Киберинциденты в финансовой отрасли сегодня всё чаще становятся следствием не внешней атаки, а уязвимости в ПО, допущенной на этапе разработки. Стремление к скорости и инновациям оборачивается рисками, которые традиционные, разрозненные средства защиты закрыть не способны. Как финансовым институтам не стать заложниками собственной инновационности? Ответ – в построении культуры киберустойчивости, основанной на практиках DevSecOps, считает Сергей ПОЛИНЕНКО, директор по продукту платформы «Сфера» (вендор НОТА, ИТ-холдинг Т1).

От бюрократии к культуре: почему безопасность – это не этап

Традиционный подход к безопасности исчерпал себя. Безопасность, приходящая на финальных этапах, воспринимается командой разработки как препятствие, а не как помощник. Множество инструментов – статические (SAST) и динамические (DAST) анализаторы, сканеры зависимостей (SCA) – работают в вакууме, порождая лавину ложных срабатываний и не давая руководству единой картины происходящего.

Ключевой сдвиг парадигмы – это переход от восприятия безопасности как этапа к принятию её как культуры. Речь идёт о принципе «Shift Left» – интеграции проверок безопасности на самых ранних этапах жизненного цикла ПО. Это культура общей ответственности, где разработчики, DevOps-инженеры и специалисты по безопасности (SecOps) говорят на одном языке и работают над общей целью – созданием качественного и защищённого продукта.

Роль инженерных практик в устойчивой разработке

Инженерные практики DevSecOps – это тот фундамент, который делает разработку по-настоящему устойчивой. Речь идёт о глубокой автоматизации проверок безопасности непосредственно в CI/CD-конвейере.

Каждая новая сборка автоматически проверяется на уязвимости, соответствие стандартам кодирования и лицензионным политикам. Это не замедляет процесс, а напротив, ускоряет его, находя и устраняя дефекты до того, как они перейдут на следующие стадии и потребуют дорогостоящих правок.

Платформенный подход: как не утонуть в бюрократии и получить контроль

Внедрение контроля не должно означать погружения в рутину. Точечное внедрение инструментов или переход на open-source решения, за поддержку которых никто не несёт ответственности, создаёт лишь иллюзию контроля и несёт дополнительные риски из-за сложности обновлений и скрытых уязвимостей.

Единственный эффективный ответ на вызовы масштаба – это платформенный подход. Единая платформа, такая как «Сфера», объединяет культуру, процессы и инструменты в целостный организм. Она обеспечивает:

·      Автоматизацию и оркестрацию всех этапов безопасной разработки – от написания кода до поставки
в продакшн.

·      Создание доверенной среды разработки, где все процессы стандартизированы и безопасны по умолчанию.

·      Единый интерфейс и аналитику для руководства, предоставляя исчерпывающие метрики о качестве кода, уровне уязвимостей и эффективности команд.

Для бизнеса это означает снижение совокупной стоимости владения (TCO), повышение операционной эффективности и, что главное, кардинальное снижение рисков из-за человеческого фактора и слабости процессов.

DevSecOps – это стратегическая необходимость. Для российского высокотехнологичного бизнеса, особенно в финтехе, это также вопрос технологического суверенитета.

Платформа «Сфера», использующая лучшие отечественные продукты информационной безопасности, такие как решение «Купол», предлагает готовый путь к управляемости, масштабируемости и эффективному управлению рисками.

Это не просто инструмент, а готовый ИT-конвейер для построения киберустойчивого будущего вашей компании.

Текст: Сергей Полиненко

Материал также опубликован в печатной версии Национального банковского журнала (сентябрь 2025)