Yandex Cloud и проект «Кибердом» провели опрос об использовании SIEM (Security Information and Event Management, ПО для мониторинга безопасности в ИТ-инфраструктуре).

В опросе, проведенном в феврале — апреле 2026 года, приняли участие сотрудники, собственники, имеющие отношение к ИБ или ИТ-ролям, из 223 компаний разных отраслей. Были охвачены организации из ИТ, ритейла, промышленности, банкинга, телекома и образования.

Авторы изучили, как компании применяют SIEM-решения и чего ожидают от их внедрения.

Ключевые выводы:

• большинство компаний считают SIEM обязательным элементом системы информационной безопасности. 84% организаций используют его для мониторинга событий в реальном времени, 81% — для расследования инцидентов, 80% — для корреляции и выявления угроз;
• по замечанию авторов, широкое внедрение базовых сценариев не гарантирует, что SIEM полностью закрывает потребности SOC. Данные показывают разрыв между наличием SIEM как технологического ядра и реальной возможностью ежедневно использовать его потенциал без значительных ручных усилий;
• большинство компаний задействуют SIEM для базовой операционной функции — мониторинга событий ИБ и расследования инцидентов. Более продвинутые практики встречаются реже: Threat Hunting используют 42% респондентов, форензику и расследования — 42%, автоматизацию реагирования на инциденты (SOAR) — 38%, управление уязвимостями — 37%;
• к основным и вместе с тем взаимосвязанным проблемам при работе с SIEM участники относят ложные срабатывания (43%), высокую стоимость владения и нехватку специалистов (по 33%);
• как отмечают аналитики, компании вынуждены ограничивать объем данных, поступающих в SIEM и доступных для ретроспективного анализа. Около 60% респондентов ограничивают сбор событий, 55% выбирают срок хранения до полугода, и только 16% хранят данные более года. На практике это создает противоречие: чем сложнее атаки и длиннее их жизненный цикл, тем важнее исторический контекст;
• в этой связи становится заметна роль Data Lake, утверждают авторы материала. 34% опрошенных уже используют озера данных для аналитики безопасности, еще 31% планируют их внедрение. Основные факторы — хранение больших объемов данных (47%), загрузка данных из разных систем (45%) и объединение разных источников (45%);
• при выборе SIEM заказчики обращают внимание на базовые эксплуатационные характеристики: удобство интерфейса и средств визуализации — 57%, производительность и гибкое масштабирование — 57%, функциональность и возможность корреляции — 56%. Также важны техническая поддержка, возможность хранить и анализировать большие объемы данных — по 50% респондентов отметили эти параметры;
• авторы также говорят о низком приоритете ИИ и ML при выборе таких решений (22%). По их мнению, это не означает отсутствие интереса к технологии. Скорее, рынок пока оценивает перспективы внедрения ИИ с точки зрения доверия, измеримого эффекта и применимости в реальных SOC‑процессах.

Расскажите знакомым: