Как меняется спрос на сервисы мониторинга и реагирования

— Спрос растёт и меняется. Одни компании подключаются к SOC внешнего провайдера по подписке. Это быстрее и дешевле, чем создавать собственный центр, для которого нужны круглосуточная команда, оборудование и лицензии. Другие, прежде всего крупные холдинги, создают единый внутренний центр. Он объединяет экспертизу и обслуживает дочерние общества.

За последний год присутствие наших продуктов у поставщиков управляемых услуг безопасности (MSSP) выросло почти вдвое. Примерно половина таких партнёров — московские компании, остальные — региональные интеграторы. Помимо SOC, растёт интерес к центрам управления уязвимостями (VOC). Они выявляют уязвимости и помогают устранять их до того, как ими воспользуются атакующие.

— Главная задача — скорость реакции. Раньше на реагирование могло уйти от половины суток до суток, теперь счёт идёт на часы и минуты. Одним расширением штата такой скорости не добиться, поэтому заказчики внедряют автоматизацию и ИИ. Часть бюджетов информационной безопасности также смещается в сторону ИТ и отказоустойчивости. Компании строят резервные центры обработки данных и развивают защищённую связь.

— Рынок уже инвестирует в неё. Раньше превентивные меры и реагирование на инциденты могли конкурировать за бюджет, а теперь их можно объединить на одной платформе. Оба направления нужны. Например, анализ поведения пользователей помогает выявлять аномалии, а данные об угрозах и индикаторах компрометации — заранее замечать признаки атак. Решения для управления уязвимостями, в том числе с элементами ИИ, помогают вовремя установить обновление или устранить проблему в инфраструктуре.

— Всё зависит от задачи. Для компаний, которые обращаются к провайдерам, важны скорость подключения, операционные расходы и соблюдение согласованного уровня сервиса (SLA). Если провайдер его не обеспечивает, заказчик может рассмотреть замену.

Компании, которые строят собственный SOC, уделяют больше внимания технологическим возможностям. Им нужны гибкие продукты, которые можно адаптировать, интегрировать друг с другом и управлять ими через единый интерфейс.

— Спрос заметно вырос, поскольку реагировать нужно быстрее. Заказчики хотят, чтобы продукты начинали работать сразу после внедрения, обменивались данными и управлялись через единый интерфейс. Поэтому растут и требования к автоматизации.

— Да, она помогает выявлять и разбирать инциденты и снимает часть рутинной нагрузки с первой линии SOC. Например, ИИ-ассистент может сгруппировать похожие инциденты и выделить те, которые требуют углублённого анализа. Ответственность за решения остаётся у специалистов.

— Можно автоматизировать типовые сценарии первой линии, сбор контекста и цифровых следов, первичную обработку повторяющихся инцидентов и подготовку отчётов. Эксперт определяет, какие случаи требуют внимания, принимает окончательное решение и объясняет выводы руководству.