Цена цифровой зависимости

Миграция российского бизнеса на отечественное программное обеспечение (ПО) далека от завершения – многие предприятия продолжают использовать устаревшие иностранные решения, несмотря на рост кибератак, управленческие и юридические риски. Как провести инвентаризацию унаследованных систем, построить реалистичную дорожную карту и выбрать российские альтернативы без потери управления и миллиардных убытков?

Парадокс успеха

Показатели импортозамещения на рынке софта впечатляют: доля отечественного ПО в новых продажах выросла до 70–80% и это позволяет регуляторам и отраслевым объединениям говорить о достижении цифрового суверенитета. Однако эти цифры не дают полной картины. Основной объем продаж российских вендоров приходится на новые проекты, где заказчики с чистого листа выбирают отечественные решения, а софт, установленный давно, в эту статистику не попадает. На деле бизнес продолжает эксплуатировать унаследованные западные системы. Их доля на рынке составляет не менее 30%, а в ряде сегментов до 50–60%.

К примеру, в классе корпоративной почты на иностранные системы, которые не получают обновлений, приходится порядка 50%. По нашим оценкам, 77 000 почтовых серверов в РФ содержат неустранимые или необновленные бреши. Примерно 30% организаций используют решения зарубежной IT-компании Veeam для резервного копирования. С 2024 г. вендор заблокировал обновления и техподдержку для российских пользователей. Злоумышленники атакуют незащищенные резервные копии, и это может привести к безвозвратной потере данных.

В сегменте виртуализации 39% серверов работают под управлением американской VMware, при этом более 40 000 серверов ESXi (гипервизоры) в России имеют открытый сетевой доступ и содержат известные критические уязвимости (CVE). Еще более удивительная ситуация с облачными платформами: легальная доля иностранных решений составляет менее 1%, но до 20% компаний практикуют серую эксплуатацию западных облачных сервисов.

Цена уязвимости

Тихая эксплуатация старого импортного ПО обходится дороже планомерной миграции. На первый взгляд поддержание работающей системы кажется дешевле: не нужно покупать новую лицензию, переучивать персонал или останавливать процессы. Однако по мере прекращения обновлений растут риски утечек данных и атак на критическую инфраструктуру. Кроме того, устаревший софт накапливает технический долг: он все хуже интегрируется с новым оборудованием и российскими сервисами, требуя дорогостоящих «костылей» и ручной поддержки.

Атака на крупную авиакомпанию в 2025 г. стала хрестоматийным кейсом – среди скомпрометированных злоумышленниками систем оказались и почтовая система на базе Microsoft Exchange, и платформа виртуализации VMware, и система Veeam. В результате было уничтожено около 7000 серверов и украдено 22 ТБ данных. У логистического оператора в 2024 г. атака затронула именно резервные копии. Компания встала на несколько суток и потеряла десятки миллионов рублей. Одному из ритейлеров кибератака в прошлом году стоила более 1 млрд руб. из-за простоя 2000 магазинов в течение четырех суток.

Все три случая объединяет то, что компании полагались на ПО западных вендоров. Главная иллюзия «стабильной работы» иностранного ПО в том, что компания не видит накапливающихся уязвимостей, а защититься штатными средствами невозможно.

Кроме того, тесное сотрудничество западных вендоров со своими спецслужбами создает для российских компаний критические риски. Сохранение их решений в информационной инфраструктуре сопряжено с угрозами целенаправленных деструктивных воздействий, включая удаленное отключение систем, нарушение их функционирования и компрометацию данных, внедрение в ПО недокументированных возможностей.

Качественный переход

Первое, что необходимо сделать любой организации с устаревшим иностранным ПО под капотом, – провести инвентаризацию софта: составить полный реестр решений, оценив критичность каждого, начиная с критической инфраструктуры и заканчивая вспомогательными системами. Особое внимание нужно уделить «слепым зонам»: софту, который давно работает без поддержки вендора, но почему-то не включен в план замены.

Вдумчивая инвентаризация позволит составить дорожную карту по замене систем. Двигаться стоит с пилотных проектов на некритичных контурах, параллельно наращивая внутреннюю экспертизу. При выборе российских альтернатив недостаточно сравнивать только функции. Важно удостовериться, что система прошла сертификацию Федеральной службы таможенного и экспортного контроля, проверить совместимость с отечественными операционными системами (Astra Linux, «Ред ОС») и убедиться в качестве техподдержки и экосистемы интеграторов. Критически важно инвестировать в переподготовку специалистов.

Планомерная миграция позволяет распределить расходы во времени и получить управляемую, защищенную и полностью суверенную IT-среду. При этом 2026–2028 годы – последний реалистичный горизонт для завершения этого перехода, особенно для объектов критической инфраструктуры и финансового сектора. Компании, которые начнут процесс прямо сейчас, получат сильное конкурентное преимущество: устойчивую инфраструктуру, соответствие регуляторным требованиям и предсказуемую стоимость владения.