Итоги первого полугодия 2022: уход вендоров, Указ №250, импортозамещение - первые системные выводы

Полгода прошло. Это хороший момент, чтобы остановиться и посмотреть, как выглядит инфраструктурная картина у клиентов - не по отдельным кейсам, а в целом, с попыткой нащупать системные паттерны.

В начале января план на год казался достаточно радикальным - мы предполагали, что импортозамещение ускорится, но не ожидали, что за первый квартал буквально пересборем рабочую повестку. Что получилось по факту.

Что изменилось в инфраструктурной картине

Гипервизоры перестали быть стабильным основанием. До марта VMware vSphere воспринималась как данность - зрелый продукт, развитая экосистема, понятная поддержка. Сейчас это слой, где клиенты либо уже в процессе замены, либо работают с осознанным риском. Proxmox VE и OpenStack разобрали в нескольких проектах - выводы описывали в начале июня. Резюме: технически замена возможна, операционно - требует других инженерных компетенций, которых на рынке не хватает.

ОС на серверах постепенно выравниваются, десктоп стоит. Новые серверы в большинстве проектов разворачиваем на Astra Linux 1.7 или РЕД ОС 7. Это стало рабочей нормой, а не пилотом. Но пользовательские рабочие станции - честный тупик. Не потому что Windows плохая, а потому что замена ОС там немедленно упирается в прикладное ПО: АСУ ТП-клиенты, специализированные ERP-фронтенды, банковский клиент - значительная часть без Linux-версий. Это не проект по ОС, это проект по прикладному ПО с другим бюджетом и другими сроками.

PostgreSQL из «попробуем» превратился в «работает». За полгода несколько клиентов перевели рабочие нагрузки на PostgreSQL 14. Не все и не всё - Oracle и MS SQL на критичных системах пока стоят, и это честная позиция: миграция с Oracle при наличии сложной PL/SQL-логики за полгода нереалистична. Но для новых систем и некритичных переносов PostgreSQL уже не вызывает споров.

Средства защиты заменили раньше всего. Отечественные СЗИ оказались единственным слоем, где замена прошла относительно ровно - рынок существовал до кризиса, реестр ФСТЭК заполнен, вендоры живые. Сложность была не в наличии продуктов, а в переналадке: новые дашборды, новые интеграции, перезапись плейбуков реагирования. Это три-четыре месяца до состояния «удобно» после состояния «работает».

Указ №250 как новый структурный слой

Указ №250, вступивший в силу 1 мая, добавил к технической повестке организационную. Мы писали про практику выстраивания функции ИБ по Указу №250: зам по ИБ, положение о подразделении, регламент взаимодействия с ФСБ/ФСТЭК.

По итогам первых двух месяцев работы с этим блоком наблюдение одно: клиенты, у которых документация была в порядке до мая, закрыли организационный gap за три-четыре недели. У кого ИБ-документация существовала «для галочки» - работают с этим до сих пор. Технические задачи при этом не останавливаются, приходится вести оба трека параллельно, что очень весело.

Ещё одна деталь по Указу №250: требование про зама по ИБ воспринималось в апреле как административный ритуал. К июню картина изменилась - несколько клиентов реально перестроили структуру принятия решений по ИБ. Назначение перестало быть бумагой и стало рабочей точкой входа в организацию. Это не массовое явление, но это уже не единичный случай.

Где по-прежнему белые пятна

Честно: три зоны, где у нас нет хорошего ответа.

Первое - сетевое оборудование. Cisco-инфраструктура продолжает работать без вендорской поддержки. Параллельный импорт есть, но это не система - это сделки с непредсказуемыми сроками и переменным качеством каналов. Huawei как замена на новые закупки понятна, замена существующего парка - это проект с перепроектированием конфигурации, который мало кто готов начать прямо сейчас.

Второе - сложные корпоративные системы (SAP, Oracle ERP). Здесь нет быстрого ответа. 1С закрывает российский функционал, но это другой продукт с другой логикой и другим проектом внедрения. Клиенты с SAP в основном работают на том, что есть. Это известный риск, и у большинства нет плана его закрытия - есть план его мониторинга.

Третье - инженерные компетенции. Это не технология и не регулятор, но это реальное узкое место. Спрос на инженеров, которые умеют Ceph, OpenStack, Astra Linux в production, вырос резко. Рынок не успевает. Несколько проектов у нас затормозили именно на этом: технически решение выбрано, бюджет есть, а человека, который это развернёт и будет сопровождать, - нет.

Приоритеты на H2

Исходя из того, что видим сейчас, три направления, которые будут занимать основную часть времени во втором полугодии:

• Аудит объектов КИИ с прицелом на новые сроки ФСТЭК. Апрельское уточнение по срокам перевода на отечественное ПО делает это не просто полезным, а обязательным для субъектов КИИ. Несколько клиентов уже в работе, ещё несколько стоят в очереди.
• Миграция гипервизоров на крупных инсталляциях. Небольшие среды мигрировали в H1. Крупные - с vSAN, vCD, сложными сетевыми конфигурациями - требуют другого подхода. Это не пилот на неделю, это проект на квартал.
• Закрытие организационных разрывов по Указу №250 у тех, кто ещё не закрыл. Формально май уже прошёл, но проверок ещё не было, и у части субъектов КИИ вопрос всё ещё открыт. Торопиться стоит - неизвестно, насколько долго сохраняется этот зазор.

Если нужен аудит текущего состояния стека и соответствия регуляторным требованиям - сейчас это самый востребованный формат работы. Берём новые проекты, но окна сужаются.