Аналитическая компания N4A Analytics представила результаты регулярного исследования рынка программного обеспечения классов SIEM, IRP и SOAR (есть в распоряжении ComNews). Эти системы автоматизируют процессы ИБ - от обнаружения кибератак до выработки мер противодействия. Всплеск 2025 г. аналитики связывают с ликвидацией многолетнего перекоса: в корпоративной защите упор делался на фрагментированные средства нижнего уровня, а автоматизация процессов верхнего уровня оставалась недоинвестированной.

Первый всплеск - в 2022-2023 гг. - был связан с импортозамещением и быстро угас. Теперь рынок удержался выше 20 млрд руб. и не откатился к прежним 11-13 млрд руб., что говорит об устойчивости тенденции. Драйверами роста называют рост числа и скоротечности атак, а также регуляторный сдвиг к оценке процессов ИБ. Сдерживающий фактор - трудоемкость внедрения и эксплуатации систем, ограничивающая круг потребителей крупными компаниями.

"Тут тот редкий случай, когда реальный запрос на сквозную автоматизацию ИБ-процессов стимулируется аналогичными требованиями регуляторов. Но это не быстрый процесс, правильнее говорить про годы", - отметил сооснователь N4A Analytics Александр Герасимов.

Новое исследование показало, что после всплеска потребления данного класса систем (SIEM, IRP и SOAR) в 2025 г. - рост составил 67%, в 2026 г. наблюдается стабилизация рынка на достигнутых в 2025 г. уровнях. По предварительным оценкам, по итогам 2026 г. объем потребления достигнет 23 млрд руб., прирост относительно 2025 г. составит лишь 10%. Тем не менее, за счет результатов 2025 г. среднегодовой рост в период 2021-2026 гг. достигнет впечатляющих 31%.

По мнению аналитиков N4A Analytics, ключевыми драйверами, определяющими дальнейший рост потребления, являются:

• резкий рост количества и скоротечности направленных атак, своевременное выявление и отражение которых возможно только при наличии развитой аналитики верхнего уровня и отлаженных ИБ-процессов;
• изменения в регуляторике, направленные на перенос акцентов с требований о наличии отдельных средств ИБ на выстраивание процессов ИБ и их результат.

Согласно выводам исследования, главным сдерживающим фактором выступает высокая трудоемкость и сложность внедрения и эксплуатации систем классов SIEM, IRP и SOAR, их интеграции с источниками данных и "исполнительными устройствами" ИБ, что ограничивает круг потребителей крупными компаниями и организациями.

SIEM (Security Information and Event Management) - системы сбора и корреляции событий безопасности: сводят логи серверов, сети и приложений в единую картину и выявляют атаки. IRP (Incident Response Platform) - платформы реагирования на инциденты: автоматизируют расследование и отработку сценариев устранения угроз. SOAR (Security Orchestration, Automation and Response) - решения, объединяющие оба контура: оркестрируют средства защиты и позволяют реагировать без ручного вмешательства. Все три класса закрывают цикл "обнаружение - анализ - реагирование" и составляют верхний уровень автоматизации ИБ-процессов.

Рынок после рекордного года

"То, что мы увидели в 2025 г., - это разовый выброс, связанный с ликвидацией перекоса, когда многие компании, особенно в критической инфраструктуре, были вынуждены срочно закрывать базовые требования регуляторов. В 2026-м рынок стабилизируется на достигнутом уровне", - считает председатель совета по противодействию технологическим правонарушениям КС НСБ России, основатель компании "Интернет-Розыск" (входит в ГК "Киберсистема") Игорь Бедеров.

О замедлении эксперты говорят без особого акцента. Руководитель отдела технического пресейла ООО "АйТи Таск" (IT TASK) Михаил Тимаев объяснил его выработкой накопленного спроса: рынок не насытился, заказчики меняют вектор в сторону развития существующих решений и качества аналитики. Директор дивизиона ИБ АО "Т1" Алексей Трипкош отнес нынешние 10% роста скорее к росту цен, чем к новым продажам: крупный бизнес уже обеспечил себя средствами защиты.

"Плато" в 10% отражает долю пилотных проектов, удовлетворивших заказчиков, считает профессор Национального исследовательского университета ИТМО (Институт точной механики и оптики) Илья Лившиц: остальное закрывается грамотными моделями рисков ИБ.

Кому не найдется места на рынке

"Есть риск, что средний бизнес может остаться за бортом. Ему пытаются продать то же, что и крупным игрокам: проект, лицензии, отдельную команду внедренцев. Среднему бизнесу все это не нужно, к тому же финансово неподъемно", - описал ситуацию ИТ-директор компании РДТЕХ Максим Лапшев. Лучший вариант для среднего сегмента - подписка вместо годового внедрения, считает он. Если вендоры не упакуют такой продукт, этим воспользуются атакующие: даже крупные компании взламывают через подрядчиков (например, "Аэрофлот").

Модель SIEM как сервиса переносит правила корреляции, коннекторы и экспертизу аналитиков на провайдера, превращая капитальный проект в операционную статью расходов, отметил старший управляющий директор ООО "Аппсек Солюшнс" (AppSec Solutions) Антон Башарин. Вопрос для средней компании не в том, может ли она позволить себе мониторинг, а в том, готова ли доверить его внешнему провайдеру, добавил он.

"Уязвимость среднего сегмента лежит не в технологической плоскости, а в управленческой", - поясняет Игорь Бедеров: компании предпочитают "своего человека", который не закроет весь спектр задач. Директор дивизиона информационной безопасности ИТ-холдинга "Т1" Алексей Трипкош прогнозирует для малого и среднего бизнеса решения, которые условно дают две кнопки - зеленую и красную: остановить атаку или не останавливать.

Регулятор: от галочек к процессам

Приказ ФСТЭК № 117 обязывает госорганы, ГУПы и подрядные организации внедрять SIEM и отчитываться о мониторинге, напомнил Игорь Бедеров: если акцент сместится на проверку реальных процессов - времени реакции на инцидент, качества корреляции, интеграции с ГосСОПКА, - требования станут настоящим драйвером.

Максим Лапшев смотрит скептичнее: половина компаний, начавших писать регламенты, не доведет работу до конца, а требование к результату сложно выполнить на бумаге - при первом инциденте станет видно, работал процесс или нет. В ближайшие месяцы вырастет спрос на аудит процессов ИБ и донастройку ПО, а новые закупки пойдут позже.

Антон Башарин видит еще один драйвер: контроль за действиями ИИ-агентов, получающих права доступа к данным, - готовые решения для такого мониторинга могут стать заметной статьей спроса.

Автоматика и право на "красную кнопку"

"Системы информационной безопасности уже могут автоматически реагировать на инциденты без участия человека. Например, блокировать подозрительные подключения или изолировать устройства по заранее заданным правилам", - пояснил руководитель центра компетенций по ИИ ООО "Первый Бит" Виктор Котов. "Но полностью доверять ИИ решения пока рано: ошибка оборачивается либо остановкой рабочих процессов, либо незамеченной угрозой. Типовые действия с минимальными рисками можно доверить автоматике, а решения, влияющие на работу компании, - держать под контролем человека", - отметил он.

Вопрос не в том, когда системы начнут принимать решения без человека, - это происходит уже давно, - а в том, какие именно решения им допустимо доверять, считает главный эксперт центра информационной безопасности АНО ВО "Университет Иннополис" Михаил Серегин. Изоляция целых подсетей несет более высокую цену ложного срабатывания, чем блокировка вредоносного IP-адреса, а ИИ, снижая трудоемкость автоматизации, порождает новые риски: чем больше полномочий делегируется автоматике, тем выше требования к контролю ее поведения. Представитель пресс-службы ООО "Инностейдж" (ГК Innostage) добавил, что автоматика не применяется там, где ложное срабатывание может остановить критичные бизнес-процессы.

Полностью автономных решений в обозримой перспективе не появится, уверен Игорь Бедеров. Алексей Трипкош ожидает "стерильной" автоматизации, где решение все равно принимает человек: автономия придет, когда ложных срабатываний станет меньше, а ML-модели накопят экспертизы.

https://www.comnews.ru/content/242959/2025-12-15/2025-w51/1008/vremya-burnogo-rosta-rynka-ngfw-zakonchilos