Технологический стек: выбор, интеграция и управление Open Source
CISO-стек 2026: что закупать, как интегрировать и как не утонуть в Open Source. 4 живых разбора supply chain атак 2024–2026 и матрица выбора с TCO на руках.
● Модуль состоялся · доступен в записиВ 2026 году неправильный выбор стека стоит миллионов
Рынок ИБ консолидируется, цепочки поставок ПО атакуют за минуты, а регулятор ужесточает сроки. Этот модуль даёт рабочую систему: что закупать, как интегрировать и как держать под контролем Open Source.
Вендоры-однодневки
На российском рынке NGFW сегодня более 40 вендоров. Через 2–3 года выживут не более 5 — и ставка не на того стоит миграции и бюджета.
40+ вендоров → 5Supply chain — новая нормальность
Сентябрь 2025: 16 минут от фишинга мейнтейнера до раскатки вредоноса в npm-пакеты с 2 млрд скачиваний/неделю. XZ Utils, Shai-Hulud, qix/chalk — уже не экзотика.
16 минут → 2 млрд24-часовой дедлайн ФСТЭК
С 1 марта 2026 Приказ ФСТЭК №117 требует устранения критических уязвимостей за 24 часа. Без управляемого стека и SCA это невыполнимо.
24 часа на CVE · 117 ФСТЭКОт ландшафта стека ИБ-2026 до supply chain и практического воркшопа
Онлайн: вебинары, разборы кейсов и практический воркшоп. 4 живых разбора supply chain атак 2024–2026, 5 рабочих артефактов на выходе. Видеозаписи занятий — ниже.
TCO как язык разговора с CFO
- Полная модель TCO на 5 лет: лицензии, инфра, внедрение, миграция, выход
- Что забывают учесть: сквозной пример NGFW
- Разница между прайс-листом и реальной стоимостью владения
Пятишаговый метод объективного сравнения
- 5–7 ключевых сценариев работы продукта
- Запрос внутренних тестов вендора + мини-PoC
- Анонимные опросы коллег по шаблону
- Взвешенный оценочный лист и решение на цифрах
AI-инструменты в стеке ИБ-2026
- Где ИИ реально работает: UEBA, NDR с ML, SOC-копилоты, AI-DLP
- Как отличить «маркетинговый ИИ» от «ИИ под капотом»
- SIEM vs XDR с AI vs гибрид; MaxPatrol O2, Kaspersky SIEM, Solar JSOC
Облачная безопасность как часть стека
- CSPM, CWPP, CNAPP: что когда применять
- Yandex Cloud, VK Cloud, MTS Cloud, СберCloud — особенности
- Облачный сервис ИБ или on-premise; 152-ФЗ и локализация ПДн как драйвер
Интеграция стека: как не получить «зоопарк»
- Когда SIEM/SOAR недоступен: альтернативы
- Общая шина данных, syslog, единый формат логов
- Кейс ритейлера: DLP + NGFW + SOC без коммерческого SIEM
Матрица и схема интеграции
- Заполнить матрицу выбора и оценочный лист (минимум 2 продукта)
- Простая схема интеграции своего стека
Почему Open Source — не «бесплатный сыр»
- 90–97% приложений содержат OSS-компоненты
- 33% российского ПО на OSS содержит серьёзные уязвимости
- Bus factor: риск проектов с одним мейнтейнером
Атаки на цепочки поставок ПО: разбор четырёх кейсов
- Март 2024: XZ Utils backdoor (CVE-2024-3094), CVSS 10.0
- Сентябрь 2025: Shai-Hulud в npm — 500+ пакетов, кража PAT и ключей
- 8 сентября 2025: qix/chalk — 16 минут до 2 млрд
- Ноябрь 2025 → апрель 2026: Shai-Hulud 2.0 и The Third Coming
SCA и SBOM на пальцах для CISO
- SCA как сканер библиотек, SBOM как «список ингредиентов»
- Контекст: EO 14028, ФСТЭК и АРПП «Отечественный софт»
- Запуск OWASP Dependency-Check; CodeScoring, AppSec.Hub, AppSec.Sting
Лицензионная чистота: ликбез для CISO
- Безопасные лицензии: MIT, Apache 2.0, BSD
- «Заразные»: GPL, AGPL — когда придётся открывать свой код
- LGPL: динамическая vs статическая линковка; что делать с GPL в продукте
Чек-лист оценки здоровья OSS-проекта
- Когда последний релиз? Как часто исправляются CVE?
- Bus factor: сколько активных контрибьюторов
- Есть ли коммерческая компания за проектом
SCA на своём проекте
- Запустить SCA и OWASP Dependency-Check на реальном или учебном проекте
- Оценить здоровье 5–10 ключевых OSS-компонентов по чек-листу
- Принести отчёт на воркшоп для разбора с экспертом
От «зоопарка» точечных продуктов к платформам
- 40+ российских NGFW-вендоров на месте 10 в начале 2022
- Объёмы рынка по сегментам: NGFW, SIEM, DLP, EDR, NTA
- Поглощения и консолидации 2022–2026
Регуляторная рамка выбора решений
- Указ №250 (1 мая 2022) и Указ №500 (13 июня 2024)
- Требования ФСТЭК для NGFW класса 4
- Реестр Минцифры; признаки добросовестного российского вендора
Импортозамещение без сюрпризов
- Методика PoC: критерии успеха, типовые ошибки
- Договор с вендором: SLA, право на аудит, выход
- Кейс: миграция банка с Cisco ASA на российский NGFW
Карта классов решений ИБ-стека 2026
- 12 обязательных + 4 опциональных класса
- Лидеры, второй эшелон, нестабильные вендоры
- Опора на «Матрицу импортозамещения 2025» СТРИМ Консалтинг
Инвентаризация стека: пошаговый метод
- 5 шагов: договоры → опросы → API → карта → белые пятна
- Кейс: компания нашла 15 спящих лицензий, экономия 3 млн ₽/год
- Демонстрация шаблона на учебных данных
Установочная сессия
- Распределение по трекам и экспертам
- Трек А: 1000+ сотрудников
- Трек Б: 200–1000 · Трек В: до 200 + стартапы
Три ротации защиты артефактов
- Ротация 1 — защита матрицы выбора: 2–3 продукта, веса, TCO, рекомендация
- Ротация 2 — разбор плана интеграции: точки отказа, дублирование, разрывы
- Ротация 3 — Open Source-аудит: SCA-отчёт и здоровье OSS, приоритизация
Закрытие модуля
- Сводка ключевых выводов воркшопа
- 7 дней на доработку артефактов на полных данных компании
- Итоговое тестирование (30 вопросов, проходной балл 70%)
- Бонус: лучшие 3 работы разберём на «Безопасной среде» через месяц
5 рабочих артефактов под свою компанию
Не абстрактные знания, а готовые рабочие документы — забираете с собой и применяете с первого дня после модуля.
Инвентаризация стека
10–12 классов решений вашей компании с заполненными атрибутами по шаблону.
Excel-шаблонМатрица выбора с TCO
Сравнение 2+ продуктов с расчётом TCO на 5 лет, веса критериев, рекомендация — рабочий документ для CFO.
Excel + калькуляторСхема интеграции стека
Текущая и целевая архитектура на 1–2 года с разбором точек отказа и разрывов покрытия.
draw.io / VisioSCA-отчёт с планом исправления
OWASP Dependency-Check по проекту: список уязвимостей, приоритизация, план действий.
PDF-отчётОценка здоровья OSS
Топ-10 используемых open-source зависимостей по чек-листу с решением о замене проблемных компонентов.
Excel-чек-листКарта рынка ИБ-2026
12+ классов решений, лидеры, второй эшелон, нестабильные вендоры — стартовая точка для любых будущих закупок.
PDF-картаШаблоны и чек-листы
Проверка вендора, шпаргалка по OSS-лицензиям, инструкция по OWASP Dependency-Check, чек-лист AI-tooling.
5 PDF-документовВидеозаписи модуля
Записи всех 4 учебных дней с доступом на 1 год.
12 месяцевУдостоверение о ПК
Установленного образца — 16 ак.ч, по итогам аттестации. Тариф «С обратной связью».
16 ак.ч · установленного образцаАттестационное задание — три артефакта на ваших данных
Что нужно сделать
Собрать три рабочих артефакта на данных своей компании: матрицу выбора с TCO (сравнение 2+ продуктов, расчёт на 5 лет, готовая к защите перед CFO), SCA-отчёт + план исправления (реальный отчёт OWASP Dependency-Check по вашему проекту) и инвентаризацию стека (карта 10–12 классов решений компании).
Это рабочие документы, а не формальное задание — забираете с собой и применяете сразу как стартовую точку для будущих решений.
Обратная связь участников модуля
Что говорят те, кто уже прошёл модуль.
Второй модуль очень хорошо показал, как сегодня меняется роль CISO. Уже недостаточно просто отвечать за ИБ — нужно понимать бизнес, процессы, риски подрядчиков, импортозамещение и работу с регуляторами. Много практических мыслей, которые можно применять сразу.
Нравится, что курс построен вокруг реальности отрасли, а не “идеальных схем”. Эксперты открыто обсуждают ошибки, сложные решения и компромиссы, через которые проходят компании. Для руководителей ИБ это особенно ценно. Взглянуть на кейсы коллег было особенно ценно.
Курс даёт именно системный взгляд на современную кибербезопасность: от стратегии и управления до технологий и регуляторики. Очень сильный состав экспертов и много того, что обычно остаётся “за кадром” публичных выступлений. Вебинары Валерия Комарова и про 117 ФЗ сильно изменили взгляд на привычные вещи.
Видеозаписи занятий
Модуль состоялся в мае 2026. Полные видеозаписи всех 6 сессий доступны участникам по любому из тарифов.
Как пройти модуль
Модуль можно пройти отдельно — в записи или с обратной связью от экспертов. А можно подписаться на всю годовую программу.
- Видеозаписи всех 4 учебных дней (16 ак.ч)
- Шаблоны, чек-листы и материалы модуля
- Общий чат участников
- Доступ к записям 1 год
- Без обратной связи и удостоверения
- Всё из тарифа «Записи» (доступ 1 год)
- Персональная обратная связь экспертов по 3 артефактам
- Удостоверение установленного образца (16 ак.ч)
- 8 модулей (128 ак.ч)
- Записи и материалы
- Обратная связь и удостоверение каждому
- Спецусловия на Код ИБ ПРОФИ
- Всё из тарифа «Профессионал»
- До 5 участников от компании
- Закрытый воркшоп со спикером на выбор
- Приоритетная поддержка
Прошли модуль и решили продолжить? Стоимость модуля зачтём в годовую программу «Директор по кибербезопасности 8.0» — доплатите только разницу.
Оплата от физического или юридического лица · Рассрочка 0% на 12 месяцев для физлиц · При оплате от юрлица — полный пакет закрывающих документов
30 минут, чтобы понять, подходит ли вам формат
Обсудим вашу задачу и подберём оптимальный формат участия — отдельный модуль, полная программа или командный тариф.
Модуль 3 — часть годовой программы «Директор по кибербезопасности 8.0». Можно приобрести отдельно или в составе полной программы.