Неудобные вопросы

Какая из ИБ-шных тем вам наименее близка?

Всегда считал себя универсальным солдатом: все-таки шесть лет профильного образования в НИЯУ МИФИ позволяют эффективно развиваться практически в любом ИБ-направлении. Хотя сейчас в памяти всплыл мой крайне ограниченный академическим курсом опыт безопасного программирования на ассемблере. Сегодня это та самая тема, которая мне наименее близка: за 20+ лет работы в ИБ как-то не довелось глубже в нее погрузиться. А зря, наверное? Может быть, стоит все же расширить свой профайл…

Когда вы последний раз выгорали и как с этим справлялись?

С глобальным выгоранием, о котором часто пишут в интернете и показывают в кино (чтобы с депрессией, алкоголем, обмороками и капельницами), я не сталкивался. А вот знакомое каждому ощущение профессиональной усталости, желание остановиться, выдохнуть и сменить обстановку периодически возникает. В такие моменты спасает семья: глаза моих маленьких дочек, теплое прикосновение и доброе слово жены, чашка кофе в семейном кругу. Думаю, каждому мужчине важно помнить, для чего и ради кого он старается. Еще «перезагрузке» способствует смена контекста: выезд на природу, прогулка в парке с близкими, экскурсия в новом месте или интересная активность в городе с друзьями. Длительный сон тоже помогает расслабиться, но в большой семье это скорее непозволительная роскошь :)

Ваш последний факап на работе?

Сижу и думаю: «Когда я последний раз проваливал задания или срывал сроки?» Наверное, прямо сейчас… Два часа ночи, я сижу и отвечаю на вопросы редакции, а обещал прислать текст еще вчера. Это факап? Ну сорри, коллеги :)

Какими правилами ИБ вы регулярно пренебрегаете и почему?

Это похоже на вопрос про «сапожника без сапог». Я проверяю на себе все требования в части ИБ, которые предъявляю коллегам и партнерам. Если какие-то правила избыточны или невыполнимы, стараюсь скорректировать их или предлагаю компенсирующие меры. Всем известно: если установить неудобные или невыполнимые требования (не только в части ИБ), рано или поздно люди начнут их обходить.

Например, недавно я рекомендовал партнерам снять запрет на использование одного и того же десятисимвольного пароля в разных системах внутри периметра компании. Согласитесь: запомнить больше трех таких паролей рядовому пользователю сложно. Тем самым служба безопасности сама подталкивала людей записывать пароли в блокноты на рабочем месте, что вело к их компрометации. Это хороший повод для внедрения технического решения класса Single Sign-On.

Вам приходилось бывать на «темной стороне»?

Регулярно туда заглядываю, но не спешите вешать очевидные ярлыки :) В первую очередь речь о такой непопулярной сейчас деятельности, как киберразведка с применением методов OSINT. С 2009 г. моя работа связана с комплексным противодействием кибермошенничеству и превентивным предотвращением атак в отношении клиентов и активов кредитно-финансовых организаций. Сначала это был классический карточный фрод, затем в Россию пришел скимминг, потом мошенничество в каналах ДБО, начал развиваться фишинг и т. д. Примерно семь лет назад в моду также вошли схемы с применением социнженерии — сначала в мессенджерах и интернет-ритейле, затем в телефонных каналах и мобильных приложениях. За каждым новым типом атаки скрываются довольно небанальные сущности: скрупулезно разработанная и протестированная «на котиках» схема; организаторы и исполнители; утекшие данные; скрипты и инструкции в закрытых чатах; вредоносы и боты; админские панели и файлообменники; скриншоты пруфов и даже курсы повышения квалификации для «соискателей». Чтобы не отставать, ИБ-специалист должен понимать, как, где и с чем работают мошенники. Применяя методы киберразведки, мы превентивно выявляем и предотвращаем целевые атаки не только на сам банк и наших клиентов, но и на дружественные организации, которые все чаще становятся объектами пристального внимания злоумышленников.

У вас не возникало желания закинуть вредоноса конкурентам?

Досрочный ответ: нет, не возникало :) Наверное, потому что я давно и плотно связал свою жизнь с работой в службах безопасности крупных финансовых организаций, где конкуренция в классическом смысле слова отсутствует. Мы — ИБ-офицеры — воспринимаем «конкурентов» из других банков как партнеров. У нас нет поводов для соперничества, только общий враг — киберпреступники.

Есть ли у вас «плохие советы» по ИБ — рекомендации, о которых не принято говорить, но которые сильно облегчают жизнь?

Сразу вспоминаются слова Оскара Уайльда: «Давать советы всегда плохо, но хорошего совета вам никто не простит». Если перефразировать эту цитату по правилам классической теории множеств в дискретной математике, получится что-то из серии «давать плохие советы — безопасно». Поэтому с радостью поделюсь ими с читателями :)

• Не бойтесь сообщать коллегам и руководству о своих потенциальных и реальных факапах. В одиночку вы только повысите вероятность их усугубления или повторения, а вместе сможете найти решение.
• Абсолютно безопасных и защищенных систем не существует. Везде есть уязвимости, о которых вы узнаете только после того, как кто-то их обнаружит (чаще всего — злоумышленники). Выстраивайте свою работу, используя принципы минимальной необходимости и разумной достаточности.
• Как известно, «нужно бежать со всех ног, чтобы только оставаться на месте», а чтобы чего-то достичь, «надо бежать вдвое быстрее». Это утверждение уместно и в нашей сфере. Для ИБ-специалиста чревато стоять на месте: не развиваться профессионально, не реагировать на актуальные вызовы, не изучать новые продукты, угрозы и др. Можете, конечно, попробовать, но ни к чему хорошему это не приведет :) Злоумышленники нас и так обгоняют, поэтому не стоит облегчать им задачу.