Как перестать тратить время на ерунду

На прошлый Новый год самым популярным стало пожелание в мой адрес находить время на все мои проекты. Потом, уже на праздники, в отсутствие компьютера, было время подумать. А куда я трачу свое время? И понял я, что многие проекты, которые я хотел начать и даже начал, так и не были начаты или завершены. А все потому, что я тратил свое время слишком расточительно и все не по делу. Точнее я думал, что по делу, но если вдуматься и оценить результаты, то… они плачевны.

Но тут, очень кстати, я наткнулся на заметку “Важность погружения в работу: метод 30-ти часов для изучения новых навыков“. В ней было немало отсылок к книге “Deep Work: Rules for Focused Success in a Distracted World”, которая была издана и на русском языке с совершенно иным, и на мой взгляд, не очень удачным названием - “В работу с головой. Паттерны успеха от IT-специалиста” (кстати, deep work лучше переводить как “глубокая концентрация”, чем как “глубокая” или “сфокусированная работа”).

В итоге я пришел к выводу, что несмотря на достаточно активную работу, я не погружен во все свои проекты, уделяя им слишком мало внимания. По сути, речь идет о поверхностном отношении к своей работе. Не потому, что я такой плохой, а потому что слишком много интересных тем в ИБ, которые мне интересны, которые я бы хотел изучить достаточно глубоко, став в них экспертом. И это помимо внеИБшных тем - те же иностранные языки.

В итоге я перескакиваю от одной темы к другой, не погружаясь в них, так и не став окончательно экспертом в каждой из них (кто бы там, что не считал). Стал замечать, что во многих темах ИБ у меня поверхностные знания и число таких тем стало неприятно расти. Перескакиваю с темы на темы, пролистываю интересные статьи, вместо того чтобы их читать (а то и вовсе откладываю статьи “на потом”, которое никогда не наступает), трачу время на соцсети (хотя лимиты времени для разных приложений в iOS 12 - это классно - сразу себе поставил лимит на соцсети), отвлекаюсь на проверку почты. Вроде и занят постоянно, и делаю что-то “полезное” и “нужное”, но удовлетворяющего меня результата не было. Даже в блог стал писать гораздо реже, не говоря уже о заброшенных новых книгах. Это мой портрет в 2019-м году (а может и раньше).

Тоже самое касается и тех, кто пытается разобраться в чем-то новом. Материалов, даже бесплатных, сегодня выше крыши. А разбираться в них никто не хочет/не может. За что браться? За все и сразу? Фокусируйтесь и обрящете :-) Согласно многим исследованиям эксперта отличает от обычного специалиста именно умение глубоко концентрироваться и погружаться в проблему/задачу, что в итоге и дает ему более глубокие знания и, как следствие, преимущества по сравнению с другими, более поверхностными специалистами.

Что нужно делать? Из упомянутой выше книжки я выделил несколько идей и мыслей:

1. Составьте список задач, которые потребуют глубокой концентрации. Тут можно применить матрицу Эйзенхауэра, чтобы понять, что действительно нужно и важно, а что просто сжирает все время без пользы.
2. Определите цель/цели своего проекта/задачи/проблемы. Без этого ваша концентрация ни к чему не приведет - работа будет проходить впустую. Вы должны двигаться куда-то конкретно, а не просто двигаться. Если ваш проект достаточно крупный (например, написание книги), то проведите декомпозицию и разбейте цель на подцели (например, книгу на разделы и главы).
3. Концентрацию нужно тренировать. Есть различные техники и даже приложения для iPhone или компьютера.
4. Исключите все отвлекающее - телефон, соцсети, напоминалки и уведомления, бездумный серфинг… Чтобы войти в состояние фокуса на какой-то задаче/проблеме нужно не менее 25 минут. Поэтому если вы отвлекаетесь на что-то раз в 20 минут, то вы не сфокусированы на работе и результата нет. Режим контроля экранного времени в iOS - классная штука. На ноутбуке я использовал раньше RescueTime, но на Cataline он не работает (но зато там появился режим контроля времени как в iOS). Начинал я в режиме контроля, а сейчас стал более активно использовать блокирование по таймеру (те же соцсети и иные бестолковые ресурсы). 
5. Выделяйте время на работу, требующую глубокой концентрации. В статье говорится о 4-х семичасовых блоках, но на мой взгляд, это сложнореализуемая идея для большинства. 3-4-часовые блоки выглядят гораздо реалистичнее и выделять их надо во времена наибольшей работоспособности, которые у каждого свои (утром или вечером). Но делать это надо регулярно. Есть и еще один способ - “уйти в монастырь”, то есть полностью удалиться от мира сего на день или более, полностью отдавшись проекту/хадаче/исследованию/книге/статье. Это тяжело и не всем доступно. Третий вариант заключается в том, чтобы посвящать своему проекту целиком один или два дня в неделю, остальное время оставляя под “рутину”. Но это маловероятно для рядового безопасника, который помимо чего-то большого и светлого занимается еще и кучей повседневных задач.
6. Заранее спланировать свой день, то есть сделать это вечером предыдущего дня. Это классика тайм-менеджмента.
7. Легкий челендж. Я последнее время живу в режиме дедлайна. Презентация в последнюю ночь (на самом деле это еще и потому, что выступлений слишком много и заранее я их не успеваю готовить), продумывание сценария киберучений в последнюю ночь, разработка вопросов для “Нашей игры” в последнюю ночь… Тоже самое можно превратить в более управляемый процесс. Считается, что в условиях легкого стресса мы более эффективны. Заплатите за коворкинг для реализации проекта - это заставит вас не тратить время попусту и не отвлекаться. Читая статьи или книги, не отбрасывайте неизвестные слова. Лучше потратьте время на изучение того, что за ними скрывается. Озвучьте публично дату какого-либо мероприятия (или подайтесь для выступления на нем) и вы вынуждены будете к нему готовить контент. Да, это неприятно, но это челендж и он нужен.
8. Отдыхайте. Я работаю за ноутбуком. И занимаюсь любимым делом там же. Это хорошо и плохо. На новогодние праздники за комп вообще не садился - зато каждый день коньки, прогулки по заснеженному поселку, чистка дорожек от снега и т.п. Это разгружает мозг и потом дает возможность быть более скоцентрированным. Да и идей новых дает.

Подробнее…

Что общего между пенсией и ГосСОПКА?

Так сложилось, что я еще застал (но не долго) Советский Союз, который, пусть и с оговорками, считался социальным государством. Бесплатные квартиры (кооперативы не в счет), бесплатная и достаточно неплохая медицина для абсолютного большинства, бесплатное отличное образование, пенсия и т.п. Все это было и позволяло советским гражданам рассчитывать на вполне себе неплохое существование (хотя и без изысков). Прошли годы, изменилась экономическая и политическая ситуация, появилось поколение людей, которые родились уже не в СССР. Но очень многие до сих пор считают, что Россия, как преемница СССР, является тоже социальным государством и ждет от нее всех тех благ, которые были у наших родителей - квартиры (хотя их, вроде как уже никто и не ждет), медицина, образование, пенсия и т.п. Увы, это все в прошлом.

Эта заметка не про пенсии и не про Путина и не про экономику; она про безопасность. В нашей с вами теме до сих пор действует тот же миф про "социальное государство", которое придет и поможет нас защитить - от террористов, от воров, от киберпреступников. Увы... Во-первых, мы являемся заложниками неудачного термина "безопасность", а точнее "национальная безопасность", не понимая его сути. А во-вторых, мы не понимаем как и для чего работает государство, считая, что оно работает для меня. Вновь увы...

Если опросить многих людей, то для них термин "безопасность" имеет абсолютное значение и может быть описан бинарной логикой - вы либо в безопасности, либо нет. И мы почему-то эту логику транслируем на все фразу, в которых упоминается термин "безопасность". Например, "национальная безопасность". Мы считаем, что государство нас должно защищать от разных напастей. Меня, тебя, его, их... Но это не так. Государство обеспечивает безопасность себя. От врагов. Внешних и внутренних. В рамках своей модели угроз, которая отличается от вашей или моей. Мне иностранные ИТ-вендоры не враги. И Украина не враг. И Макаревич с Шевчуком. А государство считает иначе и поэтому предпринимает шаги, направленные на мою свою защиту.

Можно спорить с новой пенсионной якобы реформой. Можно не соглашаться с поднятием НДС. Можно выступать против обязательного страхования жилья (это новая инициатива государства). Можно требовать повышения качества медицинских услуг (я уже лет 20 не был в обычной поликлинике). Можно сетовать на низкое качество образования в ВУЗах. А можно попробовать самостоятельно, без оглядки на государство "которое должно" попробовать решить стоящие проблемы.

"Государство должно"... Как часто я слышу эту фразу. Кому оно должно? Где это написано? А главное, почему мы считаем, что оно должно именно то, что мы хотим? Я не хочу погружаться в политический срач и обсуждать тему, должно государство или нет заботиться обо мне, моей семье, моих близких и вообще своих гражданах. Мое мнение может не совпадать (и, как правило, не совпадает) с мнением государства. Поэтому я придерживаюсь немного иного сценария - "спасение утопающих - дело рук самих утопающих".

Я не жду, что регулятор спустит мне методику моделирования угроз - я сам составляю модель угроз. Я не жду, что ГосСОПКА меня защитит - я сам строю свою систему защиты. Я не жду, что ЦБ за меня разработает перечень защитных мер моей АБС - я сам определяю перечень мер безопасности. Я не жду, что МинЭнерго или ФСТЭК может за меня категорировать мои подстанции или посоветовать мне что-то - я категорирую объекты КИИ так, как сам считаю нужным. Я не жду, что Минкомсвязь поборет свою подведомственную структуру Роскомнадзор (которая кладет болт на субординацию и не учитывает мнение представителей Минцирка) в деле с "ковровыми блокировками" - я сам ищу способ доступа к интересным мне ресурсам. Я не жду, что нынешние выпускники ВУЗов будут лучше нас - я беру и занимаюсь самообразованием, чтобы быть востребованным еще долго. И вы не ждите :-) Лучше не будет (а если будет, то пусть это будет приятным сюрпизом). Спасение утопающих - дело рук самих утопающих! Сразу отмечу, что участвовать в дискуссии "раз мы ничего не ждем от государства, то зачем оно нам такое нужно" я не хочу и не буду :-)

ЗЫ. А что же общего между пенсией и ГосСОПКА? А вот что:

• Вам обещают, что она защитит вас
• Вас никто не спрашивает, какой ей быть
• Мало кто ее видел
• Она не дает никаких гарантий
• Власти скрывают ее детали
• Иностранцы в ней не участвуют
• Лучше на нее не полагаться, а строить свою защиту самостоятельно

Но самое главное - и пенсия, и ГосСОПКА - это ОНА, а значит логика у нее женская и непредсказуемая; чтобы ты ни делал - все равно окажешься в дураках :-)

Подробнее…

Бывает ли кибербезопасность с десяти до шести?

Незапланированная заметка, навеянная тремя событиями. Началось все позавчера, когда Дима Мананников опубликовал в Фейсбуке заметку про безопасность смарт-контрактов, ICO и всего такого и, не увидя бурной дискуссии от коллег, высказал удивление сему факту. Мол, задача безопасника - отслеживать все новые бизнес-технологии и искать способы их безопасного внедрения/использования в бизнесе. Я ему возразил и в итоге завязалась дискуссия, в которой я высказал следующую мысль: "Безопасник в массе свой рядовой сотрудник, выполняющий трудовые обязанности с 10 до 6. Он ничем не отличается об уборщицы или бухгалтера. Им всем комфортно в своем болотце и менять что-то они будут только в экстренных ситуациях. Плюс образование, которое учит compliance и борьбе мо старыми угрозами. Отсюда все. Исключения бывают, но только подтверждают общее правило".

Подтверждение моему высказыванию я получил относительно недавно на одном крупном предприятии, которое любит выпячивать свою экспертизу в области ИБ. В рамках очередного моего приезда к ним и рассказа о том, как у нас в компании выстроен процесс реагирования на инциденты, я рассказал о сервисе Cisco Umbrella Investigate, позволяющего оперативно и без установки какого-либо железа и софта у заказчика (и даже без какой-либо их перенастройки и перенаправления трафика) проводить анализ инцидентов, связанных с Интернет-активностью. Решение заинтересовало заказчика, тем более, что он запустил свой SOC, в рамках которой работала группа по расследованию инцидентов и Threat Intelligence. От нас оперативно потребовали триальный доступ для тестирования, что мы и сделали. Прошел месяц. На очередной встрече у этого заказчика представитель группы реагирования на инциденты в присутствии большого руководства отчитался о завершении тестировании Investigate и нахождении ряда интересных кейсов. Руководство заинтересовалось и попросило показать систему в действии... И вот тут случился казус. Я с ноутбука зашел в панель аналитика и предложил представителю incident response team показать, что он обнаружил. Но в глазах его я увидел, что он в первый раз видит панель аналитика Investigate. Заподозрив неладное, я хотел спустить дело на тормозах, но большое руководство заказчика потребовало "красивых картинок и схем", за которыми последовал ужасный вывод - выяснилось, что IRT заказчика даже не активировало предоставленный им временный доступ и он, разумеется, уже "протух". Оставлю за рамками произошедший после этого разбор полетов, но меня неприятно поразило отношение некоторых безопасников к своим обязанностям. Чем-то это напомнило Советский Союз с его победными реляциями, отчетами о деятельности для галочки и очковтирательством :-(

Финальным аккордом стали комментарии Михаила Никишина к моей заметке про семинар Gartner, который высказал (да уже и не первый раз) мысль, что в нашей отрасли ИБ вообще нет безопасников (вспоминаем сентябрьский чеклист "настоящий ли ты безопасник?"), а только одни айтишники с их специфическим мышлением и способом решения задач. Не совсем я согласен с Михаилом, но доля истины в его словах есть. Кибербезопасность превратилась в обычную деятельность, как и сотни других профессий. И многие специалисты действительно работают с 10 утра и до 6 вечера, напрочь забывая про ИБ за пределами времени, установленного Трудовым Кодексом.

По сути, большинство "безопасников" действительно погрязли в своей зоне комфорта и выйти из нее зачастую не могут или не хотят. Лет 10 назад я приехал к одному знакомому, руководившему сектором ИБ в одной организации. Мы поговорили о том, о сем, и я предложил ему рассмотреть несколько технологий и решений, которые могли бы помочь ему в озвученных им проблемах. И что же вы думаете? Он отказался, сославшись на то, что его все и так устраивает, а новые решения - это новая головная боль, а ему хотелось бы сидеть на попе ровно и не напрягаться по поводу чего-то нового. Он до сих пор сидит на своей должности, не выходя из зоны комфорта, не занимаясь развитием. Хотя я и встречаю его регулярно на различных ИБ-тусовках, где он задает якобы каверзные вопросы, но в своей практике затем полученные знания никак не использует. Грустно это...

Дмитрий удивляется, почему безопасники не занимаются бизнес-стороной своей деятельности. Я же удивляюсь, почему они не занимаются даже просто новыми технологиями ИБ. NTA, EDR,  UEBA, IAG/IGA, PAM, CASB, SDS, SDP, SOAR, DDP, SIG, RASP, SAT, NFT и др. Нет денег? Не смешите. Бюджеты у многих заказчиков измеряются сотнями миллионов, а то и миллиардами рублей. Они могут себе позволить эти решения и они им зачастую нужны. Но не используют. Потому что надо въезжать во все эти новомодные аббревиатуры, внедрять их, учиться им, объяснять руководству результаты и т.п. А зачем? Нормативка не требует, за инциденты не наказывают, эффективность никого не волнует. "И так сойдет", как говорилось в известном советском мультфильме.

Грустные размышления какие-то получились. Может я не прав? Может жду от безопасников чего-то чего не стоило бы? Фиг знает.

ЗЫ. Оказывается я про это два месяца назад писал, но другими словами :-) Наболело, значит. Ну да ничего. Повторенье - мать ученья.

ЗЗЫ. Дальше вернусь к темеSOCов.

Подробнее…

Кто такие "русские хакеры" и есть ли у России кибервойска?

В последние несколько недель, с момента начала конфликта с Лабораторией Касперского, мне постоянно звонят журналисты иностранных изданий, аккредитованных в России, с просьбой прокомментировать ряд вопросов, которые, как им кажется, являются уникальными и очень интересными. Первый раз это выглядело забавно. Второй я уже отвечал по накатанной. На третий раз я начал злиться. Когда одни и те же вопросы я услышал раз в десятый, я решил написать эту заметку, а окончательно оформилась она вчера, во время перелета на конференцию Secure It World в Питере.

Вопросов обычно звучит три:

• Как запрет США на поставки Лаборатории Касперского скажется на бизнесе компании?
• Действительно ли ИБ-компании сотрудничают со спецслужбами?
• Откуда русские государственные хакеры осуществляют свои атаки на весь мир?

Ну ответ на первый вопрос я оставлю за рамками этой заметки, а вот на остальные два отвечу и буду потом давать просто ссылку на нее, когда мне в очередьной раз зададут "уникальные и интересные" вопросы.

Итак, начнем с конца, поговорим про русских хакеров, которые ломают все что движется и всех. Стоит преклонить голову перед пропагандистской машиной США, которые убедили весь мир, что во всем виноваты русские хакеры. Проигрыш демократов Трампу? Русские хакеры. Раздолбайство Yahoo? Русские хакеры. Из ЦРУ и АНБ утекли секретные архивы кибероружия? Русские хакеры. Домогательство Кевина Спейси к Вайнстайну (или Вайнштейну)? Не удивлюсь, если тоже скоро найдут следы русских хакеров. Скоро и Stuxnet на наших повесят. Конечно, внутри, меня переполняет гордость за нашу страну, которая поставила всех на колени своими невидимимыми кибервойсками. Но вот за пределами страны от этого только хуже. Запущенный США маховик раскручивается и даже лояльные и независимые специалисты, компании, организации начинают задумываться, что нет дыма без огня.

Следуя традиции скоро станет известно о хакерской группировке "Red Bear"

А противопоставить нам нечего :-( У нас за всю страну отдувается одна Мария Захарова, которая комментирует абсолютно все выпады в нашу сторону. Но в ИБ нет своей Захаровой, а в МИДе нет грамотных безопасников, которые могли бы дать фактуру, отвечать на вопросы журналистов, готовить материалы. Вот по военной кампании в Сирии я регулярно вижу в СМИ выступления Конашенкова из МинОбороны, который показывает всякие спутниковые снимки, видео, доклады экспертов, карты и т.п. Ему можно верить или не верить, но выглядит это солидно. Неспециалисты верят (может и специалисты тоже). А вот по части кибербезопасности у нас нет своего Конашенкова. ФСБ молчит. СовБез молчит. ФСТЭК молчит. Минкомсвязи молчит. И только Госдума и Совет Федерации иногда выступят с разгромной речью, которая укладывается в простое "А вы докажите". И в итоге Россия проигрывает; независимо от того, виновата она или нет. Даже если признать, что мы ломаем всех и все, то от этого не легче. Гордость гордостью, но такое амплуа сильно вредит во внешней политике и экономике.

Могла ли Россия (прогосударственные хакеры) взломать все иностранные государства, в атаке на которые нас обвиняли? Да, могла. Делала ли она это? Не уверен и вот почему.  Для того, чтобы ломать все и всех нужны... нет, не кибероружие. Хотя и оно тоже, но утекшего арсенала из ЦРУ и АНБ достаточно, учитывая общий невысокий уровень кибербезопасности в мире. Нужны люди и много.

У Китая и США есть свои кибервойска, насчитывающие тысячи военнослужащих. У Израиля есть военное подразделение 8200, есть подразделения Matzov и Mamram. Даже у КНДР есть свои подразделения. А у нас нет. То есть нельзя сказать, что ФСБ, СВР, ГРУ игнорируют киберпространство и не используют его для проведения наступательных, оборонительных и разведывательных операций (было бы глупо так думать, когда весь мир устремляется в виртуальное пространство, а НАТО рассматривает его отдельным доменом для ведения боевых действий), но и отдельного огромного штата на тысячи человек у нас нет. Это журналистам можно проводить аналогии и считать, что раз в США и Китае есть, то и у нас тоже есть. Но мы-то, работающие не один год, знаем. Повторюсь. Я допускаю, что в наших спецслужбах есть те, кто может делать то, в чем их обвиняют, но чтобы их были тысячи или даже сотни?.. Вот тут у меня есть сомнения.

Ибо нет инфраструктуры для подготовки такого штата специалистов. Я 25 лет в отрасли и не думаю, что мог пропустить подготовку такого количества экспертов по наступательным кибервооружениям. Вот в Израиле, например, есть специальная программа Talpiot, которая направлена на то, чтобы выискивать и нанимать на военную службу тех, кто демонстрирует соответствующие навыки, которые могут быть полезны для военной программы Израиля. В СССР, кстати, такая программа тоже была. Помню меня в последнем классе вызвала как-то к себе директрисса, в кабинете которой поджидал "человек в штатском", который пригласил меня после школьных экзаменов в Академию КГБ и все такое. Сейчас спецслужбы тоже присматриваются к различным одаренным молодым "кадетам". Но заинтересовать их уже сложно. Престижной, как было в советское время, служба в органах уже не считается. Больших зарплат там нет, перспектив тоже (это на Западе, не у нас, выходцы из спецслужб или военного ведомства создают огромное количество стартапов по ИБ). Поэтому идут в спецслужбы не так уж и много выпускников школ или ВУЗов.

Можно, конечно, искать среди преступных элементов, но много ли их? Бывший агент ФБР утверждает, что Россия нанимает на работу хакеров, обвиняемых в киберпреступлениях в разных странах мира, давая им иммунитет. Об этом же пишет из тюрьмы арестованный за госизмену Руслан Стоянов, работавший в Лаборатории Касперского. Допускаю. Сделка со следствием - это популярная тема, особенно на Западе. Почему так много поимок хакеров именно в США? Отчасти потому, что там институт сделок со следствием очень развит и проще договориться сотрудничать, чем сесть на 30 лет. Не думаю, что Россия чем-то сильно отличается от всего мира в этом плане, разве что только количеством таких хакеров. Не верю я, что их тысячи и все они работают на государство. Учитывая культуру и свободолюбие этих людей, такой факт давно бы стал достоянием гласности, а у тех же американцев появились бы доказательство "русского следа". Но их нет. Возможно потому, что нет этих толп русских хакеров, которые якобы стоят за всеми последними крупными и не очень, известными и пока еще нет взломами.

Поэтому, в качестве резюме, я вполне допускаю, что мы могли вломиться куда-нибудь, но я не верю в массовость этого явления, которое приписывают русским хакерам. На вопрос, почему тогда нас все обвиняют, ответ простой - это выгодно нашим геополитическим соперникам. Известный факт - видишь в ком-то угрозу, не можешь его обыграть в честной борьбе, облей грязью и пусть он отмывается (если сможет). Что мы и видим. Поливают нас США и ее сателлиты, а мы... мы молчим, выбрав стратегию "не оправдываться". Правильная ли эта стратегия, покажет время.

Подробнее…

Чеклист "Настоящий ли ты безопасник?!"

Вчера, сидя в аэропорту, я столкнулся с замечательной иллюстрацией к моей заметке про пиджаки и джинсы, которая вызвала определенную реакцию в Facebook (около 200 комментариев) и других социальных сетях. Аудитория разделилась на три части - две из них предсказуемо вставли в абсолютно противоположные позиции, утверждая, что пиджаки|джинсы хороши|плохи. Третья категория уловила основной посыл, связанный не с тем, какое образование должно быть у тех, кто занимается ИБ, а с тем, как человек думает, в том числе и в обычной жизни.

И вот яркая ситуация. Ожидая рейса в Питер на конференцию Лаборатории Касперского по промышленной ИБ, серфил в Интернете на стоящем в зале ожидания компьютере. И тут всплывающее уведомление о приходе новой почты... Что за фигня, подумал я. Зашел в почтовый клиент... а там личная переписка женщины! Она, видимо, ожидая свой рейс, решила почитать почту на mail.ru и подключила к почтовому клиенту свою учетную запись. А вот отвязать ее она забыла и теперь на совершенно посторонний компьютер в аэропорту приходит вся ее личная переписка. Судя по заголовкам писем там и какие-то счета, и нумерологические прогнозы, и медицинские анализы. И совсем свежие сообщения о замене пароля в учетной записи Apple ID...

У автора почтовой учетки на компьютере в аэропорту совершенно отсутствует сознание безопасника и совершенно не важно, какое у нее образование - военное, гражданское, гуманитарное или техническое. Уже сидя в самолете позволил себе набросать простенький чеклист, ответив на 10 вопросов которого вы сможете понять, можете ли вы считать себя настоящим безопасником:

1. Всегда ли вы кладете ли смартфон на столе экраном вниз?
2. Блокируете ли вы дома ноутбук/компьютер, когда отходите от него?
3. Выкладываете ли вы фотографии своих детей в соцсетях?
4. Проходите ли вы тесты в Facebook?
5. Чекинитесь ли вы в соцсетях?
6. Вы играли в покемонов на режимном объекте?
7. Вы входили в личную почту с чужого компьютера?
8. Вы настраивали получение одноразовых кодов по SMS на тот же телефон, с которого вы ходите в Интернет-банк?
9. Вы делились своим персональным компьютером|смартфоном|паролем с близкими людьми?
10. Вы не прочитали все заметки в блоге Лукацкого?

ЗЫ. Уходя из зала ожидания, попробовал удалить учетную запись с компьютера, но не смог - не хватало прав. Поэтому просто написал владелице учетной записи письмо с описанием ситуации и с рекомендацией поменять пароль.

Подробнее…

Страшный и ужасный... Лукацкий

В году этак 97-м я выиграв честные выборы на роль модератора эхи RU.SECURITY в ФИДО, стал нести светлое, доброе, вечное в массы. И случилось так, что как-то я написал про систему защиты "Кобра" (кто еще помнит такое название?), основная идея которой базировалась на применении технологий потокового шифрования в качестве основного механизма защиты. При этом авторы "Кобры", братья Молдовян, создали свой собственный алгоритм, запатентовали его, и применяли для решения задач ИБ, что вызвало вполне очевидную негативную реакцию ФАПСИ, которое считало, что разрабатывать СКЗИ можно только на базе отечественных ГОСТов и никак иначе. На что братья Молдовян отвечали, что они выпускают не СКЗИ, а СЗИ от НСД (то есть уходят под ФСТЭК, а не ФАПСИ) и поэтому вольны самостоятельно определять, что и как делать. При этом ФСТЭК дистанцировалась от этого конфликта, заявляя, что при сертификации "Кобры" они оценивают механизмы защиты от НСД, а не стойкость криптографии и иные свойства криптографических преобразований. Вот об этой системе (а у нее и преемницы были - "Спектр", "Щит-РЖД", "Аура") и я написал в RU.SECURITY, за чем и последовала реакция ФАПСИ, сотрудники которого решили пожаловаться моему руководству в "Информзащите". Мол, приструните своего не в меру ретивого сотрудника, который "рекламирует" продукты, вызывающие отторжение у регулятора. С благодарностью вспоминаю Володю Гайковича и Петра Ефимова, который прикрыли меня и дали понять регулятору, что в RU.SECURITY я выступаю не как сотрудник лицензиата ФАПСИ, а как частное лицо (тогда еще не стал модным термин "независимый эксперт"). Так я столкнулся первый раз с давлением на меня за мои заметки.

Еще один случай произошел, когда я уже перешел в Cisco. В 2009-м году на РусКрипто я выступал с докладом про мифы отрасли ИБ (она включала выдержки из книги "Мифы и заблуждения информационной безопасности", опубликованной мной на портале bankir.ru, по заказу которого она и писалась). Одним из таких мифов, который я развенчивал, являлось утверждение некоторых производителей средств защиты информации (и западных и отечественных) о том, что они работают не для того, чтобы зарабатывать деньги и извлекать прибыль из своей деятельности, а чтобы помогать своим клиентам сделать мир безопаснее. Ну вот на примерах я это и развенчивал. Удивительно то, что после этой презентации в адрес руководства российского офиса Cisco было направлено письмо, подписанное генеральными директорами двух российских ИБ-вендоров, которые требовали меня наказать за то, что я, якобы, подорвал веру в отрасль ИБ и опорочил честные имена компаний-бессеребренников. Эти альтруисты, торгуя своими продуктами, настаивали, что они делают это ради мира во всем мире, а не для своей выгоды. И вместо того, чтобы вступить со мной в диалог или просто поговорить в частном порядке (тем более, что мы были знакомы), была сотворена кляуза на руководство офиса. Тогда в блоге и появился disclaimer, говорящий о том, что все, написанное в блоге или в презентациях, является моим частным мнением, если это не оговорено особо. Это было в 2009-м году.

И вот опять... Не буду называть имен, но ситуация схожая. За один из моих постов в Фейсбуке упомянутые в нем лица решили... нет, не извлечь уроки и исправить описанную ситуацию. И не поговорить со мной, чтобы можно было прийти к некоему консенсусу. Да, они решили пожаловаться на меня руководству офиса. Хотя после истории с одним СМИ, журналист которой, скопировав мой частный комментарий из ФБ и опубликовав его от имени Cisco, я добавил disclaimer и в Facebook, четко указав, что все, написанное там, является моим частным мнением, которое может не совпадать с мнение работодателя. Но нет... Надо обязательно настрочить кляузу.

Чего люди хотят достичь этим? Что я удалю текст с личной страницы? Что я стану закрывать глаза на описанные проблемы? Что я стану хорошо относиться после этого к авторам жалобы? Не понимаю, честно. Зачем портить себе карму?..

ЗЫ. Решил для вот таких вот эмоциональных и неоднозначных заметок использовать тег "поибешечки". Когда-то была идея замутить проект с таким именем, в рамках которого вести видеоблог и беседовать с друзьями, коллегами, соратниками на околоИБшные темы в неформальной обстановке. Но не взлетело - времени нет на такие видеоподкасты, а хорошее имя пропадает. Задействую сюда...

ЗЗЫ. И еще раз напоминаю, что все написанное в этой, а также иных заметках, отражает мое личное мнение. Всем мира и добра!

ЗЗЗЫ. А вообще история не стоит и выеденного яйца. На фоне того, как и что я говорю про ту же Цифровую экономику, регуляторов и иже с ними, та заметка в ФБ - это такая ерунда. Но никто не жалуется (к счастью). Хотя за глаза и "поливают" меня :-) Помню, после гораздо более жесткой критики меня пригласил к себе Роскомнадзор и в сотрудничестве родилось несколько полезных документов. Да и с ФСТЭК ситуация похожая - уж как я их критиковал; а сейчас чуть ли не лучшие друзья :-) Шутка :-) 

Подробнее…

Пиджаки vs джинсы. В ИБ стало много посторонних...

Описанные в заметке рассуждения давно витали в моей голове, но только на прошедшем в пятницу BIS Summit оформились в некий набор тезисов, который я и хотел выплеснуть на страницы блога. Я прекрасно понимаю, что за данные мысли, возможно, на меня обидятся некоторые мои коллеги и друзья, но в последнее время я уже и так наговорил столько всего и наступил на мозоли стольким людям и организациям, что одной заметкой больше, одной меньше, не критично. Итак, мой тезис простой - в профессии ИБ стало слишком много посторонних!

Несмотря на то, что у нас (и в России, и в мире) ощущается явная нехватка специалистов по информационной безопасности, а Наталья Касперская даже предлагает вводить специальный реестр выпускников ИБ-специальностей и не выпускать их за границу, чтобы не утекали мозги, я вижу, что попадание сторонних людей в профессию только вредит ей. На BIS Summit Рустем Хайретдинов поделился наблюдением, что раньше в отрасли были преимущественно выходцы из спецслужб и иные "погонщики" (от слова "погоны"), которых многие молодые специалисты называют "пиджаками". Молодежь же Рустем назвал "джинсами" и отметил, что их в отрасли становится все больше и больше, сменяя "пиджаков". Это те люди, которые вышли из программеров, пентестеров, хакеров. И вот они начинают превалировать над теми, кто понятие "безопасность" впитывал с молоком отца со скамьи в Высшей школе КГБ, ИКСИ или ином каком закрытом ВУЗе. А еще в ИБ идут люди из ИТ, которые узнали, что в ИБ нехватка людей или что в ИБ много платят.

И вот именно эта тенденция лично меня и пугает. Обе эти категории специалистов (и "джинсы" и айтишники) не имеют сознания безопасников. У них могут быть знания и навыки, но не сознание, которое должно формироваться с самого начала профессионального образования. Как думает "айтишник" в ИБ? Я защитю (защищу) внедрю систему защиты ИТ-активов согласно лучшим практикам, подчерпнутым в ISO 27001, СТО БР, 31-м приказе ФСТЭК, и наступит мне счастье. Как думает "джинса"? Вот тут дыра, тут дыра, а тут просто дырища; поэтому надо проводить регулярные пентесты, нанять Red Team, купить сканер безопасности и анализатор кода, ну и до кучи внедрить WAF с машинным обучением. При этом данные размышления никак не связаны с безопасностью, как ни странно. Отсутствует анализ причин (root cause analysis), которые приводят к плохим последствиям, которые затыкаются различными затычками в виде бездумного применения best practices или покупкой пентестов и WAF.

Также как Роскомнадзор подменил термин "защита прав субъектов персональных данных" "защитой персональных данных", так и в нашей отрасли ИБ ее заменили "ИТ-безопасностью". Мы концентрируемся на защите информации и информационных систем, забывая про субъектов, которую эту информацию обрабатывают, сохдают, хранят, передают. Мы много говорим о культуре ИБ, не предпринимая усилий по ее формирования. Надо признать, что и регуляторы тоже не сильно напрягаются в этом направлении, только постулируя необходимость заниматься этим вопросом. Основы госполитики в области формирования культуры ИБ в СовБезе так и канули в Лету. Уровень высшего ИБ-образования уже стал притчей воязыцех. Вот и получается, что основа, фундамент ИБ разрушен, а соответствующие навыки практически утеряны. Вендорам, в целом, тоже не до формирования культуры - за нее не платят миллионов и сотен миллионов (статьи затрат по программе "Цифровой экономики" говорят именно об этом, хотя про культуру и образование эта программа и говорит очень активно).

Сюда же относится и нежелание/неумение работы с людьми. Иногда гораздо проще и дешевле поговорить с сотрудниками, чем долго и безуспешно внедрять дорогостоящие защитные технологии (они, конечно, тоже нужны, но не стоит преувеличивать их важность). Но у нас этому ИБшников не учат (ФГОСы не содержат таких дисциплин). Хотя по правде тут нужны не знания, а навыки, которые надо не преподавать, а прививать. Но кто это будет делать? Если безопасник попросится на тренинги по управлению конфликтами или на управление коммуникациями, то на него посмотрят как на сумасшедшего. Зачем тебе это? Что за чушь? В лучшем случае пошлют в Информзащиту учиться Контитенту или SecretNet'у.

И эта тенденция только нарастает, последствия чего мы и наблюдаем в последнее время. На ИБ тратяся колоссальные бюджеты, вендора разрабатывают мыслимые и немыслимые технологии искусственного интеллекта, а хакеры на порядки более дешевыми методами продолжают ломать рядовых граждан, малые и крупные компании. Больше денег на ИБ, больше взломов. Такой вот парадокс. А все потому, что сознание у современных ИБшников уже не "безопасное", а "айтишное" или "хакерское". Мы (и я не исключение) не думаем о причинах многих вещей. Мы латаем дыры, не понимая, почему они появились. Чисто айтишный подход - пропатчиться по быстрому. Мы ищем дыры и кричим о них на конференциях, забывая рассказать о том, как их закрыть (и это почему-то называют security research). Это уже хакерский подход. А где подход безопасника? А его-то и нет...

ЗЫ. Предвидя комментарий "а ты сам кто такой?", отвечу: "Не знаю". Я гражданский, хотя мне преподавали преподы из Вышки. Но я и не айтишник и не хакер. Просто 25 лет в информационной (кибер)безопасности немного дают мне права надеяться, что я все-таки больше безопасник, чем...  

Подробнее…