План H2 2026: что модернизируем в инфраструктуре, куда двигаем AI-автоматизацию и какие регуляторные дедлайны не пропустить

Июль заканчивается, и мы традиционно делаем то, что, наверное, не очень принято публиковать открыто: кладём на стол план на полугодие. Не маркетинговый лендинг с «мы поможем вашему бизнесу», а рабочий приоритизированный список того, что собираемся делать у себя и в проектах. Если кто-то из читателей видит в этом своё и хочет обменяться опытом - отлично, для этого и пишем.

Откуда берётся план

Итоги H1 2026 мы разобрали отдельно. Если коротко: регуляторная нагрузка выросла сильнее, чем рассчитывали; AI-автоматизация прошла через первые реальные провалы в проде и стала интереснее от этого, а не скучнее; инфраструктурный долг копился тихо, пока все смотрели на AI.

Теперь H2. Три направления.

Инфраструктура: переход на рельсы

Первое направление - это то, что откладывали с начала года.

Kubernetes-дистрибутивы. После обзора отечественных дистрибутивов в июле стало понятно, что несколько проектов у нас висят на самосборных кластерах без внятной истории обновлений. Во втором полугодии закрываем этот хвост: переводим на сертифицированные дистрибутивы там, где есть требования КИИ, и договариваемся с командами о более ясной политике апгрейдов там, где требований нет, но риск накопленных уязвимостей тот же.

Observability до конца. Полгода назад мы писали про зрелость observability-стека. Честный вывод: метрики и трейсы у нас в порядке, логи - сильно хуже. Часть сервисов пишет в stdout без структуры, часть - в файлы с нестандартным форматом. OpenTelemetry Collector уже развёрнут, но покрытие источников неполное. Цель H2: все production-сервисы в structured logging, все источники в Collector. Это не glamorous, но без этого observability - просто красивый дашборд.

Бэкапы и air gap. Veeam v13 развернули в марте, но политику air gap полностью не отработали. Надо закрыть: настроить расписание изолированных резервных копий, проверить процедуру восстановления (не на словах, а живым тестом), задокументировать. Звучит как операционная рутина - и так и есть, но именно такая рутина потом спасает, когда звонят в три ночи.

AI-агенты: масштабирование без потери контроля

Второе направление - сложнее, потому что здесь нет устоявшихся ответов.

За первое полугодие мы дошли до нескольких работающих AI-сценариев в проде: классификация инцидентов, черновики ответов в helpdesk, автоматический анализ логов при алертах. AIOps для автоматизации реагирования - это уже не эксперимент.

Проблема не в том, работает ли это технически. Проблема в том, что хорошо работающий агент начинает использоваться там, куда его изначально не планировали. Кто-то из команды подключает его к новому источнику данных, кто-то немного меняет промпт - и уже непонятно, что именно работает в проде и с какими правами.

На H2 приоритеты такие:

Governance для агентов - это не бюрократия. Реестр развёрнутых агентов с описанием: что делает, какие данные обрабатывает, кто отвечает, как мониторить. Это несложно, но требует дисциплины. Без реестра масштабирование превращается в зоопарк.

Оценка перед расширением. Прежде чем расширять агента на новый сценарий - письменная оценка рисков. Не большой документ, но фиксированный чеклист: что может пойти не так, есть ли ограничение на действия агента в этом сценарии, кто будет мониторить.

RAG-пайплайны под ревизию. Итоги RAG в проде показали: качество retrieval деградирует, если не следить за актуальностью корпуса. Часть наших пайплайнов работает на документах, которые обновлялись в последний раз полгода назад. Это надо чинить системно, а не точечно.

Регуляторика: дедлайны, которые уже видны

Третье направление - самое предсказуемое, потому что регулятор расписание не меняет.

КИИ: осенний цикл проверок. По наблюдениям коллег и публичным данным ФСТЭК, осень традиционно активна по плановым проверкам. Новые требования ФСТЭК по НДС вступили в силу, и первые вопросы на проверках по ним уже фиксируются. Наша задача до конца августа: пройти по чеклисту со всеми заказчиками, у которых запланированы проверки в Q3-Q4.

ПДн: изменения 152-ФЗ. Июльский разбор изменений - это хорошая база. Но между «прочитали» и «внедрили» - дистанция. У нескольких заказчиков обработка ПДн организована по старым схемам, и новые требования к трансграничной передаче и уведомлениям об утечках требуют изменений в процессах, а не только в документах.

SBOM и supply chain. Требования ФСТЭК по SBOM были введены в начале года. Полгода прошло - у части заказчиков SBOM формально генерируется, но не используется и не проверяется. Если инспектор попросит показать, как SBOM применяется в процессе обновления ПО - ответить будет нечего. Это разрыв, который надо закрывать.

Как мы приоритизируем

Ничего экзотического. Дедлайны регуляторики не двигаются, поэтому они идут первыми. Инфраструктурный долг давит на надёжность прямо сейчас - он идёт вторым. AI-направление важное, но без жёстких внешних дедлайнов, поэтому работаем методично, без кавалерийских рывков.

Если у кого-то из читателей схожие приоритеты на H2 - интересно было бы сверить. Где расходится, где совпадает. Пишите в комментарии или напрямую.