"Az információbiztonsági piac nem hatékony és konzervatív"
- Miért álltál meg?
Anton:Oroszország egyik legnagyobb sertéshústermelőjénél dolgoztam. Kihelyezett információbiztonsági (IS) szakértő volt a vállalat belső hálózatának biztonságának elemzésében. Egy potenciális támadó tevékenységét utánozta a vállalat hálózatának és kulcsfontosságú üzleti rendszereinek elfogására. A sertéstelep, vagy inkább együtt - a telep, az üzem és a cég irodái - az egyik legszembetűnőbb projektem. El sem tudod képzelni, hogy ott minden mennyire automatizált, és egy potenciális hacker mennyire képes befolyásolni, amit én meg is tettem. Ennél a projektnél az volt a feladatom, hogy kiemeljem a kulcsfontosságú kérdéseket, és javaslatokat tegyek a kármentesítésre. Sajnos nem árulhatom el a részleteket – NDA.
Anton Bocskarev
Középiskola után rögtön az IB-re mentem.Bár rengeteg tevékenységet kipróbáltam informatikában, soha nem jártam messze az információbiztonságtól, lelkes vagyok. Számomra egy startup az életem munkája, esély arra, hogy egy nagyságrendet javítsak a piacon. Idős éveim óta ezen a területen dolgozva egyre jobban megértettem, hogy a piac nem hatékony és konzervatív. Nem a lehető legrugalmasabb, és szó sincs az üzleti folyamatok hatékonyságáról. A piac ellenáll az üzleti folyamatokban bekövetkezett változásoknak, elsősorban a vezetők szakmai deformációja miatt, akik igyekeznek elkerülni a változásokat, azokat további kockázatnak tekintve.
Minél többet dolgoztam ipari vállalatoknál,annál jobbak voltak a problémák. Teljesen más szerepeket töltöttem be a piac különböző oldalairól, és úgy gondolom, hogy jobbá tehetem. A lényeg az, hogy a szolgáltatási piac jövőjét az információbiztonságban látjuk a szolgáltatási modellben. Olyan ez, mint egy taxipiac, amelyet az aggregátorok tökéletesebbé tettek.
- Ugyanez a kérdésem Artemhez is: miért tért át a pénzügyi szektorból a kiberbiztonság felé? Mi a szereped a projektben?
Artem:Amikor egy nagy cégnél dolgozol, nem látod a munkád eredményét. Gyakran dolgozol csapatban, ők biztosítanak, te biztosítasz. Itt egy másik történet – ha nem teszel meg valamit, az nem fog megtörténni. Sokkal több lehetőség adódik az önmegvalósításra. Mindig is ki akartam próbálni magam egy startupban, különösen egy olyan iparágban, amely érdekesnek tűnt számomra.
Artem Nalivaiko
Kis cég vagyunk, nincs nehéz dolgunka szerepek szétválasztása. Inkább részt veszek a végtermék elkészítésében, prezentációkban, tárgyalásokban. Külön köszönet az Új Gazdasági Iskola közösségének – segítettek abban, hogy higgyek magamban. Amikor bármikor feltehetsz egy kérdést olyan embereknek, akik sok országban építettek fel vállalkozást, ez nem csak nagyon hasznos, de motiváló is! Nem léptünk tehát elődeink gereblyéjére, meg voltunk győződve arról, hogy befektető nélkül is lehet indulni. A legfontosabb dolog az, hogy meg voltam győződve arról, hogy az ötlet működőképes és igényes.
— Hogyan tanulja meg az ember a kiberbiztonságot? Ez fordítva a hacker útja?
Anton:A kiberbiztonsági képzés alapvetően különbözik a programozói képzéstől, teljesen más gondolkodásmód. Az egyetemeknek vannak specialitásai, alapot, vektort adnak a szakmai mozgáshoz, ez elég. De a munka ezen a területen a sok lelkes szakember itt gyakorlatból és önképzésből születik. Természetesen minket is tanítanak programozni, de egyáltalán nem úgy, mint a programozókat.
Saját hackerkonferenciáink és közösségeink vannak.A kiberbiztonság nem része az IT-nek, hanem csak egy olyan terület, ahol sok átfedés van az IT-vel. Egyes kíváncsiskodók nagyszámú, önállóan megszerzett tudás és ehhez kapcsolódó munkakörökben vagy hackerversenyeken szerzett jogi gyakorlat révén jutnak el a biztonságba és az IT-ből. Szakirányú felsőfokú végzettség nem feltétel, de kívánatos.
„Az információbiztonsági problémákat évek óta nem oldották meg”
- Mikor vette észre, hogy szüksége van egy olyan platformra, amely kiválasztja az információbiztonsági vállalkozókat?
Anton: Sok problémát látok az információbiztonsági szolgáltatások piacán, évek óta nem oldódnak meg. A fő a közvetítői lánc, az a helyzet, amikor 10 ezren értékesítik ezer előadó szolgáltatását.
Az információbiztonság kritikus terület, amely magas hibaköltséggel jár.Közvetlenül szakemberhez fordulhat, de hogyan biztosítható a megfelelő szintű garancia? Az információbiztonság nem tömegszolgáltatás, nem lehet pozitív véleményekre építeni. Ezért nem csupán keresőplatformmá váltunk, hanem teljes értékű közvetítővé, az üzleti élet nyelvéről a technológia nyelvére fordítóvá. Segítünk a feladatmeghatározás megírásában, a szerződések elkészítésében minden fél érdekeit szem előtt tartva, ellenőrizzük a vállalkozó jogszerűségét, képzettségét és független vizsgálatot végzünk a munka eredményéről. Nem lehet csak egy helyre gyűjteni a vásárlókat és az előadókat, szükség van egy aktív közvetítőre, aki irányítani tudja a folyamatot. Az egész pályafutásom egy ilyen szolgáltatás szükségességéről szól.
„Az IS kritikus terület, ahol magas a hibaköltség”
— Miért nem lépnek kapcsolatba az ügyfelek közvetlenül a szakemberekkel?
Anton:A közvetlen interakció számos kockázatot rejt magában mindkét fél számára, ezért a közvetítők ezt kihasználják. A piac meglehetősen kaotikusan fejlődött, ezért történt, startupunk célja ennek az elavult sémának a megtörése.
Artem: Vállalkozásunk célja ezen a helyzeten változtatni. A vállalkozók és értékesítők hatalmas rétege csökkenti a piac hatékonyságát és megemeli az árakat. Ennek eredményeként a vállalkozás sebezhetőbbé válik.
- Hogyan ellenőrzi, hogy az előadó lelkiismeretes és profi legyen? Milyen módszerekkel ellenőrizheti ezt?
Anton:Anélkül, hogy részleteznénk, nem olyan nagy az információbiztonsági közösség, és a legtöbb esetben találkozhatunk például az előadó egykori kollégáival. Ha volt benne negatívum, majd megtudjuk. A piaci tapasztalatok jelzésértékűek.
— Tudna példát mondani egy tipikus rendelésre, azzalMilyen kéréseket intéznek Önhöz a cégek? Milyen megoldásokat kínálsz nekik? Van-e konkrét kérésük a szükséges előadókkal kapcsolatban?
Anton: A megrendelések nagyon egyéniek.Néhány kérés meglepetést okozott számunkra. Tipikusak a webhelyek, alkalmazások biztonsági ellenőrzése, penetrációs tesztelés, biztonsági eszközök beállítása, social engineering – ezek nagyon népszerű szolgáltatások a piacon. De az ördög a részletekben rejlik - sok megrendelésnek vannak sajátosságai, amelyeket figyelembe kell venni az ügyféllel való munka során és a munkaerőköltségek kiszámításakor. Vannak egyedi kérések, ez általában az ügyfél vállalkozásának sajátosságaiból adódik. Például az erősen versengő piacokon az ipari kémkedést tekintik a fő fenyegetésnek, így az adatvédelmi kockázatok a leglényegesebbek. A logisztikai és gyártó cégek ezzel szemben elsősorban az üzletmenet folytonosságát figyelik, így számukra a rendelkezésre állási kockázatok a leglényegesebbek.
Milyen cégeket szeretne megcélozni? A kisvállalkozások ma ugyanazokkal a kockázatokkal néznek szembe, mint a nagyvállalatok?
Artem:Elsősorban a kis- és középvállalkozások számára az egyik feladatunk az információbiztonsági szolgáltatások elérhetővé tétele. A különböző iparágakban működő cégeknek megvannak a maguk sajátosságai, most azon dolgozunk, hogy „dobozos” ajánlatainkat egyedivé tegyük egy adott iparág számára.
Ezek a szolgáltatások drágák, ha felveszi a kapcsolatotnagy információbiztonsági cégek vagy rendszerintegrátor. Nehéz megnevezni az átlagos költséget, mivel ez a szolgáltatások teljes rétege, amelyet az egyes előadók munkaerőköltségei alapján becsülnek meg. Mára a legtöbb cég számára nyilvánvalóvá válnak az információbiztonság kockázatai, és már készen állnak arra, hogy pénzt költsenek rá, de ha a szolgáltatások költsége megemelkedik vállalkozása számára. Ellenkező esetben könnyebben vállalják ezeket a kockázatokat.
A piaci fenyegetések megközelítőleg azonosakmindenki, de általában a nagyvállalatok már rendelkeznek tapasztalattal az információbiztonság területén, és értik, mire van szükségük. Ráadásul a nagyvállalatok érdekesebb célpontot jelentenek a támadók számára. A kisvállalkozásoknál gyakran meg kell alakítani ezt a megértést – sajnos ez gyakran a kockázatok felismerése után jön létre.
— Milyen típusú információs fenyegetésekkel találkozik manapság a gyakorlatban? Milyen fenyegetéseket a legnehezebb kezelni?
Anton: Kritikus adatok elvesztése.El kell különíteni a belső és külső fenyegetéseket, amelyek eltérő megelőző intézkedéseket igényelnek. Ha valami konkrétumot kellene kiemelnem, akkor az ügyféladatok elvesztésének veszélyéről beszélnék. Gyakran még egy e-mail archívum elvesztése is óriási károkat okozhat egy vállalkozásnak. A legnehezebb az emberi tényező ellen küzdeni – egy megnyitott adathalász e-mail rengeteg problémát okozhat. A cégen belüli hozzáférési jogok megfelelő beállításával a kár minimalizálható. De az ember mindig a rendszer legsebezhetőbb része.
– Ne a népszerűség miatt gondolja ezta kiberbiztonság populizmussá vált - minden alkalmazás azt írja, hogy törődnek a felhasználók biztonságával (bár nem tény, hogy ezzel minden rendben van). Ön szerint emiatt a felhasználók kevésbé kritikusan gondolkodnak, és kevésbé aggódnak a biztonságuk miatt?
Anton: Hurrá, végre népszerű lett a biztonság! Remélem, ez a divat segít kiütni a nagy költségvetéseket és intelligensebb szakembereket vonzani a területre.
A Yandex.Food legutóbbi kiszivárogtatása megmutatta, hogy még a biztonság iránti legáhítatosabb hozzáállás sem csodaszer. Nem hiszem, hogy elkezdtek kevesebbet gondolni a biztonságra, a népszerűsítés előtt minden még rosszabb volt.
„Az univerzális kvantumszámítógép feltalálása meglehetősen messze van”
— Valós veszélyt jelentenek most a kvantumtechnológiák a cégekre?
Anton:Nincsenek és még sokáig nem is lesznek. Az univerzális kvantumszámítógép feltalálása még nagyon messze van. Most azonban van egy választás a kvantum utáni algoritmusok közül, amelyeket szabványos titkosítási eszközökben valósítanak meg, és a legtöbb modern szoftver támogatni fogja. Ezért szerencsére ezen a területen a pajzs sokkal gyorsabban fog megjelenni, mint a kard. A következő 2-3 évben a posztkvantum titkosítási algoritmusok bejelentésére, egy univerzális kvantumszámítógép megalkotására számítunk - legkorábban 2030-ban.
Másrészt a kvantumtechnológiák már régóta nem csak egy hírverés, így kétségtelenül ez a jövőnk. A kérdés csak az, hogy mikor jön.
– És milyen területeken bukkanhat fel gyorsabban egy kard, mint egy pajzs?
Anton:A nulladik napi sebezhetőségek rendszeresen megjelennek - ez az eset, amikor a kard gyorsabban jelenik meg. De befolyásukat további univerzális kompenzációs intézkedésekkel kell mérsékelni. A következő 5-10 évben a kormánypárti hackercsoportok fokozott finanszírozása további fenyegetéseket jelenthet a kereskedelmi piacon is.
„Az univerzális kvantumszámítógép feltalálása meglehetősen messze van”
— Hogyan látja az ideális termékét?Ez egy olyan oldal, mint a „Profi”, ahol a hétköznapi ügyfelek az információbiztonság területén keresnek majd vállalkozókat? Biztos benne, hogy ez egy ilyen népszerű szolgáltatás, és hogy webhelye népszerű lesz?
Artem:Ez egyáltalán nem „Pro”, mert nem az előadó telefonszáma és önéletrajza a lényeg. Az előadók ellenőrzése a platform egyik legfontosabb szolgáltatása, mivel ugyanazon a „Profi”-on történik minden ellenőrzés az a tény, hogy a nevet és a fényképet összevetik az útlevéllel. Ez egy teszt?
Ideális termékünk egy egyszerű és érthetőegy „doboz” az ügyfél számára, amely minden igényét figyelembe veszi, nem kényszeríti Önt arra, hogy túlságosan belemerüljön a technikai árnyalatokba. Ugyanakkor a „doboz” kiegyensúlyozott, már figyelembe veszi a vállalkozásának sajátosságait, az iparág sajátosságait, a fennálló veszélyeket és konkrét kérésre véglegesíthető.
Fontos számunkra, hogy ne csak jó terméket készítsünk,és támogatását a lehető leghatékonyabban kiépíteni a műszaki leírások, szerződések elkészítésében, a vállalkozóval való elsődleges kommunikáción át a zárójelentés elkészítéséig. A jövőben szeretnénk megtanulni, hogyan lehet ezeket automatikusan generálni.
Általában véve a biztonsági szolgáltatások egy egész réteget alkotnakszolgáltatásokkal, figyelembe véve az információbiztonsági piac természetes növekedését és a nemzetközi helyzet által kiváltott növekedést, bízunk benne, hogy több mint elegendő megrendelés lesz a platformon.
Mi érdekli leginkább a munkádban jelenleg? Mit szeretnél változtatni ezen a területen? Hogyan kell ezt befolyásolnia a „harmadik félnek”?
Artem:Szeretnénk az információbiztonsági szolgáltatások piacát a lehető leghatékonyabbá, átláthatóbbá és biztonságosabbá tenni. Ez egy meglehetősen érzékeny terület, amelyben sok folyamat a bizalomra épül. Ezt így nevezném: "az üzleti élet számára érthető legjobb piaci gyakorlatok".
Tisztában vagyunk vele, hogy mindig középen leszünk – az üzleti és információbiztonsági szakértők között. Számunkra pedig nagyon fontos, hogy mindkét fél megértse egymást és elégedett legyen.
Hogyan befolyásolják a külső körülmények atörténik az információbiztonság területén? Mi változtatta meg a járványt és a február 24-e utáni eseményeket? Például hogyan lehet megvédeni a távolról dolgozó alkalmazottakat? Hogyan védheti meg magát a világ legmenőbb hackereinek támadásaitól vagy kiberfenyegetéseitől?
Anton:Új fenyegetések nem jelentek meg, csak nagyon komolyra nőttek, ahogy a hiba ára is. A DDOS egy történet hardverről, és többnyire a szolgáltató oldalán vagy egy külső szolgáltatásról szól. Ideális esetben a hackelést veszteségessé vagy a lehető legvalószínűtlenebbé kell tennie. De minden rendszer mindig sebezhető lesz.
Tartsa biztonságban a távoli alkalmazottakatmint a többi. A felvétel szakaszában nincsenek különbségek, de a munkahelyek kialakításának megközelítése más. A modern beléptető eszközök lehetővé teszik, hogy a távmunka kockázatait a hétköznapi irodai dolgozók szintjére csökkentse, kivéve, ha természetesen a beléptető beállításokat szakemberekre bízza.
— Milyen problémák, tévhitek, mítoszok léteznek ma a vállalatbiztonság területén? Melyek a legveszélyesebbek a rendszeres felhasználók és az ügyfelek számára?
Anton:"Nincs mit védenünk" - még mindig vannak ilyen megjegyzések, itt nincsenek megjegyzések. – Jól vagyunk, még nem törtek fel minket! — a hackelés nem mindig észlelhető azonnal, a támadók góljaitól függően sokáig nem tud róla a társaság.
Néha az ügyfelek azt mondják:„Senkit sem érdekelnek mi”, de a támadók gyakrabban megpróbálnak mindent feltörni, és mindent pénzzé tenni, amit elérhetnek. Ezért senki nem fog szándékosan keresni, egyszerűen ráakad egy érintőre.
„Most a vállalkozások sok olyan kockázatot éreztek, amelyeket korábban nem vettek komolyan”
– Hogyan került Innopoliszba? Miért volt rá szüksége és hogyan segíti a fejlődést?
Anton: Tudatosan jöttünk Innopolisba.A különleges gazdasági övezet előnyeit szerettük volna kihasználni, Oroszországban már van belőlük elég. Egyszerűen azért választottuk az Innopolist, mert kevesebb a potenciális versenytárs, mint Szkolkovóban, és az informatikai város kellemes légköre. Kazanyban születtem és nőttem fel, fellépésekkel jártam Innopolisban, itt tanultak a barátaim, ez is hatott rám.
Az Innopolis elsősorban a PR-ben segít nekünk. Segítenek a kapcsolatok más rezidens startupokkal, például két sikkes reklámot rajzoltak a rezidens srácok!
Artem:A különleges gazdasági övezetek általában befektetőket, alkalmazottakat vagy kapcsolatokat keresnek. És mindig – a kevesebb adófizetés lehetőségéért ez nagyon sokat jelent az államnak és a cégnek egyaránt. A fentiek közül minket leginkább a kapcsolatok, a közösség érdekel – nincs alkalmazottunk a stábban, és a kezdeti szakaszban úgy döntöttünk, hogy nem vonzunk befektetőt. Most a mi pénzünkből épül a cég. Egy idő után befektetőt keresünk, de ezt egy jóval későbbi szakaszban szeretnénk megtenni.
Mennyi ideig fektethet be a projektbe? Hány év befektetés kell még ahhoz, hogy megtérüljön, melyik szakaszban kezd el befektetőket keresni?
Artem:Nem a pénz a lényeg, hanem az, hogy hogyan használod fel. Mindent megtehettünk volna, amit most tettünk, ha tízszer annyit költünk, és a problémákat csak pénzzel tömjük össze. Ehelyett sok ingyenes vagy viszonylag olcsó hirdetésünk volt. Ez nem gerillamarketing, hanem valami ideológiailag közeli dolog.
A projekt jelentősebb beruházást nem igényel. Nincs szükségünk tíz- vagy százmillió rubelre. Az Infobez a bizalomról szól, és ha lehet, próbáld ki vásárolni - nagyon drága és garancia nélküleredmény. Egyszer leültünk Antonnal, és azon gondolkodtunk, hogy mire lehet szükségünk a befektető pénzére. Rájöttünk, hogy vannak ilyen dolgok, de nem ezek a kulcsok az eredmény eléréséhez.
– Hogyan tervez alkalmazkodni a mostanihoz – szankciókhoz, elszigeteltséghez? Mi a véleménye a kormány által már jóváhagyott támogatási intézkedésekről?
Artem:Igyekszünk a legtöbbet kihozni ebből a helyzetből, mert a biztonság témaköre egyre aktuálisabb lett. A vállalkozások számos olyan kockázattal szembesültek, amelyeket korábban nem gondoltak komolyan. A nagyvállalatok kiszivárogtatásai és feltörései fokozták a paranoiát és a biztonságuk javítására irányuló vágyukat. A piac még gyorsabban növekszik, mint korábban.
A szankciók és az elszigeteltség egyeseknél bonyolította a helyzetetspeciális szoftverek, zárt hozzáférés a külföldi ügyfelekhez és hirdetési platformokhoz. De a támogatási intézkedések fokozatosan megvalósulnak, számunkra nagyon hasznosnak tűnnek. Már bekerültünk az akkreditált IT-cégek nyilvántartásába, és kihasználunk néhány ajánlatot.
Mik a céljaid a következő évekre?
Artem:Fő célunk most a stabil értékesítés elindítása. Ugyanakkor a legjobb szolgáltatás igénybevétele - a leghatékonyabb, jobb szolgáltatásokat kínálva a legjobb árakon más országokhoz képest. Érthetőnek és átláthatónak kell lennie – mi nem csak az értékesítésről szólunk, hanem tanácsot adunk, elmondunk és igyekszünk segíteni az embereknek az alapvető információbiztonsági kompetenciák kialakításában.
Anton:Hiszünk abban, hogy platformunk piacra hozatala révén az információbiztonsági szolgáltatások bármely ügyfél számára elérhetővé válnak. Számunkra ez egy módja annak, hogy megváltoztassuk az oroszországi információbiztonsági piacot, átláthatóbbá, érthetőbbé, hozzáférhetőbbé és őszintébbbé tegyük azt.
Olvass tovább:
A majomhimlő globális vírussá válik: miért terjed olyan gyorsan?
Valami furcsa történik az Univerzumban: hogyan magyarázzuk meg a Hubble-állandó következetlenségeit
Diagnózis egy percben: hogyan változtatja meg az IT az egészségügyet