Письмо читателя. ИБ в Узбекистане
Добрый вечер, дорогие коллеги! Год надо начинать с чего-то хорошего, например, с хороших людей. Поэтому я предлагаю вам прочитать интереснейший рассказ о своем пути в ИБ от Антона Ракитского, специалиста по информационной безопасности, ООО «IT—TEAM SERVICE» из г. Ташкент, Узбекистан. Приятного чтения!
Т.к.
учился в институте связи, то понимал, что работать буду в области, связанной с
ИТ. Тем более что во время обучения и институт переименовали из «связи» в
«университет информационных технологий».
В
информационную безопасность попал вообще случайно. Руководитель дипломного
проекта порекомендовал сходить на собеседование к своему бывшему однокурснику,
который работал в банке, в отделе ИБ. При первой же встречи произвело
впечатление, когда будущие коллеги смотрели в консоль почтового антивируса и
видели как приходят письма с зараженными вложениями, детектируются и удаляются.
Тогда, в 2003 году, это казалось чем-то невероятным. А ещё спутниковый интернет
со скоростью 256 кбит/с. Так получилось, что ещё не окончив институт уже устроился
на полставки в банк.
убедился, что очень удачно попал. Ведь ИБ взаимодействовало со всеми
ИТ-подразделениями, поэтому пришлось разбираться и с их работой. Уже тогда
поражала диспропорция. В департаменте ИТ работало больше ста человек, а в
безопасности только четверо. На этот же период пришлись первые волны
цифровизации — появился первый дистанционный банкинг, развитие карточных
систем. Во все такие проекты внедрения меня и направляли на стажировку и
обучение.
Другая
большая удача — что удалось побывать почти во всех регионах страны. Руководство
решило, что нужно объехать все филиалы и провести внутренний аудит ИБ. Своими
силами разработали план и в течение года «катались» по командировкам. Такой
«деловой туризм» подействовал очень отрезвляюще. Стало понятно, что многие
прожекты, планируемые в головном офисе, до регионов просто не дойдут — нет
техники, и, что хуже — грамотных сотрудников. Адекватных быстро переманивали в
головной офис или другие компании. Каналы связи тогда тоже оставляли желать
лучшего, поэтому большое значение имели именно локальные ИТ-специалисты.
Поэтому руководство приняло решение — учить тех что есть и работать с ними. Так
впервые пришлось читать лекции. С тех пор ещё больше зауважал труд
преподавателей. После пары лекций подряд устаёшь настолько, будто вагоны
разгружал. И это ‑ со взрослой и более-менее заинтересованной аудиторией. Как
педагоги каждый день работают с детьми — не понимаю.
В те же
годы на себе испытал известные многим войны между ИТ и ИБ. Особенно когда на
оба департамента выделялся общий бюджет и нужно было выбирать — обновить парк
серверов или купить какую-нибудь IDS-систему.
Приходилось искать способы объяснить правлению, что это подход «или/или»
неправильный. Нужно и то, и это. И если возможность удалённого обслуживания
клиентов виделось как конкурентное преимущество, и на это деньги выделялись, то
про безопасность всего этого приходилось объяснять на пальцах. До сих пор помню
высказывания руководителя финансового департамента — «да кому мы тут нужны, в
Азии-то. Мы же не швейцарский банк. Ещё не родился хакер, который нас
взломает».
Работа
в банке хоть и весьма сложная, но всё-таки рутинная. Поэтому с коллегами
приняли решение создать собственную консалтинговую компанию и оказывать услуги
по экспертизе ИБ, разработке документов. Занимаемся этим уже более десяти лет.
Работа консультантом дала новый взгляд на безопасность. Подтверждается и
известная шутка, что «эксперт — любой человек не из нашего города». Когда о
проблемах говорит административно независимый человек (аудитор, консультант),
то внимания у руководства к этому больше, чем к сотруднику, который про это
твердит не первый год.
Не
перестаём удивляться, что ИБ сейчас практически везде. У нас в Узбекистане два
года назад был принят закон «О персональных данных», а это целая новая
сфера/страта ИБ. А ведь никуда не исчезли и вопросы подбора персонала, и
безопасность инфраструктуры, кондиционеры, дизель-генераторы, кабельные
колодцы, NDA и SLA.
про «замылившийся глаз» тоже актуально. Постоянно находятся лежащие на
поверхности критические уязвимости, которые находятся за пять минут, но не были
обнаружены силами предприятия. Из самых анекдотичных случаев — незапароленный Wi—Fi в серверной подсети, стершиеся
кнопки кодового замка, выдающие код доступа. Или простейшая уязвимость (инъекция)
когда вместо кода подтверждения, оправленного по SMS мы забавы ради вместо
кода (которого у нас не могло быть) ввели знак «?» и неправильно написанный
скрипт нас «впустил». И таких детских, но от этого ещё более обидных проблем,
множество на любом крупном предприятии. Точнее там, где нет системного подхода,
того что и называется СМИБ — системы менеджмента информационной безопасности.
Поэтому и продолжаю удивляться универсальности стандарта ISO/IEC 27001. Просто бегло пройдясь по его
требованиям и «закрыв» хотя бы часть из них можно очень серьезно поднять
уровень ИБ.
С
первых лет работы в ИБ чуть ли не основным сайтом с русскоязычными новостями
был SecurityLab, а публикующиеся там — почти небожителями. Даже
познакомившись с некоторыми из них лично (Алексей Лукацкий, Михаил Кадер) это
ощущение ещё долгое время не пропадало. Поэтому вдвойне было увидеть там
статьи/заметки Ксении Шудровой. «А что, так можно было?» Т.е. молодой и
неизвестный автор может так запросто публиковаться рядом с общепризнанными
авторитетами? Поэтому, решив попытать счастья и сдать статью в печатный журнал,
рискнул обратиться уже к Ксении с предложением о коллаборации. Очень благодарен
ей за советы и помощь. Та совместная статья успешно вышла (https://www.itts.uz/news/85-isstart),
и, как кажется, актуальная до сих пор. После этого некоторые редакции уже сами
выходили на меня с предложением написать на заданные темы.
преподаванием, открылась истина ‑ мало понимать предмет статьи, нужно ещё
суметь оформить это словами. Чтобы хотя бы самому более-менее нравилось. И
получается это далеко не всегда.
Вот и
получается, что современный ИБ-специалист чтобы быть в тренде должен
периодически что-то писать для СМИ, или хотя бы в блог (https://t.me/ittsuz).
Читать лекции, выступать с докладами на конференциях. А ведь ещё и нужно
постоянно изучать новинки, читать коллег. А значит — саморазвитием нужно
заниматься чуть ли не больше, чем основной работой. Вдвойне везёт тому, кто умеет
всё это совмещать.
Вконтакте: https://vk.com/shudrova
Facebook: https://www.facebook.com/profile.php?id=100001253566519
telegram: @KseniaShudrova
instagram: @boyarinya_marshmelova
Источник — блог Ксении Шудровой «Защита персональных данных и не только — книга рецептов».
