С тимлидом (руководителем команды, координирующим задачи и сроки) команды разработки ГК "Солар", специализирующейся на информационной безопасности (ИБ), Ксенией Змичеровской мы познакомились в Омске во время ИТ-конференции "ДевФест 26". Она прилетала в наш город, чтобы рассказать, почему разработчики не видят тех дыр в системах, которые видят хакеры.
Ксения уже 8 лет в профессии и сейчас занимается разработкой систем для защиты от кибератак, до этого работала в областях фармы, геймдева (разработка игр) и кибербезопасности. Прошла путь от начинающего специалиста до лидера команды, хотя в школе мечтала стать врачом. Мы поговорили о пути в сферу ИБ, о том, как опыт в разных направлениях может помочь в этой работе. Не обошли стороной темы белых хакеров, увеличивающегося количества кибератак (и тут свою лепту, оказзывается, внёс искусственный интеллект) и мотивацию чёрных хакеров.
КсенияЗмичеровская
- Ксения, как ваш опыт в информационной безопасности помогает вам быть эффективным тимлидом в команде разработки? Есть ли какие-то специфические навыки или подходы, которые вы перенесли из ИБ в управление людьми?
- Мне кажется, что у тимлида есть много разных навыков. И понимание мира ИБ всегда приветствуется от грейда (уровня) сеньора (специалиста с глубокими техзнаниями и высокой степенью самостоятельности в работе - прим. ред.) и выше. Это необходимый навык, который помогает в работе. Что я перенесла с собой из ИБ? Наверное, умение договариваться, потому что в целом безопасность почему-то воспринимается в штыки. Как у нас обычно бизнес строится: мы сделали какую-то фичу (функцию), а уже потом думаем о том, чтобы она была безопасной, эффективной, хорошо работала и так далее. Безопасность всегда идёт второстепенным треком, и поэтому не все готовы думать о ней. И когда ты начинаешь внедрять безопасность в процесс, то пытаешься договориться с людьми. И теперь мне этот навык хорошо помогает в коммуникации с сотрудниками и в целом с людьми.
- Вы работали в таких сферах, как фарма, геймдев и кибербезопасность. Есть ли отличия в разработке?
- Во-первых, в разных сферах по-разному смотрят на безопасность. В области фармы свои нормативные акты, и из-за этого на многие вещи надо иначе смотреть. Например, на обработку чувствительных данных, анализов и прочее. Они обрабатываются иначе, нежели в других сферах. Понятно, что если утекут медицинские данные, это будет хуже, чем если утекут никнеймы (вымышленные имена) из какой-то компьютерной игры (данные из медицинской карты более чувствительны). Поэтому и требования к разработке отличаются. В геймдеве разработка более стартаповская, "дикая": быстрее захватить рынок, а соблюдение чего-либо - вторично. Но свои законы тоже есть, например, обязательно нужно соблюдать лицензионные соглашения. Мы же работаем с физлицами, но эти соглашения обычно никто не читает, а там по факту прописано, что собираем мы и что имеет вторая сторона как пользователь.
- Какой из этих опытов оказался самым ценным для вашей текущей работы?
- Думаю, что геймдев. Там ты становишься разносторонним человеком. В фарме и на текущем месте всё равно есть определённый профиль, которого ты придерживаешься. А разработка игр - немножко романтизированная сфера. Там ты можешь заниматься всем подряд, у тебя нет жёстких границ. Можешь быть человеком-оркестром в ИТ. Это очень сильно качает твои навыки, и ты становишься многогранным специалистом. И когда ты приходишь в новый ИТ-мир, то видишь: ага, и вот это я уже умею, и то. Понимаешь, что у тебя есть не только твой профиль компетенций, но и соседние. Таких специалистов сейчас принято называть модным словом T-shaped (модель профессионального профиля, сочетающая глубокую экспертизу в одной области и широкий кругозор, базовые навыки в смежных сферах - прим. ред.), грубо говоря, когда у тебя есть твой профиль и ещё два хвостика.
- С какими основными вызовами сталкивается команда разработки при создании систем защиты от кибератак?
- Один из главных вызовов для команды - совмещать полезные фичи с заботой о собственной безопасности. Ведь продукт, который обеспечивает защиту, по умолчанию должен быть сам безопасен. Но для этого нужно выполнить множество требований - огромный пласт работы. Бизнесу эти требования часто неинтересны: заказчику важен функционал для решения его задач. Пользователь платит за возможности, а не за защищённость. Поэтому соблюдать баланс бывает очень непросто.
- Так как вы занимаетесь ИБ, расскажите, как часто происходят кибератаки, как они отражаются, как идёт процесс восстановления, если не удалось отразить атаку, меняется ли что-то потом в подходах защиты?
- Действительно, количество атак подросло за счёт внедрения искусственного интеллекта. Сейчас очень много атак пошло вширь. Раньше атаки могли быть более таргетными (целенаправленными, тщательно спланированными): например, хакерами выбирались крупные банки, организации, компании - под них специально писали софт и ломали целенаправленно. Сейчас с помощью ИИ начинают [искать] по всем фронтам, чтобы найти хоть что-нибудь. А в большинстве случаев средний бизнес или маленькие компании часто используют что-то уязвимое и попадают под горячую руку хакеров. Плюс есть некая сезонность. Наши специалисты в "Солар Jsoc" говорят, что на Новый год и на какие-то праздники, во время политических выборов количество кибератак растёт. Атакующие пользуются тем, что во время праздников все немного расслабляются, а во время выборов сосредоточены на другом. Во время празднования Дня Победы было очень много атак.
Что касается защиты, то она меняется, обновляется, даже если не произошло никакой атаки или утечки данных. В безопасности есть постоянный цикл обновления, проводятся внутренние учения. На регулярной основе проверяются регламенты. Если что-то пошло не так, то все собираются и прогоняют критическую ситуацию. Это как учения по действиям в чрезвычайной ситуации. Мы же все регулярно участвуем в пожарных учениях, отрабатываем алгоритм действий. Так и в информационной безопасности.
- Какова цель кибератак?
- Цели разные, но у атакующих в основном есть две мотивации. Первая - денежная. Для хакеров это работа, и они хотят заработать денег. Условно, они могут что-то у вас зашифровать, а потом за выкуп, денежное вознаграждение от вас расшифровать и восстановить работу. И вторая мотивация - репутационная. Сейчас в целом в мире тяжёлая ситуация, и на этом фоне возникло много хакерских группировок, нацеленных на подрыв или уничтожение репутации своего объекта атаки. Тут либо у них своя внутренняя мотивация, например, они хотят что-то кому-то доказать, либо работают по заказу.
- Известно, что мир хакеров делится на чёрных и белых. Чем именно занимаются последние?
- Белые хакеры, на самом деле, полезные ребята. Есть герои-одиночки, целые команды и даже целые компании белых хакеров. Тем, кому это интересно: существует багбаунти ("охота за ошибками") - система у больших и средних компаний, которые готовы платить деньги тем, кто нашёл дыру в безопасности их продукта. Понятно, что там свои регламенты, но, тем не менее, можно легально кого-то поломать. Естественно, что это не просто "кого-то найти в интернете, сломать его систему и потом написать на почту". Чтобы белое хакерство было легитимно, нужно вступить в программу. Если коротко, то эти ребята находят уязвимые места в системе безопасности заказчика и помогают им устранить эти дыры. Многие живут этим, им нравится взламывать, но не для нанесения вреда, а в помощь компаниям.
- Как сейчас меняется роль белых хакеров в России на фоне роста киберугроз и импортозамещения?
- Мне кажется, они всегда нужны у нас в России. Если опираться на данные отчётов, то у нас в стране дефицит ИБ-специалистов. А белых хакеров можно отнести к этим специалистам, потому что они ищут уязвимости.
- Ксения, расскажите, как вы вошли в ИТ-сферу, с чего начался ваш цифровой путь?
- Вообще, я хотела стать врачом, но что-то пошло не так.
- Что?
- Школьницей я поступила в медицинский лицей. В 10-11-х классах мы ездили в медуниверситет, и, так как лицей был с уклоном в медицину, нам читали первый курс. После этого я поняла, что медицина - это не моё. Подростком я просто пересмотрела много разных интересных сериалов на врачебную тему, типа "Доктора Хауса" (18+), и мне казалось, что это интересная исследовательская сфера, но по факту оказалось не так. Хотя воображение рисовало иную картинку врачебной практики. Я поняла, что мне нужно попробовать что-то другое. Много времени проводила за компьютером и решила пойти в программисты. Я сама из Санкт-Петербурга, и когда я пришла подавать документы в ИТМО (один из ведущих вузов России по подготовке специалистов в области информационных технологий, фотоники, робототехники, инженерии и связанных наук - прим. ред.), мне приглянулся факультет безопасности информационных технологий. В приёмной комиссии девочки рассказали мне, какая это классная, прикольная профессия (специалист по информационной безопасности). Вот так я туда попала.
- За что вы любите свою профессию, чем она вас так привлекает?
- Это динамичная, интересная и постоянно развивающаяся среда. Здесь как раз можно провести параллель с медициной. Врачам и айтишникам регулярно нужно подтверждать свою квалификацию. Чтобы быть актуальным в профессии, нужно читать, изучать новое. Нельзя один раз получить диплом и успокоиться на этом - постоянно нужно развиваться. Область ИБ очень динамичная и гибкая, всегда нужно быть в этом течении, потоке и следить за новинками. То, что было пять лет назад, сейчас может быть неактуально. У нас постоянное движение.
- Ксения, вы уже 8 лет в ИТ, это достаточно много. Какой бы совет вы дали тем, кто только начинает свой путь в сфере кибербезопасности и хочет развиваться в сторону лидирующих позиций?
- Не бояться! Кажется, что ИБ - гигантская и непонятная сфера. Она, конечно, реально очень большая, но если мы в целом посмотрим на инфобез, то она состоит из многих частей (в том числе не очевидных). И чтобы войти в неё, можно посмотреть, какое из её направлений тебе сейчас интересно. Например, физическая безопасность: можно настроить сколько угодно антивирусов и систем защиты, но, если сервер стоит в открытом доступе и любой может подойти и вставить флешку, вся защита теряет смысл. На этом уровне нужна своя защита, и именно ты можешь её обеспечить, если тебе это близко. На каждом уровне свои нюансы, своя история. Из-за того что ИБ многоуровневая, кажется, что туда сложно войти молодому специалисту, но на самом деле кибербез затягивает. Ты начинаешь её познавать, и так, шаг за шагом, хоп-хоп, и ты уже понимаешь, что к чему, и развиваешься в профессии. Главное - не бояться.
- Какие-то особые навыки нужны, чтобы работать в ИБ?
- Базовых навыков, которые есть везде в ИТ, достаточно, а дальше уже идёт специфика. Нужно понимать, что именно интересно. Кому-то, условно, интересно попробовать себя в роли белого хакера, и тогда он изучает определённый инструментарий, смотрит виды атак, какие есть уязвимости, что можно интересного здесь сделать. Кому-то интересно заниматься расследованиями, побыть в роли "Шерлока Холмса". Здесь нужно определиться с тем, что ближе, и туда закапываться. Конечно, лучше в основе иметь фундаментальные знания своей профессии, а не отрывки с курсов. Как любят говорить все преподаватели, связанные с ИБ, если ты не понимаешь, как это работает, то ты не будешь понимать, как это защищать.
Чтобы больше знать, чем живёт мир информационных технологий в Омске и за его пределами, читайте рубрику "Войти в ИТ" на сайте "Омск Здесь".
Фото: Елизавета Медведева, главное зображение создано с помощью Midjourney
