Мы смотрим на историю информационной безопасности в России, и хочется говорить о технологиях, угрозах, регуляторах, рынке. Это логично, ведь именно эти изменения легче всего увидеть и измерить. Но если много лет подряд выпускать профессиональный журнал, то постепенно начинаешь замечать и другие аспекты. Меняются не только продукты, но и способ, которым сообщество думает о безопасности.

В начале прошлого десятилетия информационная безопасность во многом была отраслью готовых ответов Почти для каждой задачи существовал набор рекомендаций, типовая архитектура или класс решений. Нужно защитить сеть — покупаем межсетевой экран; нужно выполнить требования регулятора — внедряем необходимые средства защиты из реестра; нужно бороться с ВПО — ставим антивирус.

Казалось, правильное решение всегда существует, его нужно лишь выбрать и грамотно внедрить. Теперь же мы обсуждаем совсем другие вопросы. Не то, удалось ли обнаружить уязвимость, а то, насколько она действительно опасна. Не то, закрыт ли инцидент, а устранен ли риск на самом деле. Даже новые классы решений все чаще появляются не для автоматизации рутины, а для проверки уже существующих результатов. За 12 лет с начала движения в сторону импортонезависимости информационная безопасность перестала быть областью готовых рецептов. Она стала постоянно проверять собственные представления на устойчивость.

Вместе с этим изменился и предмет защиты. Еще совсем недавно безопасность строилась вокруг наблюдаемых активов: серверов, рабочих станций, баз данных, сетевого периметра. Эти объекты понятны, их можно было инвентаризировать, классифицировать и защищать.
Сейчас мы, конечно, тоже не забываем об объектах, но все же больше внимания уделяем процессам. Мы обсуждаем безопасность разработки, управление уязвимостями, жизненный цикл учетных записей, цепочки поставок ПО, пайплайн обработки данных в ИИ — это все процессы. Даже когда речь заходит о конкретном продукте, разговор довольно быстро сводится к тому, как он встроен в общий процесс управления безопасностью.

Еще несколько лет назад мы чаще говорили об оценке защищенности, под которой понималось состояние конкретной информационной системы: насколько она соответствует требованиям, какие средства защиты внедрены, какие уязвимости обнаружены. Сегодня же мы оцениваем зрелость управления уязвимостями, зрелость SOC, зрелость процессов разработки, зрелость управления доступом. Обратим внимание, что защищенность — это характеристика объекта, а зрелость — характеристика процессов.

Еще один небольшой штрих, который заметен нам, журналистам. В старых номерах «Информационной безопасности» большинство материалов посвящены конкретным технологиям, поэтому названия продуктов и классов решений чаще всего становились и заголовками публикаций. Сегодня язык изменился — в заголовках стало больше глаголов: как проверить, как оценить, как понять, как доказать, как измерить.

За 12 лет российская информационная безопасность стала значительно сильнее технологически. Но она также стала взрослее интеллектуально. Она научилась сомневаться в собственных выводах, проверять их и задавать вопросы, на которые не существует тривиальных ответов. И если когда-нибудь через много лет меня спросят, что больше всего изменилось в нашей отрасли за это время, я, скорее всего, отвечу так: изменилось наше понимание безопасности.

Все эти годы журнал был не столько летописью технологий, сколько летописью вопросов, которые отрасль задавала самой себе. И если сравнить вопросы в 2014-м и в 2026 году, становится ясно: российская информационная безопасность повзрослела не потому, что у нее появилось больше ответов. Она повзрослела потому, что научилась задавать гораздо более сложные вопросы. Ответы меняются вместе с технологиями, а хорошие вопросы остаются надолго.