"Tietoturvamarkkinat ovat tehottomia ja konservatiivisia"
- Miksi pysähdyit
Anton:Työskentelin yhdelle Venäjän suurimmista sianlihan tuottajista. Hän oli ulkoistettu tietoturva-asiantuntija yrityksen sisäisen verkon turvallisuuden analysoinnissa. Jäljitteli mahdollisen hyökkääjän toimia yrityksen verkon ja tärkeimpien liiketoimintajärjestelmien kaappaamiseksi. Sikatila, tai oikeastaan kaikki yhdessä - tila, tehdas ja yrityksen toimistot - on yksi silmiinpistävimmistä projekteistani. Et voi edes kuvitella kuinka automatisoitua kaikki siellä on ja kuinka paljon potentiaalinen hakkeri voi vaikuttaa siihen, minkä tein. Tehtäväni tässä hankkeessa oli tuoda esiin keskeisiä kysymyksiä ja antaa suosituksia korjaustoimenpiteiksi. Valitettavasti en voi paljastaa yksityiskohtia - NDA.
Anton Bochkarev
Menin IB:hen heti lukion jälkeen.Vaikka kokeilin paljon IT-alaa, en koskaan mennyt kauas tietoturvasta, olen innokas. Minulle startup on elämäntyöni, mahdollisuus parantaa markkinoita suuruusluokkaa. Työskennellessäni tällä alalla vanhemmistani lähtien ymmärsin yhä enemmän, että markkinat ovat tehottomia ja konservatiivisia. Se ei ole niin joustava kuin mahdollista, eikä liiketoimintaprosessien tehokkuudesta ole kysymys. Markkinat vastustavat muutoksia liiketoimintaprosesseissa, mikä johtuu ensisijaisesti johtajien ammatillisesta muodonmuutoksesta, jotka yrittävät välttää muutoksia pitäen niitä lisäriskinä.
Mitä enemmän työskentelin teollisuusyrityksissä,sitä parempia ongelmat olivat. Olen ollut täysin erilaisissa rooleissa markkinoiden eri puolilta ja uskon pystyväni parantamaan sitä. Keskeistä on, että näemme palvelumallissa palvelumarkkinoiden tulevaisuuden tietoturvassa. Se on kuin taksimarkkinat, joista aggregaattorit ovat tehneet täydellisemmän.
- Minulla on sama kysymys Artemille: miksi siirryit finanssisektorilta kyberturvallisuuteen? Mikä on roolisi projektissa?
Artem:Kun työskentelet suuressa yrityksessä, et näe työsi tuloksia. Työskentelet usein ryhmässä, he vakuuttavat sinut, sinä vakuutat. Tässä on toinen tarina - jos et tee jotain, sitä ei tapahdu. On paljon enemmän mahdollisuuksia itsensä toteuttamiseen. Halusin aina kokeilla itseäni startupissa, varsinkin alalla, joka vaikutti kiinnostavalta.
Artem Nalivaiko
Olemme pieni yritys, meillä ei ole kovaaroolien erottelu. Olen enemmän mukana lopputuotteen luomisessa, esittelyissä, neuvotteluissa. Erityiset kiitokset Uuden kauppakorkeakoulun yhteisölle - he auttoivat minua uskomaan itseeni. Kun voit milloin tahansa esittää kysymyksen ihmisille, jotka ovat rakentaneet liiketoimintaa useissa eri maissa, se ei ole vain erittäin hyödyllistä, vaan myös motivoivaa! Emme siis astuneet edeltäjiemme haravan päälle, vaan olimme vakuuttuneita siitä, että aloittaminen on mahdollista ilman sijoittajaa. Tärkeintä on, että olin vakuuttunut siitä, että idea oli toimiva ja kysytty.
– Miten ihminen oppii kyberturvallisuuden? Onko se hakkerin tapa toisinpäin?
Anton:Kyberturvallisuuskoulutus eroaa olennaisesti ohjelmoijakoulutuksesta, täysin erilainen ajattelutapa. Yliopistoissa on erikoisuuksia, ne tarjoavat pohjan, vektorin ammattiliikkeelle, se riittää. Mutta tällä alalla työskentelee paljon asiantuntijoita täällä harjoittelusta ja itsekoulutuksesta. Tietenkin meille opetetaan myös ohjelmointia, mutta ei ollenkaan samalla tavalla kuin ohjelmoijia.
Meillä on omat hakkerikonferenssimme ja -yhteisömme.Kyberturvallisuus ei ole osa IT:tä, vaan vain alue, jolla on paljon päällekkäisyyttä IT:n kanssa. Jotkut uteliaat harrastajat pääsevät turvallisuuteen ja IT-alalta laajan itse hankitun tiedon ja hankitun lainopillisen käytännön kautta niihin liittyvissä töissä tai hakkerikilpailuissa. Erikoiskorkeakoulututkinto ei ole pakollinen, mutta suotava.
"Tietoturvaongelmia ei ole ratkaistu vuosiin"
- Missä vaiheessa tajusit tarvitsevasi alustan, joka valitsee tietoturvaurakoitsijat?
Anton: Näen tietoturvapalvelumarkkinoilla monia ongelmia, joita ei ole ratkaistu vuosiin. Tärkein niistä on välittäjien ketju, tilanne, kun 10 tuhatta ihmistä myy tuhannen esiintyjän palveluita.
Tietoturva on kriittinen alue, jolla virhekustannukset ovat korkeat.Voit tulla suoraan asiantuntijan puoleen, mutta miten varmistetaan oikea takuutaso? Tietoturva ei ole massapalvelua, sitä ei voi rakentaa myönteisten arvostelujen varaan. Siksi meistä ei ole tullut vain hakualustaa, vaan täysivaltainen välittäjä, kääntäjä liiketoiminnan kielestä tekniikan kieleen. Autamme laatimaan toimeksiannon, laatimaan sopimuksia kaikkien osapuolten edun mukaisesti, tarkistamaan laillisuuden, urakoitsijan pätevyyden ja suorittamaan riippumattoman tarkastuksen työn tuloksista. Asiakkaita ja esiintyjiä ei voi vain koota yhteen paikkaan, vaan tarvitaan aktiivinen välittäjä, joka pystyy hallitsemaan prosessia. Koko urani on tarina tällaisen palvelun tarpeesta.
"IS on kriittinen alue, jolla on korkea virhehinta"
— Miksi asiakkaat eivät ole suoraan vuorovaikutuksessa asiantuntijoiden kanssa?
Anton:Suoraan vuorovaikutukseen liittyy monia riskejä molemmille osapuolille, joten välittäjät hyödyntävät tätä. Markkinat kehittyivät melko kaoottisesti, siksi se tapahtui, startuppimme tavoitteena on murtaa tämä vanhentunut kaava.
Artem: Liiketoimintamme tavoitteena on muuttaa tämä tilanne. Valtava urakoitsijoiden ja myyjien kerros heikentää markkinoita ja nostaa hintoja. Tämän seurauksena liiketoiminnasta tulee haavoittuvampi.
- Miten varmistat, että esiintyjä on tunnollinen ja ammattimainen? Millä tavoilla voit tarkistaa tämän?
Anton:Yksityiskohtiin menemättä tietoturvayhteisö ei ole niin suuri, ja useimmissa tapauksissa voimme löytää esimerkiksi esiintyjän entisiä työkavereita. Jos siinä oli jotain negatiivista, otamme siitä selvää. Kokemus markkinoilta on suuntaa antava.
– Voitko antaa esimerkin tyypillisestä tilauksesta, jossaMitä pyyntöjä yritykset esittävät sinulle? Mitä ratkaisuja tarjoat heille? Onko heillä erityisiä pyyntöjä tarvitsemilleen esiintyjille?
Anton: Tilaukset ovat hyvin yksilöllisiä.Jotkut pyynnöt tulivat meille yllätyksenä. Tyypillisiä ovat verkkosivustojen, sovellusten turvatarkastukset, penetraatiotestaukset, tietoturvatyökalujen määrittäminen, sosiaalinen suunnittelu - nämä ovat erittäin suosittuja palveluita markkinoilla. Mutta paholainen on yksityiskohdissa - monissa tilauksissa on erityispiirteitä, jotka on otettava huomioon asiakkaan kanssa työskennellessä ja työvoimakustannuksia laskettaessa. On olemassa ainutlaatuisia pyyntöjä, yleensä tämä johtuu asiakkaan liiketoiminnan erityispiirteistä. Esimerkiksi erittäin kilpailluilla markkinoilla teollista vakoilua pidetään suurimmana uhkana, joten yksityisyyteen liittyvät riskit ovat merkittävimpiä. Logistiikka- ja valmistusyritykset puolestaan valvovat ensisijaisesti liiketoiminnan jatkuvuutta, joten käytettävyysriskit ovat niille merkittävimpiä.
Mihin yrityksiin haluat kohdistaa? Kohtaavatko pienet yritykset nykyään samat riskit kuin suuret yritykset?
Artem:Ensinnäkin - pienille ja keskisuurille yrityksille yksi tehtävistämme on tarjota tietoturvapalvelut heidän käyttöönsä. Eri toimialojen yrityksillä on omat erityispiirteensä, nyt pyrimme tekemään "laatikoituista" tarjouksistamme ainutlaatuisia tietylle toimialalle.
Nämä palvelut ovat kalliita, jos otat yhteyttäsuuret tietoturvayritykset tai järjestelmäintegraattori. Keskimääräisiä kustannuksia on vaikea nimetä, koska kyseessä on kokonainen palvelukerros, joka on arvioitu tiettyjen esiintyjien työvoimakustannuksilla. Nyt suurimmalle osalle yrityksistä tietoturvariskit ovat ilmeisiä ja niihin ollaan jo valmiita käyttämään rahaa, mutta jos palveluiden kustannukset nousevat heidän liiketoiminnalleen. Muuten heidän on helpompi ottaa nämä riskit.
Uhat markkinoilla ovat suunnilleen samatkaikille, mutta pääsääntöisesti suurilla yrityksillä on jo kokemusta tietoturva-alalta ja ymmärrys siitä, mitä he tarvitsevat. Lisäksi suuret yritykset ovat kiinnostavampi kohde hyökkääjille. Pienillä yrityksillä tällaista ymmärrystä on usein muodostettava - valitettavasti se syntyy usein riskien oivaltamisen jälkeen.
— Millaisia tietouhkia kohtaat nykyään useimmiten käytännössä? Mitä uhkia on vaikeinta käsitellä?
Anton: Kriittisten tietojen menetys.On tarpeen erottaa sisäiset ja ulkoiset uhat, jotka edellyttävät erilaisia ennaltaehkäiseviä toimenpiteitä. Jos minun pitäisi korostaa jotain erityistä, puhuisin asiakastietojen menettämisen uhasta. Usein jopa sähköpostiarkiston katoaminen voi aiheuttaa valtavaa vahinkoa yritykselle. Vaikeinta torjua on inhimillinen tekijä – yksi avattu phishing-sähköposti voi aiheuttaa paljon ongelmia. Asettamalla käyttöoikeudet oikein yrityksen sisällä vahingot voidaan minimoida. Mutta ihminen on aina järjestelmän haavoittuvin osa.
– Älä luule niin suosion takiakyberturvallisuudesta on tullut populismia - jokainen sovellus kirjoittaa, että he välittävät käyttäjiensä turvallisuudesta (vaikka ei ole tosiasia, että kaikki on kunnossa). Onko tämä mielestäsi tehnyt käyttäjistä vähemmän kriittisiä ajattelijoita ja vähemmän huolissaan turvallisuudestaan?
Anton: Hurraa, turvallisuudesta on vihdoin tullut suosittua! Toivon, että tämä muoti auttaa tyrmäämään suuria budjetteja ja houkuttelemaan alalle älykkäämpiä asiantuntijoita.
Äskettäinen Yandex.Food-vuoto osoitti, että edes kunnioittavain asenne turvallisuuteen ei ole ihmelääke. En usko, että he alkoivat ajatella vähemmän turvallisuutta, ennen popularisointia kaikki oli vielä pahempaa.
"Universaalin kvanttitietokoneen keksintö on melko kaukana"
— Ovatko kvanttiteknologiat nyt todellinen uhka yrityksille?
Anton:Niitä ei ole eikä tule olemaan pitkään aikaan. Universaalin kvanttitietokoneen keksiminen on melko kaukana. Mutta jo nyt on valikoima postkvanttialgoritmeja, jotka toteutetaan tavallisilla salaustyökaluilla ja joita tukevat useimmat nykyaikaiset ohjelmistot. Siksi onneksi tällä alueella kilpi ilmestyy paljon nopeammin kuin miekka. Odotamme seuraavien 2-3 vuoden aikana julkistettavan post-kvanttisalausalgoritmeja ja luovan universaalin kvanttitietokoneen - aikaisintaan vuonna 2030.
Toisaalta kvanttiteknologiat eivät ole pitkään aikaan olleet pelkkää hypeä, joten tämä on epäilemättä tulevaisuutemme. Ainoa kysymys on, milloin se tulee.
"Ja millä alueilla miekka voi esiintyä nopeammin kuin kilpi?"
Anton:Nollapäivän haavoittuvuuksia ilmaantuu säännöllisesti - tämä on tilanne, kun miekka ilmestyy nopeammin. Mutta niiden vaikutusta tulisi lieventää täydentävillä yleismaailmallisilla korvaavilla toimenpiteillä. Seuraavien 5-10 vuoden aikana hallitusta tukevien hakkeriryhmien rahoituksen lisääminen voi luoda lisäuhkia myös kaupallisille markkinoille.
"Universaalin kvanttitietokoneen keksintö on melko kaukana"
— Miten näet ihanteellisen tuotteesi?Onko tämä "Profin" kaltainen sivusto, josta tavalliset asiakkaat etsivät urakoitsijoita tietoturva-alalta? Oletko varma, että tämä on niin suosittu palvelu ja että sivustosi tulee olemaan suosittu?
Artem:Tämä ei ole ollenkaan "Pro", koska tärkein asiamme ei ole esiintyjän puhelinnumero ja ansioluettelo. Esiintyjien todentaminen on yksi alustan tärkeimmistä palveluista, koska samassa "Profissa" kaikki varmennus tehdään se, että nimi ja valokuva tarkistetaan passista. Onko tämä testi?
Ihanteellinen tuotteemme on yksinkertainen ja ymmärrettäväasiakkaan kaikki tarpeet huomioiva ”laatikko” ei pakota sukeltamaan liian syvälle teknisiin vivahteisiin. Samaan aikaan "laatikko" on tasapainoinen, se ottaa jo huomioon hänen liiketoimintansa erityispiirteet, toimialan erityispiirteet, olemassa olevat uhat ja voidaan viimeistellä tiettyä pyyntöä varten.
Meille on tärkeää paitsi tehdä hyvää tuotetta,ja rakentaa tuki mahdollisimman tehokkaasti teknisten eritelmien, sopimusten valmistelusta, ensisijaisesta yhteydenpidosta toimeksisaajan kanssa aina loppuraportin laatimiseen asti. Jatkossa haluamme oppia luomaan niitä automaattisesti.
Yleensä turvallisuuspalvelut ovat kokonainen kerrospalvelut, tietoturvamarkkinoiden luonnollisen kasvun ja kansainvälisen tilanteen aiheuttaman kasvun huomioon ottaen uskomme, että tilauksia alustalle tulee enemmän kuin tarpeeksi.
Mikä työssäsi kiinnostaa sinua tällä hetkellä eniten? Mitä haluat muuttaa tällä alueella? Miten "kolmannen osapuolen" pitäisi vaikuttaa tähän?
Artem:Haluamme tehdä tietoturvapalvelumarkkinoista mahdollisimman tehokkaat, läpinäkyvät ja turvalliset. Tämä on melko herkkä alue, jonka monet prosessit perustuvat luottamukseen. Kutsuisin sitä näin: "markkinoiden parhaat käytännöt, jotka ovat yrityksille ymmärrettäviä."
Tiedämme hyvin, että tulemme aina olemaan keskellä – liike-elämän ja tietoturva-asiantuntijoiden välissä. Ja meille on erittäin tärkeää varmistaa, että molemmat osapuolet ymmärtävät toisiaan ja ovat tyytyväisiä.
Miten ulkoiset olosuhteet vaikuttavattapahtuu tietoturvan alalla? Mitä pandemia ja tapahtumat helmikuun 24. päivän jälkeen ovat muuttaneet? Miten esimerkiksi suojella etätyötä tekeviä työntekijöitä? Kuinka suojautua maailman tyylikkäimpien hakkereiden hyökkäyksiltä tai kyberuhkilta?
Anton:Uusia uhkia ei ilmaantunut, ne vain kasvoivat erittäin vakavasti, kuten myös virheen hinta. DDOS on tarina laitteistosta ja enimmäkseen toimittajan puolelta tai ulkoisesta palvelusta. Ihannetapauksessa sinun pitäisi tehdä hakkeroinnista kannattamatonta tai mahdollisimman epätodennäköistä. Mutta mikä tahansa järjestelmä on aina haavoittuvainen.
Etätyöntekijöiden turvassa pitäminenkuten loputkin. Rekrytointivaiheessa eroja ei ole, mutta lähestymistapa työpaikkojen luomiseen on erilainen. Nykyaikaisten kulunvalvontatyökalujen avulla voit vähentää etätyön riskit tavallisten toimistotyöntekijöiden tasolle, ellet tietenkään usko kulunvalvonta-asetuksia ammattilaisille.
— Mitä ongelmia, väärinkäsityksiä ja myyttejä yritysturvallisuuden alalla vallitsee nykyään? Mitkä ovat vaarallisimpia tavallisille käyttäjille ja asiakkaillesi?
Anton:"Meillä ei ole mitään puolustettavaa" - tällaisia kommentteja löytyy edelleen, täällä ei ole kommentteja. "Olemme kunnossa, meitä ei ole vielä hakkeroitu!" - Hakkerointi ei aina ole heti havaittavissa, yritys ei välttämättä tiedä siitä pitkään aikaan, riippuen hyökkääjien tavoitteista.
Joskus asiakkaat sanovat:"Kukaan ei ole kiinnostunut meistä", mutta useimmiten hyökkääjät yrittävät hakkeroida kaiken ja kaupallistaa kaiken, mitä he voivat saavuttaa. Siksi kukaan ei etsi sinua tarkoituksella, he vain kiinnittävät sinut tangenttiin.
"Nyt liike-elämä on tuntenut monia riskejä, joita ei ole ennen vakavasti harkittu"
– Miten päädyit Innopolikseen? Miksi tarvitsit sitä ja miten se auttaa kehityksessä?
Anton: Tulimme Innopolikseen tietoisesti.Halusimme hyödyntää erityistalousvyöhykkeen edut, niitä on Venäjällä jo tarpeeksi. Valitsimme Innopoliksen, koska siellä on vähemmän potentiaalisia kilpailijoita kuin Skolkovossa ja IT-kaupungin miellyttävä ilmapiiri. Synnyin ja kasvoin Kazanissa, vierailin Innopoliksessa esiintymisillä, ystäväni opiskelivat täällä, tämä vaikutti myös minuun.
Innopolis auttaa meitä ensisijaisesti PR:ssa. Yhteydet muihin kotimaisiin startup-yrityksiin auttavat, esimerkiksi kaksi tyylikästä mainosta piirsivät asukkaat!
Artem:Yleensä erityistalousalueet etsivät sijoittajia, työntekijöitä tai yhteyksiä. Ja aina - mahdollisuudesta maksaa vähemmän veroja, tämä on paljon sekä valtiolle että yritykselle. Yllä mainituista olemme eniten kiinnostuneita yhteyksistä, yhteisöstä - meillä ei ole työntekijöitä henkilökunnassa, ja alkuvaiheessa päätimme olla houkuttelematta sijoittajaa. Nyt yritystä rakennetaan rahoillamme. Jonkin ajan kuluttua etsimme sijoittajaa, mutta haluaisimme tehdä sen paljon myöhemmin.
Kuinka kauan projektiin voi sijoittaa? Kuinka monen vuoden sijoituksen vielä tarvitset, jotta ne alkavat maksaa, missä vaiheessa aloitat sijoittajien etsimisen?
Artem:Kyse ei ole rahasta, vaan siitä, miten sen käytät. Olisimme voineet tehdä kaiken, mitä olemme nyt tehneet, kuluttamalla kymmenen kertaa enemmän ja vain tukkimalla ongelmat rahalla. Sen sijaan meillä oli paljon ilmaista tai suhteellisen halpaa mainontaa. Tämä ei ole sissimarkkinointia, vaan jotain ideologisesti läheistä.
Hanke ei vaadi suuria investointeja. Emme tarvitse kymmeniä tai satoja miljoonia ruplaa. Infobez on luottamuksesta, ja jos voit kokeilla sitä osta - se on erittäin kallista ja ilman takuitatulos. Kerran istuimme Antonin kanssa ja mietimme, mihin saatamme tarvita sijoittajan rahoja. Ymmärsimme, että tällaisia asioita on, mutta ne eivät ole avain tuloksen saavuttamiseen.
- Miten aiot sopeutua siihen, mitä nyt tapahtuu - pakotteet, eristäminen? Mitä mieltä olet hallituksen jo hyväksymistä tukitoimista?
Artem:Yritämme ottaa tilanteesta kaiken irti, sillä turvallisuusaihe on noussut ajankohtaisemmaksi. Yritykset ovat kokeneet monia riskejä, joita he eivät olleet aiemmin vakavasti harkinneet. Suuryritysten vuodot ja hakkerit ovat lisänneet heidän vainoharhaisuutta ja halua työskennellä turvallisuutensa eteen. Markkinat kasvavat entistä nopeammin.
Pakotteet ja eristäminen ovat monimutkaisetneet joidenkin tilannettaprofiiliohjelmistot, suljettu pääsy ulkomaisille asiakkaille ja mainosalustoille. Mutta tukitoimia aletaan vähitellen toteuttaa, ne näyttävät meistä varsin hyödyllisiltä. Olemme jo ilmoittautuneet akkreditoitujen IT-yritysten rekisteriin ja hyödynnämme joitain tarjouksia.
Mitkä ovat tavoitteesi tuleville vuosille?
Artem:Päätavoitteemme on nyt käynnistää vakaa myynti. Samalla harjoittaa parasta palvelua - tehokkainta, tarjota parempia palveluita parhaaseen hintaan verrattuna muihin maihin. Sen tulee olla ymmärrettävää ja läpinäkyvää – emme ole pelkästään myyntityötä, vaan neuvomme, kerromme ja yritämme auttaa ihmisiä kehittämään tietoturvan perusosaamista.
Anton:Uskomme, että alustamme tuominen markkinoille tuo tietoturvapalvelut kaikkien asiakkaiden saataville. Meille tämä on tapa muuttaa Venäjän tietoturvamarkkinoita, tehdä niistä läpinäkyvämpiä, ymmärrettävämpiä, saavutettavampia ja rehellisempiä.
Lue lisää:
Apinarokosta on tulossa maailmanlaajuinen virus: miksi se tarttuu niin nopeasti
Universumissa tapahtuu jotain outoa: kuinka selittää Hubble-vakion epäjohdonmukaisuudet
Diagnoosi minuutissa: miten IT muuttaa terveydenhuoltoa