Открываем 2022-й: матрица зарубежного стека у клиентов и первый вопрос года

Первый рабочий день года - хорошее время для ревизии. Мы его провели не за целеполаганием, а за одной конкретной таблицей: матрицей зарубежных решений по клиентам. Вышло неприятно.

Откуда взялась матрица

В декабре ФСТЭК закрыл приём отчётов по категорированию объектов КИИ. Это дало нам срез: у нескольких клиентов мы разбирали состав информационных систем детально - именно так, как требует методика, - и состав этот зафиксирован документально. Когда смотришь на него в разрезе «отечественное / зарубежное» по всем клиентам одновременно, картина складывается совсем иная, чем когда смотришь на одного заказчика.

Мы собрали таблицу: клиент по строкам, слой по столбцам (операционная система, гипервизор, база данных, средства защиты, сетевое оборудование, мониторинг, продуктивность). В ячейках - конкретные продукты. Никаких процентов и рейтингов - просто что стоит.

Итог простой: зарубежного стека больше, чем казалось, когда смотришь на каждого клиента по отдельности. Это не открытие - все примерно знали. Но выложить это в одну таблицу и посмотреть глазами - другое ощущение.

Что там внутри

Несколько наблюдений из матрицы, которые показались важными.

Операционные системы - самый неоднородный слой. У части клиентов уже идут пилоты на Astra Linux и РЕД ОС, у части - чистый RHEL или CentOS 7 (что само по себе отдельная история), у части - Windows Server как базовая платформа. Единой картины нет ни у кого. Это значит, что нет и готового типового пути: придётся разбираться с каждым заказчиком отдельно.

Гипервизоры - самое однородное место. VMware vSphere стоит у подавляющего большинства. Это понятно - продукт хороший, внедрялся давно, поддерживается. Это же делает слой гипервизора потенциально самым болезненным для замены: он под всем остальным, и если трогать его, то трогать осторожно.

Средства защиты - пёстрая картина. Западные EDR, западные SIEM, западные средства криптозащиты канального уровня - всё это есть в разной комбинации. При этом именно этот слой регулятор будет проверять первым при проверках по 239-му приказу. Несоответствие реестру отечественного ПО - это уже сейчас проблема, не гипотетическая.

Продуктивность - Microsoft 365 почти везде. Exchange Online, Teams, SharePoint. Здесь зависимость от облачных сервисов зарубежного вендора, а не просто от лицензии на ПО. Это отдельный класс риска.

Первый вопрос года

Когда матрица готова, возникает вопрос, который кажется простым: с чего начинать?

На самом деле он не простой, потому что на него можно ответить по-разному в зависимости от того, что считать критерием. Начинать с того, что проще заменить? С того, что регулятор проверит в первую очередь? С того, что создаёт наибольший операционный риск прямо сейчас? С того, где есть рабочие отечественные альтернативы? Ответы на эти четыре вопроса дают разные приоритеты.

Мы пока не выбрали один критерий. Что точно понятно: подход «делаем всё постепенно, без приоритетов» - это не план, это способ ничего не сделать. Аудит текущего ландшафта как первый шаг - это не бюрократия, это единственный способ получить исходную точку, от которой можно считать.

Что поменялось в декабре

В декабре у нас было ощущение, что импортозамещение - это задача на среднесрочную перспективу, один из треков наряду с КИИ-документацией и SBOM. Сейчас, после того как матрица собрана и итоги категорирования зафиксированы, это ощущение поменялось.

Не потому что что-то случилось. Просто когда видишь это в виде таблицы - не каждого клиента по отдельности, а всех вместе - масштаб задачи становится понятнее. И вместе с ним становится понятнее, что называть это «одним из треков» было несколько оптимистично.

Год только начался. Первая реальная задача - пройтись по матрице с клиентами, согласовать приоритеты и хотя бы у нескольких получить подписанный план. Не «мы думаем о замене VMware» - а конкретный перечень, сроки и точки принятия решений. Это займёт первые месяц-полтора.

Потом посмотрим, что с этим делать дальше.