Защита веб-приложений в 2025 году: кадровый голод, потребность в четких процессах и важность импортозамещения

На недавней онлайн-конференции AM Live представители ИБ-сообщества обсудили специфику защиты веб-приложений в 2025 году.

Почему происходит так много атак? Нужна ли защита, если «пока ни разу не лежали»? Ждать ли аналог всем известного зарубежного сервиса «за 20 баксов» made in Russia?

Дискутировать по этим и другим важным для ИБ-рынка вопросам отправился наш замтехдира Владимир Зайцев.

Собрали 5 основных тезисов Владимира про защиту веб-приложений с эфира AM Live:

1️⃣Безопасность веб-приложений должна стать непрерывным процессом для компании
Защита — не способ затыкать дыры, особенно сегодня, когда атаки носят комплексный характер.

2️⃣ Дефицит квалифицированных ИБ-кадров — все еще острая проблема
Часто бюджет может расходоваться на покупку дорогостоящего оборудования, которым просто некому управлять.

3️⃣Постоянная эволюция методов атак требует четкой организации процессов защиты ресурса
Защита необходима, но обеспечить ее самостоятельно может не каждая компания. А некорректное использование средств защиты часто приводит к проблемам.

4️⃣Важность импортозамещения
Вероятность запрета регуляторами популярных зарубежных решений растет с каждым днем. Не ждите до последнего, постарайтесь «импортозаместиться» в ближайшее время.

5️⃣Делегирование защиты облачному провайдеру
Не найдется ли у вас минутки поговорить о миграции в облако? 🙂 Провайдер сталкивается с актуальными угрозами каждый день и знает, как обеспечить безопасность и доступность вашего веб-приложения.

Подробнее раскрыли тезисы в статье: «Защита веб-приложений: тренды, рекомендации, ошибки и прогнозы в эфире AM Live»

Главные инсайты Уральского форума 2025

На прошлой неделе генеральный директор NGENIX Константин Чумаченко посетил одно из самых значимых мероприятий года — форум «Кибербезопасность в финансах».

Вот лишь часть актуальных вопросов, которые активно обсуждались на мероприятии:

🔹В чем главные проблемы кибербеза в финсекторе?
🔹Как подружить ИБ с ИТ и оптимизировать HR-бюджет?
🔹Нужны ли новые технологии, если граждане не будут им доверять?
🔹Какие перспективы у облачных решений в финансовой отрасли?

Делимся с вами главными хайлайтами мероприятия в новом блогпосте. Константин Чумаченко об Уральском форуме от первого лица: «Кибербезопасность в финансах: тенденции, проблемы и прогнозы»

Почему бизнес снижает CAPEX?

Высокая ключевая ставка и усложнение логистических цепочек вынуждают компании оптимизировать капитальные затраты (CAPEX): оборудование и инфраструктура дорожают, окупаемость растягивается на годы. Бизнес вынужден искать более выгодный баланс между капитальными и операционными затратами, уменьшая CAPEX и приоритизируя OPEX.

Заказчики всё чаще выбирают аутсорсинг и подписную модель потребления услуг, чтобы не увеличивать расходы на собственные мощности.  

Об этой и других тенденциях рассказал Артём Семёнов, менеджер по развитию бизнеса NGENIX, на конференции CNews «Информационная безопасность 2025».

В своем докладе Артём также коснулся концепции эшелонированной защиты веб-приложений от кибератак и преимуществ единой облачной платформы для реализации этого решения.

Мы попросили Артёма поделиться впечатлениями и инсайтами от представителей бизнеса:

«Тема аутсорсинга ИБ витает в воздухе. Действительно, высокая ключевая ставка делает капитальные инвестиции в инфраструктуру сложными и затратными, а нехватка кадров в области ИБ только усиливает нагрузку на компании. Добавим сюда постоянно меняющиеся требования регуляторов – и становится очевидно, что бизнесу нужно быть гибким, уметь быстро адаптироваться и находить эффективные модели управления ИБ-рисками.  

Компании больше не хотят нести единовременные крупные затраты на покупку оборудования и ПО – они ищут модели, позволяющие платить только за то, что действительно используется. Для нас, как облачного провайдера, это позитивный тренд: мы предлагаем решения, которые снимают с клиентов головную боль, позволяя им переложить ответственность за безопасность, скорость и доступность веб-приложений на нас.  

Еще один важный момент – стратегические партнерства и технологическая совместимость. Бизнесу нужны не просто ИБ-инструменты, а комплексные решения, которые легко интегрируются в текущую инфраструктуру и помогают решать реальные задачи. Готовые сервисы, аутсорсинг, SLA с четкими зонами ответственности – именно такие модели становятся приоритетными.
 
В целом, главная мысль конференции – рынок трансформируется, и успешными будут те компании, которые смогут оперативно адаптироваться, предложив клиентам не просто технологии, а понятные и удобные решения под ключ».

🎙 Встречаемся завтра в эфире AM Live

5 марта заместитель технического директора NGENIX Владимир Зайцев снова посетит онлайн-конференцию AM Live. На этот раз эксперты рынка будут обсуждать эшелонированную защиту от DDoS-атак.

DDoS-атаки становятся сложнее и разрушительнее. Веб нуждается в комплексной защите не только на уровне сети (L3/L4), но и на уровне приложений (L7). В вопросе эшелонированного подхода у нас большой опыт, которым мы с удовольствием поделимся с коллегами и слушателями трансляции.

На эфире поговорим о многом:
🔹какие тренды были заметны в 2024 году — можно ли списывать со счетов хактивистов?
🔹плюсы и минусы различных методов митигации — стоит ли использовать гибридные решения или несколько провайдеров?
🔹как эффективнее защищать веб: облака vs. on-premise;
🔹какие шаги нужно предпринять сейчас, чтобы защититься от DDoS в ближайшие пару лет.

Присоединяйтесь к эфиру, участвуйте в дискуссии в чате, задавайте вопросы.

Для этого обязательно пройдите предварительную регистрацию.
 
До встречи 5 марта в 11:00 👋🏻

Защита «без раскрытия»: риски и подводные камни

Использование облачных платформ предоставляет бизнесу множество преимуществ:
▪️можно порядочно сэкономить на покупке лицензий и оборудования;
▪️поиск и хантинг узконаправленного ИТ-персонала тоже не ваша головная боль;
▪️за комфортный тариф по подписке появляется доступ к обширным ресурсам провайдера для обеспечения доступности, защиты и ускорения загрузки веб-приложений.

При подключении к облачному провайдеру часто нужно передать ему свой SSL-сертификат. Это необходимо для того, чтобы провайдер мог расшифровать трафик для анализа и последующего применения мер защиты. Такая практика распространена во всем мире: ведущие игроки глобального рынка облачных решений — Akamai и Cloudflare – используют именно этот подход.

Вот только есть нюанс. Существуют организации, которые по ряду причин не могут дать провайдеру возможность расшифровать свой HTTPS-трафик. Но получать доступ к возможностям облака они все равно хотят.

Как быть в этом случае и чем рискует бизнес, когда не передает свой SSL-сертификат провайдеру?

✔️Читайте в нашем новом материале: «Защита без раскрытия: с какими рисками и ограничениями может столкнуться бизнес»

Малый и средний бизнес во вселенной киберугроз: один в поле не воин

На одной конференции, где выступал наш спикер, прозвучала шутка: «Чем меньше компания, тем больше обязанностей у её ИБ-шника». Задача перед компанией в таком случае стоит нетривиальная: найти кого-то из разряда «сам себе CISO, DevSecOps и саппорт в одном лице».  

При этом ИБ-кадры – тяжелый вопрос для каждой компании, даже большой и известной. Специалистов, особенно с широкими компетенциями, просто не хватает на всех. МСБ оказывается в заведомо проигрышной ситуации в борьбе за кадры: такие компании менее привлекательны как работодатель для зрелых специалистов и чаще всего не располагают достаточным бюджетом на ИБ.

Выходит, что для СМБ вариантов немного:  

1️⃣ Вариант рискованный: игнорировать ИБ

Думать, что «мы слишком маленькие, чтобы нас взломали» — опасное заблуждение. Сегодня организовать DDoS-атаку слишком легко и дешево. Вы можете стать целью конкурентов или просто случайно попасть под массовую атаку хактивистов. Если же у вас на сайте есть хоть какой-то личный кабинет, то всегда существует риск утечки, которая может привести к большим репутационным и финансовым издержкам. Поэтому наличие защиты — это тот минимум, который вы должны обеспечить своему веб-ресурсу.

2️⃣ Вариант сложный: передать задачи ИБ ИТ-специалисту

Возможно, но труднореализуемо. Конечно, среди функций ИБ-специалиста есть административные задачи, которые может взять на себя ИТ-спец: осуществлять мониторинг, проводить патчинг и обновления систем. Но на этом, в целом, всё. Чтобы заниматься другими задачами ИБ, нужно иметь и опыт, и специализацию, и осведомленность. Все эти функции невозможно объединить в одном сотруднике, на котором лежит еще и множество других ИТ-задач. Но если без этого никак, то можно дать ему хороший инструмент 😉👇

3️⃣ Вариант эффективный: отдать ИБ на аутсорс

Использование облачных платформ защиты для МСБ — это не вопрос удобства, а вопрос выживания. Защита любого онлайн-бизнеса требует опыта, ресурсов и времени, которых у маленькой компании просто нет. Ей потребуется либо готовый интуитивный инструмент, который может администрировать ее собственный ИТ-штат, либо профессиональный сервис, оказываемый специалистами провайдера. И инструменты, и экспертиза у провайдера есть. Тогда аутсорсинг ИБ в облако выглядит единственным выходом для небольших компаний, которым важно безопасное онлайн-присутствие.

Потребность МСБ в ИБ растет, а с ней и спрос на ИБ в облаке, особенно когда Cloudflare — всё. Хорошо, что российскому рынку есть чем ответить 🙂