Ограниченный суверенитет

На фоне последних событий, особенно интересно выглядит недавнее глубокое исследование автора на Хабре по поводу «суверенности» сайтов российского бизнеса. Изучив 50 крупнейших ресурсов, исследователь пришел к выводу, что за исключением сертификатов, многое уже замещено и мол, если завтра закроют иностранный трафик, по большей степени сайты будут работать. Но как обычно, есть нюансы.

Опустим уже понятную логику, что сертификаты НУЦ Минцифры ест только Яндекс.Браузер. То, что иностранные счетчики стоят у 17 сайтов из 50, и почти всегда это Google Analytics или Google Tag Manager (16 сайтов), в целом тоже некритично. У 9 сайтов на страницах до сих пор есть скрипты Google Ads и AdSense, хотя Google прекратил показ рекламы в России еще в 2022 году. Также забавно, что Google Fonts грузится у 8 сайтов, Google reCAPTCHA — у 4, встроенный YouTube — у 3. Каждый такой скрипт передает данные посетителя за рубеж, про требования 152-ФЗ разглагольствовать не будем.

Посмотрим на это не как на чек-лист «что перевезли», а как на карту рисков. Зависимость от меньшего числа игроков — это не устойчивость, а концентрация риска. Когда у тебя 50 разных вендоров со всего мира, падение одного — это локальная проблема. Когда у тебя один Яндекс или один Qrator на полстраны — падение одного — это национальный инцидент. Суверенизация в текущем виде не разносит риски, а собирает их в одну точку.

Практика уже показала цену такой концентрации. Ночью 8 октября дроны ударили по дата-центру Яндекса в Сасово — одному из крупнейших ЦОДов компании. Пожар, полная остановка. И сразу же легли ЦИАН, ГК «Астрал», корпоративные сервисы Т-Банка, облачные 1С, сайты застройщиков. Формально независимые компании, у которых нет ничего общего, кроме одного облака. До этого был сбой на М9 — одном из главных телеком-хабов Москвы. Полтора часа без электричества, 467 сетей потеряли видимость, треть — почти полностью.

Резервирование на бумаге не равно резервированию в реальности. Распоряжение № 2052-р от 1 августа 2026 года утвердило схему территориального планирования в области связи до 2036 года. 14 новых ЦОДов, 15 магистральных ВОЛС и красивое слово «отказоустойчивость» в каждом абзаце. Но если посмотреть на географию — Екатеринбург, Приморье, Дагестан, Питер, Татарстан, Тверская, Новосибирская, Нижегородская области, Пермский край — это все еще европейская часть плюс несколько точек на востоке. Атака на один узел в Рязанской области роняет сервисы по всей стране.
И вот здесь самое неприятное. Исследование проверяло 50 крупнейших сайтов. А за фасадом — десятки тысяч доменов второго уровня с иностранными сертификатами, с Google Analytics, с почтой на Google Workspace. Они не в топе, у них нет ресурсов на миграцию, и они не появятся ни в одном отчете о суверенитете. Но именно они отвалятся первыми, если рубильник все-таки опустят окончательно.

Получается парадокс. С одной стороны, бизнес действительно приготовился жить в изоляции. Серверы перевезли, аналитику частично заменили, к отключению иностранного трафика готовы. С другой — сама логика суверенизации, когда рынок сжимается до нескольких крупных игроков, делает систему более хрупкой, а не прочнее. Чем меньше узлов, тем выше цена падения каждого. И Сасово это показал наглядно. Один дизастер — и без сервисов остаются компании, которые друг с другом вообще не связаны.

Суверенитет — это не когда ты перестал зависеть от 50 иностранных вендоров. Это когда ты не зависишь от одного своего. Сейчас мы видим обратное. Периметр сжимается, игроков внутри все меньше, а цена ошибки каждого — все выше. Один ЦОД — и полстраны без сервисов. Один провайдер защиты — и полстраны без сайтов. Один рубильник — и полстраны без интернета.

@antiinfosec