УЦСБ помог «ВИБРОБИТ» выстроить безопасную разработку критического ПО для энергетики без расширения штата
Продукты линейки Web.Net от компании «ВИБРОБИТ — веб-приложения для контроля, анализа и управления вибрационным состоянием промышленных агрегатов, которые используются на критически важных объектах энергетики. Безопасность такого ПО — критический фактор, напрямую влияющий на стабильность функционирования стратегических объектов топливно-энергетического комплекса и национальную безопасность страны.
При этом команда разработчиков сосредоточена на непрерывном развитии ПО, и отдельной роли специалиста по информационной безопасности не предполагает. В то же время автоматические сканеры уязвимостей генерируют множество ложных срабатываний, а для их ручной верификации и эффективной обработки всех результатов сканирования нужна глубокая ИБ-экспертиза.
Решением стала облачная платформа Apsafe, предоставляющая комплексный анализ кода в процессе разработки. Специалисты УЦСБ настроили регулярные автоматизированные проверки с обязательной ручной верификацией всех находок. По итогам каждой итерации команда Заказчика получает детализированное заключение: описание проблемы, примеры кода с ошибками и четкие рекомендации по устранению. Разработчики сами работают со своими участками кода и закрывают уязвимости, а эксперты УЦСБ выступают в роли внешнего AppSec-подразделения.
Анализ кода был интегрирован в рабочий цикл команды практически без перестройки сложившихся практик, благодаря чему инструмент Apsafe органично встроился в бизнес-процессы и стал для разработчиков «ВИБРОБИТ» «цифровым коллегой» со своим кругом задач.
Главный результат для Заказчика — финансовая эффективность: компания избежала затрат на развертывание собственной инфраструктуры, закупку и обслуживание анализаторов, а также расширение штата ИБ-специалистами. При этом регулярные отчеты и интеграция с таск-трекерами помогают разработчикам оперативно отслеживать статусы по потенциальным уязвимостям и поддерживать культуру безопасного программирования. Особенно высоко в «ВИБРОБИТ» ценят ручной триаж — эксперты УЦСБ отсеивают ложные срабатывания, которые автоматические сканеры генерируют в большом количестве, и оставляют только действительно значимые проблемы.
«Главное, что дает нам Apsafe — это сочетание автоматизированного сканирования с экспертной ручной проверкой. Мы получаем не просто набор предупреждений, а верифицированные данные с конкретными рекомендациями. Для нашей команды это оптимальный способ поддерживать высокий уровень безопасности кода без значительных инвестиций в инфраструктуру и персонал», — комментирует начальник отдела АСУ ООО НПП «ВИБРОБИТ» Василий Иващенко.
По оценке экспертов УЦСБ, проводивших ручную верификацию, команда Заказчика проактивно подходит к вопросам безопасности: встраивает в код собственные проверки безопасности и сознательно усиливает контроль в местах, где потенциально возможны риски — при работе с внешними запросами, базами данных и системными вызовами. Высокий уровень защищенности кода подтверждают и дополнительные перепроверки, проведенные разными специалистами УЦСБ и альтернативными сканерами. Такая зрелость процесса — результат профессионализма команды и регулярной работы с платформой Apsafe, которая помогает разработчикам последовательно повышать безопасность кода.
«Сотрудничество с «ВИБРОБИТ» — пример взаимного обогащения экспертизой. Заказчик поделился с нами ценными идеями по развитию функционала Apsafe с учетом реальных потребностей разработчиков критического ПО, а мы, в свою очередь, дали доступ к современным практикам безопасной разработки. Платформа одинаково хорошо закрывает задачи и в компаниях с собственной ИБ-экспертизой, выступая независимым аудитором, и там, где этой роли нет, становясь внешним ИБ-подразделением. При этом облачная модель позволяет начать работу за несколько дней без капитальных затрат», — отмечает руководитель направления безопасной разработки УЦСБ Евгений Тодышев.
Проект по анализу защищенности ПО «ВИБРОБИТ» с помощью платформы Apsafe длился с апреля 2025 по июль 2026 года. В планах — дальнейшее развитие сотрудничества: регулярные проверки кода уже запланированы на 2026–2027 годы, что позволит дополнительно укрепить надежность ПО для критической инфраструктуры.
