«У CISO есть своя мотивация советовать приобретать дорогие ИБ-продукты», — Наталья Касперская

В 2025 году ряд крупных ИБ-вендоров начали сокращение штата и оптимизацию бизнеса на фоне убытков или снижения прибыли, также заметна перестройка всей отрасли: от частного к государственному. О влиянии регуляторов на ИБ-рынок, перспективах отечественных решений за рубежом, потенциальном возвращении иностранных вендоров в Россию в интервью SecPost рассказала президент ГК InfoWatch и председатель правления АРПП "Отечественный софт" Наталья Касперская.

Некоторые эксперты ожидают консолидацию на ИБ-рынке в ближайшие годы. Кроме того, вероятно, ряд вендоров будут вынуждены сворачивать разработку части своих продуктов из-за высокой конкуренции. Кто-то из игроков, возможно, обанкротится и уйдет с рынка. Соотносится ли это с вашими ожиданиями?

— Я не думаю, что в будущем году стоит ожидать банкротств среди ИБ-вендоров. В отличие от других сегментов ПО и ИТ, рынок информационной безопасности стабильно, хоть и медленно, но растет. У этого рынка не было таких больших скачков спроса, как у других ИТ-сегментов в 2023-2024 годах, когда все компании начали активно импортозамещаться.

С одной стороны, такой ажиотажный спрос — это хорошо, с другой – чем больше клиентов, тем больше становится твой штат сотрудников, которые должны этих клиентов вести, а это дополнительные инвестиции. Так или иначе, ажиотажный спрос проходит, бизнес начинает сжиматься. В ИБ такого не наблюдалось, у рынка был рост год к году стабильно по 20%.

Но небольшие ИБ-вендоры действительно рискуют стать в 2026 году целью крупных игроков рынка, которые могут увидеть свой интерес в покупке таких компаний. Так что, консолидации можно ожидать, а вот банкротств – не думаю.

Каковы финансовые результаты ГК InfoWatch? Удается ли увеличить выручку по итогам 2025 года или ожидаете ее снижение? Каковы планы на 2026 год?

— Пока еще не подведены итоги года, так как в декабре традиционно наблюдается самый большой спрос. Однако уже можно отметить, что выручка год к году у нас точно увеличится не менее чем на 15%.

Из важных итогов могу сказать, что наше новое направление по защите АСУ ТП в 2025 году начало приносить прибыль, продажи этих решений займут около 12% от общей выручки.

Но наш основной бизнес, все-таки, это защита данных от утечек, анализ данных, DCAP, анализ поведения сотрудников, предиктивная аналитика и визуализация этой информации. В 2026 году мы ожидаем не очень высокий рост из-за не очень хорошей экономической ситуации у заказчиков. Мы уже сейчас видим, что рынок по нашим основным направлениям быстро не растет. Поэтому мы ожидаем, что быстрее всего будет расти сегмент защиты АСУ ТП, однако общая выручка год к году все равно будет прибавляться примерно на 12-15%. Также хочется отметить, что, в отличии от других вендоров, мы 4 года держали цены, однако вынуждены были немного поднять их в этом году из-за инфляции.

В 2025 году случился целый ряд громких инцидентов, был серьезно атакован «Аэрофлот», несколько ритейлеров, аптек и т.д. Как вы оцениваете динамику развития киберзащиты российских компаний за последние годы? Успешные атаки показывают, что пока ее уровень достаточно низкий, так ли это?

— Это не совсем так, хотя смотря с чем сравнивать защиту российских компаний. Если атаковать условные малазийские организации, то у них «ляжет» вся инфраструктура страны. Информационная защита в этой стране крайне примитивна, так как все малазийские структуры, включая государственные, работают в облачных сервисах Google. В этом смысле наши компании сильно защищеннее.

Даже если смотреть в сторону облаков – до СВО многие компании размышляли о построении своей инфраструктуры в облачных сервисах. Уже после 2022 года, когда на практике были показаны отключения от иностранных облаков, все поняли, что таким способом выстраивать свои процессы небезопасно. Сейчас российские компании переходят на отечественные решения, либо на частные облачные сервисы.

Говорить о том, что атаки были совершенны из-за того, что компании не защищенны – неправильно. Да, в ситуации с «Аэрофлотом», 12 Storeez, «Винлабом» или аптеками «Столички» были совершены определенные ошибки в области ИБ, однако нужно отдать должное руководителям этих компаний, все быстро восстановили свои сервисы.

Какова, по вашим наблюдениям и оценкам, динамика бюджетов, выделяемых на ИБ в крупных компаниях и госорганах? Стоит ли ожидать, что успешные резонансные атаки заставят руководителей охотнее выделять средства на ИБ?

— Если говорить со стороны ИБ-вендора, то нам, конечно, хотелось бы, чтобы бюджеты на ИБ у заказчиков росли. Однако стоит признать, что качество безопасности обеспечивается не бюджетом, а умным подходом: насколько грамотно компания смогла построить модель угроз и др. Безопасность больше про организационные меры и культуру, нежели про бюджет. В пример можно привести смену паролей учетной записи в организациях. Если за этим следят, то и проникновений будет меньше. Конечно, бесплатно безопасность не достанется, однако кратно увеличивать бюджет, я считаю, не нужно.

Если организация инвестирует средства по основным своим уязвимым векторам – например, в защиту от web-атак, вредоносного ПО, в общий файрволл от сетевых атак, то уже можно сказать, что базово организация себя обезопасила. Дальше компания может строить дорогие SOC или инвестировать большие суммы в SIEM, но это не сделает ее безопаснее.

Но ведь компаниям кто-то советует это все покупать. Стоит ли внимательнее выбирать и назначать CISO?

— У CISO и штатных ИБ-специалистов есть своя мотивация приобретать и советовать приобретать дорогие ИБ-продукты, так как из-за этого им выделяют больший бюджет, нанимают дополнительных сотрудников, расширяют пул полномочий, за счет чего приходит и большее влияние на организацию в целом. К сожалению, такая мотивация тоже присутствует, она не деловая и никак не связана с практическим применением и построением грамотной ИБ-инфраструктуры. Нужно подходить к этому разумно и начинать строить информационную безопасность с модели угроз, разбирать вектора, по которым в основном приходит атака на организацию, закрывать эти уязвимые моменты и уже после этого принимать решение, нужен ли тебе какой-то дополнительный ИБ-продукт.

На Западе распространена практика наложения крупных штрафов на бизнес за пропущенные атаки и допущенные утечки. Известны ли вам случаи серьезного наказания взломанных российских компаний? Необходимо ли ужесточать ответственность менеджмента и компаний за недостаточную киберзащиту, с вашей точки зрения?

— По данным Роскомнадзора сумма штрафов за утечки данных в 2024 году достигла 2 млн руб. в сфере торговли и услуг (одно из основных направлений по утечкам данных). Министерство труда и социальной защиты в августе этого года получило штраф за утечку данных в 100 тыс. руб., это относительно небольшие деньги. Госдума уже приняла закон об ужесточении штрафов за утечку персональных данных, поэтому суммы должны возрасти. С одной стороны – это плохо, компании будут терять в случае утечки большие деньги, с другой – я считаю, что у нас в стране в данный момент ситуация с утечками данных безобразная, дальше ехать уже некуда.

Мы уже сейчас видим увеличенную динамику год к году по атакам на граждан России: если в 2023 году у граждан украли 80 млрд руб., в 2024 – 200 млрд руб., то сейчас, еще за непрошедший год, сумма ущерба уже перевалила за 200 млрд руб. Да, эти суммы были украдены мошенниками, которые обманывают граждан по телефону, однако те данные, которые они имеют на руках, включая номер телефона, приходят именно из утекших данных. С этой точки зрения – ужесточение наказания за утечку персональных данных должно было прийти.

Те штрафы, которые выносятся компаниям сейчас – никак не влияют на их информационную защиту, поскольку некоторым заплатить штраф проще, чем интегрировать ИБ-продукт. Я поддерживаю ужесточение, более того уже виден прогресс – с введением уголовной ответственности за утечку персональных данных их общее количество в РФ в 2025 году начало сокращаться.

Вы неоднократно заявляли о рисках использования ПО, разработанного на открытом коде. Некоторые вендоры ИБ используют в своих продуктах открытый код. Считаете ли вы рискованным использование ИБ-решений на открытом коде? Чем это грозит заказчикам таких решений?

— К сожалению, полностью самостоятельно разработать свой код очень дорого и долго. Однако стоит отметить, что использовать открытое ПО можно по-разному: если основную ветку кода делает сам разработчик, своими силами, а остальное заимствует в открытых источниках, тогда это можно считать относительно безопасным. Но некоторые компании могут делать все наоборот: основную ветку кода брать с Open Source, а какие-то незначительные задачи доделывать самостоятельно, тут как раз могут возникнуть вопросы по безопасности.

Можно рассмотреть пример работы отечественных ОС, которые сделаны на открытом коде Linux: благодаря тому, что наши разработчики в основном пишут всю ОС самостоятельно, в случае отсутствия доступа к открытому ПО их операционная система продолжит работать и развиваться. Однако, если бы они полностью зависели от Linux, то в один момент это сообщество могло бы отключить российскую ОС.

С точки зрения безопасности разработки – все имеющиеся библиотеки открытого кода должны анализироваться разработчиком. Сейчас ФСТЭК также подключается к этому процессу – ведомство вводит требования по безопасной разработке, которые ужесточаются из года в год. Однако стоит признать, что технически осуществить контроль этих библиотек невозможно – во-первых, их много, во-вторых, закладки от хакеров могут быть многочастными. Нельзя гарантировать, что в используемом вами коде не будет таких закладок.

Как стало известно SecPost, израильский Check Point намерен создать совместное предприятие с российским производителем аппаратной части NGFW, компания также намерена сертифицировать свои решения в ФСТЭК. Скажите пожалуйста, как вы относитесь к полноценному возобновлению деятельности иностранных вендоров ИБ в РФ? Считаете ли серьезным риском для российских ИБ-компаний потенциальное возвращение иностранцев?

— Тут вопрос в том, пройдет ли в итоге продукт Check Point под российским юридическим лицом все стадии проверки: от Минпромторга, Минцифры и ФСТЭК, прежде чем попасть в реестр. Конечно, такого уровня технологий в межсетевых экранах нет ни у одного российского вендора, однако, израильтяне десятилетиями разрабатывали свой NGFW. Межсетевой экран можно сделать быстро на отрытом ПО, однако это все равно будет продукт с гораздо меньшей производительностью.

Разработка одного NGFW хорошего уровня занимает около 7 лет. С начала ускоренного импортозамещения прошло всего 4 года. Средний по возможности файрволл достаточен для базового уровня информационной безопасности.

Если новое юрлицо совместного предприятия сейчас подаст заявку во ФСТЭК о сертификации нового NGFW международного уровня, который разработали за год (когда обычно это делается десятилетиями), тогда вопрос, кому принадлежит это ПО, сразу снимается. Я считаю, что нельзя допускать такие устройства на рынок госзаказа, соответственно, такие продукты не должны быть ни в реестре Минцифры, ни в реестре Минпромторга. 

Как недавно писал SecPost, в принтерах Xerox и HP, которые используются в том числе и госорганами, были обнаружены критические уязвимости, способные привести к утечке данных. Как вы оцениваете риски использования иностранной печатной техники, особенно в госсекторе?

— Из-за того, что хакеры, как правило, атакуют компьютеры и сервера, защите принтеров разработчики уделяли не так много внимания. По данным отчета самого HP, ряд их принтеров уязвим для удаленного выполнения кода, то есть потенциально это точка входа для хакеров. Судя по тому, что HP может блокировать свое устройство, если пользователь поставил не оригинальный картридж, значит и сама американская компания имеет удаленный доступ к своей продукции, где бы она не стояла. Это делает печатные системы уязвимыми. С другой стороны – печатать же на чем-то нужно? Хотя риски утечки данных тут, конечно, есть.

Какова ситуация с экспортом российских ИБ-решений? В частности, у ГК InfoWatch?

— Около 10-12% от общей выручки у нас занимает экспорт наших продуктов на страны ближнего зарубежья. Мы хотим начать развивать и дальние рынки – сейчас уже могу сказать, что в 2026 году планируем начать экспорт продукции в Индию, также рассматривается и Китай, однако с выходом на рынок этой страны есть юридические нюансы. В Китае есть внутренняя сертификация ПО, которую очень тяжело получить иностранному юрлицу, а также есть требование по локализации разработки. Поэтому одним из выходов из этой ситуации мы видим потенциальное создание совместного предприятия с китайской компанией. У Китая много хороших технологий в области «железа», однако не так хорошо обстоят дела с разработкой софта. Поэтому мы можем составить конкуренцию местным компаниям.

С подключением этих рынков мы естественно ожидаем увеличения выручки с направления экспорта.

Как поменялась кадровая ситуация в ИБ? Есть ли дефицит? Помогает ли ИИ с ним справиться?

— Сейчас ситуация с ИБ-кадрами стала легче, чем в 2022 году. Это в большей степени связано не с искусственным интеллектом, а с финансовой нагрузкой у самих компаний. Ранее компании могли себе позволить нанять специалистов, «про запас», однако сейчас, с учетом ключевой ставки и налогов, так сделать нельзя.

Благодаря этому почти любая компания может найти необходимые кадры на свободном рынке. Это также доказывает и статистика Head Hunter, где растет количество резюме, но не вакансий. Что касается искусственного интеллекта – он не способен заменить специалиста, он является его инструментом. Но стоит отметить, что к самим специалистам добавляется дополнительное требование – знание и понимание технологий искусственного интеллекта.