06/11/25
Исследование State of DevOps Russia 2025[1], проведенное компанией «Экспресс 42» в партнерстве с Positive Technologies, одним из лидеров результативной кибербезопасности, показало, что 77% организаций выстраивают процессы DevSecOps и используют инструменты ИБ в разработке и поставке ПО, а 75% собирают метрики информационной безопасности. По мнению экспертов, столь высокие показатели свидетельствуют о том, что культура безопасной разработки в России достигла нового уровня зрелости, сделав киберзащищенность стандартом качества.
Изучение состояния DevOps[2] в России проводилось в формате опроса. В нем приняло участие более 3300 респондентов — ИТ-специалистов и руководителей крупных, средних и небольших компаний из разных отраслей. Один из блоков исследования впервые был полностью посвящен информационной безопасности: эксперты выясняли, насколько глубоко ИБ проникла в DevOps-процессы.
Согласно результатам исследования, у 40% организаций системы безопасности интегрированы во все процессы DevOps. Около 60% компаний используют инструменты ИБ прежде всего в CI/CD-конвейере, который автоматизирует сборку, тестирование и развертывание ПО. Для обеспечения планируемых темпов выпуска ПО в продуктивную среду половина опрошенных реализуют проверки безопасности кода на ранних стадиях разработки, а 45% проводят сканирование параллельно со сборкой и тестированием ПО.
Три четверти участников опроса применяют метрики ИБ в своей работе. Наиболее часто используемые:
- период восстановления после инцидента (40%),
- количество нарушений политик безопасности (38%),
- число критически опасных уязвимостей (37%) и время реагирования на угрозы (37%).
По словам экспертов, начиная измерять результат от внедрения инструментов ИБ, компании делают концептуально верный шаг к построению эффективных процессов DevSecOps. Исследование также показало, что решающими факторами при выборе средств защиты являются функциональные возможности продукта (73%), результативность (61%) и возможности его интеграции в существующие процессы DevOps (60%).
«Киберпреступники по-прежнему активно атакуют российские компании через уязвимости в ПО. Часть организаций все еще игнорируют этот факт и бездействуют в защите. Однако большинство компаний на практике убеждаются, что небезопасный код создает существенные риски как для бизнеса, так и для пользователей ПО, поэтому начинают более серьезно относиться к построению процессов DevSecOps. Мы точно можем говорить об устойчивом тренде, и результаты исследования это подтверждают», — прокомментировал Антон Жаболенко, директор по продуктам application security, Positive Technologies.
«Наше ежегодное исследование показывает: российский DevOps быстро эволюционирует — от CI/CD к полноценным внутренним платформам, где безопасность, контейнеризация и опыт разработчика становятся единым целым. Сегодня информационная безопасность — это уже не опциональная функция, а часть ежедневной работы большинства ИТ-команд: три из четырех специалистов сталкиваются с ней каждый день. При этом главный вызов не в отсутствии инструментов или метрик. Более 75% компаний собирают метрики, а у 66,8% средства безопасности уже внедрены прямо в пайплайны. Настоящая проблема — в том, насколько команды понимают и действительно используют эти инструменты на практике», — прокомментировал Алексей Крылов, менеджер продукта Deckhouse Kubernetes Platform по направлению информационной безопасности.
Исследование также выявило, с какими трудностями сталкиваются организации при построении процессов безопасной разработки. Около 46% респондентов отметили недостаток экспертизы у команды внедрения, 42% — проблемы совместимости с существующими системами, а 41% — высокую стоимость. Еще 27% участников опроса указали, что им непонятны результаты сканирования и анализа, которые выдают инструменты. В этой связи эксперты рекомендуют развивать культуру безопасной разработки, привлекать консалтинг, доносить до сотрудников ценность ИБ и обучать их правильно интерпретировать метрики.
