„Пазарът на информационна сигурност е неефективен и консервативен“
- Защо се спряхте на
Антон:Работих за един от най-големите производители на свинско месо в Русия. Той беше изнесен експерт по информационна сигурност (IS) при анализиране на сигурността на вътрешната мрежа на компанията. Имитира действията на потенциален нападател за улавяне на мрежата на компанията и ключови бизнес системи. Свинефермата, или по-скоро всичко заедно – фермата, заводът и офисите на компанията – е един от най-ярките ми проекти. Дори не можете да си представите колко автоматизирано е всичко там и колко потенциален хакер може да му повлияе, което направих. Задачата ми за този проект беше да подчертая ключови проблеми и да дам препоръки за отстраняване. За съжаление не мога да разкрия подробности - NDA.
Антон Бочкарев
Отидох в IB веднага след гимназията.Въпреки че опитах много дейности в ИТ, никога не съм се отдалечавал от информационната сигурност, аз съм ентусиаст. За мен стартъпът е дело на живота ми, шанс да подобря пазара с порядък. Работейки в тази област от висшите си години, все повече разбирах, че пазарът е неефективен и консервативен. Той не е толкова гъвкав, колкото е възможно, и не може да става дума за ефективността на бизнес процесите. Пазарът се съпротивлява на промените в бизнес процесите, преди всичко поради професионалната деформация на мениджърите, които се опитват да избегнат всякакви промени, разглеждайки ги като допълнителен риск.
Колкото повече работех в индустриални компании,толкова по-добри бяха проблемите. Бил съм в напълно различни роли от различни страни на пазара и мисля, че мога да го подобря. Ключовият момент е, че виждаме бъдещето на пазара на услуги в информационната сигурност в модела на услугите. Това е като пазар на таксита, който агрегаторите са направили по-съвършен.
- Имам същия въпрос към Артем: защо преминахте от финансовия сектор към киберсигурността? Каква е вашата роля в проекта?
Артем:Когато работиш за голяма компания, не виждаш резултатите от работата си. Често работиш в екип, те те застраховат, ти застраховаш. Ето още една история – ако не направиш нещо, няма да стане. Има много повече възможности за самореализация. Винаги съм искал да се пробвам в стартъп, особено в индустрия, която ми се струваше интересна.
Артем Наливайко
Ние сме малка фирма, не ни е трудноразделяне на ролите. Занимавам се повече със създаването на крайния продукт, презентации, преговори. Специални благодарности на общността на Новото икономическо училище – те ми помогнаха да повярвам в себе си. Когато по всяко време можете да зададете въпрос на хора, които са изградили бизнес в куп различни страни, това е не само много полезно, но и мотивиращо! Така че не стъпихме на греблата на нашите предшественици, бяхме убедени, че е възможно да започнем и без инвеститор. Най-важното е, че бях убеден, че идеята е работеща и търсена.
— Как човек се учи на киберсигурност? Обратно ли е пътят на хакера?
Антон:Обучението по киберсигурност е фундаментално различно от обучението за програмисти, напълно различен начин на мислене. Университетите имат специалности, те дават база, вектор за професионално движение, това е достатъчно. Но работата в тази област е дело на ентусиасти, специалистите тук се раждат от практиката и самообучението. Разбира се, ние също сме обучавани на програмиране, но съвсем не по същия начин като програмистите.
Имаме собствени хакерски конференции и общности.Киберсигурността не е част от ИТ, а само област, която много се припокрива с ИТ. Някои любопитни ентусиасти навлизат в безопасността и извън ИТ чрез голям слой от самостоятелно придобити знания и придобита правна практика в свързани работни места или хакерски състезания. Специализирано висше образование не е задължително, но е желателно.
„Проблемите с информационната сигурност не са решавани от години“
- В кой момент разбрахте, че имате нужда от платформа, която избира изпълнители за информационна сигурност?
Антон: Виждам много проблеми на пазара на услуги за информационна сигурност, те не са решавани от години. Основната е веригата от посредници, ситуацията, когато 10 хиляди души продават услугите на хиляда изпълнители.
Информационната сигурност е критична област с висока цена на грешки.Можете да отидете директно при специалист, но как да осигурите правилното ниво на гаранции? Информационната сигурност не е масова услуга, тя не може да се гради върху положителни отзиви. Следователно ние се превърнахме не просто в платформа за търсене, а в пълноправен посредник, преводач от езика на бизнеса на езика на технологиите. Ние помагаме да напишем техническо задание, да съставим договори в интерес на всички страни, да проверим законността, квалификацията на изпълнителя и да проведем независима проверка на резултатите от работата. Не можете просто да събирате клиенти и изпълнители на едно място, имате нужда от активен посредник, който може да управлява процеса. Цялата ми кариера е история за необходимостта от такава услуга.
„IS е критична област с висока цена на грешки“
— Защо клиентите не взаимодействат директно със специалисти?
Антон:При прякото взаимодействие има много рискове и за двете страни, така че посредниците се възползват от това. Пазарът се развиваше доста хаотично, затова и се получи, целта на нашия стартъп е да разбием тази остаряла схема.
Артем: Целта на нашия бизнес е да променим тази ситуация. Огромен слой от изпълнители и продавачи прави пазара по-малко ефективен и повишава цените. В резултат на това бизнесът става по-уязвим.
- Как проверявате дали изпълнителят ще бъде съвестен и професионален? Какви са вашите начини да проверите това?
Антон:Без да навлизам в подробности, общността за информационна сигурност не е толкова голяма и в повечето случаи можем да намерим например бивши колеги на изпълнителя. Ако има някакъв негатив по него, тогава ще разберем за него. Опитът на пазара е доста показателен.
— Можете ли да дадете пример за типична поръчка, сКакви искания отправят компаниите към вас? Какви решения им предлагате? Имат ли някакви конкретни искания за изпълнителите, от които се нуждаят?
Антон: Поръчките са много индивидуални.Някои от исканията ни бяха изненада. Типични са проверки на сигурността на уебсайтове, приложения, тестове за проникване, настройка на инструменти за сигурност, социално инженерство - това са много популярни услуги на пазара. Но дяволът е в детайлите – много поръчки имат специфика, която трябва да се има предвид при работа с клиент и при калкулиране на разходите за труд. Има уникални заявки, като правило това се дължи на особеностите на бизнеса на клиента. Например, на силно конкурентни пазари индустриалният шпионаж се счита за основна заплаха, така че рисковете за неприкосновеността на личния живот са най-важни. Логистичните и производствените компании, от друга страна, основно следят непрекъснатостта на бизнеса, така че рисковете за наличност са най-важни за тях.
Към какви компании искате да се насочите? Изправени ли са малките предприятия днес пред същите рискове като големите компании?
Артем:На първо място – за малкия и средния бизнес, една от задачите ни е да им предоставим услугите за информационна сигурност. Компаниите от различни индустрии имат свои специфики, сега работим, за да направим нашите „кутионирани“ оферти уникални за даден бранш.
Тези услуги са скъпи, ако се свържетеголеми фирми за информационна сигурност или системен интегратор. Трудно е да се назове средната цена, тъй като това е цял слой услуги, оценени от разходите за труд на конкретни изпълнители. Сега за повечето компании рисковете от информационната сигурност стават очевидни и те вече са готови да харчат пари за това, но ако цената на услугите се вдигне за техния бизнес. В противен случай им е по-лесно да поемат тези рискове.
Заплахите на пазара са приблизително еднакви завсеки, но като правило големите компании вече имат опит в областта на информационната сигурност и разбиране от какво се нуждаят. Освен това големите компании са по-интересна мишена за нападателите. За малкия бизнес често се налага да се формира такова разбиране – за съжаление често идва след осъзнаване на рисковете.
— Какъв тип информационни заплахи на практика срещате най-често днес? С какви заплахи е най-трудно да се справите?
Антон: Загуба на критични данни.Необходимо е да се разграничат вътрешните и външните заплахи; те изискват различни превантивни мерки. Ако трябва да подчертая нещо конкретно, бих говорил за заплахата от загуба на клиентски данни. Често дори загубата на имейл архив може да причини огромни щети на бизнеса. Най-трудното нещо за борба е човешкият фактор – един отворен фишинг имейл може да създаде много проблеми. Чрез правилно задаване на права за достъп в рамките на компанията щетите могат да бъдат сведени до минимум. Но човек винаги е най-уязвимата част от системата.
— Не мислиш ли, че заради популярносттакиберсигурността се превърна в популизъм - всяко приложение пише, че се грижи за безопасността на своите потребители (въпреки че не е факт, че всичко е наред с това). Смятате ли, че това е направило потребителите по-малко критично мислещи и по-малко загрижени за тяхната сигурност?
Антон: Ура, най-после сигурността стана популярна! Надявам се тази мода да помогне да се избият големи бюджети и да се привлекат по-интелигентни специалисти в областта.
Неотдавнашното изтичане на информация в Yandex.Food показа, че дори най-благоговейното отношение към сигурността не е панацея. Не мисля, че започнаха да мислят по-малко за сигурността, преди популяризирането всичко беше още по-зле.
„Изобретението на универсален квантов компютър е доста далече“
— Реална заплаха за компаниите сега ли са квантовите технологии?
Антон:Те не са и няма да бъдат още дълго време. Изобретяването на универсален квантов компютър е доста далеч. Но сега има избор от пост-квантови алгоритми, които ще бъдат внедрени в стандартни инструменти за криптиране и ще бъдат поддържани от повечето съвременни софтуери. Следователно, за щастие, в тази област щитът ще се появи много по-бързо от меча. Очакваме обявяването на алгоритми за постквантово криптиране в следващите 2-3 години, а създаването на универсален квантов компютър – не по-рано от 2030 г.
От друга страна, квантовите технологии отдавна са престанали да бъдат просто реклама, така че това без съмнение е нашето бъдеще. Единственият въпрос е кога ще дойде.
„И в какви области може да се появи меч по-бърз от щит?“
Антон:Уязвимости от нулев ден се появяват редовно - това е случаят, когато мечът се появява по-бързо. Но тяхното влияние трябва да бъде смекчено с допълнителни компенсаторни универсални мерки. През следващите 5-10 години увеличеното финансиране за проправителствени хакерски групи може да създаде допълнителни заплахи и на търговския пазар.
„Изобретението на универсален квантов компютър е доста далече“
— Как виждате своя идеален продукт?Това сайт като “Профи” ли е, където обикновените клиенти ще търсят изпълнители в областта на информационната сигурност? Сигурни ли сте, че това е толкова популярна услуга и че вашият сайт ще бъде популярен?
Артем:Това изобщо не е „Професионалист“, защото основното ни нещо не е телефонният номер и автобиографията на изпълнителя. Проверката на изпълнителите е една от най-важните услуги на платформата, тъй като на същия „Profi“ се извършва цялата проверка фактът, че името и снимката се сравняват с паспорта. Това тест ли е?
Нашият идеален продукт е прост и разбираем„кутия“ за клиента, която отчита всичките му нужди, не ви принуждава да се потопите в техническите нюанси твърде дълбоко. В същото време „кутията“ е балансирана, тя вече отчита особеностите на неговия бизнес, спецификата на индустрията, съществуващите заплахи и може да бъде финализирана за конкретна заявка.
За нас е важно не само да направим добър продукт,и да изгради своята подкрепа възможно най-ефективно от съдействие при изготвянето на технически спецификации, договори, първични комуникации с изпълнителя и до създаването на окончателния доклад. В бъдеще искаме да научим как да ги генерираме автоматично.
Като цяло службите за сигурност са цял слойуслуги, като вземем предвид естествения растеж на пазара на информационна сигурност и растежа, провокиран от международната ситуация, ние сме уверени, че ще има повече от достатъчно поръчки в платформата.
Какво ви интересува най-много във вашата работа в момента? Какво искате да промените в тази област? Как трябва да повлияе на това „третото лице“?
Артем:Искаме да направим пазара на услуги за информационна сигурност възможно най-ефективен, прозрачен и сигурен. Това е доста чувствителна област, много процеси в която се основават на доверие. Бих го нарекъл така: „най-добри пазарни практики, които са разбираеми за бизнеса“.
Наясно сме, че винаги ще бъдем по средата – между експертите по бизнес и информационна сигурност. И за нас е много важно да се уверим, че и двете страни се разбират и са доволни.
Как външните обстоятелства влияят наслучващо се в областта на информационната сигурност? Какво промени пандемията и събитията след 24 февруари? Например как да защитим служителите, които работят дистанционно? Как да се предпазите от атаки или кибер заплахи от най-готините хакери в света?
Антон:Нови заплахи не се появиха, те просто нараснаха много сериозно, както и цената на грешка. DDOS е история за хардуера и най-вече от страна на доставчика или за външна услуга. В идеалния случай трябва да направите хакването нерентабилно или възможно най-малко вероятно. Но всяка система винаги ще бъде уязвима.
Пазете отдалечените служители в безопасносткато останалите. Няма разлики на етапа на наемане, но подходът при назначаване на работни места е различен. Съвременните инструменти за контрол на достъпа ви позволяват да намалите рисковете от отдалечена работа до нивото на обикновените служители в офиса, освен ако, разбира се, не поверите настройките за контрол на достъпа на професионалисти.
— Какви проблеми, погрешни схващания и митове в областта на корпоративната сигурност съществуват днес? Кои са най-опасните за редовните потребители и вашите клиенти?
Антон:„Няма какво да защитаваме“ - все още се срещат такива коментари, тук няма коментари. „Ние сме добре, още не сме хакнати!“ — хакването не винаги се забелязва веднага, компанията може да не знае за него дълго време, в зависимост от целите на нападателите.
Понякога клиентите казват:„Никой не се интересува от нас“, но по-често нападателите се опитват да хакнат всичко и да осребрят всичко, до което могат да достигнат. Следователно никой няма да ви търси целенасочено, просто ще ви закачи на допирателна.
„Сега бизнесът усети много рискове, които не са били сериозно обмисляни преди“
— Как стигнахте до Инополис? Защо ви трябваше и как ви помага в развитието?
Антон: Дойдохме в Инополис съзнателно.Искахме да се възползваме от предимствата на специалната икономическа зона, в Русия вече има достатъчно такива. Избрахме Innopolis просто защото има по-малко потенциални конкуренти, отколкото в Сколково, и приятната атмосфера на IT град. Роден съм и израснах в Казан, посещавах Инополис с представления, приятелите ми учеха тук, това също ми повлия.
Innopolis ни помага преди всичко в PR. Връзките с други местни стартиращи фирми помагат, например, две шикозни реклами бяха нарисувани от резидентните момчета!
Артем:Обикновено СЕЗ преследват инвеститори, служители или връзки. И винаги – за възможността да плащате по-малко данъци, това е страхотна сделка и за държавата, и за компанията. От изброените най-много ни интересуват връзките, общността – нямаме служители в персонала и в началния етап решихме да не привличаме инвеститор. Сега фирмата се изгражда с наши средства. След известно време ще търсим инвеститор, но бихме искали да го направим на много по-късен етап.
Колко време можете да инвестирате в проекта? Колко още години инвестиции са ви необходими, за да започнете да се изплащате, на какъв етап ще започнете да търсите инвеститори?
Артем:Не става въпрос за парите, а за това как ги използвате. Можехме да направим всичко, което направихме сега, като похарчим десет пъти повече и просто запушим проблемите с пари. Вместо това имахме много безплатна или сравнително евтина реклама. Това не е партизански маркетинг, а нещо идеологически близко.
Проектът не изисква големи инвестиции. Нямаме нужда от десетки или стотици милиони рубли. Infobez е за доверие и ако можете да опитате купи - много е скъпо и без гаранциирезултат. Веднъж седнахме с Антон и помислихме за какво може да ни трябват парите на инвеститора. Разбрахме, че има такива неща, но те не са ключът към постигането на резултата.
- Как смятате да се адаптирате към това, което се случва сега - санкции, изолация? Как се отнасяте към мерките за подкрепа, които правителството вече одобри?
Артем:Опитваме се да се възползваме максимално от тази ситуация, защото темата за сигурността стана по-актуална. Бизнесът е изпитал много рискове, които не са обмисляли сериозно преди. Течове и хакове на големи компании засилиха параноята и желанието им да работят върху сигурността им. Пазарът расте дори по-бързо от преди.
Санкциите и изолацията усложниха ситуацията с някоиспециализиран софтуер, затворен достъп до чуждестранни клиенти и рекламни платформи. Но мерките за подкрепа започват постепенно да се прилагат, те ни изглеждат доста полезни. Вече влязохме в регистъра на акредитираните ИТ компании и ще се възползваме от някои оферти.
Какви са вашите цели за следващите няколко години?
Артем:Нашата основна цел сега е да стартираме стабилни продажби. В същото време да се ангажираме с най-доброто обслужване - най-ефективното, предлагайки по-добри услуги на най-добри цени в сравнение с други страни. Трябва да е разбираемо и прозрачно – ние не се занимаваме само с продажби, но съветваме, разказваме и се опитваме да помогнем на хората да развият основни компетенции в информационната сигурност.
Антон:Вярваме, че представянето на нашата платформа на пазара ще направи услугите за информационна сигурност достъпни за всеки клиент. За нас това е начин да променим пазара на информационна сигурност в Русия, да го направим по-прозрачен, разбираем, достъпен и честен.
Прочетете още:
Маймунската шарка се превръща в глобален вирус: защо се предава толкова бързо
Нещо странно се случва във Вселената: как да се обяснят несъответствията в константата на Хъбъл
Диагностика за минута: как ИТ променя здравеопазването