в работе с уязвимостями — какие задачи они хотят решать, с какими трудностями сталкиваются и на что делают акцент при выборе решений.

Методология опроса

В опросе приняли участие 83 респондента из разных отраслей — финансовой, промышленной, ИТ, государственного сектора, нефтегаза, ритейла, транспорта, телекоммуникаций и энергетики. В выборке представлены как крупные корпорации (от 10 000 сотрудников), так и компании среднего (от 1 000 до 10 000 сотрудников) и малого масштабов (до 1 000 сотрудников).

Сбор данных осуществлялся через 3 канала:

• Очные опросы на R-EVOlution Conference 2025 — ежегодной отраслевой конференции R-Vision по кибербезопасности
• Анкетирование среди заказчиков R-Vision в рамках демонстрации продуктов на киберфестивале PHDays 2025
• E-mail рассылка среди заказчиков R-Vision

Большинство респондентов - представители крупного бизнеса (53%), 47% пришлось на компании среднего и малого бизнеса (36% и 11% соответственно).

Опрос включал 3 блока вопросов, охватывающих:

• Текущий ландшафт используемых VM-инструментов;
• Критерии выбора VM-систем;
• Востребованность дополнительных функций.

Детальные результаты исследования

Текущий ландшафт VM-решений

Респондентам было предложено выбрать все используемые в их организациях инструменты управления уязвимостями. Результат видно на графике: он отражает распределение используемых решений в зависимости от размера компании.

Крупный бизнес: комплексные решения и высокая зрелость

Крупные компании демонстрируют наиболее зрелые подходы к управлению уязвимостями. Более половины из них (55%) используют полнофункциональные коммерческие VM-системы, еще 38% — гибридные подходы (например, сканер одного вендора, а VM - другого). Только 8% ограничиваются сканерами, и даже в этих случаях они, как правило, встроены в более широкие процессы. Ни одна из организаций в этом сегменте не указала, что только планирует внедрение. Всё это указывает на то, что крупный бизнес рассматривает управление уязвимостями как стратегически важное направление, требующее прозрачности, масштабируемости и глубокой интеграции с другими элементами ИБ-инфраструктуры.

Средний бизнес: между простотой и зрелостью

В сегменте среднего бизнеса подходы значительно разнообразнее. Примерно четверть компаний (26%) используют только сканеры — как правило, это open source или коммерческие сканеры. Чуть больше трети (35%) применяют гибридные решения, а ещё 32% уже внедрили полноценные VM-системы. 6% респондентов находятся на стадии планирования. Такое распределение показывает, что многие организации в этом сегменте находятся в переходной фазе — от простых инструментов к более зрелым системам. Выбор подхода, по-видимому, зависит от степени зрелости процессов, наличия ресурсов и готовности команды к изменениям.

Малый бизнес: минимальные инструменты и низкая вовлеченность

В малом бизнесе картина заметно отличается. Почти 80% компаний ограничиваются только сканерами — это либо open source-инструменты, либо коммерческие сканеры. Лишь 3% респондентов сообщили о внедрении более продвинутых решений. Кроме того, почти каждая пятая компания (19%) не использует инструменты VM вовсе и только планирует их внедрение. Это может свидетельствовать о нехватке ресурсов, дефиците компетенций или низком уровне зрелости процессов. Также подобная картина может отражать общую тенденцию для малого бизнеса, где вопросам ИБ традиционно отводится второстепенная роль. В таких условиях выбор, как правило, делается в пользу решений, не требующих значительных затрат и сложной настройки.

Общий тренд

По мере увеличения масштаба бизнеса растет и зрелость VM-подходов: от сканеров в малом бизнесе до полноценных VM-платформ в крупном. Это подчеркивает важность не только выбора инструмента, но и организационной готовности к системному управлению уязвимостями.

Критерии выбора VM-систем

Респондентам предлагалось оценить по 10-балльной шкале важность различных характеристик:

• Качество сканирования (широкое покрытие ОС, качественный детект уязвимостей с минимумом False Positive, высокая скорость, надежность, производительность);
• Функционал для построения процессов VM (интеграции с внешними системами в том числе SD, приоритизация уязвимостей, автоматизация создания задач и контроля устранения уязвимостей).

Наибольшее значение для пользователей инструментов VM-систем имеет именно качество сканирования — 78% респондентов поставили этому параметру оценку выше 8 из 10. В первую очередь это такие характеристики, как широкое покрытие ОС и приложений, высокая скорость сканирования, стабильность работы и минимум ложных срабатываний. Такой результат вполне ожидаем: заказчики воспринимают сканирование как базовую функцию VM-систем, от которой напрямую зависит весь дальнейший процесс.

Если система пропускает уязвимости, выдает слишком много ложных срабатываний или нестабильно работает — это подрывает доверие и делает крайне сложным выстраивание дальнейших процессов. Поэтому базовые технические характеристики получают наиболее высокие оценки.

В то же время функциональность, связанная с построением и автоматизацией процессов управления уязвимостями — например, интеграция с Service Desk, автоматизация создания задач, приоритизация и контроль устранения — оценивается чуть ниже. Это может быть связано с тем, что во многих организациях процессы управления уязвимостями еще только формируются, и основной акцент пока делается на качественное выявление уязвимостей, а не на их автоматизированную обработку.

Кроме того, внедрение таких процессов требует организационной зрелости, вовлечения нескольких подразделений (ИБ, ИТ, DevOps), а также наличия сопутствующих систем. Поэтому часть пользователей просто не использует этот функционал на практике, и, как следствие, не считает его приоритетным при выборе VM-системы.

Таким образом, можно сказать, что рынок все еще находится в стадии, когда основное внимание уделяется качеству технического контроля — в первую очередь точности и полноте сканирования, минимизации ложных срабатываний, скорости обнаружения уязвимостей и охвату ИТ-инфраструктуры.

Вместе с тем заметен устойчивый интерес и к процессной составляющей: автоматизации рабочих процессов, интеграции с другими системами ИБ и ИТ, управлению жизненным циклом уязвимостей, а также формированию прозрачной отчетности.

Дополнительно растет и востребованность продвинутой аналитики, включая корреляцию данных из различных источников, приоритизацию уязвимостей на основе контекста и рисков, а также использование технологий машинного обучения для прогнозирования угроз и повышения эффективности реагирования.

Дополнительные функции: что вызывает интерес у пользователей VM-инструментов

Сканеры уязвимостей стремительно развиваются — вместе с этим растут и ожидания пользователей. Помимо стандартных функций, таких как сканирование в различных режимах (White/Black box, Compliance), а также поддержка разных типов сканирования (агентского и безагентского сканирования), заказчики отмечают и ряд дополнительных возможностей, к которым они проявляют интерес. Эти функции не всегда входят в базовый набор VM-решений, но на практике они часто определяют удобство и эффективность эксплуатации системы.

Каждая из этих функций получила высокие баллы от представителей разных отраслей — и это неудивительно: потребности в области VM достаточно сильно зависят от специфики бизнеса.

Финансовый сектор и ИТ-компании чаще других выделяли аналитику и ML. Здесь традиционно высок уровень зрелости ИБ, большое число инцидентов и высокая доля автоматизации. В таких условиях аналитика с элементами машинного обучения помогает сократить ложные срабатывания, повысить эффективность приоритизации и ускорить реакцию на угрозы. Также в этом сегменте уделяют особое внимание аудиту контейнерных сред. Распространение DevOps-практик, CI/CD-пайплайнов и микросервисной архитектуры ставит на первый план задачи по контролю безопасности контейнерных инфраструктур.

Промышленность и энергетика ожидаемо оказались в числе тех, кто высоко оценил сканирование АСУ ТП. Это логично: специфичные протоколы, изолированные сегменты сети — всё это требует особого подхода. Появление специализированной функциональности в сканерах здесь воспринимается как серьезное преимущество.

Организации с большим числом публичных веб-ресурсов (банки, ритейл) чаще выделяют веб-сканирование как необходимую функцию — особенно если речь идет не только о типовых уязвимостях, но и о более сложных логических атаках.

Ретроспективное сканирование получило высокие оценки практически во всех отраслях, однако особенно востребованным оно оказалось в госсекторе и финансовой сфере. Компании из этих сегментов, как правило, обладают разветвленной ИТ-инфраструктурой и большим числом хостов, что делает полные сканирования ресурсоёмкими и трудозатратными.

Возможность ретроспективного анализа позволяет выявлять уязвимости в уже собранных данных без необходимости повторного сканирования. Это значительно снижает нагрузку на сеть и оптимизирует процессы анализа, особенно в условиях высокой регуляторной нагрузки и требований к контролю устойчивости ИТ-среды во времени.

— Ирина Карпушева, менеджер по продуктовому маркетингу R‑Vision

Дополнительные функции (аудит контейнерных сред, веб-аудит, сканирование АСУ ТП, ретроспективное сканирование и другие) вызывают интерес в разных отраслях, но не определяют выбор — скорее, подчеркивают актуальные зоны внимания. Финансовые компании и ИТ — чаще говорят об аналитике и ML, промышленность — о сканировании специфичных сред, ритейл и банки — о защите публичных веб-ресурсов. Это говорит о том, что отраслевая специфика влияет на акценты, но базовые ожидания от VM-систем остаются универсальными.

Что показывают пилоты: практическая сторона выбора VM-систем

Если опрос позволяет увидеть обобщенную картину ожиданий и приоритетов пользователей, то пилотные проекты — это уже реальные сценарии применения на живой инфраструктуре, в которых ожидания сталкиваются с практикой. За последний год мы провели более 70 пилотов R-Vision VM в различных компаниях — от крупных корпораций до организаций среднего масштаба, из разных отраслей.

Практика показывает, что заказчики подходят к оценке качества сканирования системно. Условно все проверки можно разделить на два блока: организационные (документальные) и инструментальные (практические).

По нашей статистике, качество сканирования остается в фокусе внимания: на него сделали акцент 74% участников пилотных проектов. Мы отнесли к этой категории те компании, которые провели минимум два типа проверок из набора организационных и три инструментальных оценки. Это лишний раз подтверждает результаты анкетирования и подчеркивает: именно надежное и точное выявление уязвимостей становится базой доверия к системе.

Организационная (документальная) оценка

На графике ниже показано, насколько часто на пилотах компании проверяют формальные и информационные аспекты работы VM-сканеров:

• 92% анализировали документацию вендора, оценивая заявленное покрытие операционных систем, прикладного ПО, сетевого оборудования, СУБД и других компонентов.
• 86% обращали внимание на содержание карточек уязвимостей — наличие структурированной информации, включая CVSS, EPSS, ссылки на эксплойты и патчи, рекомендации по устранению и данные о трендовых уязвимостях.
• 81% оценивали качество базы уязвимостей: частоту и источники обновлений, правила детектирования и прочие параметры.

Эти проверки можно считать базовым («гигиеническим») минимумом: их так или иначе проводило большинство участников пилотирования.

Инструментальная оценка

График ниже демонстрирует, какие инструментальные проверки и как часто используются участниками пилотов для оценки качества сканирования:

• 100% проводили базовую проверку: запуск сканера на различных ОС, контроль корректности определения системы, установленного ПО и выявления релевантных уязвимостей.
• 62% проводили динамическую оценку устранения уязвимостей, сопоставляя результаты сканирования до и после их устранения и проверяя, насколько корректно сканер фиксирует изменения.
• В 23% использовали эталонные образы с заранее известными уязвимостями для оценки точности детектирования и выявления ложных срабатываний (False Positive/False Negative). Одина из самых трудоемких и ресурсозатратных проверок.
• 47% сравнивали результаты сканирования с другими решениями (Nessus Essentials, OpenVAS, OpenSCAP, коммерческие продукты), чтобы оценить относительное качество обнаружения.
• 45% выборочно проверяли корректность рекомендаций: ссылки на эксплойты, патчи, рекомендации по устранению, а также актуальность CVSS-оценок.
• 64% проверяли актуальность базы уязвимостей, отслеживая появление новых уязвимостей в открытых источниках и отражение этих данных в базе сканера.
• 15% выполняли нагрузочные тесты с замером скорости сканирования на нескольких тысячах хостов — трудоемкая, но показательная проверка производительности. Как правило, данную проверку проводили команды из крупных компаний. Для них важно укладываться в технологические окна и оперативно получать данные для устранения уязвимостей.

— Андрей Селиванов, руководитель продукта R‑Vision VM

Помимо запланированных проверок, на которые у вас выделены ресурсы, мы рекомендуем обязательно включать в процесс и следующие этапы:

• Выполняйте все три организационные проверки — это базовый минимум, позволяющий оценить зрелость и актуальность сканера: какие платформы поддерживаются, насколько полно и структурировано оформлены карточки уязвимостей, как часто и из каких источников обновляется база.
• Проверяйте актуальность базы уязвимостей и выборочно сверяйте данные карточек (CVSS, ссылки на эксплойты и патчи) с публичными источниками, такими как NVD и вендорские отчеты. Это простая, но очень информативная проверка.

Даже выполнение этих базовых шагов даёт значительно более точное и обоснованное представление о качестве сканера уязвимостей в условиях вашей инфраструктуры. Не стоит пренебрегать такими проверками — на них потребуется совсем немного времени, а польза от них будет несопоставимо выше.

Какие изменения произошли в сфере информационной безопасности в России и мире за последние годы?

Последние годы рынок информационной безопасности пережил серьезные трансформации, во многом обусловленные геополитической ситуацией. Импортозамещение в ИТ и кибербезопасности вышло на новый уровень. Этот процесс начался давно — еще с принятия Доктрины информационной безопасности. И сегодня окончательно стал приоритетом.

Кибербезопасность оказалась в авангарде изменений. Регуляторы уже давно создавали условия для развития отечественных решений, вводя сертификацию и обязательные требования по использованию российских продуктов в критически важных отраслях.

Наши ключевые клиенты — это крупнейшие корпоративные заказчики, в первую очередь компании из топ-200 по размеру бизнеса, включая государственные корпорации и организации, управляющие критической информационной инфраструктурой (КИИ). Их приоритет — минимизация рисков и высокая эффективность внедряемых технологий. Им важны как сертификация решений, гарантирующая их безопасность, так и функциональные возможности продуктов. Эти компании одними из первых начали переходить на отечественные решения, особенно когда убедились, что они конкурентоспособны. В числе первых на этот путь встали крупнейшие банки. Мы наблюдали за этим процессом и активно в нем участвовали. Хотя среди наших клиентов есть и государственный сектор, основную долю занимают коммерческие компании.

На рынке ИБ есть так называемые коммодити-решения — базовые продукты, которые входят в «джентльменский набор» защиты и покрывают 80% ключевых задач. К ним относятся системы защиты периметра, фильтрации трафика, обнаружения вредоносного ПО и инструменты расследования инцидентов. Такие решения выбирают очень тщательно, поскольку компромиссы здесь недопустимы — от них зависит безопасность всей корпоративной инфраструктуры.

Отечественные продукты в этом сегменте стремительно развиваются, но у зарубежных конкурентов зачастую более зрелая разработка, что объясняется исторически большим объемом инвестиций и широкой клиентской базой. Российский рынок кибербезопасности активно растет. Еще недавно бытовало мнение, что он слишком мал, чтобы быть интересным. Однако последние пять лет показали обратное: количество отечественных разработчиков ИБ-решений существенно увеличилось, а их технологии становятся все более востребованными.

Какие российские ИБ-решения уже импортозаместили зарубежные аналоги? Каких отечественных продуктов все еще не хватает для замены?

Импортозамещение в сфере информационной безопасности охватывает несколько ключевых направлений. В одних сегментах уже есть зрелые отечественные продукты, в других — пока ощущается нехватка решений с нужным уровнем функциональности и производительности. Например, решения для SOC и SOAR в России развивались независимо, и после ухода западных компаний этот рынок продолжил расти без резких изменений. Российские разработчики уже выигрывали конкуренцию у IBM, Palo Alto и других за счет гибкости и лучшей адаптации к локальным требованиям. Поэтому здесь речь идет не столько о замене, сколько о дальнейшем развитии технологий.

В таких сегментах, как сканеры уязвимостей, SIEM и NGFW, исторически доминировали зарубежные решения. После их ухода началось активное создание отечественных аналогов, и сейчас рынок предлагает достаточно продуктов для закрытия этих задач. Однако в некоторых сегментах пока ощущается нехватка зрелых решений. Например, системы поведенческого анализа (UEBA) находятся в стадии активного развития, но пока уступают зарубежным по возможностям машинного обучения и глубине анализа аномалий. Комплексные платформы XDR, которые объединяют данные из разных источников для расширенной аналитики угроз, также пока только формируются. Еще один дефицитный сегмент — облачные решения в ИБ. Большинство отечественных разработок ориентированы на локальную инфраструктуру, а сервисные модели безопасности, популярные за рубежом, в России развиваются медленнее.

Ключевой фактор успешного импортозамещения — это не просто наличие аналогов, а их способность интегрироваться с существующими ИТ-ландшафтами. Особенно это важно для SIEM и систем управления уязвимостями, где скорость адаптации к новым источникам данных определяет эффективность защиты. Российские компании делают акцент на поддержку отечественных сертифицированных решений, таких как операционные системы, базы данных и специализированное ПО. Это особенно критично для заказчиков из критически важных отраслей, где требования к соответствию регуляторным нормам жестче всего.

В целом, рынок российских ИБ-решений развивается динамично. В большинстве ключевых сегментов уже есть продукты, способные заменить зарубежные аналоги, хотя в сложных аналитических системах и облачной безопасности пока сохраняется дефицит зрелых решений. Дальнейший рост этого рынка будет зависеть от скорости технологического развития, уровня господдержки и готовности бизнеса инвестировать в новые разработки.

Какие технологии и продукты в ИБ сейчас наиболее востребованы у крупных компаний?

Крупные компании сегодня делают акцент на построении эффективных систем мониторинга и реагирования на кибератаки, поскольку скорость обнаружения и устранения инцидентов становится критически важной. В этом контексте растет спрос на технологии, обеспечивающие централизованное управление событиями безопасности и автоматизацию процессов реагирования. Одним из ключевых направлений остается развитие ситуационных центров безопасности (SOC), которые компании либо строят самостоятельно, либо подключают в формате MSSP-сервисов. Независимо от модели, высокую востребованность сохраняют решения класса SOAR, позволяющие автоматизировать обработку инцидентов, сокращать время реагирования и повышать эффективность работы SOC за счет сценариев действий и интеграции с различными источниками данных. В России одним из ведущих продуктов в этом направлении является R-Vision SOAR. Он автоматизирует реагирование на инциденты и интегрируется с ключевыми системами безопасности. Это делает его важным элементом инфраструктуры крупных организаций.

Важную роль также играют SIEM-системы, которые остаются основой инфраструктуры безопасности для крупных организаций. Здесь критически важны высокая производительность при анализе событий, гибкость в интеграции с разными источниками информации и возможность работы с отечественными ИТ-продуктами. R-Vision SIEM уже демонстрирует высокую эффективность, позволяя обрабатывать до 500 000 событий в секунду, что особенно важно для больших инфраструктур. Аналогичная ситуация с системами управления уязвимостями, которые позволяют компаниям проактивно выявлять и устранять уязвимости в инфраструктуре. R-Vision VM, включающий сканер уязвимостей и систему управления обновлениями, активно внедряется в корпоративный сектор и критически важные отрасли, помогая организациям соответствовать требованиям регуляторов и минимизировать риски эксплуатации уязвимостей.

Какие продукты и направления ваша компания планирует развивать в ближайшее время?

Развитие продуктовой линейки всегда должно учитывать актуальные потребности рынка и технологические тренды. В ИБ-сфере ключевыми направлениями остаются SIEM-системы, а также инструменты для выявления и устранения уязвимостей. В этом сегменте критически важны масштабируемость, высокая производительность и возможность интеграции с разнородными источниками данных. Именно поэтому одним из приоритетов становится совершенствование SIEM-решений и развитие сканеров уязвимостей, которые помогают организациям оперативно анализировать и устранять потенциальные угрозы. Текущие разработки направлены на увеличение скорости обработки данных, поддержку кластерных архитектур и повышение устойчивости систем к высоким нагрузкам.

Еще одно стратегическое направление — выход за пределы российского рынка и работа с дружественными странами, где у крупного бизнеса наблюдаются схожие проблемы в области кибербезопасности. Анализируя зарубежные рынки, можно увидеть те же вызовы, с которыми сталкиваются компании в России: необходимость замены зарубежных решений, рост требований к безопасности и управление сложной ИТ-инфраструктурой. Это открывает возможности для развития продуктов, способных конкурировать на международном уровне.

Кроме того, кибербезопасность все теснее пересекается с задачами управления ИТ-инфраструктурой. Компании, которые ранее занимались исключительно защитой информации, теперь вынуждены глубже погружаться в ИТ-процессы, поскольку вопросы мониторинга, управления конфигурациями и контроля доступов напрямую связаны с обеспечением безопасности. В результате появляется логичный вектор развития — создание решений, ориентированных не только на ИБ, но и на управление ИТ-ландшафтом. Уход западных поставщиков затронул не только сегмент информационной безопасности, но и широкий спектр корпоративных ИТ-систем, поэтому спрос на такие продукты остается высоким.

В ближайшем будущем вектор развития будет направлен на расширение технологического стека, адаптацию решений под новые требования и интеграцию кибербезопасности с ИТ-управлением. Это естественный шаг для компаний, обладающих экспертизой в обеих областях, и мы уже видим предпосылки для появления новых продуктов, способных закрыть эти потребности.

Как технологии ИБ могут находить применение за пределами кибербезопасности? Видите ли вы новые точки роста?

Технологии информационной безопасности все чаще используются за пределами традиционного ИБ-контекста, поскольку многие задачи защиты данных и управления рисками пересекаются с более широкой ИТ-инфраструктурой. Например, решения для мониторинга инцидентов, изначально созданные для кибербезопасности, могут быть адаптированы для управления сбоями и отказами в ИТ-системах, что особенно актуально для крупных организаций с распределенной инфраструктурой. Аналогично, системы управления уязвимостями находят применение не только в сфере ИБ, но и в управлении изменениями в корпоративной ИТ-среде, помогая компаниям лучше контролировать обновления, выявлять слабые места в инфраструктуре и минимизировать риски.

Одним из ключевых направлений роста становится управление ИТ-активами (ITAM) и конфигурационными единицами (CMDB). Компании нуждаются в прозрачности инфраструктуры, единой картине всех ИТ-ресурсов и автоматизированных процессах управления. Здесь технологии ИБ могут сыграть важную роль, поскольку принципы контроля доступа, мониторинга событий и реагирования на инциденты применимы не только к безопасности, но и к эффективному управлению ИТ-ландшафтом. Кроме того, в условиях ограниченного количества ресурсов особое значение приобретает задача повышения эффективности. В этом важную роль играют системы управления активами, которые достигли высокого уровня зрелости и глубоко интегрированы в процессы предоставления ИТ-сервисов (ITSM).

Таким образом, технологии ИБ постепенно выходят за рамки своей традиционной сферы и находят применение в задачах управления ИТ-инфраструктурой, бизнес-процессами и операционными рисками.

Где проходит граница между ИБ и ИТ? Есть ли запрос рынка на решения, которые объединяют эти направления?

Граница между ИБ и ИТ становится все менее четкой, поскольку безопасность и управление инфраструктурой тесно связаны. Однако на практике их взаимодействие часто сопровождается разногласиями. Одна из ключевых проблем заключается в том, что ИБ и ИТ-команды нередко используют разные подходы и даже не всегда доверяют друг другу. Например, служба безопасности может сомневаться в достоверности данных, предоставляемых ИТ-отделом, из-за чего вынуждена дублировать процессы проверки. Это приводит к увеличению нагрузки, усложнению бизнес-процессов и снижению эффективности управления инфраструктурой.

Еще одна сложность связана с тем, что в крупных организациях процессы безопасности и управления ИТ часто формировались независимо друг от друга. В результате у компаний могут существовать устаревшие внутренние регламенты, не позволяющие быстро адаптироваться к современным требованиям. Например, ИТ-отдел стремится ускорить управление доступами, а ИБ-команда настаивает на строгих проверках, что приводит к задержкам и внутренним конфликтам. Иногда ситуация обратная: подразделение безопасности уже адаптировалось к новым требованиям, но ИТ-процессы остаются неэффективными из-за нехватки ресурсов или устаревших методик работы.

Рынок нуждается в решениях, которые устраняют эти разрывы и обеспечивают согласованную работу ИТ и ИБ. Этой теме будет посвящена R-EVOlution Conference 2025, которая пройдет 23 апреля. Эксперты R-Vision, CISO, CIO и представители регуляторов обсудят, как интеграция ИТ и ИБ помогает повысить прозрачность инфраструктуры, ускорить реагирование на инциденты и минимизировать внутренние конфликты. В центре внимания — реальные кейсы, дискуссии и новый подход R-Vision к созданию единой системы управления ИТ и ИБ. Регистрируйтесь на сайте мероприятия, чтобы первыми узнать о новых подходах к интеграции ИТ и ИБ и задать вопросы ведущим экспертам отрасли.

Какие насущные задачи клиенты могут решить с помощью инструментов оркестровки ИБ и реагирования на инциденты, относящиеся к классу SOAR? Изменилось ли отношение к этой технологии в последние пару лет?

По мере того, как растет уровень зрелости команды ИБ, возникает необходимость в автоматизации и контроле метрик работы SOC. В то же время компании всё чаще переходят к круглосуточной работе ИБ-служб для непрерывного мониторинга инфраструктуры на предмет подозрительной активности и оперативному реагированию на возникающие инциденты.

Как следствие, с одной стороны, интерес к технологиям SOAR растёт, а с другой — требования к функциональности и производительности таких систем становятся всё более высокими. Однако основные задачи, которые решаются с помощью SOAR, остаются прежними: обогащение инцидентов данными Threat Intelligence (TI), автоматический триаж, автоматизация сбора данных и мер реагирования, обеспечение командной работы различных линий SOC и контроль метрик.

Насколько концепция SOAR в целом соответствует духу и букве законодательных требований по ИБ, таких как 187-ФЗ? Что изменилось в российском законодательстве в последнее время с точки зрения реагирования на инциденты?

В последние годы можно выделить несколько больших регуляторных трендов: это законодательная поддержка внедрения современных систем обеспечения ИБ, импортозамещение и усиление контроля за состоянием ИБ со стороны государства. Функциональность систем класса SOAR хорошо коррелирует с перечисленными законодательными векторами: SOAR позволяет собрать воедино сработки от разных СЗИ, управлять реагированием на них и наладить процесс взаимодействия с регуляторами, такими как ГосСОПКА и ФинЦЕРТ.

Как сейчас проходит процесс импортозамещения решений класса SOAR? Какие особенности отечественных решений наиболее востребованы?

Отечественные системы класса SOAR уже занимали значительную долю на рынке информационной безопасности еще до того, как в России начал активно развиваться тренд на импортозамещение. Это стало возможным благодаря развитому рынку информационной безопасности, который сформировался в том числе и под влиянием законодательных требований.

Успех российских SOAR-систем обусловлен их функциональной конкурентоспособностью по сравнению с зарубежными аналогами одновременно с поддержкой специфических требований локального рынка, таких как интеграция с отечественными SIEM-решениями, средствами защиты конечных устройств и взаимодействие с регуляторами.

Насколько общемировые тенденции развития технологии SOAR отличаются от российских?

Основные потребности ИБ-специалистов, использующих SOAR, достаточно «интернациональны». SOAR — единое окно для аналитика SOC и гибкий инструмент для оперативной автоматизации. К специфике российского рынка можно отнести взаимодействие с регуляторами, а также востребованность low-code инструментов. Отечественные аналитики SOC не только используют поставляемый вендором контент, но и активно адаптируют его под свои нужды.

Как вы оцениваете объём отечественного рынка SOAR-продуктов? Как он изменился после ухода иностранных разработчиков?

Именно в классе продуктов SOAR уход иностранных разработчиков не стал поворотным моментом, в отличие, например, от рынка SIEM, где в России традиционно сильны позиции крупных зарубежных вендоров. Рынок SOAR, по нашим оценкам, находится практически на пике. Технология вышла на уровень, когда она востребована массовым потребителем в корпоративном сегменте.

Возможна ли реализация SOAR в виде облачных сервисов или MSSP? Насколько это перспективно?

Сегодня многие MSSP активно применяют SOAR. В коммерческих сервисах такие функции SOAR, как управление инцидентами и автоматизация, являются обязательными. Вопрос лишь в том, разрабатывает ли MSSP собственное решение или выбирает готовое.

С технической точки зрения, SOAR полностью готов к работе в облаке. Однако есть несколько моментов, которые необходимо учесть.

Во-первых, это контент. Как мы видим, каждая инсталляция SOAR обрастает плейбуками, которые адаптируются под уникальные процессы наших клиентов. Стандартные настройки жизненного цикла и карточки инцидентов всегда модифицируются под потребности заказчика. Этот «нажитый» контент часто предпочитают хранить ближе к себе, на локальной установке, а не в облаке.

Второй аспект — оркестрация. Из SOAR внедряются меры технического реагирования, и система управляет локальными средствами защиты в инфраструктуре организации. Не все готовы передать такое управление в облачное решение.

Наконец, стоимость. Подписочная модель позволяет экономить на оборудовании и оперативно управлять ресурсами, но в долгосрочной перспективе локальная инсталляция может быть более выгодной, особенно если в организации уже есть мощности ЦОД.

На данный момент мы не наблюдаем большого интереса к облачному сервису SOAR, но откликнемся на такие запросы, если они появятся.

Что эффективнее для клиентов: разворачивать собственное SOAR-решение или пользоваться услугами коммерческих SOC?

Я бы предложил рассмотреть оба подхода как доступные опции, которые можно и нужно сочетать, чтобы достичь наилучшего результата. Потребность в функциональности SOAR зависит от количества обрабатываемых инцидентов, размера инфраструктуры, численности команды и установленных сроков реагирования.

Использование услуг коммерческого SOC позволяет привлечь внешнюю экспертизу и сократить расходы на собственный штат ИБ-специалистов. Однако это не отменяет необходимости управления инцидентами и реагирования на них. Например, если MSSP обнаружит взлом инфраструктуры организации, то для смены паролей, установки патчей и очистки конечных узлов потребуется участие внутренних сотрудников.

Даже сам процесс получения и обработки оповещений от MSSP требует внимания и поддержки. Как показывает наша практика, работа с такими оповещениями только в электронной почте или мессенджерах неэффективна.

Крупные организации, как правило, предпочитают создавать собственный SOC. Но у наших клиентов мы также видим гибридные варианты, когда услуги MSSP используются в дополнение к внутреннему SOC, а взаимодействие с MSSP осуществляется через систему SOAR.

Какая инфраструктура поддержки продуктов должна быть на стороне производителя SOAR? В чем особенности канала продаж таких решений?

SOAR — большой конструктор, в котором настраивается буквально всё. Организация поддержки этого класса решений является нетривиальной задачей. Проблемы, с которыми сталкивается пользователь, часто происходят на уровне конструируемого им контента — плейбуков, настроек инцидента и др. На стороне вендора для оперативного анализа таких ситуаций должна работать профессиональная, технически подкованная команда поддержки. С учетом того, что SOC на базе SOAR часто работают 24/7, такие же требования появляются и к сопровождению продукта. Наша команда поддержки работает круглосуточно и разделена на три линии. Это специалисты с профильным образованием в области информационной безопасности, многие из которых обладают обширным опытом системного администрирования. Благодаря этому, команда может решать сложные клиентские кейсы самостоятельно или своевременно передавать их на следующий уровень, где к решению подключаются команды разработки. Кроме того, мы полагаемся на партнёрский канал продаж и развиваем необходимые компетенции у партнёра, проводим обязательное обучение инженеров.

Как вы оцениваете российский рынок SOAR? Назовите ключевые тенденции его развития.

В России рынок SOAR уже достиг высокого уровня зрелости. Сегодня мы наблюдаем тенденцию к объединению отдельных решений в сфере информационной безопасности в крупные платформы. Это означает, что механизмы выявления инцидентов, реагирования на них и автоматизации процессов объединяются в рамках одного решения. Поддерживая этот тренд, мы выпустили собственное решение класса SIEM — R•Vision SIEM, которое тесно интегрируется с R•Vision SOAR.

Кроме того, в системах SOAR развиваются технологии искусственного интеллекта (ИИ), однако их потенциал пока не раскрыт в полной мере.

Какие отрасли наиболее перспективны для внедрения SOAR? Как на это влияют законодательные требования?

SOAR востребован в крупных организациях с большой ИТ-инфраструктурой, потоком инцидентов и высокой значимостью ИТ-систем. Характерные заказчики — ресурсо-энергетические компании, крупные торговые сети, банки и другие. Что касается влияния законодательных требований, активная работа регуляторов является катализатором для развития ИБ и внедрения SOAR, в частности, в банковской сфере и для организаций-владельцев КИИ.

Какие специалисты нужны для обеспечения работы SOAR на стороне заказчика? Оцените потребность в кадрах для повсеместного внедрения этих продуктов.

Конечным пользователем SOAR является аналитик информационной безопасности. Разработка и поддержка контента в системе при этом может осуществляться как теми же сотрудниками, так и отдельно выделенными инженерами сопровождения системы.

На бурно развивающемся рынке ИТ/ИБ потребность в таких специалистах на данный момент скорее превышает предложение. Однако системы класса SOAR могут компенсировать нехватку квалифицированных кадров, предоставляя инструменты для автоматизации ручных задач, что способствует оптимизации рабочего процесса.

Какие тенденции кибербезопасности определят будущее развитие SOAR в России в течении следующих 3 лет? Насколько они отличаются от общемировых тенденций?

Тенденции, с которыми столкнутся системы SOAR в ближайшие годы, — это рост нагрузок и, как следствие, потребность в переходе на архитектуры, позволяющие масштабировать систему. Также можно отметить общий тренд на использование ИИ и больших платформ, которые совмещают функции всей линейки ключевых ИБ-продуктов. В России при этом с учетом ситуации по импортозамещению вырастет потребность в контенте для интеграции с отечественными решениями.