Вышел 29-й выпуск Belyaev_Podcast о том, как изменилась информационная безопасность за последние два десятилетия и почему новые технологии до сих пор не решают часть старых проблем. Гость выпуска — Антон Карпов, вице-президент по безопасности VK.
Вместе с Дмитрием Беляевым и соведущей Анастасией Федоровой, заместителем руководителя Центра практического обучения Positive Technologies, он обсудил работу ИБ-команд, отношения с разработчиками и бизнесом, пентесты, инциденты и влияние ИИ на профессию.
Карпов прошел путь от пентестов в Digital Security и работы в международном банке до 12 лет в Яндексе и руководства безопасностью VK. Этот опыт позволяет посмотреть на одну и ту же проблему с двух сторон. Одно дело — найти уязвимость и описать, как ее исправить. Другое — отвечать за систему, команду, бюджет и решение о том, какой риск компания готова принять.
Разговор начинается с ИБ нулевых, когда значительная часть защиты держалась на системных администраторах, ручной настройке серверов и публичных эксплойтах. Затем участники переходят к сегодняшней разработке, где инструментарий стал сложнее, а многие организационные вопросы остались прежними.
Одна из центральных тем выпуска — отношения безопасности и ИТ-команд. По словам Карпова, задача специалиста по ИБ начинается не с запретов и документов, а с умения выстроить контакт с инженерами. Хорошим признаком он считает ситуацию, когда разработчики сами приходят к безопасникам с проблемами и зовут их обсуждать новые проекты. Если все происходит наоборот, служба ИБ рискует просто не узнать о части проблем.
Отсюда возникает еще один неудобный вопрос. Что на самом деле означает фраза «у нас давно не было инцидентов»? Иногда она говорит о хорошей защите. Иногда — о том, что компания просто не видит происходящее. «Для безопасника самая страшная история — это не знать, что где-то плохо», — говорит Карпов.
Отдельно участники разбирают пентесты. Карпов называет их одним из наиболее неправильно используемых инструментов в ИБ, когда сама проверка начинает подменять системную работу по защите. В выпуске обсуждают, зачем компании заказывают пентест, что делать с найденными проблемами и почему результат проверки мало значит без процессов, которые позволяют исправлять ошибки дальше.
Еще одна большая тема — управление людьми. Карпов рассказывает, почему отказался от микроменеджмента, зачем сотруднику право на ошибку и почему руководителю приходится мириться с тем, что команда не будет полностью соответствовать его представлениям об идеальном специалисте. Здесь же появляется вопрос о прозрачности работы ИБ. Безопасность должна быть заметна бизнесу, но ее ценность сложно свести к одной цифре предотвращенного ущерба.
В финальной части разговора участники переходят к искусственному интеллекту. Карпов рассказывает, что эксперименты с моделями вернули ему часть профессионального интереса к технологиям, который за годы управления постепенно уступил место работе с людьми и процессами. Отдельно обсуждается, как ИИ влияет на молодых специалистов и чему им придется учиться, если часть привычных задач начнут выполнять модели.
«Компьютерра» выступает медиапартнером проекта. Выпуск доступен на YouTube, VK Video, Яндекс Музыке, Mave и RuTube.