Исследование State of DevOps Russia 2025, проведенное командой «Экспресс 42», консалтинговым направлением компании «Флант», в партнерстве с Positive Technologies, одним из лидеров результативной кибербезопасности, показало, что 77 % организаций выстраивают процессы DevSecOps и используют инструменты ИБ в разработке и поставке ПО, а 75 % собирают метрики информационной безопасности. По мнению экспертов, столь высокие показатели свидетельствуют о том, что культура безопасной разработки в России достигла нового уровня зрелости, сделав киберзащищенность стандартом качества.
Изучение состояния DevOps в России проводилось в формате опроса. В нем приняло участие более 3300 респондентов — ИТ-специалистов и руководителей крупных, средних и небольших компаний из разных отраслей. Один из блоков исследования впервые был полностью посвящен информационной безопасности: эксперты выясняли, насколько глубоко ИБ проникла в DevOps-процессы.
Согласно результатам исследования, у 40 % организаций системы безопасности интегрированы во все процессы DevOps. Около 60 % компаний используют инструменты ИБ прежде всего в CI/CD-конвейере, который автоматизирует сборку, тестирование и развертывание ПО. Для обеспечения планируемых темпов выпуска ПО в продуктивную среду половина опрошенных реализуют проверки безопасности кода на ранних стадиях разработки, а 45 % проводят сканирование параллельно со сборкой и тестированием ПО.
Три четверти участников опроса применяют метрики ИБ в своей работе. Наиболее часто используемые:
- период восстановления после инцидента (40 %),
- количество нарушений политик безопасности (38 %),
- число критически опасных уязвимостей (37 %) и время реагирования на угрозы (37 %).
По словам экспертов, начиная измерять результат от внедрения инструментов ИБ, компании делают концептуально верный шаг к построению эффективных процессов DevSecOps. Исследование также показало, что решающими факторами при выборе средств защиты являются функциональные возможности продукта (73 %), результативность (61 %) и возможности его интеграции в существующие процессы DevOps (60 %).
Киберпреступники по-прежнему активно атакуют российские компании через уязвимости в ПО. Часть организаций все еще игнорируют этот факт и бездействуют в защите. Однако большинство компаний на практике убеждаются, что небезопасный код создает существенные риски как для бизнеса, так и для пользователей ПО, поэтому начинают более серьезно относиться к построению процессов DevSecOps. Мы точно можем говорить об устойчивом тренде, и результаты исследования это подтверждают.
Антон Жаболенко, директор по продуктам application security, Positive Technologies
Наше ежегодное исследование показывает: российский DevOps быстро эволюционирует — от CI/CD к полноценным внутренним платформам, где безопасность, контейнеризация и опыт разработчика становятся единым целым. Сегодня информационная безопасность — это уже не опциональная функция, а часть ежедневной работы большинства ИТ-команд: три из четырех специалистов сталкиваются с ней каждый день. При этом главный вызов не в отсутствии инструментов или метрик. Более 75 % компаний собирают метрики, а у 66,8 % средства безопасности уже внедрены прямо в пайплайны. Настоящая проблема — в том, насколько команды понимают и действительно используют эти инструменты на практике.
Алексей Крылов, менеджер продукта Deckhouse Kubernetes Platform по направлению информационной безопасности
Исследование также выявило, с какими трудностями сталкиваются организации при построении процессов безопасной разработки. Около 46 % респондентов отметили недостаток экспертизы у команды внедрения, 42 % — проблемы совместимости с существующими системами, а 41 %