Привет! Спасибо за комментарий.

Это здорово: получается у вас уже есть или будет будет кейс с доказанной эффективностью (как минимум в периметре вашей компании). Причём здорово, что если вы в будущем будете тиражировать свой подход As Service, то вы будете потихоньку расширять границы кастомизации: сначала работаете с тем, что необходимо в вашем периметре для ИБ, для стабильной эксплуатации, а посколько угрозы и стандарты меняются (причем вы можете с этим столкнуться как в своем случае, так и в случае внедрения у потенциальных клиентов), то вы получаете постоянно эволюционирующий ИБ подход и расширение своей экспертизы.

При этом ценность достигается

• низким порогом входа
• быстрой валидацией: собственный case и case study партнеров, с кем уже работаете
• гибкостью системы: если вы уже применяете open-source (например на стеке Suricata, OSSEC, Wazuh, OpenVAS, Vault, Keycloak, Falco, TheHive, Cortex как основные компоненты архитектуры), то уже можете взаимозаменяемые компоненты использовать при необходимости, потому как интеграции будут через унифицированные интерфейсы (API, syslog, STIX/TAXII)

Здорово! Удачи вам 🖖

Привет 👋 Спасибо за вопрос)

В первоначальном вопросе я ограничил периметр рассуждения двумя кейсами, но старался «вложить» некоторые аспекты того, что ты подсветил.

Готовое ИБ-решение (продукт) — это все же черный ящик и в этом случае функциональность, архитектура, логика обновлений — вне твоего контроля. Я же как-то в своей гипотезе отталкивался от потребностей гибкости и наличия этого контроля. В случае готового решения с рынка есть ряд «но» на мой взгляд:

• интеграции ограничены API и документацией (а что если у тебя необходимость работы с не унифицированными API на своей платформе (?) - это потеря контроля и гибкости);
• поддержка зависит от вендора: SLA, сроки исправления уязвимостей, дорожная карта и прочее;
• лицензирование будет постоянной статьей расходов, (часто с ростом стоимости при масштабировании) и это увеличивает ТСО уже твоего продукта;
• часто бывает, что Compliance обеспечивается «из коробки» только формально: реальное соответствие ИБ стандартам требует донастройки, а это тоже статья расходов

На мой взгляд, рыночное решение оправдано, если 1. внутренняя экспертиза ограничена 2. сроки внедрения критичны 3. выбранное тобою решение прошло техническую и юридическую верификацию (аудит, source code review при наличии)

Вторая часть твоего вопроса: услуги ИБ-интегратора — я пытался закрыть в своем посте, используя «ход конем» и это Путь 2️⃣

Тем не менее, что же будет поставлять интегратор? Тут ожидаемо:

• поставляет не продукт, а реализацию.
• поставляет набор решений (включая open-source), который формально будет принадлежать клиенту, но на практике диктуется практиками интегратора ИБ (при этом мой путь 2️⃣ также подпадает под этот нюанс)
• качество будет от квалификации команды интегратора ИД и из культуры ИБ, а не от технологий в конечном итоге

Риски такого подхода — это в результате получить гибридную систему, часто с избыточной сложностью («мы везде поставим SIEM»).

После внедрения контроль передается клиенту, но поддержка остается у интегратора (cost lock-in), это как раз происходит в случае, если не тиражируется методология ИБ (что я делал критичным в своем рассуждении)

Описаный мною путь 2️⃣ (стандарт + сервис) требует мышления, но позволяет его восстановить и систематизировать (я ещё выше ответил на один комментарий, где раскрыл эту мысль). В итоге если цель безопасность как функция системы, а не как атрибут аудита — единственный устойчивый путь, на мой взгляд: 1. Внутреннее внедрение на основе open-source и автоматизации, 2. Формирование контролируемого стека, 3. Последующее тиражирование собственного подхода как экспертизы.