Банки вступили в конкурентную борьбу с вендорами на рынке решений по поиску уязвимостей. Первым на путь коммерциализации этой услуги вышел Альфа-банк, аналогичные системы есть и у других крупных кредитных организаций (Т-Банка, Сбербанка). Занять значимую долю высокотехнологичного сегмента рынка при аналогичном ИБ-компаниям функционале можно, значительно снизив цену. По словам экспертов, такая стратегия позволяет заручиться заказами, однако решения банка подойдут не всем клиентам.

Альфа-банк вывел на рынок сервис для корпоративных клиентов по поиску уязвимостей во внешнем периметре с применением ИИ, рассказали “Ъ” в кредитной организации. Речь идет о проверке сайтов, приложений, сетевых сервисов и других доступных в интернете ресурсов компаний. ИИ классифицирует найденные проблемы по критичности и формирует для специалистов банка рекомендации по устранению. Как отметили в кредитной организации, этот функционал изначально создавался «для себя за счет внутренних ресурсов, поэтому его разработка не потребовала увеличения бюджета».

Фактически это первый опыт среди банков по коммерциализации подобных услуг. Известно, что Т-Банк разработал решение, которое при помощи ИИ воспроизводит действия потенциального злоумышленника, находит слабые места и проверяет, действительно ли ими можно воспользоваться в условиях, приближенных к реальной атаке. Однако «банк использует его самостоятельно и пока не предлагает рынку», отмечает руководитель управления кибербезопасности Т-Банка Игорь Кубышко. Сбербанк на безвозмездной основе предоставляет доступ к информационной базе, где, в частности, доступен список зарегистрированных уязвимостей.

На коммерческой основе такие продукты предлагают вендоры. Решение Positive Technologies позволяет выявить уязвимости на используемых компаниями web-ресурсах и понять, что исправлять в первую очередь. При этом внешний контроль «не заменяет проверку внутренней инфраструктуры и полноценный пентест», указывает руководитель группы инфраструктурной безопасности компании Павел Попов. «Солар» предлагает платформу, которая позволяет при помощи ИИ выявить потенциальные уязвимости в коде, обеспечить верификацию найденных уязвимостей и подготовить исправления кода.

Фактически Альфа-банк вступает в конкуренцию с ИБ-компаниями на их поле. Однако клиентам этот сервис обойдется дешевле, чем прямые аналоги на рынке, «но цена зависит от запроса конкретной компании, размера инфраструктуры, которую требуется просканировать, количества сервисов и срока контракта», отмечают в банке. Стоимость начинается от 500 тыс. руб., а при количестве более 100 активных IP-адресов и доменов стоимость рассчитывается индивидуально. При этом минимальный срок договора начинается от шести месяцев. Для сравнения: в «Соларе» отмечают, что стоимость решений вендоров находится в диапазоне от 1 млн до 100 млн руб. в год с учетом затрат на внедрение.

В целом стоимость услуги определяется стандартными показателями — объемом, глубиной сервиса, количеством использованных типов сканирования, уровнем предоставления услуги (SLA, определяет допустимый уровень качества, сроков и параметров обслуживания). «Понятно, что игрок, который только выходит на рынок, должен предлагать более конкурентоспособную цену, потому что, даже несмотря на мощный бренд, для Альфа-банка это новое направление, в котором еще нет того уровня доверия пользователей»,— отмечает руководитель департамента развития и архитектуры «Кросстех» Евгений Балк.

Вместе с тем, по словам экспертов, решения банков и вендоров имеют различия в подходах и подойдут не каждой компании. Ключевым отличием банковских решений по поиску уязвимостей с помощью ИИ является то, что они первоначально создавали продукты для собственных нужд и лишь затем ставили задачу коммерциализации. «Монетизация сервиса на внешнем рынке ИБ является для них второстепенной задачей»,— считает руководитель направления управления уязвимостями «Инфосистем Джет» Виктор Кирпаль. Вендоры же «разрабатывают продукт сразу под рынок и его многочисленные отрасли», указывает эксперт. Основной аудиторией таких решений выступают организации финансового сектора, тогда как вендорские решения охватывают весь спектр — от малого бизнеса до крупных корпораций и государственного сектора. Учитывая такой подход, различаются и детали сервисов — глубина поиска уязвимостей, качество рекомендаций по их устранению, выбор источников для наполнения базы проверок и возможности одновременной проверки нескольких сервисов, указывает господин Кирпаль.