Что меняется в контейнерной инфраструктуре Беларуси: итоги вебинара

27 августа «Международный деловой альянс» провел совместный вебинар с Deckhouse и Axoft. Разобрали, во что обходится самостоятельная сборка платформы и почему одного Kubernetes в промышленной эксплуатации уже недостаточно. Обсудили, какая ответственность за киберинциденты появилась в Беларуси, почему классические средства защиты не видят, что происходит внутри контейнеров, и как выглядит внедрение со стороны интегратора. Собрали главное из того, что прозвучало в эфире.

Приложения массово переезжают в контейнеры: по прогнозам, к 2030 году на облачно-ориентированном подходе (cloud native) будут построены 95% новых цифровых проектов.

Запускать их можно на бесплатном Kubernetes, но в промышленной эксплуатации этого мало: бизнесу нужны гарантии доступности, понятный план развития продукта и предсказуемые затраты. Поэтому 75–90% крупных развертываний к 2030 году перейдут на коммерческие платформы. К тому же, переход снижает совокупную стоимость владения на 20–30% за счет того, что платформа автоматизирует то, что раньше делали руками. Такие цифры приводит Андрей Кашляев, руководитель департамента продуктовой экспертизы Axoft.

И это касается не только компаний со своей разработкой. Контейнеры приходят даже туда, где своей разработки нет. Все больше корпоративного ПО поставляется в таком формате, и компаниям приходится разворачивать соответствующую инфраструктуру, часто не осознавая этого.

Есть еще одна причина уходить от бесплатных сборок. Проекты с открытым кодом, из которых их собирают, все чаще становятся платными или переходят на лицензии с ограничениями. Разработчиков, готовых дорабатывать их бесплатно, становится меньше: вкладываться в чужой платный продукт мало кому хочется. В итоге появляются ответвления проектов, часть компонентов остается без поддержки, развитие замедляется. Итог: что вчера работало бесплатно, завтра может потребовать денег или остаться без обновлений.

Специальных требований к контейнерной инфраструктуре в Беларуси пока нет: регулятор не обязывает компании использовать оркестрацию или конкретные средства защиты. Поэтому если компания уходит от монолита, она чаще всего разворачивает бесплатный Kubernetes или просто Docker.

Но ответственность за инциденты уже появилась. 19 июня этого года вступили в силу статьи 23.11 и 23.12 Кодекса об административных правонарушениях. Они касаются и должностных лиц, и организаций, но пока только в случаях, когда нарушение привело к киберинциденту высокого уровня. До этого ответственность в сфере информационной безопасности касалась только персональных данных. Уровень инцидента при этом определяет не сама компания: у ОАЦ есть отдельный документ с классификацией. Изменения разобрал Андрей Гутников.

Свои требования появляются и у отраслей. С 1 января 2027 года банки, небанковские кредитно-финансовые организации и Банк развития обязаны выполнять новый стандарт информационной безопасности — СФУТ 9.03-2025, утвержденный постановлением Правления Национального банка от 29.12.2025 № 390. Отдельная глава в нем посвящена безопасной разработке ПО.

Выполнять эти требования сложнее, чем кажется. Классические средства защиты внутрь контейнеров не заглядывают: все, что там происходит, для них лишь фоновый шум операционной системы. А специализированные средства без среды оркестрации, по оценке Андрея Гутникова, работают процентов на десять от своих возможностей. Получается, что безопасность здесь начинается с развернутого Kubernetes.

Но и развернутого Kubernetes мало. Олег Летаев сравнил его с автомобилем, у которого есть двигатель, колеса и руль, но нет коробки передач, стекол и даже указателя уровня топлива. Работать на таком можно, но в промышленной эксплуатации к нему придется добавить сбор журналов, мониторинг, интеграцию с корпоративным каталогом пользователей, анализ уязвимостей, входной контроль запускаемых образов, аудит подозрительной активности.

Все это можно собрать самому из 20–40 бесплатных компонентов. Вопрос в том, сколько недель или месяцев уйдет на подбор, проверку совместимости и интеграцию: сами по себе эти компоненты друг с другом не работают.

И это только один кластер. А нужны как минимум три: для разработки, тестирования и продуктивной работы. Скопировать первый не выйдет — за время сборки компоненты успели обновиться, и второй получится немного другим. В итоге у команды несколько разных кластеров, и обновление, которое прошло на тестовом, может не пройти на боевом. Поддерживать такой «зоопарк» дороже, чем собрать его.

Deckhouse Kubernetes Platform закрывает ту самую сборку: все нужные модули уже настроены вендором, и готовый к промышленной эксплуатации кластер разворачивается за десятки минут. До 80% рутинных операций сопровождения автоматизировано, а заявленный SLA — 99,99%, и эту цифру, по словам Олега Летаева, измеряли на реальных инсталляциях.

На проектах это выглядит так. ОТП-банк переходил с OpenShift и сегодня держит на Deckhouse больше 150 кластеров — при том что поддерживают всю эту инфраструктуру два инженера, а на разворачивание нового кластера уходит 40 минут. Компания Kept построила на платформе среду для ИИ-агентов: релиз выкатывается за три минуты, а запустить проект под нового клиента получается примерно за час.

Платформа снимает рутину, но не отвечает на вопрос, как встроить ее в конкретную инфраструктуру. С этой стороны на задачу посмотрел Дмитрий Томко, руководитель отдела системных технологий «Международный деловой альянс».

Заказчики приходят с тремя типовыми запросами:

• контейнерная среда нужна быстро, без месяцев ручной сборки;
• команда перегружена рутиной;
• нужен партнер, который придет на помощь при инциденте.

Последнее Дмитрий назвал ключевым. Когда критичная инфраструктура падает и счет идет на минуты, важно, чтобы за спиной был инженер, который знает ядро Kubernetes и сам участвует в его разработке, а не отправляет искать ответ на форумах. Опыт последних лет, когда крупные зарубежные вендоры ушли с рынка, эту мысль подтверждает.

Работа интегратора идет полным циклом: аудит ИТ-ландшафта и унаследованных систем, проектирование кластеров и установка по стандартам безопасности клиента, интеграция с внешними системами, круглосуточная поддержка и обучение команды заказчика. Из практики МДА в эфире разобрали построение микросервисной архитектуры для Белорусской железной дороги — инфраструктуры, на которой работает приложение «БЧ. Мой поезд».