«Если ваш безопасник не умеет программировать, увольте его и наймите нормального»

— Компания QIWI на рынке известна практическим подходом к ИБ. Что подтолкнуло бизнес к инвестициям в этом направлении?

— Сложный вопрос… Наверное, осознанность. Любой бизнес должен встретить человека, который бы мог внятно рассказать про безопасность. Если такой человек не встречается, они продолжают заниматься «натянутой» безопасностью. Как это происходит у большинства компаний? Есть специалисты, которые занимаются ИБ, есть бюджеты, и они пытаются что-то сделать, но не могут внятно донести свою позицию бизнесу.

Статьи по теме

Поделиться

У меня недавно вышел занятный спор о роли CISO в компании. Неважно, что это: CFO, CTO, CISO — все будет сводиться к тому что С-level — это люди, ориентированные на бизнес, обладающие какой-то дополнительной специализацией. Это касается и CISO — человека, который думает об интересах бизнеса, но при этом знает о безопасности. Если на C-level коммуникация хорошая, тогда с ИБ все будет в порядке.

Вот в этом фишка QIWI — в правильной коммуникации. Фактически, у нас CISO имеет возможность донести свою позицию на любом уровне включая совет директоров. Смешайте это с прекрасным взаимопониманием всех менеджеров департаментов и получится то самое чудо.

— Как вы донесли до бизнеса свою позицию, когда пришли в компанию? Какие аргументы приводили?

— Это не так сложно, если ты можешь доказать, что твое мнение основывается не на пустых рассуждениях, а на реально существующих угрозах. Достаточно продемонстрировать это один раз, и дальше все твои тезисы и гипотезы будут восприниматься без сопротивления.

Как мы завоевывали доверие наших программистов и администраторов? Именно таким способом. Мы просто показали, какие есть уязвимости и как их можно эксплуатировать. В итоге ребята поняли, что нужно сделать, чтобы это было невозможно. Тут работает только личный пример: если ты можешь чему-то полезному научить, тебя будут слушать. Здесь начинается очень тонкий момент: если админ будет хоть чуть-чуть сомневаться в твоей технической компетенции, он тебе больше не поверит никогда, и от этого страдает большинство безопасников. Они берут какой-то compliance или best practices и говорят, нужно делать именно так. Администратор спрашивает: «Зачем?».

— Это написано в best practices.

— А что делает этот параметр?

— Да черт его знает.

После этого безопасник отправляется в долгое пешее эротическое путешествие, а потом с ним больше никто разговаривать не будет — не интересно.

Поэтому мы их смогли, во-первых, заинтересовать: пришли к ним с экспертизой, которой у них не было, и подсказали, как сделать лучше и секьюрней. Все — с админами мы подружились.

Дальше, 300 человек разработчиков. Тут пришлось устроить целое шоу. Мы собрали очень классных спикеров, которых все в России уважают. Например, Иван Новиков сейчас руководит компанией Wallarm, и он же — лучший веб-хакер. Он две недели по шесть часов очень весело и интересно рассказывал, как вообще устроена безопасность всего веба. Я считаю, это было лучшее, что мы сделали — мы рассказали не то, как бороться с частностями, мы дали бэкграунд, который разработчики поняли, осознали и передают дальше.

Окончательно путь к сердцу разработчиков и админов мы проложили, после того как устроили для них внутрикорпоративное соревнование CTF, за что передаю отдельный «привет» и «спасибо» Купризелю из Яндекса. Ребята очень азартно к этому подошли, почти вся разработка на неделю выпала из нормальной работы и ушла решать CTF. Победители получили возможность дальше учиться на безопасников и развить еще больше экспертизы.

Если честно, чат в Telegram и бдительные админы гораздо серьезнее любого SIEM.

— Я думала, разработчики не рвутся стать безопасниками. Есть некоторое устоявшееся представление, что ИБ — это или про compliance, или про запретительные меры?

— Это жутчайшие стереотипы. Хороший безопасник может получиться всего двумя путями: это либо админ, который админил-админил, разобрался в безопасности и стал крутым инфраструктурным безопасником, либо программист, который кодил-кодил, разобрал ся в безопасности и стал крутым application security экспертом. А если он еще и научился выражать свои мысли простым языком и рассуждать с позиции бизнеса — это CISO. А все остальное — это не безопасники, это фейк.

Насчет compliance. Любой человек из моей команды знает каждый наш compliance — в чем их смысл, и зачем он был создан. Здесь мы опять приходим к тому, что многие компании, которые начинают заниматься compliance, не понимают ради чего кто-то другой эти стандарты и требования делал. Я совсем недавно был на конференции, где завели тему про нехватку компетенций по PCI DSS. Там приводили всякие разные варианты. Что же такое compliance? Стандарт для безопасности банков, для процессинга, он сделает ваш процессинг безопасней? Нет. Эти требования нужны только для того, чтобы защитить личную собственность в виде карточных данных таких ребят как Visa, Mastercard и American Express. Вот здесь начинается дичайшее слабоумие, которым обычно занимаются безопасники. Они берут требования стандарта, думают: «Отлично, сейчас я это применю», делают это, абсолютно не понимая, на что на самом деле направлен те или иные требования, и в итоге он для них становиться болью.

Мы в этом плане пошли своим путем: приняли две нормы best practice внутри компании. Первое — это PCI DSS. Данный стандарт нам показался очень толковым, только мы изменили определение «карточные данные» на «чувствительная информация». Второе — это ISO 27002.

В качестве best practice для настройки софта и операционных систем мы взяли бенчмарки CIS (Center for internet security). Вот и все… Получается, что наш внутренний принятый набор требований и практик заведомо перекрывает требования большинства внешних регуляторов.