Спрятать данные за границей и построить «ЦОД судного дня» — два рецепта, которые рынок выдал после ударов по дата-центрам «Яндекса». Оба купируют риск концентрации, но ни один не отменяет риск уничтожения. Третья идея — DeFi — пока на подходе, но и здесь распределённость не снимает главного вопроса: как проектировать инфраструктуру, работоспособную при коллапсе масштаба региона или страны. В авторской колонке специально для Национального банковского журнала на эту тему размышляет Тимур АИТОВ — кандидат физико-математических наук, председатель комиссии по безопасности финансового рынка Совета ТПП РФ, руководитель Центра компетенций «Цифровизация финансовых технологий» Фонда развития цифровой экономики.

В начале октября 2026 года украинские дроны атаковали три из шести дата-центров «Яндекса» — в Сасове, Калуге и Владимире, сообщил ТАСС. Восстановление мощностей займёт как минимум полгода. Министр цифрового развития Максут Шадаев признал атаку «беспрецедентной» и сообщил, что Минцифры совместно с Минобороны прорабатывает вопрос прикрытия объектов.

Для банков это не абстрактная новость из мира big tech. Через инфраструктуру «Яндекса» проходили платёжные сервисы и здесь арендовали облачные хранилища сотни компаний, включая системообразующие финансовые организации. Когда один игрок концентрирует такую долю критической инфраструктуры, любые его проблемы мгновенно становятся системным риском для всей финансовой системы.

Реакция рынка предсказуема, но вызывает досаду. Прозвучали предложения, каждое из которых — увы, не архитектурное решение, а попытка обойтись без него. Все они выросли из реальной озабоченности: внутри страны действительно небезопасно. Все так. Однако предложенные ответы ситуацию не исправляют.

Трое из ларца, одинаковых с лица

Первое предложение: вынести данные россиян за границу. 15 октября 2026 года Ассоциация компаний интернет-торговли (АКИТ), объединяющая Ozon, Wildberries, «Купер» и «Яндекс Маркет», направила премьер-министру Михаилу Мишустину обращение с предложением временно разрешить размещение, хранение и обработку персональных данных россиян в дата-центрах дружественных стран. Аргумент прост: за границей надёжнее, там не достанут дроны. Но для банков эта процедура даже чувствительнее, чем для ритейла: речь не только о персональных данных, но и о банковской тайне, при том, что зарубежный ЦОД в одночасье может оказаться не резервом, а залогом. Достаточно решения иностранного регулятора — и доступ к собственным данным будет заблокирован. Вся идея прямо противоречит 242-ФЗ и логике суверенного инфраструктурного контура. И то, что всё это «временно», тоже не спасает: в инфраструктуре нет ничего более постоянного, чем временное решение.

Второе предложение: «ЦОД судного дня». Один из руководителей «Ростелекома» предложил создать единый резервный дата-центр на случай катастрофы. Идея звучит привлекательно, но архитектурно несостоятельна — и здесь для критики достаточно инженерных аргументов. Расстояние от Калининграда до Владивостока — около 7500 км: свет в стекле идёт туда и обратно минимум 75–80 миллисекунд, мгновенного отклика к «единой базе» без локальных копий не будет физически. Перерезанный кабель в тайге или помехи на спутник отрежут целый регион — централизованный ЦОД здесь становится идеальной мишенью, а не убежищем. При сбоях связи возникает рассинхронизация: где-то данные обновились, где-то нет — в платёжной инфраструктуре это прямой путь к двойным списаниям. А терабитные каналы потребуют миллионов серверов и оборудования, которое в условиях дефицита компонентов получить и поддерживать аккуратно скажем так: сложно.

Третьи энтузиасты уже уповают на децентрализованные финансы. Идея и здесь понятная. Но DeFi лишь перекладывает риск концентрации на крупных валидаторов, пулы и мосты, а риск уничтожения не закрывает совсем: ноды на трёх площадках в одном регионе остаются одной точкой отказа. Поэтому для банка это пока ещё не рабочая опция, а скорее перспективное направление экспериментов в песочнице ЦБ.

И здесь мы возвращаемся к тому, с чего начали: проблема не в том, где строить, а в том, кто мыслит и кто именно проектирует. К примеру, единый ЦОД — та же централизация только под другим названием. Настоящий системный архитектор спроектирует систему так, чтобы отказ любого компонента — включая целый регион — не останавливал сервис целиком. Ему не нужен «ЦОД судного дня», ему нужна архитектура, в которой судный день не наступает.

Кто всё это спроектирует?

Авторы перечисленных рецептов мыслят категориями «где спрятать» или «на что переложить», а не «как построить». Во главу угла — уверен — нужно ставить не выбор площадки и не выбор протокола, а подготовку тех, кто эту систему спроектирует.

Системный архитектор в финансовой инфраструктуре — вовсе не администратор баз данных и не DevOps-инженер, пусть даже очень опытный. Архитектор держит в голове одновременно регуляторные ограничения, платёжные протоколы, модели угроз, экономику владения и горизонт в десять лет. Крайне важная фигура именно сегодня. Его задача — предвидеть класс инцидентов и закладывать свойства, при которых последствия остаются управляемыми.

Почему таких людей мало? Причина системная, и чуть-чуть кадровая. Архитектурная роль не оплачивается как управленческая и не встроена в карьерные треки: рынок активно производит «миддлов», которые умеют поддерживать систему, но не проектировать её с нуля. Архитектор не приносит немедленной прибыли — он приносит её отсутствием возможной катастрофы в будущем, которое ещё не наступило, а этот сценарий будущего уже не укладывается в квартальный горизонт. Отсюда и парадокс: если доля вакансий для начинающих в ИТ упала до 10–11%, то спрос на архитекторов устойчив.

Рынок сам проблему вряд ли решит. Горизонт ответственности архитектора — примерно десять лет — этот трек «не продать» и «не простимулировать» за квартальную премию. Компания, которая платит архитектору сегодня, не получит немедленной отдачи завтра. Отдачу она получит, но иначе — отсутствием катастрофы через годы, когда этого архитектора, возможно, уже не будет в штате. Вывод: дефицит архитекторов так и будет воспроизводиться даже при растущих ставках — при том, что банк, который сэкономил на архитектурной позиции, завтра возможно заплатит простоем.

Именно поэтому дефицит архитекторов — риск не меньший, чем дефицит мощностей. Площадку можно докупить, кабель — проложить заново, железо — заменить. Способность спроектировать систему, которая переживёт отказ целого региона, купить на стороне нельзя: подрядчик, конечно, выполнит техзадание, но не возьмёт на себя ответственность за горизонт в десять лет. А значит, только собственные кадры банка, а не дата-центры, определяют, переживёт ли инфраструктура следующий удар. Пока кредитные организации оптимизируют стоимость владения ИТ и ещё сокращают «дорогие» позиции, они этим теряют способность к стратегическому проектированию. Всё сказанное выше относится в первую очередь к системообразующим банкам.

А что делать банковскому сообществу?

Первое. Перестать считать инфраструктурные риски зоной только ИТ-департамента. Совет директоров, обсуждающий стратегию на три года, обязан задаваться вопросом: кто у нас в банке способен спроектировать платёжную архитектуру, устойчивую к отказу целого региона? Ответ из серии «нет таких, эту задачу даже не ставили» генерирует риск, сопоставимый с кредитным.

Второе. Инвестировать в архитектурные компетенции и позиции внутри банка, а не только покупать на стороне.

Третье. Поддерживать подготовку специалистов через программы с дружественными вузами и внутренние лектории, в которых архитектурная роль — не тупиковая ветка для «технаря», а полноценная управленческая позиция. И замечать инициативы, ведущие к реальному результату, — не как в импортозамещении, где мы уже видели, чем порой заканчивается «победа на бумаге».

Правильный ответ на угрозу уничтожения ЦОДов: географически распределённая сеть без единой точки отказа, гетерогенность провайдеров, суверенные протоколы — и люди, способные всё это спроектировать. Надёжный ответ даёт и двухконтурная архитектура: суверенный контур внутри страны, международный — там, где оправдано, но с точками контроля на каждом стыке. DeFi в этой картине — не замена, а один из инструментов распределения, который должен быть встроен в общий замысел.

Ситуация с «Яндексом» — на самом деле не про дроны и не про единый ЦОД. Это история про то, что страна, претендующая на технологический суверенитет, не может позволить себе роскошь не иметь архитекторов. Без них любой новый ЦОД останется реакцией на прошлый удар, а не защитой от следующего.

Совет архитекторов

Банков у нас около трёхсот — и это только банки. Плюс крупные компании национального масштаба с теми же задачами и рисками. Если для каждого держать по одному опытному архитектору, специалистов физически не хватит. Цифры не бьются — и не сойдутся, если решать вопрос умножением штатных единиц.

Здесь напрашивается другой ход. Речь далее не об очередном «едином органе», который будет согласовывать, а об архитектурном совете, чьи рекомендации обязательны для системообразующих банков и компаний. Возможно создать этот совет при одной из банковских ассоциаций. В состав могли бы входить авторитетные практикующие архитекторы, представители регулятора и независимые инженеры; функция совета — удерживать «планку» и передавать опыт, а не выдавать разрешения по каждому поводу. Ключевое отличие от «ЦОДа судного дня» в том, что совет архитекторов не концентрирует инфраструктуру — он концентрирует другое: компетенции и распределяет их. Ограниченное число сильных архитекторов сможет работать не на один банк, а на всю систему.

Для банковского сообщества вывод самый практический: входить в такую площадку — со своими кадрами, кейсами и ответственностью. Банк, который сегодня участвует в формировании общих правил архитектуры, вряд ли станет их жертвой. За этим решением стоит не только архитектура инфраструктуры, но и комплексная оценка всех рисков — от глобальных угроз до землетрясений и наводнений. Именно поэтому структуру логично назвать Национальным советом по архитектуре и рискам инфраструктуры.

Цена промедления здесь измеряется тем самым горизонтом в десять лет, который архитектор держит в голове. И это уже не про дроны. Это новая реальность, в которой надёжность инфраструктуры определяется не толщиной стен дата-центра, а качеством мышления тех, кто его проектировал.