MSSP Россия 2026: модели аутсорсинга ИБ для NGFW

Понедельник, 9:15 утра. Дашборд MSSP-провайдера - зелёный по всем клиентам. Через сорок минут наш инженер находит в логах UserGate серию успешных VPN-подключений с двух IP из разных часовых поясов. Под одной учёткой. Звоним в SOC провайдера - алерта нет. Выясняется: после миграции с Fortinet syslog-коннектор не парсит часть полей UserGate, правила корреляции под Valid Accounts (T1078) не срабатывают. Шесть недель "слепой зоны". Два пропущенных инцидента. Дашборд всё это время был зелёным.

Рынок MSSP в России вырос до 32,1 млрд рублей в 2025 году, в 2026-м продолжает разгоняться. Но за красивой динамикой - конкретный вопрос: какая модель аутсорсинга ИБ реально закрывает риски на уровне NGFW, а какая создаёт иллюзию защиты?

UserGate uFactor и К2 Кибербезопасность: scope сравнения​

Почему именно эти двое? Они стоят в разных точках цепочки "вендор NGFW - провайдер управляемой безопасности", и на их примере хорошо видна механика взаимодействия.

UserGate - один из ключевых российских вендоров NGFW, развивающий собственную сервисную модель UserGate uFactor (UserGate Factor). По оценочным данным UserGate (без указания конкретного отчёта), российский рынок SOC как услуга растёт примерно на 15–17% в год, а доля SOC-сервиса внутри сегмента MSSP - около 40%. Для сравнения: в мире доля SOC-сервисов в общих тратах на ИБ, по тем же оценкам, не дотягивает до 11%.

К2 Кибербезопасность - MSSP-интегратор с одним из самых быстрых темпов роста SOC-направления. По данным SecPost, общая выручка К2 в 2025 году - 5,91 млрд рублей (+33%). Выручка от SOC в первом квартале 2026-го достигла 61% от годового SOC-показателя 2025-го. Директор по развитию SOC Александр Боярский фиксирует четырёхкратный рост квартал к кварталу: SIEM, SOAR, NTA, NDR и подключение заказчиков к управляемому SOC.

Солар (32% рынка MSSP), BI.ZONE (23%) и Innostage (8%) - крупнейшие игроки, но каждый из них - отдельное хозяйство со своими продуктовыми стеками, заслуживающее отдельного разбора. Здесь фокус у́же: как работает связка "вендор NGFW + интегратор" - модель, которую повторяют десятки компаний при импортозамещении NGFW.

Модели аутсорсинга информационной безопасности для NGFW​

Управление ИБ на аутсорсе в контексте российского NGFW укладывается в три модели. У каждой - свои trade-offs, которые из маркетинговых материалов провайдеров не видны.

Полный аутсорс: быстро, но контроль теряется​

MSSP-провайдер берёт полный цикл: настройка NGFW, мониторинг, реагирование. Заказчик получает SLA с метриками MTTD (mean time to detect) и MTTR (mean time to respond), набор playbook'ов и периодическую отчётность. По определению Gartner (цитируется Splunk), MSSP - "организация, предоставляющая аутсорсинговый мониторинг через SOC 24/7 для сокращения штата операционных ИБ-специалистов".

Но "сокращение штата" != "ноль штата". Без координатора на стороне заказчика провайдер не получает бизнес-контекст для приоритизации алертов. Я видел случай, когда MSSP два месяца игнорировал алерты на подключения к staging-серверу - потому что никто не объяснил, что staging у заказчика торчит наружу и содержит копию продовой базы.

Ключевой риск - insider threat со стороны самого провайдера. Инженеры MSSP получают привилегированный доступ к конфигурации NGFW. Скомпрометированная учётка сотрудника провайдера - ключ ко всем его клиентам разом. По данным IBM X-Force Threat Intelligence Index 2025, число атак с использованием действительных учётных данных выросло на 71% в 2024 году. T1078 (Valid Accounts) покрывает не только внешних злоумышленников, но и скомпрометированных легитимных пользователей - включая персонал MSSP.

Гибридная модель: баланс для среднего бизнеса​

Заказчик управляет политиками NGFW и конфигурацией. MSSP обеспечивает мониторинг, корреляцию событий и первичное реагирование. В 2026 году это самая востребованная модель аутсорсинга ИБ для финтеха и среднего бизнеса.

Преимущество: контроль конфигурации остаётся у заказчика. MSSP видит логи, но не может изменить правила фильтрации без запроса через change management.

Ограничение - синхронизация. Заказчик добавил новый application rule на UserGate. Провайдер должен обновить правила корреляции в SIEM. Без формализованного change notification SLA возникает зазор - те самые шесть недель из кейса в начале. На практике я видел, как этот зазор растягивался до трёх месяцев: заказчик менял правила еженедельно, провайдер обновлял парсеры - раз в квартал.

Staff augmentation: когда SOC уже есть​

MSSP предоставляет специалистов на проект: инженера по UserGate на период миграции или аналитика для усиления дежурной смены SOC. По данным ENISA (2025), это одна из трёх основных моделей наряду с SOC-as-a-Service и MDR.

Модель оправдана для крупного бизнеса с собственным SOC, но не закрывает потребность в круглосуточном мониторинге. Дефицит кадров в ИБ - более 55 тысяч незакрытых вакансий в России - поддерживает спрос на такой формат.

Вариант с минимальным бюджетом​

Нет денег на MSSP? Начните с открытого стека: Wazuh или ELK для сбора логов NGFW, Sigma-правила из открытых репозиториев для базовой корреляции. Это не замена управляемой безопасности, но закрывает минимальный baseline.

При таком подходе критически важно покрыть хотя бы три техники из detection-чеклиста ниже: T1078 (Valid Accounts), T1562.004 (Disable or Modify System Firewall) и T1190 (Exploit Public-Facing Application). Остальное - по мере роста бюджета. Лучше три правила, которые реально работают, чем тридцать, которые никто не проверял.

Рынок MSSP Россия 2026: цифры управляемой безопасности NGFW​

Российский рынок MSSP по итогам 2025 года достиг 32,1 млрд рублей (+23%). Общий объём рынка кибербезопасности - 364,4 млрд (+16,1%). Рынок SOC, по прогнозам BI.ZONE и интеграторов, может превысить 30 млрд рублей по итогам 2026 года.

Три системных драйвера роста:

Кадровый дефицит. Более 55 тысяч незакрытых вакансий в ИБ. Дмитрий Иняев из iTPROTECT: "Содержать собственную ИБ-команду в режиме 24/7 для мониторинга - довольно дорого даже для крупных ритейлеров или банков, к тому же рынок остро испытывает нехватку аналитиков мониторинга".

Усложнение атак. По данным Mandiant M-Trends 2025, медианное время нахождения злоумышленника в сети - 11 дней (исторический минимум). Основной вектор initial access - эксплуатация уязвимостей (38%). По данным Verizon DBIR 2025, 68% утечек связаны с человеческим фактором: ошибки, социальная инженерия, misuse. 11 дней - это мало для обнаружения, но достаточно для выгрузки всей базы клиентов.

Регуляторное давление. Новые требования ФСТЭК с 2026 года расширяют круг компаний, обязанных выстраивать процессы мониторинга инцидентов. ФЗ-187 обязывает субъектов КИИ уведомлять ГосСОПКА (НКЦКИ) о компьютерных инцидентах в срок от 3 до 24 часов в зависимости от категории объекта. 56% российских корпораций увеличили расходы на ИБ на 20-40% в 2025 году, более 70% повысили инвестиции в передачу функций внешним MSSP-провайдерам.

Технологическая база тоже меняется. R-Vision реализовал более 35 проектов по построению in-house SOC в 2025 году и стал технологической основой для нескольких коммерческих SOC. Positive Technologies фиксирует 30% рост инсталляций продуктов класса SOC (MaxPatrol SIEM, PT NAD, MaxPatrol EDR) в Q1 2026 по сравнению с Q1 2025.

Detection-чеклист: что MSSP обязан мониторить на NGFW​

Абстрактный "мониторинг 24/7" в SLA ничего не гарантирует. Ниже - конкретные MITRE ATT&CK техники, которые MSSP-провайдер обязан покрывать правилами корреляции на уровне событий NGFW. Запрашивайте матрицу покрытия при выборе провайдера - нет матрицы, нет разговора.


Пример правила корреляции для T1078 - аномальный VPN-логин через NGFW (адаптируйте под MaxPatrol SIEM, KUMA или R-Vision):
Пример правила для T1562.013 - отслеживание модификации конфигурации NGFW вне change window:
Если MSSP-провайдер не может показать матрицу ATT&CK-покрытия с разбивкой - какие техники закрыты правилами корреляции, какие только алертами NGFW без корреляции, какие не покрыты - это маркер незрелого SOC. Красивый дашборд не заменяет работающих правил.

Insider threat при аутсорсинге ИБ​

Аспект, который упускается в большинстве обзоров MSSP: провайдер сам становится вектором insider threat. Инженеры MSSP работают с привилегированными учётными записями на NGFW заказчика. Мониторинг их действий (T1078 для привилегированных учёток, T1562.013 для модификации правил) должен выполняться независимо - либо собственной командой заказчика, либо через отдельный канал аудита, неподконтрольный MSSP-провайдеру.

По OWASP A09:2021 (Security Logging and Monitoring Failures), без логирования и мониторинга нарушения не обнаруживаются. Если аудит действий инженеров провайдера ведётся тем же SOC - это конфликт интересов. Закрывать его нужно архитектурно: отдельный syslog-сервер, отдельные учётки для аудита, отдельный канал эскалации.

TCO: свой SOC vs MSSP-провайдер для управления NGFW​

По данным IBM (2024), средняя глобальная стоимость утечки данных - $4,88 млн при среднем времени обнаружения 168 дней и восстановления 51 день. MSSP с покрытием MTTD менее 1 часа и MTTR менее 4 часов кратно сокращает эти показатели.

Критический нюанс, на котором регулярно спотыкаются: лицензия на NGFW (UserGate или любой другой) остаётся за заказчиком при любой модели. MSSP не "покупает за вас железо" - он управляет им. Это становится сюрпризом для компаний, ожидающих формат "всё включено".

Второй скрытый фактор - стоимость выхода из контракта. Через два года решили строить собственный SOC? Перенос правил корреляции и парсеров из инфраструктуры провайдера - отдельный проект на месяцы. На одном проекте мы наблюдали, как миграция правил из SOC провайдера в собственный MaxPatrol SIEM заняла 14 недель - при том что заказчик считал, что "просто скопирует конфиги".

SOC как услуга Россия: регуляторные риски при аутсорсинге​

Большинство компаний в 2026 году выбирают MSSP по двум критериям: цена подписки и узнаваемость бренда. Спрашивают "сколько стоит" и "кого из ваших клиентов можно назвать". На практике - ошибка, которая потом стоит месяцев без реального покрытия.

Реальный вопрос при выборе MSSP - какие конкретно MITRE ATT&CK техники провайдер детектирует на уровне вашего NGFW и есть ли работающие правила корреляции под конкретный вендор. За последние два года на пяти проектах миграции с западных NGFW на российские решения я наблюдал одну и ту же картину: провайдер подключает syslog, добавляет клиента в дашборд и считает работу завершённой. Через месяц выясняется, что парсер не распознаёт половину полей, правила корреляции заточены под Fortinet или Palo Alto и detection coverage на новом NGFW - процентов 30 от заявленного.

Рынок управляемой безопасности NGFW удвоится к 2028 году - в этом сомнений нет. Но рост пойдёт за счёт провайдеров, которые инвестируют в парсеры и правила для российских NGFW, а не за счёт тех, кто добавляет строчку в маркетинговую презентацию. Начинайте выбор провайдера с запроса матрицы ATT&CK-покрытия по вашему конкретному вендору NGFW - нет матрицы, нет контракта. Если интересно как коллеги из других SOC решают интеграцию российских NGFW с внешним мониторингом - на codeby.net есть тред с конфигами парсеров и правилами корреляции под разные SIEM.