„Rynek bezpieczeństwa informacji jest nieefektywny i konserwatywny”
- Dlaczego zatrzymałeś się na
Antoni:Pracowałem dla jednego z największych producentów wieprzowiny w Rosji. Był ekspertem outsourcingu bezpieczeństwa informacji (IS) w analizie bezpieczeństwa sieci wewnętrznej firmy. Naśladował działania potencjalnego napastnika, aby przechwycić sieć firmy i kluczowe systemy biznesowe. Ferma trzody chlewnej, a właściwie wszystkie razem - gospodarstwo, zakład i biura firmy - to jeden z moich najbardziej uderzających projektów. Nie możesz sobie nawet wyobrazić, jak wszystko jest zautomatyzowane i jak bardzo potencjalny haker może na to wpłynąć, co zrobiłem. Moim zadaniem w tym projekcie było podkreślenie kluczowych kwestii i przedstawienie zaleceń dotyczących remediacji. Niestety nie mogę zdradzić szczegółów - NDA.
Anton Bochkarev
Poszedłem do IB zaraz po liceum.Chociaż próbowałem wielu działań w IT, nigdy nie odszedłem daleko od bezpieczeństwa informacji, jestem entuzjastą. Dla mnie startup to dzieło mojego życia, szansa na poprawę rynku o rząd wielkości. Pracując w tym obszarze od ostatnich lat coraz bardziej rozumiałem, że rynek jest nieefektywny i konserwatywny. Nie jest tak elastyczny, jak to tylko możliwe i nie ma mowy o efektywności procesów biznesowych. Rynek przeciwstawia się zmianom w procesach biznesowych, przede wszystkim ze względu na deformację zawodową menedżerów, którzy starają się unikać jakichkolwiek zmian, traktując je jako dodatkowe ryzyko.
Im więcej pracowałem w firmach przemysłowych,tym lepsze były problemy. Byłem w zupełnie różnych rolach z różnych stron rynku i myślę, że mogę to ulepszyć. Najważniejsze jest to, że przyszłość rynku usług widzimy w bezpieczeństwie informacji w modelu usługowym. To jak rynek taksówek, który agregatorzy udoskonalili.
- Mam to samo pytanie do Artema: dlaczego przeszedłeś z sektora finansowego do cyberbezpieczeństwa? Jaka jest Twoja rola w projekcie?
Artem:Kiedy pracujesz dla dużej firmy, nie widzisz wyników swojej pracy. Często pracujesz w zespole, oni cię ubezpieczają, ty ubezpieczasz. Oto inna historia - jeśli czegoś nie zrobisz, to się nie wydarzy. Jest o wiele więcej możliwości samorealizacji. Zawsze chciałem spróbować swoich sił w startupie, zwłaszcza w branży, która wydawała mi się interesująca.
Artem Naliwajko
Jesteśmy małą firmą, nie mamy trudnościpodział ról. Bardziej angażuję się w tworzenie produktu końcowego, prezentacje, negocjacje. Specjalne podziękowania dla społeczności Nowej Szkoły Ekonomicznej – pomogli mi uwierzyć w siebie. Kiedy w dowolnym momencie możesz zadać pytanie osobom, które zbudowały biznes w wielu różnych krajach, jest to nie tylko bardzo przydatne, ale także motywujące! Nie deptaliśmy więc po grabie naszych poprzedników, byliśmy przekonani, że można zacząć bez inwestora. Najważniejsze, że byłem przekonany, że pomysł się sprawdził i jest pożądany.
— Jak człowiek uczy się cyberbezpieczeństwa? Czy to odwrócona droga hakera?
Anton:Szkolenie z zakresu cyberbezpieczeństwa zasadniczo różni się od szkolenia programisty, to zupełnie inny sposób myślenia. Uniwersytety mają specjalizacje, dają podstawę, wektor ruchu zawodowego i to wystarczy. Ale praca w tej dziedzinie to mnóstwo entuzjastów, tutaj specjaliści rodzą się z praktyki i samokształcenia. Oczywiście nas też uczy się programowania, ale wcale nie w taki sam sposób jak programistów.
Mamy własne konferencje i społeczności hakerskie.Cyberbezpieczeństwo nie jest częścią IT, a jedynie obszarem, który w dużym stopniu pokrywa się z IT. Niektórzy ciekawscy entuzjaści dostają się w bezpieczne i poza IT, dzięki dużej warstwie samodzielnie zdobytej wiedzy i zdobytej praktyki prawniczej w powiązanych zawodach lub konkursach hakerskich. Wykształcenie specjalistyczne nie jest wymagane, ale pożądane.
„Problemy bezpieczeństwa informacji nie zostały rozwiązane od lat”
- W którym momencie zdałeś sobie sprawę, że potrzebujesz platformy, która wybiera wykonawców bezpieczeństwa informacji?
Anton: Widzę wiele problemów na rynku usług bezpieczeństwa informacji, nie zostały one rozwiązane od lat. Głównym z nich jest sieć pośredników, sytuacja, w której 10 tysięcy osób sprzedaje usługi tysiąca wykonawców.
Bezpieczeństwo informacji to obszar krytyczny o wysokim koszcie błędu.Do specjalisty można przyjść bezpośrednio, ale jak zadbać o odpowiedni poziom gwarancji? Bezpieczeństwo informacji nie jest usługą masową, nie można jej budować na pozytywnych recenzjach. Staliśmy się więc nie tylko platformą wyszukiwania, ale pełnoprawnym pośrednikiem, tłumaczem z języka biznesu na język technologii. Pomagamy napisać SIWZ, sporządzić umowy w interesie wszystkich stron, sprawdzić legalność, kwalifikacje wykonawcy oraz przeprowadzić niezależne badanie wyników prac. Nie możesz po prostu zebrać klientów i wykonawców w jednym miejscu, potrzebujesz aktywnego pośrednika, który może zarządzać procesem. Cała moja kariera to opowieść o potrzebie takiej usługi.
„IS to obszar krytyczny o wysokim koszcie błędu”
— Dlaczego klienci nie wchodzą w bezpośrednią interakcję ze specjalistami?
Antoni:W bezpośredniej interakcji istnieje wiele zagrożeń dla obu stron, więc pośrednicy wykorzystują to. Rynek rozwijał się dość chaotycznie, dlatego tak się stało, celem naszego startupu jest przełamanie tego przestarzałego schematu.
Artem: Celem naszej działalności jest zmiana tej sytuacji. Ogromna warstwa kontrahentów i sprzedawców sprawia, że rynek jest mniej wydajny i podnosi ceny. W rezultacie firma staje się bardziej podatna na zagrożenia.
- Jak sprawdzić, czy wykonawca będzie sumienny i profesjonalny? Jakie masz sposoby, aby to sprawdzić?
Antoni:Nie wchodząc w szczegóły, społeczność zajmująca się bezpieczeństwem informacji nie jest aż tak duża i w większości przypadków możemy znaleźć np. byłych kolegów wykonawcy. Jeśli był na nim jakiś negatyw, to dowiemy się o tym. Doświadczenie na rynku jest dość orientacyjne.
— Czy możesz podać przykład typowej kolejności, zJakie prośby zwracają się do Ciebie firmy? Jakie rozwiązania im oferujecie? Czy mają jakieś konkretne prośby o wykonawców, których potrzebują?
Anton: Zamówienia są bardzo indywidualne.Niektóre prośby były dla nas zaskoczeniem. Typowe to kontrole bezpieczeństwa stron internetowych, aplikacji, testy penetracyjne, konfigurowanie narzędzi bezpieczeństwa, socjotechnika - to bardzo popularne usługi na rynku. Ale diabeł tkwi w szczegółach – wiele zleceń ma specyfikę, którą należy wziąć pod uwagę przy pracy z klientem i przy kalkulacji kosztów pracy. Z reguły istnieją unikalne żądania, wynika to ze specyfiki działalności klienta. Na przykład na wysoce konkurencyjnych rynkach szpiegostwo przemysłowe jest uważane za główne zagrożenie, dlatego najbardziej istotne są zagrożenia prywatności. Z drugiej strony firmy logistyczne i produkcyjne monitorują przede wszystkim ciągłość biznesową, więc ryzyka związane z dostępnością są dla nich najbardziej istotne.
Jakie firmy chcesz kierować? Czy małe firmy stoją dziś w obliczu takiego samego ryzyka jak duże firmy?
Artem:Przede wszystkim małym i średnim firmom jednym z naszych zadań jest udostępnianie im usług bezpieczeństwa informacji. Firmy z różnych branż mają swoją specyfikę, teraz pracujemy nad tym, aby nasze „pudełkowe” oferty były unikalne dla danej branży.
Te usługi są drogie, jeśli się skontaktujeszduże firmy zajmujące się bezpieczeństwem informacji lub integrator systemów. Trudno wymienić średni koszt, gdyż jest to cała warstwa usług, szacowana przez koszty pracy poszczególnych wykonawców. Teraz dla większości firm zagrożenia związane z bezpieczeństwem informacji stają się oczywiste i są już gotowe wydać na to pieniądze, ale jeśli koszty usług dla ich biznesu rosną. W przeciwnym razie łatwiej im podjąć to ryzyko.
Zagrożenia na rynku są w przybliżeniu takie same dlawszyscy, ale z reguły duże firmy mają już doświadczenie w dziedzinie bezpieczeństwa informacji i zrozumienie, czego potrzebują. Ponadto duże firmy są ciekawszym celem dla atakujących. W przypadku małych firm takie zrozumienie często musi zostać ukształtowane - niestety często pojawia się ono po uświadomieniu sobie ryzyka.
— Z jakim rodzajem zagrożeń informacyjnych w praktyce spotykasz się dzisiaj najczęściej? Z jakimi zagrożeniami najtrudniej sobie poradzić?
Anton: Utrata krytycznych danych.Konieczne jest oddzielenie zagrożeń wewnętrznych i zewnętrznych; wymagają one różnych działań zapobiegawczych. Jeśli miałbym wskazać coś konkretnego, to powiedziałbym o zagrożeniu utratą danych klientów. Często nawet utrata archiwum poczty e-mail może spowodować ogromne szkody dla firmy. Najtrudniej jest zwalczyć czynnik ludzki – jedna otwarta wiadomość phishingowa może spowodować wiele problemów. Odpowiednio ustawiając prawa dostępu w firmie, szkody można zminimalizować. Ale osoba jest zawsze najbardziej bezbronną częścią systemu.
– Nie sądzisz tak ze względu na popularnośćcyberbezpieczeństwo stało się populizmem – każda aplikacja pisze, że dba o bezpieczeństwo swoich użytkowników (choć nie jest faktem, że z tym wszystko jest w porządku). Czy sądzisz, że dzięki temu użytkownicy mniej krytycznie myślą i mniej martwią się o swoje bezpieczeństwo?
Anton: Hurra, bezpieczeństwo w końcu stało się popularne! Mam nadzieję, że ta moda pomoże zlikwidować duże budżety i przyciągnąć w teren bardziej inteligentnych specjalistów.
Niedawny wyciek Yandex.Food pokazał, że nawet najbardziej pełne szacunku podejście do bezpieczeństwa nie jest panaceum. Nie sądzę, żeby zaczęli mniej myśleć o bezpieczeństwie, przed popularyzacją wszystko było jeszcze gorzej.
„Wynalezienie uniwersalnego komputera kwantowego jest dość daleko”
— Czy technologie kwantowe stanowią obecnie realne zagrożenie dla firm?
Antoni:Nie są i jeszcze długo nie będą. Do wynalezienia uniwersalnego komputera kwantowego jeszcze daleko. Ale już teraz istnieje wybór algorytmów post-kwantowych, które zostaną zaimplementowane w standardowych narzędziach szyfrujących i będą wspierane przez najnowocześniejsze oprogramowanie. Dlatego na szczęście w tym obszarze tarcza pojawi się znacznie szybciej niż miecz. Oczekujemy ogłoszenia algorytmów szyfrowania post-kwantowego w ciągu najbliższych 2-3 lat, a stworzenia uniwersalnego komputera kwantowego – nie wcześniej niż w 2030 roku.
Z drugiej strony technologie kwantowe już dawno przestały być tylko szumem, więc to bez wątpienia nasza przyszłość. Pytanie tylko, kiedy nadejdzie.
„A w jakich obszarach miecz może pojawić się szybciej niż tarcza?”
Antoni:Luki zero-day pojawiają się regularnie - tak jest, gdy miecz pojawia się szybciej. Ale ich wpływ powinien być łagodzony dodatkowymi uniwersalnymi środkami kompensacyjnymi. W ciągu najbliższych 5-10 lat zwiększone finansowanie prorządowych grup hakerskich może stworzyć dodatkowe zagrożenia również na rynku komercyjnym.
„Wynalezienie uniwersalnego komputera kwantowego jest dość daleko”
— Jak widzisz swój idealny produkt?Czy to taki portal jak „Profi”, gdzie zwykli klienci będą szukać wykonawców z zakresu bezpieczeństwa informacji? Czy jesteś pewien, że jest to tak popularna usługa i że Twoja witryna będzie popularna?
Artem:To wcale nie jest „Pro”, ponieważ nie chodzi nam o numer telefonu i życiorys wykonawcy. Weryfikacja wykonawców to jedna z najważniejszych usług platformy, ponieważ na tym samym „Profi” przeprowadzana jest wszelka weryfikacja fakt, że nazwisko i zdjęcie są sprawdzane w paszporcie. Czy to jest test?
Nasz idealny produkt jest prosty i zrozumiały„pudełko” dla klienta, które uwzględnia wszystkie jego potrzeby, nie zmusza do zbytniego zagłębiania się w techniczne niuanse. Jednocześnie „pudełko” jest wyważone, uwzględnia już specyfikę jego biznesu, specyfikę branży, istniejące zagrożenia i może być sfinalizowane pod konkretne zamówienie.
Ważne jest dla nas nie tylko wykonanie dobrego produktu,i jak najefektywniej budować jego wsparcie od pomocy w przygotowaniu specyfikacji technicznych, umów, pierwotnej komunikacji z wykonawcą, aż po stworzenie raportu końcowego. W przyszłości chcemy dowiedzieć się, jak je generować automatycznie.
Ogólnie usługi bezpieczeństwa to cała warstwausług, biorąc pod uwagę naturalny rozwój rynku bezpieczeństwa informacji oraz wzrost wywołany sytuacją międzynarodową, jesteśmy przekonani, że zamówień na platformie będzie więcej niż wystarczająca.
Co obecnie najbardziej Cię interesuje w Twojej pracy? Co chcesz zmienić w tym obszarze? Jak powinna na to wpłynąć „Strona trzecia”?
Artem:Chcemy, aby rynek usług bezpieczeństwa informacji był jak najbardziej wydajny, przejrzysty i bezpieczny. To dość wrażliwy obszar, w którym wiele procesów opiera się na zaufaniu. Nazwałbym to tak: „najlepsze praktyki rynkowe, które są zrozumiałe dla biznesu”.
Doskonale zdajemy sobie sprawę, że zawsze będziemy znajdować się pośrodku – pomiędzy ekspertami od biznesu i bezpieczeństwa informacji. I jest dla nas bardzo ważne, aby obie strony się rozumieły i były usatysfakcjonowane.
Jak okoliczności zewnętrzne wpływają nadzieje się w dziedzinie bezpieczeństwa informacji? Co zmieniła się pandemia i wydarzenia od 24 lutego? Na przykład, jak chronić pracowników pracujących zdalnie? Jak uchronić się przed atakami lub cyberzagrożeniami ze strony najfajniejszych hakerów na świecie?
Antoni:Nowe zagrożenia nie pojawiły się, po prostu rosły bardzo poważnie, podobnie jak koszt błędu. DDOS to opowieść o sprzęcie, a przede wszystkim po stronie dostawcy lub usługi zewnętrznej. Najlepiej byłoby, gdyby hakowanie było nieopłacalne lub jak najmniej prawdopodobne. Ale każdy system będzie zawsze podatny na ataki.
Dbanie o bezpieczeństwo zdalnych pracownikówjak reszta. Na etapie zatrudniania nie ma różnic, ale podejście do zakładania pracy jest inne. Nowoczesne narzędzia kontroli dostępu pozwalają zredukować ryzyko pracy zdalnej do poziomu zwykłych pracowników biurowych, o ile oczywiście nie powierzysz ustawień kontroli dostępu profesjonalistom.
— Jakie problemy, nieporozumienia i mity w dziedzinie bezpieczeństwa korporacyjnego istnieją dzisiaj? Które z nich są najbardziej niebezpieczne dla zwykłych użytkowników i Twoich klientów?
Antoni:„Nie mamy się czego bronić” – takie komentarze wciąż się znajdują, nie ma tutaj żadnych komentarzy. „Wszystko w porządku, jeszcze nas nie zhakowali!” - Hakowanie nie zawsze jest od razu zauważalne, firma może o nim nie wiedzieć przez długi czas, w zależności od celów atakujących.
Czasami klienci mówią:„Nikt nas nie interesuje”, ale najczęściej napastnicy próbują włamać się do wszystkiego i zarabiać na wszystkim, do czego mogą dotrzeć. Dlatego nikt celowo nie będzie cię szukał, po prostu zaczepią cię na stycznej.
„Teraz biznes odczuwa wiele zagrożeń, które wcześniej nie były poważnie brane pod uwagę”
— Jak trafiłeś do Innopolis? Dlaczego go potrzebowałeś i jak pomaga w rozwoju?
Anton: Przyjechaliśmy do Innopolis świadomie.Chcieliśmy skorzystać z dobrodziejstw specjalnej strefy ekonomicznej, w Rosji jest ich już wystarczająco dużo. Wybraliśmy Innopolis po prostu dlatego, że potencjalnych konkurentów jest mniej niż w Skołkowie i przyjemna atmosfera miasta IT. Urodziłem się i wychowałem w Kazaniu, odwiedziłem Innopolis z przedstawieniami, moi przyjaciele tutaj studiowali, to też miało na mnie wpływ.
Innopolis pomaga nam przede wszystkim w PR. Kontakty z innymi start-upami rezydentami pomagają, na przykład, dwie eleganckie reklamy zostały narysowane przez rezydentów!
Artem:Zwykle SSE szukają inwestorów, pracowników lub kontaktów. I zawsze – za możliwość płacenia mniejszych podatków to świetna okazja zarówno dla państwa, jak i dla firmy. Spośród powyższych najbardziej interesują nas powiązania, społeczność - nie mamy pracowników w kadrze, a na początkowym etapie postanowiliśmy nie pozyskiwać inwestora. Teraz firma jest budowana z naszych środków. Za jakiś czas będziemy szukać inwestora, ale chcielibyśmy to zrobić na dużo późniejszym etapie.
Jak długo możesz zainwestować w projekt? Ile jeszcze lat inwestycji potrzebujesz, aby zacząć się opłacać, na jakim etapie zaczniesz szukać inwestorów?
Artem:Nie chodzi o pieniądze, chodzi o to, jak z nich korzystasz. Mogliśmy zrobić wszystko, co zrobiliśmy teraz, wydając dziesięć razy więcej i po prostu łagodząc problemy pieniędzmi. Zamiast tego mieliśmy dużo darmowych lub stosunkowo tanich reklam. To nie jest marketing partyzancki, ale coś ideologicznie bliskiego.
Projekt nie wymaga dużych inwestycji. Nie potrzebujemy dziesiątek czy setek milionów rubli. W Infobez chodzi o zaufanie, a jeśli możesz tego spróbować kup - jest bardzo drogi i bez gwarancjiwynik. Kiedyś siedzieliśmy z Antonem i zastanawialiśmy się, na co możemy potrzebować pieniędzy inwestora. Zdaliśmy sobie sprawę, że takie rzeczy są, ale nie są kluczem do osiągnięcia rezultatu.
- Jak planujesz dostosować się do tego, co się teraz dzieje - sankcje, izolacja? Co sądzisz o środkach wsparcia, które rząd już zatwierdził?
Artem:Staramy się jak najlepiej wykorzystać tę sytuację, ponieważ temat bezpieczeństwa stał się bardziej aktualny. Firmy doświadczyły wielu zagrożeń, których wcześniej nie brały pod uwagę. Przecieki i hacki dużych firm zwiększyły ich paranoję i chęć pracy nad ich bezpieczeństwem. Rynek rozwija się jeszcze szybciej niż dotychczas.
Niektóre sankcje i izolacja skomplikowały sytuacjęspecjalistyczne oprogramowanie, zamknięty dostęp do klientów zagranicznych i platform reklamowych. Ale środki wsparcia zaczynają być stopniowo wdrażane, wydają się nam całkiem przydatne. Wpisaliśmy się już do rejestru akredytowanych firm IT i skorzystamy z kilku ofert.
Jakie są Twoje cele na najbliższe lata?
Artem:Naszym głównym celem jest teraz uruchomienie stabilnej sprzedaży. Jednocześnie angażować się w najlepszą usługę - najbardziej efektywną, oferującą lepsze usługi w najlepszych cenach w porównaniu z innymi krajami. Powinno być zrozumiałe i przejrzyste – nie zajmujemy się tylko sprzedażą, ale doradzamy, opowiadamy i staramy się pomóc ludziom rozwinąć podstawowe kompetencje z zakresu bezpieczeństwa informacji.
Antoni:Wierzymy, że wprowadzenie naszej platformy na rynek sprawi, że usługi bezpieczeństwa informacji będą dostępne dla każdego klienta. Dla nas jest to sposób na zmianę rynku bezpieczeństwa informacji w Rosji, aby był bardziej przejrzysty, zrozumiały, dostępny i uczciwy.
Czytaj więcej:
Ospa małp staje się wirusem globalnym: dlaczego jest tak szybko przenoszony
Coś dziwnego dzieje się we Wszechświecie: jak wyjaśnić niespójności w stałej Hubble'a
Diagnoza w minutę: jak IT zmienia opiekę zdrowotną