Исполнительный директор ООО «КРЕДО-С» Николай Сеничев посетил партнёрскую конференцию «Лаборатории Касперского» в Гуанчжоу, КНР. Делимся тем, что особенно важно для бизнеса за обсуждением технологий и рыночных прогнозов. Впечатления мы сверили с открытыми исследованиями 2026 года - ссылки на них в конце статьи.
Времени на устранение уязвимостей становится меньше
На конференции показали пример: рабочий эксплойт появился примерно через час после публикации патча. Это отдельный случай, но вполне конкретный повод пересмотреть привычный подход «пропатчимся в ближайшее техническое окно».
Публикация исправления помогает и защитникам, и атакующим: по изменениям в коде можно понять, где находилась ошибка. ИИ ускоряет такой анализ, но важно понимать, что выявить уязвимости мало, нужно их правильно приоритизировать, а тут без человеческой экспертизы высокого уровня не обойтись.
Открытая статистика говорит о том же. По данным отчёта Mandiant M-Trends 2026, эксплуатация уязвимостей шестой год подряд остаётся самым частым способом первичного проникновения в расследованных инцидентах - 32 %. Positive Technologies в исследовании «Тренды атак в 2026 году» ожидает, что доступность эксплойтов и ИИ продолжат сокращать время от раскрытия уязвимости до атаки.
Для государственных и иных информационных систем госорганов, ГУП и госучреждений сроки уже закреплены нормой. По пункту 38 Требований ФСТЭК России № 117 (в ред. приказа № 137) уязвимость критического уровня опасности, которую могут использовать нарушители, оператор устраняет не более чем за 24 часа, высокого - не более чем за 7 календарных дней, либо исключает возможность её использования компенсирующими мерами.
Сроки для среднего и низкого уровней задаёт внутренний регламент по защите информации, остальные требования к ГИС собраны в пошаговом плане по приказу № 117. Скорость при этом не отменяет контроля: тот же документ запрещает бесконтрольную установку обновлений - их проверяют на подлинность и целостность и тестируют до применения в контурах промышленной эксплуатации (п. 39). Как устроена проверка обновлений ПО, мы разбирали отдельно; выполнить требования целиком помогает защита государственных информационных систем.
По моей оценке, коммерческим компаниям стоит равняться на эти сроки, хотя Требования № 117 написаны для государственных систем: процесс управления уязвимостями, который не укладывается в сутки для критичных находок, отстаёт от атакующих. Где слабые места вашей инфраструктуры и какие из них закрывать первыми, показывает анализ защищённости.
Рынок растёт. Но важнее понять, во что именно вкладываться
По данным открытого исследования ЦСР «Рынок информационной безопасности Российской Федерации» (июнь 2026), по итогам 2025 года российский рынок ИБ превысил 364 млрд рублей и вырос за год на 16,1 %. При сохранении текущих параметров к 2031 году он может превысить 1 трлн рублей, среднегодовой рост ЦСР оценивает в 19,4 %.
Прогнозы, которые звучали в Гуанчжоу, скромнее по масштабу - вендоры считают только свои сегменты поставок, - но направление у всех одно: рынок продолжит расти двузначными темпами.
Среди крупнейших направлений: межсетевые экраны, защита рабочих станций и серверов, анализ событий и сетевого трафика, управление уязвимостями. ЦСР называет крупнейшими сегментами средств защиты сетевую безопасность (32,5 % продаж), защиту инфраструктуры (16,6 %) и конечных точек (14,9 %), а быстрее всех в 2025 году росла защита приложений - на 45,6 %.
Для заказчика список востребованных продуктов сам по себе мало что решает. Полезнее начать с вопроса: где у нас наиболее вероятен инцидент и каких возможностей не хватает, чтобы его обнаружить и остановить? Акцент смещается на превентивность.
После внедрения начинается основная работа
Купить систему мониторинга или XDR недостаточно. Кто-то должен подключать источники событий, настраивать правила, разбирать срабатывания и добиваться устранения проблем.
Поэтому при обсуждении SOC и управляемых сервисов ИБ стоит говорить не только о круглосуточном наблюдении. Важно заранее определить процессы реагирования: кто может заблокировать учётную запись, изолировать заражённый компьютер и согласовать остановку критичного сервиса. Если эти полномочия не закреплены до подключения SOC, аналитики найдут атаку, но остановить её будет некому.
Времени согласовывать блокировку и изоляцию во время атаки уже нет. По данным M-Trends 2026, медианный интервал между первичным доступом одной группировки и передачей этого доступа следующей сократился с более чем 8 часов в 2022 году до 22 секунд в 2025-м. Полномочия на реагирование нужно согласовать заранее.
ЦСР связывает рост спроса на управляемые сервисы - MSS, MDR, SOC-as-a-Service - с дефицитом специалистов и бюджетными ограничениями: собственный зрелый центр мониторинга для многих компаний слишком дорог и долог. Порядок действий удобно зафиксировать в плане реагирования на инциденты, а дальше выбрать модель: SOC как сервис или собственный центр мониторинга.
Где у вас наиболее вероятен инцидент и хватит ли полномочий его остановить?
Расскажите, как сейчас устроены обновления, мониторинг и реагирование. Ответим, какие уязвимости закрывать первыми и что закрепить до подключения SOC.
ИИ внутри компании тоже нуждается в защите
Одно дело, когда сотрудник просит нейросеть отредактировать текст. Другое, когда ИИ-агент получает доступ к документам, почте и корпоративным системам, и когда сотрудники «льют» в ИИ конфиденциальную информацию (договоры, чертежи, финансы и т. п.).
Это уже не гипотеза. По данным ГК «Солар» за первое полугодие 2026 года, 38 % из 12 тыс. обращений сотрудников крупных компаний к публичным ИИ-сервисам содержали конфиденциальную информацию: чаще всего исходный код и конфигурации (41 %), а в 11 % случаев - пароли, токены и API-ключи. Positive Technologies описывает атаку 2025 года на пакет Nx, где вредоносная программа использовала для кражи данных уже установленные у разработчиков ИИ-агенты.
Во втором случае нужно понимать, кто имеет доступ к ИИ в компании, какие данные идут в модель, какие действия модель выполняет самостоятельно, какие у агентов доступы, где требуется подтверждение человека и т. п. Проверять нужно всю цепочку: от запроса пользователя до действия в системе.
Скоро на рынке появятся решения для защиты LLM-моделей: ЦСР ожидает, что конкурентное преимущество получат вендоры, которые первыми предложат специализированную защиту ИИ-систем и ИИ-агентов. Но начинать стоит с регламента использования ИИ и аудита безопасности ИИ-систем, а подробно о рисках агентов мы рассказали в статье «Безопасность ИИ-агентов».
Наш вывод по итогам конференции
ИИ ускоряет изменения, но качество защиты по-прежнему зависит от вполне конкретных вещей:
- Какая наша текущая экспертиза?
- Знаем ли мы свою инфраструктуру?
- Устраняем ли опасные уязвимости?
- Видим ли признаки атаки?
- Понимаем ли, кто и что делает при инциденте?
По моей оценке, в ближайшие два-три года выигрывать будут не те, кто купит больше средств защиты, а те, кто быстрее научится ими управлять: людьми, процессами и полномочиями.
Источники
- ЦСР. Рынок информационной безопасности Российской Федерации: текущее состояние и перспективы развития до 2031 года, 01.06.2026.
- Mandiant (Google Cloud). M-Trends 2026, 23.03.2026.
- Positive Technologies. Тренды атак в 2026 году, 23.01.2026.
- ГК «Солар»: обращения сотрудников к публичным ИИ-сервисам, I полугодие 2026 - по публикации ComNews, 10.08.2026.
- Требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений (утв. приказом ФСТЭК России № 117, в ред. приказа № 137), пп. 38–39.
