Что из самого интересного нас ждет на BIS SUMMIT.

Если отвечать коротко на вопрос – все или близко к тому. На официальном сайте опубликована практически целиком программа мероприятия, которая, по сообщениям авторитетных источников, весьма близка к итоговой.

Лично мне интересно в первую очередь послушать тех именитых экспертов, которые либо мало выступают в последнее время, либо я просто не попадаю в категорию их публики. Это позволит несколько раздвинуть зашоренный взгляд и получить альтернативное мнение, что само по себе уже ценно.

Во-вторых, в программе заявлены представитель разных уровней так называемых «баррикад»: вендоры, заказчики, консалтеры, причем, их состав очень точно сбалансирован, что намекает на активный диалог и настраивает на качественный голливудский «попкорн».

В-третьих, поставленные в каждой секции вопросы очень неочевидно получают в реальной жизни свои ответа и от этого максимально актуальны. Особенно, когда на них должен отвечать вроде бы непрофильный эксперт, в этой связи ожидаю ярких баталий в стиле «А как тебе такое, Илон Маск?».

Отдельно хочу выделить Панельную сессию IV: «Конвергенция COMPLIANCE или можно ли забыть про регуляторов и начать жить бизнесом?» Даже сама постановка вопроса настолько смелая, что из нее становится понятно, почему из всех регуляторов в программе заявлен только ЦБ J. Кстати, до сих пор (на момент публикации заметки) организаторы оставляют в качестве интриги спикеров топика, что дополнительно подогревает интерес. Значение регуляторов в реалиях отечественного бизнеса всегда было велико. Больше того, понятия «развитие рынка ИБ» и «генеральная линия регуляторики» часто отождествляются, особенно, когда речь заходит про государственные и около-государственные структуры. Нередко сегодня, в 2018 году, мне в практике встречаются примеры подписания большими боссами компаний стратегии и верхнеуровневой политики безопасности, которые полностью и исключительно базируются на соответствии требованиям законодательства. Исторически так сложилось, что на безусловном первом месте для наших организаций – боязнь не попасть «под раздачу» государственной машины, в этой связи руководство вникает в нюансы обеспечения соответствия законам куда охотнее, нежели в так называемую «реальную» безопасность. Именно поэтому так ценны будут кейсы из практики, когда практические цели по обеспечению ИБ достигаются не вместо, но вместе с выполнением требований регуляторов, а то и вовсе, как гласит заголовок, забывши об оных.

До встречи на BIS SUMMIT!

Оставайтесь на светлой стороне.

Влияние анти-глобализации на ИБ.

Что нынче происходит на полях геополитического ландшафта трудно не замечать. Причем процессы по культивированию протекционизма и обратный разворот в вопросах глобализации начались далеко не сегодня. Достаточно старая история, но, как мне кажется, показательная. 4 июня 2018 года американская компания GeoTrust заблокировала SSL-сертификат Общественной палаты РФ с формулировкой: «К сожалению, наложенные Соединенными Штатами санкции требуют, чтобы мы отозвали ваш сертификат для *.oprf.ru из-за того, что ваша организация аффилирована с Донецкой Народной Республикой, находящейся под санкциями Управления по контролю над иностранными активами (OFAC)». Казалось бы, ничего страшного, но кейс отправляется в копилку вместе с блокировками РКН, санкциями на поставки ИТ-продукции, травлями некоторых «неоднозначных» вендоров у нас и за рубежом.

Из уроков истории в школе я вынес, что любые запросы к преобразованиям, революции, войнам начинаются с экономики. Именно поэтому с достижением определенных целей или, если хотите, уровней зрелости, государства (и большие корпорации за ними) начинают менять правила игры в угоду своим интересам, зачастую не заботясь о соблюдении ранее взятого вектора в двусторонних отношениях, и трактуя абсолютно любые свои, даже полярные, действия в русле все тех же «демократических ценностей». Итак, сегодня истории вокруг поведения США, Китая, ведения откровенной торговой войны без оглядки на ВТО и прочие договоренности, получили широчайшую общественную огласку, однако, «мобилизационные» процессы идут уже давно.

Кроме того, любая «уважающая себя» страна старается максимально наладить локализацию производства, особенно касаемо продукции «двойного назначения» и стратегических вещей. Что делать, когда не из чего локализовать, мы с вами прекрасно знаем, новые отечественные продукты по решению тех или иных задач вдруг появляются регулярно. В тоже время, на примере нашей страны, мы наблюдаем ужесточение законодательства и закручивание гаек в вопросах регулирования ИБ, когда иные зарубежные продукты использовать просто не представляется возможным из-за того, что требования по уровням сертификации несовместимы с возможностями вендоров по предоставлению «внутренностей» своих решений. Таким образом, на фоне происходящих событий истории с теми самыми «рубильниками», закладками и секретными кнопками, теоретически, не выглядят таким уж полным бредом.

Несмотря ни на что, лично я – не сторонник апокалиптических сценариев, верю в светлое будущее и победу, все-таки, здравого смысла, основанного на первичности экономических (в широком смысле) предпосылок. Надеюсь, что сейчас просто настал период «наигравшихся в демократию», который так или иначе закончится, это неизбежно в эпоху той самой цифровой трансформации, в том числе и в сфере ИБ.

Оставайтесь на светлой стороне.

Конвергенция ИБ в цифровом мире.

Именно с таким заголовком 14 сентября, и, что особенно приятно, в пятницу (не так часто встретишь подобный прецедент для однодневного мероприятия) стартует конференция BUSINESS INFORMATION SECURITY SUMMIT 2018 (по-простому BIS SUMMIT) в Москве. Конференция проходит уже в 11 раз (включая прежнее название – DLP-Russia), начиная с 2008 года. Лично для меня это событие было и остается знаковым и входящим в ежегодный список «must visit» осеннего делового сезона. Почему - об этом как раз и расскажу в короткой заметке.

В своем цикле заметок про события информационной безопасности в России я уже рассуждал на тему того, что, настрой некоторых коллег по поводу такого рода мероприятий мне кажется излишне пессимистичным. Как нельзя кстати в качестве положительной иллюстрации подоспел анонс и дан старт регистрации на BIS SUMMIT. Практически по всем описанным мной в заметках пунктам, этой конференции предварительно ставим «зачет».

Во-первых, это заявленные темы. Красной нитью сквозь все панельные сессии проходит термин «конвергенция», что только лишь подтверждает многократно обсуждаемые последнее время с коллегами тезисы о трансформации ИБ, ранее как отдельной ветки корпоративного дерева, в симбиотическое объединение со всеми бизнес-процессами компании. Крайне интересно будет послушать экспертов и подискутировать о том, как дальше жить безопасникам в условиях наступления цифровой экономики во всех ее каверзных смыслах. При этом, никакого разбиения на параллельные потоки, что позволит не разрываться между одинаково интересным контентом.

Во-вторых, кураторы и программный комитет во главе с неподражаемым Олегом Седовым (да-да, тезис вполне объективен :) ) – это настоящая «dream team», причем они не просто признанные эксперты в ИБ, но и обладают, с позволения скажу, релевантным опытом и подтвержденным успехом именно в области организации мероприятий, т.е. для них это явно не «первый блин», который уж совершенно точно не будет комом. Помимо своих непосредственных выступлений коллеги также активно отбирают доклады, не пропуская рекламу и зарубая нецелевую тематику просто «как класс».

В-третьих, масштабы и контингент. Традиционно на мероприятии заявлено присутствие огромного числа представителей заказчиков, лучшие эксперты вендоров и интеграторов. Судя по всему, «там будут все». Неоднократно как я, так и коллеги отмечали тот факт, что чуть ли не самое ценное на конференциях – это… удобная зона кофе-брейков. Не удивляйтесь, это не из-за печенек или напитков, а из-за возможности кулуарного общения, ведь порой только так и видимся, что, увы, является отголоском современного ритма жизни.

Одним словом, приходите, будет интересно – это без вариантов.

Оставайтесь на светлой стороне.

Конференции по информационной безопасности. Перезагрузка. Часть 3

Продолжаю цикл коротких заметок про тенденции в развитии ИБ мероприятий.

Часть 1 доступна здесь. Часть 2 доступна здесь.

Часть 3. От классики – к элементам интерактива.

Британские ученые доказали, что хорошо смеется тот, кто от души. Лекционный формат проведения деловых программ мероприятий по ИБ сложно 100% конвертировать в какой-либо более живой, однако, небезуспешные попытки в этом направление – налицо. Организаторы вместе с модераторами, особенно в последнее время, стараются не просто «отработать» спонсорские пакеты и заявить громкие имена выступающих, но и сделать сами конференции более запоминающимися и интересными. Отсюда возникает ряд интерактивных идей, которые в своем воплощении повышают вовлеченность публики, что, как известно, кратно умножает самый главный целевой показатель – достучаться до аудитории и оставить правильные впечатления о себе, компании, продуктах, экспертизе в их головах. Народ жаждет не только хлеба на кофе-брейков, но, ключевое, зрелищ, этот факт никто не отменял.

Поскольку самый древний элемент хоть какого-то шоу – пленарные дискуссии уже и так присутствует в 90% всех мероприятий и, признаемся, приелся, приходится выдумывать что-нибудь эдакое. Удивительного эффекта можно достичь даже, применяя инструменты «не по специальности», вроде настольных игр, эффектной подачи напитков, нестандартной раздачи и использования сувениров. Посмотрите сколько народу собирают одни только простейшие розыгрыши призов, хотя, казалось бы, этим гарантированно никого не впечатлишь. «А что сами спикеры?», спросите вы, «Пускай развлекают народ сами, причем тут организаторы?». Во-первых, мы с вами представители секты «поклонников точных наук», со своим особым мышлением, мироощущением, поведением. Ни в коем случае не обобщаю, но у среднестатистического гика и действительно эксперта работа с публикой не входила в программу обучения и специальной тренировки навыков по ходу карьеры. Согласитесь, что очень многие из нас постепенно познают техники публичных выступлений в не нативном режиме, к чему есть много факторов: от проблем с желанием и мотивацией – до не предрасположенности и эмоциональных трудностей. В этой связи, очень круто, когда сами организаторы помогают встроиться в общий интерактив, делают требования добавить перчинки в доклад не столько даже обязательным, сколько подталкивающим самих выступающих к новым для себя интересным экспериментам. Еще раз подчеркну, вся фишка такого подхода не в давлении, а именно в том, чтобы зажечь идею и позволить прочувствовать самому спикеру новые эмоции. Дальше – классика психологии: гораздо проще и убедительнее делиться тем, во что веришь и что тебе самому интересно и приносит близкое к физическому удовлетворение, драйв – вот это круто.

Отдельного упоминания заслуживают заранее подготовленные активности, такие как тренинги, настоящие мастер-классы, практические обучения и т.п. Здесь добавлю небольшую ремарку. По-настоящему круто это выглядит, когда организатор такого шоу не просто хорошо подготовился, но и проделывал такое ранее, имеет опыт «проб и ошибок». Так уж случилось, что я принимал участия в совершенно разных учениях и практикумах, по итогам которых и сложилось понимание: это все надо тщательно готовить, иначе будет сумбур. Столько разных нюансов стоит учитывать: время, площадка, целевая аудитория, разбивка на команды, техническая подготовка, тестовые прогоны и многое другое. Здесь прямая аналогия с тем, что мы видим по телевизору: хорошее шоу требует неимоверной подготовки. Но если уж оно подготовлено, то мероприятия с его воплощением совершенно точно остаются в умах участников очень надолго. Именно поэтому будущее за теми конференциями по ИБ, на которых заявлены не просто треки, но и обеспечена максимальная вовлеченность аудитории. Как показала практика, такое реально сделать даже не только на узкофокусных событиях, вроде хакерских тусовок и закрытых персональных обучений, для широкой публики разноплановой квалификации также годится.

Таким образом, финальный девиз: больше интерактивных форматов, новых и разных!

Продолжение следует...

Оставайтесь на светлой стороне.

Конференции по информационной безопасности. Перезагрузка. Часть 2.

Продолжаю цикл коротких заметок про тенденции в развитии ИБ мероприятий.

Часть 1 доступна здесь. Часть 3 доступна здесь.

Часть 2. От самостоятельной модерации – к привлечению экспертов.

Каждый из нас занимается любимым делом и хорош в своем, я считаю, что это правильно. Поэтому при всей удачной организации самой конференции контентную часть ну никак нельзя формировать без людей из отрасли. Есть уже и такие организаторы, которые настолько давно проводят ИБ ивенты, что сами стали немного ИБшниками и разбираться в теме, все же есть некоторое «но». Поэтому, когда у события не просто красивый заголовок «программный комитет возглавляет…», а это и на деле так, то круто. При этом отдельного восхищения достойны как организаторы, которые умеют найти «окна» в плотных графиках именитых экспертов, чтобы их привлечь к работе над содержанием, так и сами гуру, которые берут очень существенную часть работы по подготовке в целом (здесь и отсмотр заявок и привлечение других экспертов отрасли, переговоры) на себя. Такая совместная коллаборация с самых ранних этапов приносит дополнительные плюсы и для привлечения потенциальных слушателей, которые доверяют признанным экспертам. Важно отметить и тот факт, что, когда в программный комитет привлекается сторонний эксперт, особенно если их несколько, расширяются границы возможностей для приглашения и оценки спикеров как благодаря сарафанному радио, так и возникновению разностороннего взгляда. Заметил по себе, что чем больше общаешься с людьми, тем чаще знакомишься со все новыми уникальными персонами.

Наконец, для самих начинающих спикеров повышается прозрачность отбора докладов и появляются новые горизонты для роста. Кстати, я ни разу не сказал, что обязательно весь состав программного комитета должен сам выступать, однако, присутствие на самом мероприятии крайне желательно как для поднятия «боевого духа» аудитории, так и для рассеивания сомнений на счет жульничества и наличия в нем «мертвых душ».

В итоге, как мы видим на практике, количество конференций даже порой не с одним, но с целой группой признанных экспертов растет. Но куда важнее, что растет их качество. Пока что я не берусь утверждать, что лозунг «теперь у нас никаких проходных тем, только жесткий отбор» соблюдается всегда и везде, но положительный сдвиг налицо. Таким образом, от переложения части ответственности с себя на «тусовку» выигрывает не только организатор, но и все мероприятие в целом.

Продолжение следует...

Часть 3.

Оставайтесь на светлой стороне.

Конференции по информационной безопасности. Перезагрузка. Часть 1.

Для удобства решил разбить свое повествование на несколько коротких заметок
Часть 2 доступна здесь.Часть 3 доступна здесь.

Многоуважаемые коллеги уже много раз проходились по теме организации и проведения ИБ-мероприятий в России, предлагали разного рода классификации (выставка/конференция, платно/бесплатно, для всех/исключительно по приглашениям, узкопрофильные/для широкой аудитории, по типу монетизации и т.п.). Особенно интересно было читать посты, в которых проводятся параллели с западными, восточными событиями, демонстрируется уровень зрелости у них, констатируется упадок у нас. К тому же, мне здесь гораздо проще: сравнить пока что не с чем. Я уже неоднократно в блоге освещал наиболее запомнившиеся мне конкретные события, но общую оценку происходящему пока не давал, поэтому выскажу свои наблюдения по отечественным ивентам, на которых за последние несколько лет я стал бывать с большой регулярностью. Кстати, для тех, кто осилит все части, в конце я все же составлю некий перечень передовиков ИБ-конференчества.

Начну с того, что я в общем и целом с оптимизмом смотрю на оффлайн форматы мероприятий, считаю, что без них не обойтись. Называй как хочешь: выставка, сборище, тусовка – все равно развиртуализация жизненно необходима. И когда слышишь «конференции и выставки умирают», как-то не очень радостно. Я пока ставлю больше на жизнь, чем на зеро. Итак, что я отмечаю в качестве положительных трендов.

Часть 1. От борьбы за спонсоров – к борьбе за контент.

Программные комитеты мероприятий существовали всегда, в них каждый раз попадали все более именитые эксперты, но модерация докладов в итоге получалась весьма условная. Очень радует тенденция перехода к все более жеткому подходу, когда от спикеров требуют не просто заголовок презентации, но развернутые тезисы, фактически, эссе. Посмотрите, буквально каждое первое ИБ-мероприятие крупным шрифтом заявляет: «Никакой рекламы, только полезный контент». Держаться заданной в лозунгах планки всегда сложно. И к этому есть несколько причин. Во-первых, в случае спонсорства, тут всегда очень тонкий момент и, как представитель вендора, я точно также вынужден учитывать позицию «мы же заплатили за рекламу», однако, как показала практика, можно же сделать представление своего продукта весьма ненавязчивым, а само выступление интересным для слушателей. Ни разу вот это не просто, я, как некоторые, не могу всего за 1 ночь с нуля подготовить доклад на 20 минут, не говоря уже о часовом мастер-классе, но идеал и к чему стремиться явно существует. В этой связи, по меньшей мере странно звучит повествование о компании и рассказ о продуктах в абсолютной отвязке не только от темы секции, но и от канвы самой конференции. Если я иду на мероприятие «Как воспитывать котиков», явно же заскучаю при виде, безусловно, классного решения по воспитанию собак, хоть и методы близкие и даже общее слово есть, однако, выбор рассказать все же про собак говорит либо о неуважении к аудитории, либо о не заточенности продукта для котиков. И такое происходит регулярно. Подольем теперь масло в сторону организаторов. Сразу пример. Весной организаторы одного из региональных мероприятий связались со мной и очень любезно попросили выступить, мы обсудили тему, даже тезисы подготовили и вдруг в самом конце «ну что, ваше спонсорство будет стоит ___». Большая просьба ко всем ивент-менеджерам: определяйтесь сразу в каком качестве хотите видеть компанию/спикера, иначе походит на какой-то развод. Другой пример. Сайт одного из мероприятий, как и все, пестрил заголовком «никакой рекламы», и когда мы стали обсуждать возможность нашего выступления на нем, я набросал примерный список тем, думал связаться напрямую с модераторами, но первым же письмом получил честный ответ: «да говорите, про что хотите, ваши деньги-ваша музыка».

Продолжение следует...

Часть 2. Часть 3.

Оставайтесь на светлой стороне.

Когда финансы поют романсы и дифирамбы ЦБ и ФинЦЕРТ.

Когда речь заходит о нашей любимой информационной безопасности, воображение обычного человека часто рисует страшные кибератаки хакеров и утечки данных из каких-то там далеких крупных корпораций. Только когда начинаешь задумываться и анализировать, в голову приходят защита личных данных, безопасность операций, доступность привычных сервисов. И только когда дело доходит до реальных инцидентов, выраженных в денежных потерях, сразу становишься осведомленным хотя бы на минимальном уровне как в профильном законодательстве, так в методах защиты. Схожая ситуация и с корпоративной кибербезопасностью, когда зафиксированные факты прямых убытков кардинально меняют отношение к теме абсолютно всех по всем вертикалям, доходя до необходимости личного погружения в тему непрофильного топ-менеджмента.

Именно поэтому финансовый сектор, как правило, является крупнейшим драйвером развития рынка информационной безопасности во всех странах, ведь здесь все понятно: вот живые настоящие деньги, вот их по-настоящему крадут. Мы все упорно движемся к миру, когда физический обмен наличностью останется в прошлом, посмотрите на некоторые страны (для резидентов во Франции, Португалия – до 1000 евро), которые искусственно ограничивают максимально возможные «натуральные» платежи, тем самым толкая не просто отрасль, но весь привычный жизненный уклад в безвозвратную цифру. В этих условиях значимость проблем ИБ сложно переоценить, о ней будут заботиться все чаще и кропотливее.

Вернемся к нашей специфике, согласно которой никакие мало-мальски значимые процессы в стране не могут обходиться без регулирования со стороны государства. Уже неоднократно в своих заметках я говорил о необходимом балансе между обеспечением национальной безопасности и нормальным функционированием бизнес-процессов в компаниях и, пожалуй, всем остальным отраслям нашей экономики здесь в пример можно поставить регулирование финансового сектора. Еще раз подчеркну, что проблем хватает и тут, однако, политика ЦБ РФ, как мегарегулятора, мне лично весьма импонирует. О причинах такого здравого подхода говорить не будем, гораздо интереснее поговорить о его результатах, применительно, само собой, к направлению информационной безопасности.

Давайте посмотрим на основную идею по иерархии законодательства по ИБ.

Я намеренно ее упростил и убрал ветвления (Указы президента, Нормативные акты региональных правительств, Ведомственные вертикальные приказы и т.п.), чтобы проиллюстрировать посыл: самый основной блок – Отраслевые документы, на этом уровне как раз и должно быть «разжевано» соответствующим организациям (хорошо, не всем, а только тем, которые нуждаются в этом и сами просят, а таких очень немало) что конкретно нужно (рекомендуется) делать во исполнении тех или иных вышестоящих нормативных актов. Вернемся к ЦБ, здесь он выступает сразу в 2-х ролях – Регулятор ИБ и одновременно Отраслевой регулятор. И это очень круто, что ему удалось указанную позицию занять. В итоге – никакая новая тема (сначала ПДн, потом Цифровая экономика, теперь КИИ и ГосСОПКА) не обходится без его участия в рамках поднадзорной сферы.

Общаясь с компаниями из совершенно разных отраслей на тему ИБ, я составил весьма неоднозначное мнение по факту ответов на вопрос: «а как вам помогают головные по вертикали ФОИВ или ГК?». В этой ситуации в пример я уверенно ставлю ЦБ, об адекватном и грамотном подходе которого говорят практически все заинтересованные игроки. Действительно, увидим, как сложится ситуация с коммерческими SOC, самой ГосСОПКОЙ, вендорскими центрами компетенций, но работа ФинЦЕРТа заметна невооруженным взглядом уже сейчас. Приведу пример. На майском заседании ПК1 ТК122 в ЦБ очень живо обсуждали с экспертами формат обмена информацией об инцидентах между финансовыми организациями и ФинЦЕРТом (речь о СТО БР ИБФО–1.5–2018), более того, регулятором были предприняты реальные шаги к тому, чтобы облегчить жизнь представителям отраслям, в частности, путем снятия обязанности передачи напрямую в ФСБ со стороны объектов КИИ без присвоенной категории значимости. Кстати, к таким объектам, по мнению ЦБ, относятся вообще все, включая ломбарды. Кроме того, описываемый формат был уже заранее гармонизирован с подписанным чуть позже законом, вносящим поправки в законодательство об антифроде и отмывании денег (банки получат право приостанавливать денежный перевод на срок до двух дней, если появится подозрение, что эта операция совершается без ведома владельца банковской карты и другие нововведения). И подобных примеров решения конкретных жизненных кейсов немало, важно, что в процессе их решения дается ответ на вопрос «что делать?».

Признаемся честно, до 100% рыночных отношений и чисто «риск-ориентированного» подхода к регулированию нам еще не близко. Однако, среди «отраслевиков» еще раз особенно выделяю ЦБ, как образец максимально адекватного и конструктивного в условиях сегодняшнего политического курса взгляда на проблематику ИБ в финансовой отрасли, который по-настоящему старается.

Оставайтесь на светлой стороне.