«CISO 8.0. Директор по кибербезопасности. Модуль 3 [Код ИБ Академия]» [Роман Шапиро, Виктор Бобыльков]

Технологический стек: выбор, интеграция и управление Open Source CISO-стек 2026: что закупать, как интегрировать и как не утонуть в Open Source. 4 живых разбора supply chain атак 2024–2026 и матрица выбора с TCO на руках. Зачем этот модуль В 2026 году неправильный выбор стека стоит миллионов Рынок ИБ консолидируется, цепочки поставок ПО атакуют за минуты, а регулятор ужесточает сроки. Этот модуль даёт рабочую систему: что закупать, как интегрировать и как держать под контролем Open Source. Вендоры-однодневки На российском рынке NGFW сегодня более 40 вендоров. Через 2–3 года выживут не более 5 — и ставка не на того стоит миграции и бюджета. Supply chain — новая нормальность Сентябрь 2025: 16 минут от фишинга мейнтейнера до раскатки вредоноса в npm-пакеты с 2 млрд скачиваний/неделю. XZ Utils, Shai-Hulud, qix/chalk — уже не экзотика. 24-часовой дедлайн ФСТЭК С 1 марта 2026 Приказ ФСТЭК №117 требует устранения критических уязвимостей за 24 часа. Без управляемого стека и SCA это невыполнимо. Программа модуля — 4 дня, 20 занятий От ландшафта стека ИБ-2026 до supply chain и практического воркшопа Онлайн: вебинары, разборы кейсов и практический воркшоп. 4 живых разбора supply chain атак 2024–2026, 5 рабочих артефактов на выходе. Видеозаписи занятий — ниже. День 1. Сравнение, AI и облако Сравнение решений, интеграция, AI и облако Роман Шапиро · Руководитель дирекции информационной безопасности, Почта России 3.6. TCO как язык разговора с CFO Полная модель TCO на 5 лет: лицензии, инфра, внедрение, миграция, выход Что забывают учесть: сквозной пример NGFW Разница между прайс-листом и реальной стоимостью владения 3.7. Пятишаговый метод объективного сравнения 5–7 ключевых сценариев работы продукта Запрос внутренних тестов вендора + мини-PoC Анонимные опросы коллег по шаблону Взвешенный оценочный лист и решение на цифрах 3.8. AI-инструменты в стеке ИБ-2026 Где ИИ реально работает: UEBA, NDR с ML, SOC-копилоты, AI-DLP Как отличить «маркетинговый ИИ» от «ИИ под капотом» SIEM vs XDR с AI vs гибрид; MaxPatrol O2, Kaspersky SIEM, Solar JSOC 3.9. Облачная безопасность как часть стека CSPM, CWPP, CNAPP: что когда применять Yandex Cloud, VK Cloud, MTS Cloud, СберCloud — особенности Облачный сервис ИБ или on-premise; 152-ФЗ и локализация ПДн как драйвер 3.10. Интеграция стека: как не получить «зоопарк» Когда SIEM/SOAR недоступен: альтернативы Общая шина данных, syslog, единый формат логов Кейс ритейлера: DLP + NGFW + SOC без коммерческого SIEM ДЗ к воркшопу Матрица и схема интеграции Заполнить матрицу выбора и оценочный лист (минимум 2 продукта) Простая схема интеграции своего стека День 2. Open Source и цепочки поставок Open Source в корпоративном стеке Виктор Бобыльков · Директор по кибербезопасности, MWS Cloud Андрей Моисеев · Senior DevSecOps, MWS Cloud 3.11. Почему Open Source — не «бесплатный сыр» 90–97% приложений содержат OSS-компоненты 33% российского ПО на OSS содержит серьёзные уязвимости Bus factor: риск проектов с одним мейнтейнером 3.12. Атаки на цепочки поставок ПО: разбор четырёх кейсов Март 2024: XZ Utils backdoor (CVE-2024-3094), CVSS 10.0 Сентябрь 2025: Shai-Hulud в npm — 500+ пакетов, кража PAT и ключей 8 сентября 2025: qix/chalk — 16 минут до 2 млрд Ноябрь 2025 → апрель 2026: Shai-Hulud 2.0 и The Third Coming 3.13. Практикум. SCA и SBOM на пальцах для CISO SCA как сканер библиотек, SBOM как «список ингредиентов» Контекст: EO 14028, ФСТЭК и АРПП «Отечественный софт» Запуск OWASP Dependency-Check; CodeScoring, AppSec.Hub, AppSec.Sting 3.14. Лицензионная чистота: ликбез для CISO Безопасные лицензии: MIT, Apache 2.0, BSD «Заразные»: GPL, AGPL — когда придётся открывать свой код LGPL: динамическая vs статическая линковка; что делать с GPL в продукте 3.15. Чек-лист оценки здоровья OSS-проекта Когда последний релиз? Как часто исправляются CVE? Bus factor: сколько активных контрибьюторов Есть ли коммерческая компания за проектом ДЗ к воркшопу SCA на своём проекте Запустить SCA и OWASP Dependency-Check на реальном или учебном проекте Оценить здоровье 5–10 ключевых OSS-компонентов по чек-листу Принести отчёт на воркшоп для разбора с экспертом День 3. Ландшафт стека ИБ-2026 и инвентаризация Дмитрий Шарапов · Управляющий директор, ДОМ.РФ Андрей Эли · Директор по информационной безопасности, Hoff Tech Данила Вайсбург · Начальник отдела кибербезопасности 3.1. От «зоопарка» точечных продуктов к платформам 40+ российских NGFW-вендоров на месте 10 в начале 2022 Объёмы рынка по сегментам: NGFW, SIEM, DLP, EDR, NTA Поглощения и консолидации 2022–2026 3.2. Регуляторная рамка выбора решений Указ №250 (1 мая 2022) и Указ №500 (13 июня 2024) Требования ФСТЭК для NGFW класса 4 Реестр Минцифры; признаки добросовестного российского вендора 3.3. Импортозамещение без сюрпризов Методика PoC: критерии успеха, типовые ошибки Договор с вендором: SLA, право на аудит, выход Кейс: миграция банка с Cisco ASA на российский NGFW 3.4. Карта классов решений ИБ-стека 2026 12 обязательных + 4 опциональных класса Лидеры, второй эшелон, нестабильные вендоры Опора на «Матрицу импортозамещения 2025» СТРИМ Консалтинг 3.5. Инвентаризация стека: пошаговый метод 5 шагов: договоры → опросы → API → карта → белые пятна Кейс: компания нашла 15 спящих лицензий, экономия 3 млн ₽/год Демонстрация шаблона на учебных данных День 4. Практический воркшоп Андрей Эли · Директор по информационной безопасности, Hoff Tech · малые группы 5–7: действующий CISO + архитектор 3.16. Установочная сессия Распределение по трекам и экспертам Трек А: 1000+ сотрудников Трек Б: 200–1000 · Трек В: до 200 + стартапы 3.17–3.19. Три ротации защиты артефактов Ротация 1 — защита матрицы выбора: 2–3 продукта, веса, TCO, рекомендация Ротация 2 — разбор плана интеграции: точки отказа, дублирование, разрывы Ротация 3 — Open Source-аудит: SCA-отчёт и здоровье OSS, приоритизация 3.20. Закрытие модуля Сводка ключевых выводов воркшопа 7 дней на доработку артефактов на полных данных компании Итоговое тестирование (30 вопросов, проходной балл 70%) Бонус: лучшие 3 работы разберём на «Безопасной среде» через месяц Что вы получите 5 рабочих артефактов под свою компанию Не абстрактные знания, а готовые рабочие документы — забираете с собой и применяете с первого дня после модуля. Инвентаризация стека 10–12 классов решений вашей компании с заполненными атрибутами по шаблону. Матрица выбора с TCO Сравнение 2+ продуктов с расчётом TCO на 5 лет, веса критериев, рекомендация — рабочий документ для CFO. Схема интеграции стека Текущая и целевая архитектура на 1–2 года с разбором точек отказа и разрывов покрытия. SCA-отчёт с планом исправления OWASP Dependency-Check по проекту: список уязвимостей, приоритизация, план действий. Оценка здоровья OSS Топ-10 используемых open-source зависимостей по чек-листу с решением о замене проблемных компонентов. Карта рынка ИБ-2026 12+ классов решений, лидеры, второй эшелон, нестабильные вендоры — стартовая точка для любых будущих закупок. Шаблоны и чек-листы Проверка вендора, шпаргалка по OSS-лицензиям, инструкция по OWASP Dependency-Check, чек-лист AI-tooling. Самостоятельное прохождение в записи.