Михаил Шипицын, технический директор и заместитель генерального директора КСБ-СОФТ, о том, как менялась информационная безопасность, заказчики и мы сами.
Шесть тысяч проектов — немалое число даже по меркам интеграторского рынка. За ним стоит путь, который компания КСБ-СОФТ прошла вместе со всей российской индустрией: от эпохи «бумажного» комплаенса, когда безопасность измерялась толщиной папок с документацией, до практической защиты инфраструктуры в реальном времени; от исключительно государственных заказчиков к крупному коммерческому бизнесу. Технический директор Михаил Шипицын согласился обернуться назад и рассказать, что из этого пути стоит перенять заказчику, и чего повторять уже не стоит.
— Как за 15 лет изменился заказчик и его запросы?
— Когда мы только начинали, информационная безопасность в России жила в документах: главным было соответствовать требованиям. Основными нашими заказчиками были бюджетные организации — региональные и федеральные органы власти. Технических мер было немного, а специализированные средства защиты только-только появлялись на рынке.
Перелом наступил с выходом приказов ФСТЭК России № 17 и № 21: сначала появились расширенные требования, затем рекомендации — и они подтолкнули заказчиков к внедрению технических мер.
С 2022 года стереотип сломался окончательно. Рынок стал активно расширяться, и это повлияло на состав наших предложений: они стали более практичными и высокоинтеллектуальными.
Мы активно развиваем центр мониторинга SOCRAT, безопасную разработку (РБПО), защиту АСУ ТП и КИИ, а также внедрение сложных решений — SIEM, NGFW, WAF и других. Сегодня около 30% наших заказчиков — коммерческие компании. Мы всё больше занимаемся практической безопасностью — и это радует.
— Какие решения, казавшиеся современными пять-семь лет назад, сегодня устарели?
— Отрасль движется очень быстро, и то, что в 2019 году выглядело хорошим решением, сегодня может не выдержать проверки требованиями. Показателен пример межсетевых экранов: раньше NGFW были распространены в основном в коммерческом сегменте, сейчас они повсюду, и классический экран всё чаще уступает место более функциональным решениям.
Постепенно уходят в прошлое и средства защиты от НСД: их до сих пор используют массово, но место под солнцем уже занимают встроенные средства защиты операционных систем. Аппаратные замки и модули доверенной загрузки выглядят пережитком прошлого, но требования по криптографии пока обязывают их применять, и мы эти требования выполняем.
Мы в КСБ-СОФТ стараемся следовать трендам и имеем большой портфель проектов по развитию направлений.
— Какое технологическое решение определило вектор развития КСБ-СОФТ?
— Таким решением стало открытие направления SOCRAT. В 2019–2020 годах мы собрали первую команду из 6 человек и начали строить SOC. Сначала внедрили мониторинг ИБ у себя, убедились, что он работает, и только потом предложили его как услугу. Это стал первый шаг к практической безопасности и к коммерческому сегменту.
Позже добавились защита АСУ ТП и КИИ, безопасная разработка и другие направления. Но вектор развития задал именно мониторинг.
— В какие технологии вы поверили, а они не оправдали ожиданий?
— Мы придерживаемся «аккуратной» стратегии: прежде чем начать развивать какое-то решение, тщательно изучаем его внутри себя. Хайп не означает, что нужно немедленно бежать в этом направлении и инвестировать — на наш взгляд, в нашем переменчивом мире это правильная стратегия.
Отрасль знает примеры технологий, которые долго обсуждались, но так и не взлетели. Например, Zero Trust Architecture (ZTA). Идея проверять каждое подключение и постоянно перепроверять права звучит красиво, но технологически реализовать её трудно, а безопасность получается настолько сложной и дорогой, что возникают вопросы удобства эксплуатации информационных систем.
— Какое вложение оказалось самым дорогим — и что оно дало компании?
— Самыми дорогими и оправданными вложениями стали разработка безопасного ПО (РБПО) и центр мониторинга (SOCRAT). Мы не жалеем, что пошли в эти направления: они всё больше становятся трендовыми, и без них интегратору сложно конкурировать на рынке. К тому же в новом приказе ФСТЭК России № 117 от 11.04.2025 (вступил в силу с 1 марта 2026 года) меры, связанные с РБПО и мониторингом ИБ, обязательны.
Следующая крупная инвестиция — услуга по обеспечению безопасности использования ИИ. Мы планируем большие вложения в это направление: это наша главная задача конца текущего — начала следующего года.
— Что в архитектуре ИБ не работает так, как обещает вендор?
— Вендоры нередко обещают больше, чем их решения умеют на практике. И это нормально: ни один разработчик не предусмотрит всех ситуаций. Российские вендоры по сравнению с мировыми ещё молоды, опыта в создании средств защиты у нас накоплено меньше. Поэтому у наших инженеров внедрения всегда интересная работа: часто приходится очень плотно взаимодействовать с поддержкой производителя, чтобы реализовать заявленную функцию на объекте заказчика.
— Какие ошибки заказчиков повторяются из проекта в проект?
— Самая большая ошибка — вообще не заниматься информационной безопасностью. Даже большие коммерческие компании часто имеют пробелы в ИБ, ведь содержать большой штат профильных специалистов достаточно накладно.
Вторая самая распространённая ошибка — недооценка объёма работ по ИБ. Часто кажется, что ИБ — это просто написать документы. На деле качественно построенная безопасность должна учитывать все процессы — от бизнес-контекста до технологического слоя — и строится комплексно и индивидуально для каждой информационной системы.
Также заказчики часто переоценивают свою защищённость. По факту мы ни разу не встречали в своих проектах систему, в которой не было бы уязвимостей или были бы учтены все меры по ИБ.
— От каких проектов вы отказываетесь или берётесь с осторожностью?
— Мы не идём в направления, где у нас нет опыта. Если направление кажется перспективным, сначала учимся: находим людей, инвестируем в исследования. Перед выходом в защиту АСУ ТП и КИИ мы набрали команду опытных специалистов, которые понимали, как работают эти системы, изучили рынок — и только потом стали предлагать наши услуги по проектированию и внедрению.
С такой же осторожностью мы внедряем и новые решения в наши проекты: сначала изучаем, погружаемся, пилотируем на себе. Ни одно решение не попадает в наши коммерческие проекты, не пройдя тест у нас внутри. Мы несём ответственность за то, как средство защиты будет работать на объекте заказчика. Поэтому правило одно: сначала пилот, потом внедрение.
— Что вы поняли про ИБ за годы работы?
— Студентом вуза я считал, что ИБ — это про справедливость и борьбу с хакерами. На деле информационная безопасность имеет гораздо более широкий контекст. Нужно понимать, как устроены бизнес-процессы, как работают технологии, уметь находить решения и думать, как злоумышленник.
ИБ-специалист — это юрист, технарь, менеджер, учитель и отчасти директор или собственник компании в одном лице. Эта профессия требует очень разностороннего мышления.
Главное правило, которое мы применяем при работе, — быть честным с клиентом. У нас как у сапёров: ошибиться нельзя. Доверие и качество экспертизы — то, что ценится в отрасли, и потерять это легко. Рынок у нас хоть и расширяется, но сравнительно небольшой, все друг друга знают — и нечестные интеграторы долго не работают.
— Какой миф об ИБ мешает заказчикам больше всего?
— Главный миф — что существуют полностью защищённые системы.
Не бывает неуязвимых систем. Есть только силы и средства, необходимые для взлома. Чем защищённее система, тем больше ресурсов придётся потратить злоумышленнику. Но взломать можно всё.
Не думайте, что у вас всё защищено. Информационной безопасностью нужно заниматься всегда. У любой системы должно быть достаточное количество мер защиты, чтобы взлом обходился злоумышленнику дороже, чем выгода от него. Именно из этого расчёта и складываются бюджеты на безопасность.
— Что до сих пор удивляет вас в этой сфере?
— Удивляет, что даже сейчас в 2026 году, встречаются компании, которые вообще не занимаются информационной безопасностью.
Пару лет назад были организации, которые о ней даже не слышали. Сейчас реже, но такое ещё встречается — и бывает, что это далеко не маленькие компании. Приходится объяснять, зачем нужна безопасность, и выстраивать работу с нуля. Но никогда не поздно: начните с маленьких шагов, но прямо сейчас. Если нужна помощь — обращайтесь.
— Какой урок дался дороже всего?
— Самые непростые проекты — это проекты без аудита. Бывает, что клиент закладывает бюджеты на защиту без грамотно проведённого аудита, а по факту на месте выясняется, что инфраструктура больше и требуемый объём работ шире. Обычно это приводит к двукратным тратам — в том числе и со стороны интегратора, который всё это внедряет.
Правильный путь — прийти к интегратору до запуска проекта. Хороший интегратор честно скажет, чего для реализации проекта не хватает, и к этому стоит прислушаться. Мы стараемся оценивать риски на старте и часто не берём потенциальных клиентов, если видим их неготовность.
Что дальше?
6000 проектов — это опыт, которым мы готовы делиться. Мы видели ошибки, которые повторяются из проекта в проект, и знаем, как их избежать. Мы помним, что безопасность начинается не с закупки, а с аудита, и что пилот — это не формальность, а проверка вашей готовности эксплуатировать решение.
Если вы стоите перед выбором средств защиты, планируете аттестацию или просто хотите понять, насколько защищена ваша инфраструктура, — начните с разговора. Мы честно скажем, чего не хватает, что стоит сделать в первую очередь и где вы можете сэкономить.
Потому что лучший урок из 6000 проектов — тот, который вы не повторите.
