100 невидимых дверей в вашу сеть: почему IAM больше не работает и нужен Non-Human Identity

Денис Батранков · @safebdv · май 2026

На отечественных ИБ-конференциях 2026 года CISO по-прежнему обсуждают, как поймать маркетолога с подпиской на ChatGPT. Тем временем мировая индустрия кибербезопасности столкнулась с тектоническим сдвигом. Главным вектором угроз стали не люди, а Non-Human Identities (NHI) — автономные ИИ-агенты, сервисы и машины, которые общаются друг с другом без участия человека вообще.

---

Масштаб, который не укладывается в голове

Okta зафиксировала: в 2023 году на каждого сотрудника корпоративной сети приходилось в среднем 45 машинных идентификаторов — сервисных аккаунтов, API-ключей, токенов OAuth, сертификатов TLS. Silverfort пересчитала в 2025-м: уже 80–100. Каждый CI/CD-пайплайн в GitHub Actions работает под своим токеном. Каждый Lambda-обработчик в AWS получает IAM-роль. Каждый Kubernetes-под имеет ServiceAccount. Ни один из них не может позвонить в SOC и сказать «кажется, что-то пошло не так».

Человека можно уволить. Токен — нет.

---

Single Packet Authorization: как сделать свою инфраструктуру невидимой для сканеров

Пока классические безопасники держат порты открытыми 24/7 и латают дыры по мере поступления CVE, индустрия переходит на концепцию Dark IP. Её ядро — Single Packet Authorization (SPA).

Что не так с текущей моделью безопасности

Каждый открытый порт — это приглашение. Администратор открывает 443 или 22, потому что иначе сотрудник, микросервис или ИИ-агент не попадёт в сеть. Порт виден в интернете. Сканер атакующего его находит, сопоставляет с базой CVE, и в 2026 году от публикации уязвимости до её эксплуатации проходят не недели — часы. Патч человек просто не успевает поставить.

Как работает Single Packet Authorization (SPA)

Квантовый апокалипсис для криптографии: что делать ИБ-руководителю прямо сейчас

Денис Батранков · @safebdv · май 2026

Идет гонка - кто первый!

Китай уже вложил 15 миллиардов долларов в квантовый центр. На днях стало изввестно, что правительство США вложило 2 млрд долларов в девять квантовых компаний и получило акции каждой из них. 

• IBM получила 1 млрд и строит завод по производству квантовых чипов Anderon в штате Нью-Йорк. 
• GlobalFoundries 375 млн, D-Wave, Rigetti, Infleqtion и PsiQuantum по 100 млн. При этом D-Wave — это первый в мире коммерческий поставщик квантовых компьютеров, работает с 1999 года. Rigetti  — разработчик сверхпроводниковых квантовых процессоров, торгуется на NYSE. Infleqtion — специализируется на нейтральных атомах как кубитах, вышла на биржу в феврале 2026 года. Их акции в результате выросли на 30–33% за день. 

Это явно не венчурные инвестиции. Это инвестиция государства, которое считает квантовый компьютер стратегическим оружием. 

А почему? Потому что скоро почти все ваши зашифрованные сообщения взломают. Это уже не обсуждается. Обсуждается только то, успеете ли вы сменить свои алгоритмы шифрования до этого момента. Если вам нужен конкретный план для CISO и ИТ-директора, то эта статья для вас. 

ИИ без RAG — это врач без вашей медицинской карты. Почему об этом молчат на старте проекта по ИИ

Каждый второй ИИ-проект стартует одинаково: выбирают модель, настраивают интерфейс, показывают демо. И почти никто не закладывает в первый спринт то, без чего модель будет уверенно врать о вашем же бизнесе. Разбираем, что это за слой — и почему без него GPT-4 не знает ни ваших цен, ни ваших клиентов, ни ваших договоров.

Представьте: вы наняли блестящего врача. Он помнит терабайты учебников: все болезни, все протоколы лечения, весь справочник лекарств Vidal. В мире ИИ этот врач — GPT-4 или Claude.

Но он видит вашего пациента впервые. Нет медицинской карты, нет истории болезней, нет результатов анализов из лаборатории Invitro. Он начинает ставить диагноз по общим знаниям и либо ошибается, либо выдаёт совет «пейте больше воды». Это и называют галлюцинациями ИИ.

RAG — это медицинская карта, которую вы даёте врачу прямо перед приёмом.

Как это работает: три шага

Ваш ребёнок не может отложить телефон. Финский учитель смог с этим справиться на уроках

Вы уже сто раз говорили: «Положи телефон». Ребёнок кивает, кладёт — и через три минуты снова смотрит в экран. Это не упрямство и не игнор. Это дофаминовый цикл, и работает он одинаково у детей, подростков и взрослых. 

Финский педагог Самули Сиекконен заметил ту же картину в своих классах. Только вместо запретов он начал учить детей одному простому навыку: осознавать, зачем они вообще тянутся к телефону прямо сейчас. Нужно не забирать телефон, а вернуть контроль за импульсом в голове.

В чём проблема на самом деле

Мозг не различает «нужно проверить сообщение» и «рука потянулась сама». Оба действия запускаются одним и тем же триггером — кратким дискомфортом: скукой, паузой в разговоре, ожиданием лифта. Телефон стал таблеткой от любого микро-дискомфорта. Это и есть зависимость.

Запрет убирает телефон из рук на час. Привычку не убирает никак.

10-дневная схема Сиекконена: как она устроена

Ключ от всего здания навсегда: почему так больше нельзя делать с появлением Zero Standing Privileges

В прошлом году злоумышленники зашли в 84% организаций, просто используя украденные учётные данные. Не через дыры в коде и не через уязвимости в железе — просто взяли действующий пароль и вошли, как обычный сотрудник. IBM подсчитал: средняя цена одного такого инцидента — $4,44 млн (Cost of a Data Breach 2025). В половине случаев история одна и та же: кто-то получил доступ, выполнил задачу и ушёл, а доступ за ним не закрыли. Учётная запись продолжала существовать — с теми же правами, без владельца, без контроля. Вот через неё и вошли.

Именно эту структурную проблему решает концепция Zero Standing Privileges — ZSP. Только не путайте её с очередным обновлением PAM или маркетинговой надстройкой над существующими инструментами. ZSP — это отказ от базового допущения, на котором строится вся классическая безопасность доступа: что привилегии должны существовать заранее, до того как они понадобятся.

Что такое Большая языковая модель (LLM)

Большая языковая модель — это не база данных, не склад готовых ответов и не мыслящий разум, а колоссальный математический калькулятор. На жестком диске вашего компьютера модель Llama 3 весом в несколько гигабайт представляет собой один гигантский файл, внутри которого записаны миллиарды дробных чисел.

Эти числа инженеры называют весами. Вся суть работы искусственного интеллекта сводится к одной задаче — угадыванию каждого следующего слова в предложении на основе сложнейшего расчета вероятностей.

Что вы можете сделать с ИИ

 1. Работа с текстами:

• составление и редактирование деловых писем, отчётов, презентаций;

• подготовка черновиков статей, постов для соцсетей, пресс‑релизов;

• переформулировка текста — упрощение, усложнение, адаптация под аудиторию;

• сокращение текста с сохранением смысла (резюмирование);

• перевод текстов (в т. ч. с сохранением стиля);

• проверка орфографии, пунктуации и стилистики.

TEE - в вашем смартфоне живёт второй процессор. Он не доверяет первому

Каждый раз, когда вы платите телефоном, происходит кое-что, о чём ваш Android не может знать. Смартфон не спрашивает основную операционную систему, совпадает ли ваш отпечаток с эталоном. Он спрашивает другой процессор — невидимый, изолированный, работающий параллельно. Android получает только ответ «да» или «нет». Сами биометрические данные он никогда не видит.

Эта архитектура называется TEE — Trusted Execution Environment, доверенная среда выполнения. Она есть в каждом современном смартфоне, в серверах Azure и Google Cloud, в ноутбуках с Windows Hello, в банкоматах и платёжных терминалах.

И это также большой рынок. Производители TEE в 2024 году заработали 3,5 миллиарда долларов. К 2033 году аналитики ждут 18 миллиардов. Большие деньги за технологию, которую никто не видит и мало кто понимает.

TEE — это бронированная комната внутри процессора. Основная ОС живёт снаружи: она получает задачи, управляет приложениями, иногда подхватывает вирусы. Бронированная комната работает параллельно, отвечает только на заранее разрешённые вопросы и не открывается изнутри — даже если снаружи получили права администратора. Вредоносное приложение, засевшее в Android, не может украсть ключи Apple Pay — их там нет. Они в комнате.

• Разблокировка ноутбука по лицу — TEE.
• Банковское приложение, которое отказывается работать на рутованном телефоне — TEE.
• Корпоративная VM в Azure, данные которой не видят администраторы дата-центра — TEE.
• Стриминговый сервис, проверяющий лицензию на 4K-контент — тоже TEE.

Одна архитектурная идея в основе всего: среда внутри процессора, которой доверяют больше, чем самой операционной системе.

Пять вопросов, которые отделяют надёжный сейф от красивой коробки

TEE: Процессор внутри процессора: как производители защищают ваши данные

TEE — это аппаратная область внутри процессора,

где полномочия обычной операционной системы заканчиваются

Когда вы прикладываете палец к смартфону, происходит любопытная вещь. Телефон не спрашивает Android: «это правильный отпечаток?». Вместо этого запрос уходит в отдельную изолированную среду внутри процессора. Android не видит сам отпечаток, не хранит его и не участвует в проверке.

Эта технология называется TEE — Trusted Execution Environment, доверенная среда выполнения.

Проще всего представить её как бронированную комнату внутри большого офиса. В основном офисе работают браузеры, мессенджеры, игры и приложения. Там бывают вирусы, ошибки и взломы. Но внутри того же здания есть маленькое помещение с отдельными правилами безопасности. Именно там хранятся ключи шифрования, проверяется биометрия и выполняются самые чувствительные операции.

Сегодня TEE уже используется почти везде:

• в Face ID и сканерах отпечатков;
• в Apple Pay и Google Pay;
• в банковских приложениях;
• в шифровании смартфонов и ноутбуков;
• в облачных вычислениях;
• в системах защиты AI-моделей;
• в корпоративных виртуальных машинах.

Большинство пользователей никогда не слышали термин TEE. Но именно эта технология сегодня стоит между злоумышленником и вашими деньгами, биометрией или корпоративными данными.

Почему TEE внезапно стала стратегической технологией

Производительность самых мощных платформ у каждого производителя в России

Ideco EX

RusPoint RP28010

Check Point CP19200

Континет 4 IPS-R5000

UserGate F8010

Kaspersky KX-3500

PT 3050

API-ключ без срока жизни: почему ваша процедура увольнения ничего не значит

В пятницу вечером вы уволили разработчика. Заблокировали учётку в Yandex Cloud. Удалили из организации в VK Cloud. Отчитались перед HR — всё по регламенту. Молодцы.

В понедельник утром объектное хранилище тихо отдаёт терабайт ваших данных. Никакого взлома. Никакого фишинга. Просто у уволенного был API-ключ сервисного аккаунта, созданный полгода назад для автоматического деплоя. Ключ жив. Он никогда не умирает сам по себе. HR об этом не знает. Регламент увольнения соблюден.

Я занимаюсь информационной безопасностью больше двадцати лет. Эту историю слышал в разных вариациях десятки раз. Каждый раз компании удивляются. Потому что на бумаге всё было сделано правильно. А у уволенного сотрудника доступ к авторизованной когда-то ранее сессии в Контур.Толк еще остался.

Как стать CISO в России: четыре маршрута и ни одного простого.

Зарплаты топовых CISO достигли 1,3 млн рублей в месяц. Медиана по рынку 520 тыс. Но главное не цифры. Главное - это цена тревоги, которая вшита в эту профессию.

Эта заметка родилась во время того как я слушал ответы многих мною уважаемых коллег на CISO форуме.

Профессия ИБ-директора — одна из самых уважаемых сегодня. Генеральный директор делегирует CISO ответственность за самые неприятные операционные риски компании. Кассовый разрыв понятно как закрыть. Нехватку ИТ-ресурсов тоже. А вот множество угроз, способных остановить весь бизнес целиком, сегодня лежат именно в руках у директора по информационной безопасности.

На основной секции CISO Forum 2026 Георгий Руденко задал простой вопрос нескольким директорам по информационной безопасности: «Кто CISO вообще такой?» Ответы были честными, иногда горькими  и совсем не похожими на то, что написано в должностных инструкциях.

Дмитрий Гадарь сказал: «Это человек, который берёт на себя ответственность». Коротко. И именно в этом вся суть роли.

Плохой CISO приносит проблемы наверх, чтобы переложить их на CEO, а хороший CISO должен приходить уже с планом действий. Не «у нас утечка», а «у нас утечка, мы вот это уже сделали, вот риски которые остались». Это другой уровень нагрузки на психику. И платят за него соответственно.

Миллион рублей — это реально, но не для всех