Состояние тестирования на проникновение в 2025 году: почему валидация безопасности на основе ИИ теперь является стратегической императивом

Отчет 2025 State of Pentesting Survey Report компании Pentera рисует яркую картину кибербезопасности под осадой – и быстро эволюционирующей. Это не просто история о защите цифровых границ; это蓝принт того, как предприятия меняют свой подход к безопасности, обусловленный автоматизацией, инструментами на основе ИИ и неумолимым давлением реальных угроз.

Нарушения сохраняются, несмотря на более крупные стэки безопасности

Несмотря на развертывание все более сложных стэков безопасности, 67% американских предприятий сообщили о нарушении за последние 24 месяца. Эти инциденты не были незначительными – 76% сообщили о прямом влиянии на конфиденциальность, целостность или доступность данных, и 36% испытали непланируемое простой, в то время как 28% столкнулись с финансовыми потерями.

Корреляция очевидна: по мере роста сложности стэка растут и оповещения – и нарушения. Предприятия, использующие более 100 инструментов безопасности, испытали в среднем 3 074 оповещения в неделю, в то время как те, кто использовал от 76 до 100 инструментов, столкнулись с 2 048 оповещениями в неделю.

Однако этот лавинный поток данных часто перегружает команды безопасности, задерживая время реакции и позволяя реальным угрозам проскальзывать через трещины.

Страхование кибербезопасности формирует принятие технологий

Страховые компании кибербезопасности стали неожиданными движущими силами инноваций в области кибербезопасности. Ошеломляющие 59% американских предприятий реализовали новые инструменты безопасности специально по запросу своего страховщика, и 93% руководителей служб информационной безопасности сообщили, что страховщики повлияли на их позицию по безопасности. Во многих случаях эти рекомендации вышли за рамки соблюдения требований – они сформировали технологическую стратегию.

Рост программного обеспечения для тестирования на проникновение

Ручное тестирование на проникновение больше не является стандартом. Более 55% организаций сейчас полагаются на программное обеспечение для тестирования на проникновение в своих внутренних программах, еще 49% используют сторонних поставщиков. В отличие от этого, только 17% по-прежнему полагаются исключительно на ручное внутреннее тестирование.

Этот переход к автоматизированному тестированию на проникновение отражает более широкую тенденцию: необходимость масштабируемой, повторяемой и реального времени валидации в эпоху постоянно эволюционирующих угроз. Эти автоматизированные платформы имитируют атаки, начиная от файлов-малварей и заканчивая эскалацией привилегий, что позволяет предприятиям оценивать свою устойчивость непрерывно и без сбоев.

Бюджеты безопасности растут – быстро

Безопасность не становится дешевле, но организации все равно отдают ей приоритет. Средний годовой бюджет на тестирование на проникновение составляет 187 000 долларов США, что составляет 10,5% от общих расходов на безопасность ИТ. Более крупные предприятия (10 000+ сотрудников) тратят еще больше – в среднем 216 000 долларов США в год.

В 2025 году 50% предприятий планируют увеличить свои бюджеты на тестирование на проникновение, и 47,5% ожидают рост своих общих расходов на безопасность. Только 10%预видят снижение инвестиций. Эти цифры подчеркивают рост безопасности с операционной необходимости до приоритета совета директоров.

Тестирование безопасности все еще отстает

Вот поразительная несоответствие: 96% предприятий сообщают об изменениях инфраструктуры至少 раз в квартал, но только 30% проводят тестирование на проникновение с той же частотой. Результат? Новые уязвимости проскальзывают через не протестированные изменения, расширяя поверхность атаки с каждым программным обновлением или обновлением конфигурации.

Только 13% крупных предприятий с более чем 10 000 сотрудников проводят квартальные тесты на проникновение. Тем временем, почти половина из них все еще тестируют только один раз в год – опасную задержку в сегодняшней динамичной среде угроз.

Выравнивание рисков острее, чем когда-либо

Поощряюще, что лидеры безопасности фокусируются тестирование там, где на самом деле происходят нарушения. Почти 57% отдают приоритет веб-ориентированным активам, за которыми следуют внутренние серверы, API, облачная инфраструктура и устройства IoT. Это выравнивание отражает растущее осознание того, что атакующие не дискриминируют – они используют любую доступную уязвимость по всей поверхности атаки.

API, в частности, стали высокоприоритетными целями как для атакующих, так и для защитников. Эти интерфейсы становятся все более важными для бизнес-операций, но часто лишены видимости и стандартного мониторинга, что делает их уязвимыми для эксплуатации.

Операционное тестирование на проникновение

Отчеты о тестировании на проникновение больше не хранятся на полке. Вместо этого 62% предприятий сразу же передают результаты в ИТ для определения приоритета устранения, в то время как 47% делятся результатами с руководством высшего уровня и 21% сообщают напрямую в свой совет или регулирующие органы.

Этот сдвиг в сторону действий отражает более глубокую интеграцию тестирования на проникновение в стратегическое управление рисками – не просто соблюдение требований. Валидация безопасности становится частью делового разговора.

Что препятствует еще более быстрому прогрессу?

Хотя трендлайны положительны, ключевые препятствия остаются. Два основных барьера для более частого тестирования на проникновение – ограничения бюджета (44%) и нехватка доступных тестировщиков на проникновение (48%) – последнее отражает глобальный дефицит 4 миллионов специалистов по кибербезопасности, по данным Всемирного экономического форума.

Операционный риск, такой как страх сбоев во время тестирования, остается проблемой для 30% руководителей служб информационной безопасности.

От обязательства по соблюдению требований к стратегическому оружию

Тестирование на проникновение эволюционировало далеко за пределы своих истоков как нормативного требования. Сегодня оно поддерживает стратегические инициативы, включая проверку при слиянии и поглощении и принятие решений на уровне руководства. Почти треть респондентов теперь цитируют “мандат руководства” и “подготовку к слиянию и поглощению” в качестве ключевых причин проведения тестов на проникновение.

Это означает фундаментальную трансформацию: от реактивного осмотра к проактивной и непрерывной мере киберустойчивости.

Заключительные мысли

Отчет 2025 State of Pentesting Survey Report – это больше, чем просто обновление статуса – это сигнал тревоги. По мере роста поверхностей атаки и усложнения угроз, организации больше не могут позволить себе медленные, ручные или изолированные подходы к тестированию безопасности. Тестирование на проникновение на основе ИИ и программного обеспечения шагает, чтобы закрыть эту разницу с помощью скорости, масштаба и проницательности.

Организации, которые преуспеют в этой новой эпохе, будут теми, кто будет относиться к валидации безопасности не просто как к технической необходимости, а как к стратегической императиву.

Для получения дополнительной информации загрузите полный 2025 State of Pentesting Survey Report от Pentera.