УЦСБ помог «Вибробит» выстроить безопасную разработку критического ПО для энергетики без расширения штата

Уральский центр систем безопасности (УЦСБ) обеспечил процесс безопасной разработки программного обеспечения для ООО НПП «Вибробит» — разработчика систем вибрационного мониторинга и диагностики роторного оборудования для ТЭЦ, ГРЭС и АЭС. Внедрение платформы Apsafe от УЦСБ позволило команде Заказчика наладить регулярный анализ защищенности кода и существенно повысить качество продукта без формирования штата AppSec-специалистов. Об этом CNews сообщили представители УЦСБ.

Продукты линейки Web.Net от компании «Вибробит» — веб-приложения для контроля, анализа и управления вибрационным состоянием промышленных агрегатов, которые используются на критически важных объектах энергетики. Безопасность такого ПО — критический фактор, напрямую влияющий на стабильность функционирования стратегических объектов топливно-энергетического комплекса и национальную безопасность страны.

При этом команда разработчиков сосредоточена на непрерывном развитии ПО, и отдельной роли специалиста по информационной безопасности не предполагает. В то же время автоматические сканеры уязвимостей генерируют множество ложных срабатываний, а для их ручной верификации и эффективной обработки всех результатов сканирования нужна глубокая ИБ-экспертиза.

Решением стала облачная платформа Apsafe, предоставляющая комплексный анализ кода в процессе разработки. Специалисты УЦСБ настроили регулярные автоматизированные проверки с обязательной ручной верификацией всех находок. По итогам каждой итерации команда заказчика получает детализированное заключение: описание проблемы, примеры кода с ошибками и четкие рекомендации по устранению. Разработчики сами работают со своими участками кода и закрывают уязвимости, а эксперты УЦСБ выступают в роли внешнего AppSec-подразделения.

Анализ кода был интегрирован в рабочий цикл команды практически без перестройки сложившихся практик, благодаря чему инструмент Apsafe встроился в бизнес-процессы и стал для разработчиков «Вибробит» «цифровым коллегой» со своим кругом задач.

Главный результат для заказчика — финансовая эффективность: компания избежала затрат на развертывание собственной инфраструктуры, закупку и обслуживание анализаторов, а также расширение штата ИБ-специалистами. При этом регулярные отчеты и интеграция с таск-трекерами помогают разработчикам оперативно отслеживать статусы по потенциальным уязвимостям и поддерживать культуру безопасного программирования. Особенно высоко в «Вибробит» ценят ручной триаж — эксперты УЦСБ отсеивают ложные срабатывания, которые автоматические сканеры генерируют в большом количестве, и оставляют только действительно значимые проблемы.

«Главное, что дает нам Apsafe — это сочетание автоматизированного сканирования с экспертной ручной проверкой. Мы получаем не просто набор предупреждений, а верифицированные данные с конкретными рекомендациями. Для нашей команды это оптимальный способ поддерживать высокий уровень безопасности кода без значительных инвестиций в инфраструктуру и персонал», — сказал начальник отдела АСУ ООО НПП «Вибробит» Василий Иващенко.

По оценке экспертов УЦСБ, проводивших ручную верификацию, команда заказчика проактивно подходит к вопросам безопасности: встраивает в код собственные проверки безопасности и сознательно усиливает контроль в местах, где потенциально возможны риски — при работе с внешними запросами, базами данных и системными вызовами. Высокий уровень защищенности кода подтверждают и дополнительные перепроверки, проведенные разными специалистами УЦСБ и альтернативными сканерами. Такая зрелость процесса — результат профессионализма команды и регулярной работы с платформой Apsafe, которая помогает разработчикам последовательно повышать безопасность кода.

«Сотрудничество с «Вибробит» — пример взаимного обогащения экспертизой. Заказчик поделился с нами ценными идеями по развитию функционала Apsafe с учетом реальных потребностей разработчиков критического ПО, а мы, в свою очередь, дали доступ к современным практикам безопасной разработки. Платформа одинаково хорошо закрывает задачи и в компаниях с собственной ИБ-экспертизой, выступая независимым аудитором, и там, где этой роли нет, становясь внешним ИБ-подразделением. При этом облачная модель позволяет начать работу за несколько дней без капитальных затрат», — сказал руководитель направления безопасной разработки УЦСБ Евгений Тодышев.

Проект по анализу защищенности ПО «Вибробит» с помощью платформы Apsafe длился с апреля 2025 г. по июль 2026 г. В планах — дальнейшее развитие сотрудничества: регулярные проверки кода уже запланированы на 2026-2027 гг., что позволит дополнительно укрепить надежность ПО для критической инфраструктуры.