ЦОДы под огнем. Кто будет платить за безопасность?

С первой беседой экспертов на эту злободневную тему можно ознакомиться здесь.

А. Гризов: Тимур, начнем с ситуации, которую рынок обсуждает с начала октября и к которой мы с тобой уже обращались. Дроны атаковали три из шести дата-центров «Яндекса» — в Сасове, Калуге и Владимире. Восстановление мощностей займет как минимум полгода, Шадаев (Максут Игоревич Шадаев, Министр цифрового развития, связи и массовых коммуникаций Российской Федерации – Ред.) назвал атаку беспрецедентной. Для банков это не просто неприятная новость из мира Big Tech: через инфраструктуру «Яндекса» проходили платежные сервисы и облачные хранилища сотен компаний, включая системообразующие банки. Это системный риск концентрации у одного игрока — или уже что-то более серьезное?

Т. Аитов: И то, и другое, но их важно разделить. Риск концентрации — когда критическая инфраструктура почти вся под контролем одного игрока. Лечится гетерогенностью провайдеров и распределением нагрузки. А сегодня налицо и другой заметный риск — риск направленного уничтожения, когда ЦОД становится мишенью. Вот этот риск не лечится ни гетерогенностью, ни резервированием в одном контуре. Рынок эти два класса рисков не различает — хотя это разные риски, — и два прозвучавших предложения о том, как риск минимизировать, они как раз про второй риск — и, увы, не закрывают его.

А. Гризов: Давай подробнее ознакомим читателей с обоими предложениями. Первое — от АКИТ: 15 октября ассоциация, объединяющая Ozon, Wildberries, «Купер» и «Яндекс Маркет», направила Мишустину обращение: временно разрешить размещение и обработку персональных данных россиян в дата-центрах дружественных стран. Аргумент звучит простой: за границей надежнее, туда дроны не достанут. Но тут и я засомневался в этой идее — она для тех, кто до конца не понимает, что такое трансграничная передача информации под санкционным давлением…

Т. Аитов: …Да, и для банков эта процедура еще чувствительнее, чем для ритейла: речь не только о персональных данных, но и о банковской тайне. Но даже торговле не все равно: зарубежный ЦОД в одночасье может оказаться не резервом, а залогом. Достаточно решения иностранного регулятора или смены политического ветра — и доступ к собственным данным заблокирован. Это прямо противоречит 242-ФЗ и логике суверенного инфраструктурного контура. И то, что все это «временно», не спасает: в инфраструктуре нет ничего более постоянного, чем временное решение.

А. Гризов: Помню, в году 2014-м, когда только пошли разговоры про импортозамещение, на конференции ПЛАС-Форума один западный вендор — не буду его сейчас называть — с трибуны утверждал: «Мы же глобальная компания, политика нас не касается, данные только ваши, все прозрачно». А через полгода его российский офис рассылал письма: доступ к части сервисов приостановлен по решению головного офиса. Без объяснений — как говорится, no comments. И знаешь, что самое смешное? Никто в зале не удивился. Все понимали: зарубежный ЦОД — это не про технологии, это про политику. Так что, если банк сегодня добровольно ставит критический контур за границу, он через год может обнаружить, что его «резерв» — это чужой рубильник.

Т. Аитов: Соглашусь. Но тут есть юридический нюанс, про который часто забывают, а он меняет дело. По передаче данных у нас приняты две нормы. Во-первых, 242-ФЗ, который жестко требует хранить персоданные россиян только на территории России. Во-вторых, если появляется история с копированием данных за рубеж, то это, возможно, уже трансграничная передача по 12-й статье 152-ФЗ. А значит, нужно уведомлять РКН и собирать согласия людей. При этом за границу либо вообще не уходит «персоналка» — летит чистая телеметрия или общая статистика, либо все передается строго по закону, с согласия пользователей. Так что это не перенос базы, а просто контролируемые стыки. Главное, что суверенный контур остается у нас.

А. Гризов: Стоп. Вот тут я тебя не понимаю. Мы же сами критикуем АКИТ за то, что они хотят выносить данные за границу, и ты тут же предлагаешь сделать «законный» международный контур. Чем твоя идея отличается от их? Только юридическими формулировками?

Т. Аитов: У АКИТ подход простой — это чистый перенос: данные полностью живут за границей, а внутри страны остается пустота. Я же предлагаю разделить систему на два контура — основной и международный. В моем варианте, если внешний стык заблокируют, сервис внутри страны спокойно продолжит работать. За рубеж уходят только копии-реплики. И если завтра этот канал перекроют, банк не останется у разбитого корыта без данных. А вот у АКИТ в такой ситуации не останется вообще ничего.

А. Гризов: Понял. Ладно, второе предложение на рынке — это так называемый «ЦОД судного дня». Один из топ-менеджеров «Ростелекома» предложил создать единый резервный дата-центр на случай глобальной катастрофы. Звучит патриотично. Но, на мой взгляд, эта идея не только вредна, но и опасна.

Т. Аитов: В этом случае мы наблюдаем попытку решить проблему защиты данных через централизацию. А это только усиливает риск концентрации — когда все ломается в одном месте. Дальше идет простая физика. От Калининграда до Владивостока — около семи с половиной тысяч километров. Свет по оптоволокну идет туда и обратно минимум 75–80 миллисекунд. Мгновенного отклика от этой «единой базы» без локальных копий на местах физически быть не может.

А. Гризов: Обрыв кабеля в тайге — и привет!

Т. Аитов: Да. Или банальные помехи на спутнике — и весь регион отрезан от жизни. В такой ситуации централизованный ЦОД — это идеальная мишень для атаки, а вовсе не убежище. При любых сбоях связи начнется рассинхронизация: в одном месте данные обновились, в другом нет. Для платежной системы это катастрофа — прямой путь к двойным списаниям. Да и чтобы обрабатывать все это в реальном времени, да еще и с шифрованием, нужны мощности размером с крупный город. Для терабитных каналов потребуются миллионы серверов и куча железа, которое сейчас, в условиях дефицита компонентов, просто негде взять и не на чем поддерживать. Так что единый ЦОД — это все тот же опасный вариант централизации, просто под красивым названием.

А. Гризов: Скажу так: «ЦОД судного дня» — это история не про то, как пережить катастрофу, а про то, как собрать все яйца в одну корзину и молиться, чтобы в нее ничего не прилетело?

Т. Аитов: В точку. Настоящий системный архитектор строит систему так, чтобы отказ любого узла — пусть даже ляжет целый регион — не останавливал весь сервис. Ему не нужен «ЦОД судного дня». Ему нужна архитектура, при которой судный день для системы просто невозможен.

А. Гризов: Хорошо, а что тогда строить? Вот Игорь Голдовский мне как-то писал, что для соответствия требованиям по живучести потребуется совершенно новая архитектура решений из области DeFi. Но подобные решения на этом этапе никто не поддерживает — они требуют проработки для высоконагруженных систем с десятками валидаторов и десятками тысяч операций в секунду. Также он отмечал, что, скорее всего, новые решения будут решениями только для военного времени, а когда все успокоится, банки, естественно, захотят вернуться на старые знакомые рельсы, где отработаны все бизнес-процессы. Как ты к этому относишься?

Т. Аитов: Согласен с ним, и это важная поправка к разговору. Игорь Голдовский прав в главном: живучесть — это полная смена архитектурной парадигмы, а не косметика. DeFi дает нужные примитивы — распределенные валидаторы, отсутствие единой точки отказа. Но он же честно говорит: готовых промышленных решений под такие нагрузки сегодня нет, это НИОКР, а не выбор вендора. И его мысль про «решения для военного времени» — самая честная: когда все успокоится, банки захотят вернуться на старые рельсы. Отсюда практический вывод: нельзя выдавать мобилизационное решение за целевую архитектуру — иначе получим дорогую конструкцию, которую потом тихо демонтируют.

А. Гризов: То есть «прятать ЦОДы» и «строить новую архитектуру» — это не альтернативы, а параллельные треки?

Т. Аитов: Думаю, так точнее. Игорь Голдовский и говорит: идти нужно по разным направлениям одновременно — защищать и прятать ЦОДы и прорабатывать новые архитектуры. Защита — обязательный минимум на сейчас, но она не решает проблему связности. Устойчивость достигается топологией, а не сокрытием. Поэтому вести нужно параллельно, не подменяя одно другим. И брать из DeFi не идеологию, а инженерные примитивы — консенсус с устойчивостью к византийским отказам, репликацию состояния, разделение ролей валидаторов. Все это переносимо в регулируемый периметр, что для банков принципиально.

А. Гризов: И тут у меня напрашивается еще один вывод, который любят все публицисты: архитекторов не хватает, наблюдается кадровый ИТ-голод. Ты с этим не согласен, я знаю, — но, слушай, назови хоть одного из этих «единиц» в наличии. Кто эти люди?

Т. Аитов: Назову не конкретных людей, а тип. Есть enterprise-архитекторы, есть solution-архитекторы — их достаточно. Не хватает специалистов под специфическую задачу живучести: распределенные высоконагруженные системы, в модели угроз которых есть направленное уничтожение ЦОДов. Здесь важны все слова — особенно «направленное уничтожение». Таких спецов единицы, и не только у нас.

А. Гризов: Тогда откуда ты знаешь, что их единицы? Может, их вообще ноль — и ты просто не хочешь сказать, что задача не решается?

Т. Аитов: На твой вопрос есть честный ответ: имен я не назову, потому что их действительно мало и они на виду у тех, кто в теме. Но дело даже не в цифрах. Корень в том, что в постановку задачи проектирования ИС вообще никогда не включалась возможность направленного физического уничтожения врагом. Отказы оборудования, энергоснабжения, кибератаки входили — а уничтожение ЦОДа не рассматривалось. И это не наша особенность: вся мировая практика строилась без этого допущения. Поэтому правильный вопрос не «где взять архитекторов», а «какую задачу им поставили». Если задача не поставлена или присутствуют ошибки в ее постановке — хоть сто архитекторов найди, они спроектируют только то, что просили.

А. Гризов: Допустим. Но из кого ты соберешь «архитектурный совет» для системообразующих банков, если сильных специалистов единицы? Ты о нем уже пару раз написал: совет при банковской ассоциации, чтобы распределять компетенции на всю систему. Идея понятна, но кто конкретно туда войдет при таком дефиците кадров?

Т. Аитов: Совет не должен состоять только из уникальных экспертов. Туда войдут архитекторы широкого профиля и даже толковые независимые инженеры. Их задача — не проектировать с нуля, а грамотно ставить задачи и не допускать критических ошибок. А главные специалисты по живучести останутся работать на местах, в банках. Совет лишь обеспечит востребованность их труда, иначе мы просто оторвем редких экспертов от реальной практики.

А. Гризов: Хорошо. Тогда все быстрые решения, что звучат, — защита военными ресурсами, резервные ЦОДы, перенос в дружественные страны — ты все это не отвергаешь, но оцениваешь трезво, с поправками?

Т. Аитов: Да. Защита значимых ЦОДов военными — необходима, но это оборона конкретной точки, а вовсе не наша тема про архитектуру. Резервные ЦОДы — «так себе решение»; это моя оценка эксперта, а не исследование. Базовая арифметика всей темы шокирует: каждый ЦОД обойдется в миллиарды, при этом десять построенных центров противник может разбомбить за неделю.

А. Гризов: За неделю — это ты хватил.

Т. Аитов: Может быть, и хватил — но порядок цифр понятен. Перенос в дружественные страны — риски есть, но их надо сравнивать не с идеалом, а с риском уничтожения инфраструктуры; для банков он упирается в банковскую тайну и 242-ФЗ. Взять и перейти на новые архитектуры не получится — это небыстрые решения.

А. Гризов: Тогда почему задача в нашей стране не ставится? Ты говоришь — причина системная.

Т. Аитов: Причина не такая уж сложная — она кадровая и понятная. Архитектурная роль специалиста не оплачивается как управленческая и не встроена в карьерные треки. Архитектор не приносит немедленной прибыли — он приносит ее отсутствием катастрофы в далеком будущем, а это не укладывается в «квартальный горизонт поощрений». Но самое главное — никто снаружи не заставляет: ни ЦБ, ни аудит, ни страхование до сих пор не требуют модели угроз с физическим уничтожением ЦОДов. Отсюда у меня даже появляется формула: риск не в дефиците архитекторов, а в дефиците заказчика. Архитекторы есть — заказчика нет.

А. Гризов: Стоп. Ты сам сказал — страхование не требует. А ведь в этом и есть механизм! Перестраховщики первыми начнут спрашивать модель угроз, если им это выгодно?

Т. Аитов: Страхование — единственный внешний драйвер, который может сработать без регулятора: перестраховщик, который оценивает катастрофический риск, первым спросит, что будет с платежным контуром при уничтожении ЦОДа. Но у нас этот рынок пока не развит для инфраструктурных рисков. И тут появляется развилка: либо ЦБ как регулятор дает сигнал, что модель угроз должна включать уничтожение или серьезный ущерб, — и тогда страхование подхватывает; либо ждем, пока перестраховщики сами дозреют (а они дозреют только после первого крупного убытка). Первый путь проще и дешевле. Если страхование начнет считать этот риск, заказчик появится сам: банк без покрытия окажется в невыгодной позиции. Вот тогда и деньги найдутся — и не из бюджета, а из тарифа.

А. Гризов: Хорошо, допустим, появились деньги: ты говоришь — миллиарды на контур. Кто их даст? Банк, который экономит на архитекторе? Бюджет? А может, сам ЦБ? Шутка.

Т. Аитов: Вот это правильный вопрос, и я даю на него честный ответ: да, источник денег — открытая проблема. Но сравнение показательное. По моей оценке — дам лишь порядки величины: содержание архитектурной позиции — единицы миллионов рублей в год; час простоя платежного сервиса системообразующего банка — десятки миллионов прямых потерь и репутационный шлейф на месяцы; распределенный контур — миллиарды. Сравнивать придется не с нулем, а с десятью резервными ЦОДами, по миллиарду каждый, которые все равно уязвимы. Если считать в горизонте десяти лет, распределенный контур дешевле, чем десять уязвимых ЦОДов и один реальный сбой. Другой вопрос — кто платит первым: тут без регулятора или страхования не обойтись.

А. Гризов: И здесь еще одна проблема. Банков около трехсот — и это только банки. Плюс крупные компании. Если каждому по одному архитектору, специалистов физически не хватит. Цифры не бьются. Что делать?

Т. Аитов: Архитектурный совет при одной из банковских ассоциаций. Площадка работает без принуждения — рекомендации обязательны не в силу закона, а в силу того, что системообразующие банки сами договорились их исполнять. Обязательность в правовом смысле, если понадобится, приходит через ЦБ.

А. Гризов: Уберешь принуждение — получишь клуб энтузиастов. Введешь обязательность — выйдет квази-регулятор, от которого ты сам открещивался. Тогда зачем вступать-то?

Т. Аитов: Мотив не принудительный, а практический. Первое: совет ведет открытый реестр решений, прошедших архитектурную экспертизу, и банк вне реестра оказывается в роли «мы не проверяли». Второй момент сильнее: влияние. Площадка, где регулятор слышит банки до того, как выпустит требование, дешевле, чем потом объясняться с надзором. Функция — планка и передача опыта, а не согласование. Совет не концентрирует инфраструктуру — он концентрирует компетенцию и распределяет ее.

А. Гризов: Слушай, я таких советов за двадцать лет видел штуки четыре. И все они тихо умерли. Почему тогда твой не станет пятым в этом скорбном списке?

Т. Аитов: Потому что у него нет разрешительной функции — и это записано в его статусе. Как только он начнет выдавать разрешения — он умрет как архитектурный орган и станет еще одним согласователем. Второе: реестр публичный. Если рекомендация привела к сбою, это видно, и ответственность репутационная, а не размытая.

А. Гризов: Репутационная ответственность — это ничто. Кто платит за ошибку?

Т. Аитов: Честно — никто не платит. И это пока тот самый открытый вопрос. Именно поэтому в составе нужны независимые инженеры, а не только представители банков: рекомендация должна быть технически защищена, а не согласована по интересам. Легитимность дает сама ассоциация — и здесь все упирается в ее вес. Есть и еще нюансы, но я не хочу делать вид, что у меня есть ответы на все вопросы.

А. Гризов: То есть пока ты не назовешь, кто войдет в совет и кто ответит за ошибку, — это разговор про то, чего нет.

Т. Аитов: Отчасти да. Но это и есть честная стадия в рамках формальной логики: сначала постановка задачи, потом имена и деньги. Если начать с имен — получится клуб по интересам. Если начать с задачи — имена и плательщик придут под нее.

А. Гризов: И последнее. Ты называешь структуру Национальным советом по архитектуре и рискам инфраструктуры. Почему — «и рискам»?

Т. Аитов: Потому что архитектура без учета рисков — лишь цифровой каркас, возведенный без оглядки на реальный мир. От его глобальных угроз до землетрясений и наводнений. А цена промедления проста: банк, который не участвует в формировании общих правил, узнает о них из предписания — уже после сбоя. Ситуация с «Яндексом» ведь не про дроны и не про один ЦОД. Это история про то, что страна, претендующая на технологический суверенитет, не может позволить себе роскошь не иметь постановки задачи создания своей инфраструктуры.

А. Гризов: Хорошо, Тимур. Ты сам сказал: источник денег — открытая проблема, за ошибку никто не платит, имен нет. Значит, совета не будет, пока кто-то не заплатит. А платить некому — банк экономит, ЦБ не требует, бюджет не про это. Пока не появится тот, кому это выгодно настолько, чтобы заплатить, — мы будем вести разговор про то, чего нет. Увы, но это так.

Читайте также:

Money20/20 Europe 2026. Ключевые тренды в сфере платежей с использованием ИИ, стейблкоинов и Open Banking

P. S.

Пока готовилось к публикации это интервью, Минцифры утвердило рекомендации по защите ЦОД от беспилотников. Документ носит рекомендательный характер и вводит три категории объектов — от стратегических К1 до корпоративных К3, — предлагая физическое укрепление, резервирование и координацию с силовыми структурами. Поводом стали атаки на пять дата-центров «Яндекса», Сбера и VK. Участники рынка ожидают роста стоимости услуг примерно на 10% без учета инфляции.