В прошлом году рынок услуг центров ИБ-мониторинга в РФ вырос на 30%

5 марта. FINMARKET.RU - Объем российского рынка услуг центров ИБ-мониторинга (SOC, security operations center - центр мониторинга и реагирования на инциденты информационной безопасности) к настоящему времени составляет около 24-25 млрд рублей и растет примерно на 30% в год, заявил "Интерфаксу" директор департамента мониторинга, реагирования и исследования киберугроз компании BI.ZONE (ООО "БИЗон", "Безопасная информационная зона") Теймур Хеирхабаров.

"Год назад участники рынка оценивали его приблизительно в 20 млрд рублей, - сказал Хеирхабаров. - Сейчас его объем, по моему мнению, составляет 24-25 млрд рублей". При этом он отметил, что перспективы рынка оцениваются по-разному. Ряд экспертов, по словам Хеирхабарова, считает, что рынок уже насытился: те, кто мог купить услуги SOC или построить собственные центры, уже это сделали.

"На мой взгляд, это далеко не так: сейчас освоено только около 30% потенциального рынка SOC, - считает Хеирхабаров. - Есть еще большое количество компаний, которым, на наш взгляд, нужен мониторинг инцидентов кибербезопасности, но которые пока не дошли до решения данных задач. Но эта ситуация постепенно меняется - к нам сейчас на SOC приходят заказчики, которые раньше фактически не занимались вопросами кибербезопасности. Еще каких-то два года назад мы даже не ожидали, что некоторые из этих компаний могли бы стать нашими клиентами".

В то же время, по словам Хеирхабарова, рынок коммерческих SOC - высококонкурентная среда. Еще пять лет назад на нем было всего несколько игроков, а сейчас уже около 20 крупных компаний, предоставляющих услуги в области ИБ, включая услуги коммерческих SOC - MSS-провайдеров (managed security service provider, MSSP). Кроме них есть обширная серая зона, включающая в себя малоизвестные небольшие SOC - локальные, работающие в отдельных регионах или сегментах.

Сами крупные игроки неоднородны по своему составу. Часть из них - компании, которые начинали свою деятельность именно в качестве коммерческих SOC и позиционировали себя как MSSP. Другая категория - системные интеграторы.

"Большое количество крупных SOC построено на базе известных интеграторов: они поняли, что у них есть клиентская база, для которой они реализуют различные проекты, и было бы логично воспользоваться этой возможностью и расширить свой портфель за счет услуг SOC", - пояснил Хеирхабаров.

Аналогичная ситуация с телеком-операторами. Некоторые из них решили выйти на рынок коммерческих SOC и обеспечить себе быстрый старт за счет имеющейся клиентской базы.

Также в отдельную категорию можно отнести вендоров, создающих решения по защите конечных устройств или, например, сетевые решения, на базе которых предоставляются услуги мониторинга. Соответственно, на основе своих продуктов такие вендоры и запускают собственные SOC по модели MDR (Managed Detection and Response).

Помимо этого, на рынок коммерческих SOC начинают выходить компании, ранее выполнявшие функции инсорсинговых SOC внутри крупных холдинговых структур.

По мнению Хеирхабарова, в ближайшее время к этим игрокам добавятся облачные провайдеры. "Они пока не имеют большого веса на рынке коммерческих SOC, но это те игроки, которые в перспективе трех лет станут достаточно заметны на этом рынке, - считает он. - Было бы неразумно с точки зрения бизнеса не использовать имеющиеся возможности по предоставлению дополнительных сервисов (в том числе в области ИБ), когда вся или значимая часть IT-инфраструктуры заказчика развернута на твоей площадке".

Что касается услуг самих SOC, то здесь, по словам Хеирхабарова, есть минимальный набор сервисов, без которых центр мониторинга просто не будет таковым. В их число входит собственно мониторинг событий кибербезопасности, выявление подозрений на инциденты на базе правил корреляции, анализ этих подозрений аналитиками, а также базовое реагирование на инциденты.

При этом Хеирхабаров отметил, что на рынке наблюдается тенденция по наращиванию функциональности SOC за счет добавления дополнительных ИБ-услуг. Причем некоторые из них могут не иметь отношения собственно к мониторингу и реагированию на инциденты. То есть SOC постепенно превращаются в единое окно для предоставления различных ИБ-услуг заказчикам. Например, это может быть защита бренда, контроль защищенности внешнего периметра, управление уязвимостями и так далее.

Хеирхабаров рассказал также, что в ряде случаев заказчикам требуются нестандартные модели оказания услуги SOC. Например, это может быть outstaff SOC, когда очень крупному заказчику, как правило государственной структуре, требуется SOC, но она не может нанять себе соответствующих специалистов.

"То есть решений и технологий закуплено много, а сотрудников для работы с ними нет, - пояснил Хеирхабаров. - Но и отдать это на аутсорс они не могут - здесь и применяется модель аутстаффинга, когда коммерческий SOC часть своих сотрудников высаживает на площадку заказчика".

Второе подмножество нестандартных проектов - ИБ-мониторинг крупных мероприятий (международных форумов, саммитов, промышленных выставок и т.п.).

"Мы пришли к тому, что под это направление создали мобильный SOC, который вместе с отдельной выделенной командой вывозится на ту или иную площадку и разворачивается там", - сказал Хеирхабаров.

Еще одной тенденцией прошлого года он назвал рост числа заказчиков, которые приняли решение строить собственные SOC. По его мнению, это связано с тем, что многие из них на практике, потребляя услуги коммерческих SOC, ознакомились с тем, что собой представляет SOC, как и какие задачи он должен выполнять, и пришли к выводу, что смогут справляться с этим самостоятельно. Этому способствует появление на рынке "свободных" линейных специалистов SOC, желающих попробовать свои силы в создании и управлении SOC, а не работы в рамках отдельных процессов.

"Люди в коммерческих SOC растут, и в определенный момент у них появляются карьерные амбиции, которые компания в моменте просто не может удовлетворить, - пояснил Хеирхабаров. - Такие эксперты уходят на рынок, и заказчикам вроде бы несложно найти специалистов для работы в их SOC. Но такие специалисты знают только свои локальные "поляны" или процессы, а для построения полноценного SOC необходим еще и лидер или архитектор, который понимал бы ситуацию, картинку целиком и мог бы создать именно комплексное решение. Отсутствие таких редких экспертов зачастую является стоп-фактором для построения заказчиками собственных SOC. Либо же заказчики недооценивают необходимость наличия такого лидера, считая что бывший аналитик какого-то коммерческого SOC может выступить в качестве такой роли, в результате получая плохо работающую функцию или неэффективную трату ресурсов на построение внутреннего SOC".

Такая ситуация способствует развитию направления SOC-консалтинга, когда те же MSSP готовы делиться опытом, оказывать соответствующие консалтинговые услуги тем заказчикам, которые строят собственные SOC. Вплоть до построения центров мониторинга под ключ.

Впрочем, по словам Хеирхабарова, часть заказчиков понимает всю сложность создания SOC и идет к цели постепенно - через гибридный SOC, когда часть функций центра мониторинга компания закрывает собственными силами, а часть - оставляет за MSSP.