Сбербанк запускает Академию кибербезопасности

В день восемнадцатый декабря года две тысячи семнадцатого, в день, когда в центре инноваций был открыт посмертный памятник вирусу Petya/NotPetya/Neytya, созданный на деньги компании "Инвитро", пострадавшей от этой угрозы, в тихой и спокойной загородной обстановке была анонсирована Академия кибербезопасности Сбербанка, новая программа обучения, которую главный банк страны будет продвигать в России.

Как и надгробный камень вирусу, установленный за пределами столицы, так и Академия каибербезопасности свое начало взяла в прекрасном месте Подмосковья, в корпоративном университете Сбербанка. Кстати, прекрасное место для проведения корпоративного обучения. Именно обучения. Конференции там проводить, на мой взгляд, не очень удобно. От Москвы далековато, да и никаких "культурных" заведений вокруг нет (конференции ИБ славятся высокой культурой). А вот для обучения, на которое и рассчитана Академия, - это прекрасное место. Тихое, спокойное, со спортзалом, бассейном и СПА, местом для прогулом и занятий на свежем воздухе. Я был первый раз в этом месте и был приятно удивлен.

"Ищи сосульку с шарами", - примерно так меня напутствовали организаторы, чтобы найти на огромной территории корпоративного университета место проведения Академии. Сосулька была найдена, обучение началось вовремя и его куратор, широко известный в узких кругах Алексей Качалин, представил концепцию того, что в будущем может стать достаточно значимой частью российской системы обучения ИБ.

В отличие от большинства привычных нам конференций по ИБ, в которых достаточно часто отсутствует единая концепция и программа, Академия кибербезопасности подчиняется строгой идее - трехуровневая программа - для бизнес-руководителей, для руководителей среднего звена, преимущественно из области ИТ и ИБ, и технологический стек.

Относясь к системе дополнительного образования, Академия при этом отличается от обычной переподготовки или повышения квалификации. Тому есть несколько причин:

• желание организаторов (не зря Сбербанк стал центром компетенций по ИБ в рамках пока еще (а возможно и совсем) не взлетевшей цифровой экономики) заниматься улучшением образования ИБ в России, несвязанным никакими ФГОСами, регуляторами и т.п. Примерно такую же идею двигает "Код ИБ. ПРОФИ" (на него, в отличие от Академии кибербезопасности Сбербанка, попасть может каждый и уже скоро).
• ресурсы (и площадка, и деньги имеют немаловажное значение)
• компетенции (не секрет, что Сбербанк спылесосил множество специалистов по ИБ, и там есть кому участвовать в формировании программы)
• куратор (за программу отвечает Алексей Качалин, который обладает не только знаниями по ИБ, но и опытом преподавания в МГУ, что немаловажно при запуске системы обучения).

Первый выпуск был сформирован в очень сжатые сроки. Когда эта тема обсуждалась еще в ноябре, я был уверен, что запустить эту программу в столь короткие сроки невозможно. Но в середине декабря был дан старт и мероприятие (пусть и не без отдельных огрехов) прошло на мой взгляд очень успешно. Несколько десятков участников ознакомились с практическими (это еще одно из отличий Академии кибербезопасности - читаются далеко не теоретические темы) подходами в области:

• управления рисками (на основе методологии, разработанной в Сбербанке)
• повышения культуры ИБ и обучения (офигенный доклад был)
• формирования киберустойчивости
• методов, используемых злоумышленниками ("А еще у нас на мероприятии будет живой хакер. Его можно будет потыкать палочкой", так был представлен CSO BI.ZONE Евгений Волошин) 
• непрерывности процесса SecOps (тут и новые подходы, и управления инцидентами на примере SOC Сбербанка, и перспективные технологии для мониторинга ИБ)
• DevOps (на примере процесса разработки в Сбербанке)
• борьбы с мошенничеством (было очень интересно послушать представителей подразделения антифрода с трехчасовым обзором методов мошенников и методов борьбы с ними, местами вполне себе инновационными).

Может сложиться впечатление, что программа рассчитана только на банки или, даже хуже, только на Сбербанк и его дочерние предприятия. Отчасти первый выпуск таким и был, что связано было с кратчайшими сроками запуска программы. Последующие выпуски должны быть более нейтральными и на них планируется приглашать не только сотрудников Сбера (судя по предварительно проговоренным именам они будут очень достойными).

ЗЫ. Я выступал на Академии с обзором технологий кибербезопасности, которые могут стать востребованными в горизонте до 2025 года; именно такой срок часто упоминается в планах и стратегиях развития Сбербанка.