Итоги H1 2024: КИИ-дедлайн через полгода, XZ перевернул подход к open source, российские LLM в продакшне

В январе мы расписали приоритеты на первое полугодие: закрыть незавершённое категорирование, разобраться с серыми зонами по 187-ФЗ, собрать честную матрицу статусов по импортозамещению. Сейчас конец июня - самое время посмотреть, что из этого вышло, что поехало вбок и что появилось там, где мы не ждали.

КИИ: документы закрыли, с импортозамещением сложнее

Категорирование у большинства клиентов к апрелю закрылось - акты утверждены, сведения в ФСТЭК отправлены, ответы получены. Это та часть плана, которая сработала примерно так, как предполагалось. Несколько объектов потребовали переутверждения из-за изменений в инфраструктуре, один акт вернулся с замечаниями по модели угроз - переработали, отправили повторно, приняли.

С импортозамещением картина честная, но не праздничная. ОС и СУБД - закрываются. Astra Linux, РЕД ОС, Postgres Pro, Tantor - это уже не экзотика, это рабочие инсталляции. Там, где мигрировали заранее и не торопились, сейчас спокойно. Там, где откладывали - сейчас горячо, и шесть месяцев до дедлайна 1 января 2025 ощущаются не как запас, а как обратный отсчёт.

Прикладное ПО и особенно АСУ ТП - стоят. Это было ожидаемо ещё в январе, и ничего не изменилось. Часть позиций идёт через механизм исключений, часть - через обоснование «отечественного аналога нет». Регулятор эти аргументы принимает, но медленно и с вопросами. Чеклист по слоям мы публиковали в начале июня - там подробнее про каждый уровень.

XZ: то, чего в январском плане не было

В марте случился XZ Utils backdoor. Мы писали разбор CVE-2024-3094 подробно - и технику закладки, и схему двухлетней социальной инженерии против одного мейнтейнера. Но если говорить об итогах полугодия: этот инцидент изменил несколько вещей в том, как мы работаем с open source зависимостями у клиентов.

Первое - инвентаризация транзитивных зависимостей стала обязательной. Раньше это было рекомендацией, которую часть клиентов слышала, кивала и откладывала. После XZ отказов стало меньше. Собрать полный SBOM по критичным сервисам - это работа, но она теперь воспринимается как работа, а не как паранойя безопасников.

Второе - появился новый тип вопроса про open source компоненты: кто мейнтейнер, сколько их, когда последний коммит, есть ли новые контрибьюторы с правами на слияние. Это не формальная галочка - мы реально стали смотреть на это при оценке зависимостей в инфраструктуре КИИ.

Третье - dev-окружения. У нескольких клиентов dev-машины жили в той же сети, что и продакшн, и на них не было ограничений на обновление пакетов. XZ показал, что это вектор. Изоляцию поправили в марте-апреле.

Не будем преувеличивать: технически XZ не задел продакшн ни у одного нашего клиента - стабильные дистрибутивы не были затронуты. Но последствия для процессов оказались реальными.

Российские LLM: из пилотов - в осторожный продакшн

В феврале мы запускали первые пилоты с GigaChat и YandexGPT на технической документации клиентов. По итогам полугодия картина такая.

Два клиента перешли от пилота к рабочей эксплуатации - с верификационным слоем, с логированием, с процессом валидации ответов перед применением. Не автономный ИИ-ассистент, а инструмент ускорения работы оператора с документацией. Разница принципиальная: модель предлагает, человек решает.

Ещё несколько пилотов продолжаются. Один заморожен - клиент упёрся в вопрос про обработку данных: документация содержит сведения, которые юристы не готовы отправлять на серверы вендора, даже с DPA. Это не тупик, это ветка в сторону on-premise развёртывания - смотрим на локальные модели через Ollama, об этом писали в мае.

Качество российских LLM за полгода заметно выросло - это честное наблюдение, не реклама. Галлюциноз не исчез, но стал предсказуемее: модели всё чаще явно сигнализируют о неуверенности вместо того, чтобы уверенно ошибаться. На технических задачах с подготовленным контекстом работает приемлемо, на открытых вопросах без контекста - всё ещё осторожно.

Что сдвинулось не туда

Честно про то, где не угадали.

Сроки по сложным миграциям СУБД. Oracle и MS SQL в нескольких проектах дали сюрпризы на уровне хранимых процедур и специфических расширений - переписывать пришлось больше, чем планировалось. Сдвиги в три-четыре недели на проект, для некоторых клиентов это критично в контексте дедлайна.

Нагрузка на команду. Первый квартал съело категорирование и реакция на XZ. Второй квартал - закупочные процедуры по импортозамещению и лицензионные вопросы. Ресурс не резиновый, и часть проактивной работы - аудиты новых зависимостей, разбор supply chain для новых клиентов - сдвинулась на июль-август.

ФСТЭК стал жёстче, чем мы ожидали. Это не жалоба, скорее наблюдение. Содержательные вопросы на проверках, возврат документов с замечаниями по существу, а не только по форме - это стало нормой. Несколько клиентов в первом квартале получили замечания, которые потребовали доработки модели угроз. Хорошо, что не в ноябре.

Где мы сейчас

Конец июня - это примерно середина активной зоны перед дедлайном. Шесть месяцев до 1 января 2025 - это и запас, и нет. Закупочные процедуры занимают два-три месяца, тестирование и ввод в эксплуатацию - ещё месяц-полтора. Арифметика оставляет на старт незапущенных замен примерно до конца июля.

У нас самих нет иллюзий, что к декабрю все клиенты придут в идеальном состоянии. Но разница между «в процессе с рабочим планом» и «непонятно где» - это и есть та разница, которую мы стараемся устранять. Второе полугодие начинается с этого.