Сигурността е работа на всеки
Миглен Евлогиев (SVP of Information Security @ Payhawk)
Лекция за това защо информационната сигурност е отговорност на всеки служител, а не само на екипа по сигурност — обяснени са трите ѝ основни стълба (достъпност, интегритет и конфиденциалност) с примери от практиката. Лекторът разказва и за опита си в силно регулирана финтех среда и за ролята на всеки отдел в изграждането на „човешката защитна стена“.
Описание
Лекция от конференцията 🟩 DEV.BG All in One 2024 https://2024.dev.bg/
👉 Лектор: Миглен Евлогиев, SVP of Information Security @ Payhawk
👉 Тема: Security is Everyone's Job
Nowadays it’s easier than ever to identify, bribe, defraud or lure people online to perform actions on your behalf, potentially exposing organizations to cyber threats. Every single person in an organization plays a vital role in protecting the company, its data and customers. During this talk, we will explore what you need to do based on your role, and department and why it matters as cybersecurity is not a zero-sum game and it matters to exercise the human firewall.
👉 Презентация: ....
Описанието е на DEV.BG.
Препис
Автоматичен препис — може да съдържа грешки — сверявайте с видеото, преди да цитирате.
Клик върху времето пуска видеото от този момент.
↗[музика]
↗здравейте добре дошли от обяда ако
↗предишният водещ дими имаше трудна
Покажи целия препис — още 561 абзаца (~3584 думи)
↗задача да ви говори на гладен стомах аз
↗имам малко по-лесна сега се надявам че
↗сте хапнали добре това за което ще си
↗говорим в следващите няколко минути ще
↗бъде една много важна като цяло и за мен
↗смятам и за вас тема защо
↗организационната информационна сигурност
↗е от изключителна важност и каква е
↗вашата роля как вие може да допринесете
↗за това
↗а както и дими аз също идвам от pay а
↗хол е първият български unicorn една
↗компания която оперира в много а
↗комплексна регулаторна среда с множество
↗външни и вътрешни заплахи
↗а и поради тази причина ни се налага
↗постоянно а да подсигуряваме сигурността
↗на компанията да се подобряваме във
↗всеки един момент и да мислим по начина
↗по който ще се опитам да ви обясня по
↗времето на тази лекция а както хари
↗сподели моя опит е вече над 15 години
↗изцяло и основно фокусирам в
↗информационната сигурност тя е моя
↗страст занимавам
↗извън работно време с много
↗неправителствени дейности свързани с нея
↗и преди около година година и половина
↗направихме и потребителската група за
↗cyber security в dbg силно ви
↗препоръчвам ако имате интерес да се
↗запишете в нея и сега по същество по
↗темата security това е една мантра която
↗е малко предизвикателно да ви я предам и
↗ще разберете
↗защо наистина е наистина е трудно
↗предполагам повечето от вас сега си ми
↗слет чакай малко аз всъщност имам работа
↗нали имам длъжностна характеристика в
↗тази длъжностна характеристика пиша
↗определени неща и те обикновено са
↗свързани с друг тип дейности нали нямам
↗такъв тип неща заложени а ако ми
↗позволите ще ви дам няколко причини но
↗преди това ми се ще да се опитаме да си
↗отговорим що е то информационна
↗сигурност а най-просто казано а това са
↗набор от практики и действия които ние
↗можем да приложим за да защитим няколко
↗сфери на работа тези сфери са по-познати
↗в нашия сектор като cia т или достъпност
↗или availability интегритет тоест дали
↗това което ние разработваме като услуги
↗или продукти
↗е работи по начин по който очакваме ако
↗работата на quality assurance е по-скоро
↗да потвърждаваме че работи както си
↗представяме интегритетът е малко ревърс
↗и на трето място конфиденциалност
↗конфиденциалност на нашите данни на
↗финансови операции и на финансови
↗средства ако щете в нашия частен пример
↗и за да не ви говоря сухи приказки ще ви
↗дам няколко примера от близкото минало
↗първо
↗а availability или достъпността на
↗системите е много лесно да се обясни
↗просто не работи услугата дали не работи
↗заради пропуски в лити процеса заради
↗пропуски в начина по който едно
↗приложение или система е разработена
↗предполагам всички сте виждали подобни
↗проблеми от различни приложени ни които
↗използвате на дневен ред дали не работи
↗защото някой умен тостер ви дидо сва не
↗се знае а следващият пример който искам
↗да дам е може би най-значителният
↗инцидент който се случи миналата година
↗уязвимост която бе намерена в има и
↗българска среда разбира се бе намерена в
↗продукта мувит на прогрес тука е едно
↗много важно уточнение когато говорим за
↗уязвимости инциденти а никога правим го
↗с една доза разбиране никога нали не
↗проявяваме снизходителност към нашите
↗колеги и приятели поради простата
↗причина че никой от нас не е защитен аз
↗познавам страшно много хора които са
↗head of engineering или нещо подобно и
↗са ми се обаждали късно през нощта да ми
↗а искат съвет как да се оправят с това
↗че лаптоп или нещо друго им е
↗компроментирано тоест едни от
↗най-опитните хора също могат да станат
↗жертва на всякакъв вид проблеми та
↗конкретно ситуацията с movit беше
↗възможността не автентикиран потребител
↗да достъпи конфиденциални файлове тъй
↗като това е файлов мениджър може да се
↗случи навсякъде работи по неочак ван
↗начин и за съжаление злонамерените хора
↗търсят варианти да го
↗експлоатират в близките седмици всички
↗предполагам сте добре запознати с
↗инцидента свързан с една нали тука и
↗противоречивото смешно една секюрити
↗компания причини availability или или
↗инцидент по достъпността на множество
↗системи глобално хиляди и десетки хиляди
↗компютри авиолинии болници и всякакъв
↗вид операции прекъснаха за кратко поради
↗отново причината че нямаха добър лити
↗процес не са си проверявали както трябва
↗и тествали нещата и деплой наха недобре
↗работещ
↗софтуер и на трето но особено по
↗значимост значимост място е
↗конфиденциалността всички сте много
↗добре запознати предполагам на
↗по-голямата част от присъстващите тук
↗данните изтекоха по времето на така
↗наречения nap le включително и моите и
↗те обикновено могат да бъдат такъв тип
↗инциденти могат да бъдат а както
↗причинени от външни фактори атака така и
↗от вътрешни ниско качество на разработка
↗пропуски незнание неразбиране умора
↗притиснати сме от срокове да деплой нем
↗нямаме време за тестване в повечето
↗случаи когато става въпрос за такъв тип
↗инциденти и нашата подготовка за тях ние
↗се опитваме да си представим от срещната
↗страна как изглежда каква е тяхната
↗мотивация какво се опитват да постигнат
↗ако сме гледали филмите през 90-те те не
↗изглеждат като от филма хакери с
↗анджелина джули или от тейкдаун или от
↗мистър робот
↗наистина трябва да се опитаме да проучим
↗кои са нашите да го наречем врагове или
↗ответната страна ние ги наричаме thread
↗actors или злонамерени хакери и за целта
↗аз съм си нали направил една
↗камбановидна диаграма в която ги
↗подреждам а по по-скоро по най-често
↗срещани в долната част имаме смарт
↗тостери които стват в средната част
↗имаме най-често срещания вид в сектора
↗ги наричаме срип kies това са обикновено
↗тинейджъри хора със свободно време
↗енергия и любопитство които просто
↗намират нещо в интернет и
↗експериментират с него сега с
↗генеративния ai е доста лесно да се
↗доразвие нещо с търсачки от типа на
↗showdown и ценс които търсят уязвими
↗хостове уязвими уязвима инфраструктура е
↗много лесно да се намерят нали отворени
↗камери стари версии на wordpress и така
↗нататък в миналото ние много сме ги
↗подценявали поради простата причина че е
↗било point and shoot и целта е било
↗основно егоистични подбуди тоест да фейс
↗нат нещо да сложат някаква картинка да
↗се посмеят с приятели истината е че в
↗последните години най-пресният инцидент
↗е буквално от преди две години една от
↗най-големите хакерски групировки така
↗наречената lapsus group бе
↗а съставена от група 17-годишни
↗тийнейджъри които успяха да проникнат в
↗компании като
↗microsoft samsung nvidia octa и да
↗влезнат и да с съсипят сериозни бизнеси
↗да причинят сериозни вреди тоест
↗буквално група тинейджъри стоят от
↗ответната страна и аз затова казвам че
↗трябва да подхождаме с разбиране защото
↗в края на краищата много често на нас ни
↗се случва да се борим с група тинейджъри
↗с много а нали различна мотивация и
↗креативно мислене от нашето
↗а понякога за съжаление те свършват и по
↗тоя начин обаче по-интересно е коя е
↗най-опасната група хора от която трябва
↗да се страхуваме в нашия сектор е
↗по-позната ка като advan persistent r
↗тоест това са групи от хора които са
↗организирани обикновено по криминални
↗подбуди чиято цел основно финансова
↗изгода и те са структурирани по начините
↗по който ние сме структурирали в
↗компаниите в които работим имат си отдел
↗който се занимава с рекрут има си отдел
↗който се занимава с разработка на
↗софтуер в тоя случай нали е mare има си
↗отдел който се занимава с проникване в
↗компании и отделен отдел който се
↗занимава с източване на средства или
↗друг тип измами и те са изключително
↗добре ога низирани понякога дори
↗по-добре от някои компании в които
↗работим освен това към тази група от
↗атакуващи съвпадат и международни
↗правителства на големи компании
↗включително сори големи държави
↗включително щатите русия китай множество
↗държави имат отделни юнити подразделения
↗които са изцяло фокусирани върху някаква
↗форма на кибершпионаж или нещо подобно
↗може би за някой от вас ще бъде изненада
↗че всъщност едно такова бюро което се
↗намира в северна корея бюро 121 там
↗работят около 6 000 души които са едни
↗от най-добрите хакери в света въпреки
↗технологичната изостаналост на тази
↗държава те генерират около 88% от
↗брутния вътрешен продукт на държавата и
↗са причина за едни от най-големите
↗киберинциденти например обира на банката
↗на бангладеш който се смята за един от
↗най-големите обири или опити на обири
↗почти 1 милиард щяха да изтеглят заради
↗буквално една точка са изтеглили само
↗само 100 милиона но като оставим на
↗страна всички тези външни заплахи има
↗една заплаха която е още по-опасна от
↗тях и тя е зад клавиатур устройство
↗предполагам не е изненада това за вас и
↗сега ще ви обясня защо причината се крие
↗в а една концепция която в нашия сектор
↗ние наричаме койн си може би най-добрият
↗превод на български език е самодоволство
↗тоест това е едно фалшиво чувство за
↗превъзходство за безгрижие за
↗самоувереност която не е покрита с нищо
↗конкретно едно фалшиво чувство за
↗разбиране на технологията и още повече
↗за разбиране на опасностите които дебнат
↗отвън защото много хора живеят с
↗прелюдията че всъщност нали нищо няма да
↗се случи ако го деплой нем това и сме
↗пропуснали на няколко чека няма кой да
↗го намери истината е че нещо ако е
↗публично то ще бъде намерено рано или
↗късно и другата истина е че ние тези
↗които се занимаваме с това да защитаваме
↗информацията и достъпността на една
↗компания трябва да се постараем да
↗защитим всички входни точки докато
↗ответната страна те само трябва да
↗намерят една достатъчно добра отворена
↗врата за да влезнат самодоволството нали
↗стандартният начин по който ние
↗изграждаме самоувереност в това което
↗правим в технологиите изглежда по този
↗начин долу-горе с времето ние натрупваме
↗познания опит разбиране за технологиите
↗разбиране за това което правим и
↗самоувереността естествено ни расте
↗имаме нали представа какво правим но за
↗съжаление по-честият случай особено в
↗нашия сектор се случва така че по този
↗начин да изглежда графиката и причината
↗е много проста нашият мозък е създаден
↗по начин по който да търси кратки пътища
↗и да прави много бързи заключения за да
↗може да оперираме ние сега оперираме в
↗една доста комплексна технологична среда
↗постоянно се променя ползваме някакви
↗технологии появява се нещо ново а да то
↗това работи като онова нали и
↗продължаваме с живота си а това не е
↗нещо ново като концепция исторически е
↗познато като victory disease или ding
↗kuger ефекта
↗и сега ми се ще да направя един малък
↗завой и да питам аз не виждам много
↗далече защото съм без очила до третия
↗ред долу-горе но колко от вас обичат да
↗прекарат свободното си време в планината
↗в екстремни спортове в някаква форма
↗активности на открито добре догоре
↗половината все пак сме представите на it
↗сектора нали трябва да има баланс а
↗моята страст извън работните ми
↗задължения е летенето аз изключително
↗много обожавам да си рискувам живота
↗както се казва и да прекарвам време в
↗планините от около 10 години летя с
↗парапланер и с парашут стотици скокове и
↗часове във въздуха съм прекарал
↗изключителна страст е за мен знаят го
↗тези които са ми близки и преди около
↗две години имах невероятния шанс това е
↗истинска снимка не е сток фотография да
↗участвам на едно събитие на едно
↗прекрасно място в малдивите което
↗участие взеха световни имена в тази
↗активност този спорт тези световни имена
↗бяха а световни шампиони по летене с унс
↗по летене свободно падане и така нататък
↗и така нататък бяхме около стотина
↗човека прекарахме си феноменално обаче
↗ми направи впечатление няма как да не ми
↗направи впечатление с времето нали
↗продължихме с живота си тези хора
↗лека-полека започнаха да изчезват а нали
↗в разбирате какво имам предвид
↗а и съвсем естествено аз си задавам
↗въпроса добре аз нали барабар и аз съм
↗бил там обаче те са световни шампиони те
↗са хора чийто а смисъл в живота е само
↗това аз имам дей джоб отивам си от
↗понеделник до петък в офиса а през
↗уикенда ходя да се забавлявам с това
↗нещо а те са отдали живота си те са
↗номер едно в света в този момент в това
↗нещо и за нещастие се случва така че те
↗да губят най-ценното си живота си нали
↗какво мен ще ме предпази да не ми се
↗случи на мен а ще бъде глупост ще бъде
↗наивно да си мисля че не може да се
↗случи на мен другото което сигурно се
↗чудите защо въобще ви го разказвам това
↗разказвам ви го защото между екстремните
↗спортове и въобще много видове дейности
↗в живота ни а и информационната
↗сигурност има едно много общо число и то
↗е около 80% от причините са човешка
↗грешка нашата връзка с информационните
↗системи в нея най-слабото звено винаги
↗ще си останем ние хората поради простата
↗причина че нашите когнитивни възможности
↗са сравнително ограничени петък вечер
↗изтощени сме изморени сме да речем
↗служител в hr отдела получава нова
↗покана в linkedin
↗потенциално нов интересен кандидат
↗отсреща севернокорейски хакер никога не
↗се знае как може да се развият
↗нещата и в света на информационната
↗сигурност ние имаме една концепция за
↗управляване на риска защото все пак нали
↗трябва да можем да си го представим да
↗го контролираме или да направим нещо с
↗него и съвсем естествено работим с
↗вероятности и с това какво би се случило
↗в най-лошия случай а ние го наричаме
↗клих или вероятност и импак или вреди и
↗го измерваме по много прост начин колко
↗е вероятно да се случи и колко сериозен
↗ще бъде вредата за организацията и за
↗системите които ползваме за да можем да
↗сметнем какво трябва да направим спрямо
↗него сега когато вероятността е нищожна
↗и вредите са малки например аз като
↗слизам от тази сцена ако се пребия вие
↗ще се посмеете и ще продължим с живота
↗си но рискъ има качеството с времето да
↗се натрупва ако аз прекалено много
↗слизам и прекалено много се пребивам
↗рано или късно ще си навехна нещо ще се
↗скъсам нещо може да си счупя нещо с
↗времето това се натрупва и натрупва и
↗натрупва тоест колкото по-често ние сме
↗available тоест колкото по-често и
↗по-дълго сме изложени в бизнеса рано или
↗късно нещо се случва има и една приказка
↗в нашия сектор без значение нали а от
↗компанията а компанияте се делят на два
↗вида тези които са компроментирани или
↗имат някакъв секюрити инцидент и тези
↗които все още не знаят за него и за
↗нещастие ако не го управляваме
↗достатъчно добре понякога не свършва по
↗положителен начин в в а летенето ние
↗имаме следната концепция или това е една
↗диаграма на реагирането на инциденти във
↗въздуха тази диаграма представлява
↗определени действия които вие трябва да
↗направите докато падате с 240 км вч
↗долу-горе ей толкова време имате за
↗реакция а естествено първо не може да
↗прочетете за толкова време нито може да
↗осмислите нито да разберете тоест вие
↗трябва да сте вкарали доста а усилия за
↗това да се подготвите и когато се
↗случват действията те да ви идват
↗абсолютно инстинктивно ако трябва да го
↗пренесем в стандартния ни живот
↗представете си не дай си боже ви се е
↗запалил дома идват пожарникарите разпват
↗маркуча и те не знаят откъде да го
↗включат и какво да правят това е първият
↗път който те се сблъскват с такъв
↗инцидент доста несериозно сега си
↗представете на работа случва се инцидент
↗във вашата сфера без значение какво
↗точно работите като професия и вие за
↗първи път се сблъсквате с това какво
↗трябва да правя аз сега в тая ситуация
↗че да реагирам на мо може да се спрем
↗севернокорейските хакери и за
↗по-простичко съм си го разделил като три
↗действия които можем да приложим за да
↗се справим и поне да редуцираме риска
↗максимално много подготовка разбиране и
↗проверка защото висшата форма на доверие
↗в летенето това изглежда последния начин
↗в а подготовката ние се обучаваме ние
↗поглеждаме какво е времето къде ще
↗кацнем какво ще се случи в разбирането
↗това е един постоянен процес и много
↗добре го знаете тъй като работите в it
↗сферата в нея всичко е постоянен процес
↗continuous learning и при всичко друго
↗което включва някаква форма на риск
↗предполагам тези от вас които ходят в
↗планината да карат ски и особено извън
↗пестово най-вероятно ходите на курсове
↗за лавинно а реагиране за спасяване в
↗планината и така нататък същия начин е и
↗тук и не на последно място проверката
↗проверка на екипировката проверка на
↗времето с какви хора се събираме и какво
↗правим абсолютно същото нещо може да се
↗приложи и в информационната сигурност аз
↗не измислям колелото microsoft имат един
↗една рамка secure sofware development
↗life cycle американския институт по
↗стандартизация имат рамки за това има
↗много описания как да го правите по
↗най-добрия начин но за целите на
↗презентация аз съм го опростил отново в
↗три категори подготовка разбиране и
↗проверка подготовката е няма да ви лъжа
↗малко досадна за повечето хора защото
↗нищо не се е случило ние трябва да се
↗правим че се е случило и сега да си го
↗представим в тази фаза ние си
↗представяме онези лоши хора за които си
↗говорихме в началото как биха се
↗възползвали как биха използвали нашия
↗продукт или услуга какво биха направили
↗те тоест чертаем си едни hackers person
↗ако щете и правим един трет моделинг
↗също тук е моментът в който се опитваме
↗да разберем какви са изискванията към
↗нас какви а технологии използваме и
↗какви несигурности има в тях следващата
↗фаза или категория е разбиране поради
↗факта че ние днешният софтуер който
↗пишем той е а основан на изключително
↗много денн сита или библиотеки които
↗използваме някъде от интернет без да
↗дълбоко да разбираме те точно как
↗работят просто е това ми върши работа
↗супер вкарвам го обаче дали наистина е
↗така и тука момента в който трябва да се
↗опитаме да разберем дълбочина какъ на
↗какъв риск се излагаме и на трето място
↗е проверката защото висша форма на
↗доверието външно тестване външен
↗пенетрейшън тестинг вътрешно тестване
↗заедно с q екипа статично сканиране
↗динамично сканиране и разбира се редно е
↗ако правим нещо публично като услуга да
↗се замислим за така наречените бъг
↗bounty програми тоест така или иначе
↗хората ще ни тестват продуктите и
↗услугите така или иначе те ще намерят
↗нещо там единият вариант е те ще или ще
↗достъпят ценна информация и ще искат нсм
↗или ще я продадат някъде или ще ни я
↗репортнат на нас и ние можем да дадем
↗една малка награда за това
↗усилие много важно нещо което се надявам
↗да запомните обаче е че колко колкото
↗по-рано започнете толкова поса ефективни
↗тези мерки тоест във фазата на фичър
↗дизайн стинг или както го наричате във
↗вашата организация а е много
↗по-ефективно да приложим каквото и да е
↗от тези неща отколкото по-късно когато
↗вече сме деплой нали в продъкшън и
↗трябва да се върнем и да поправяме да
↗махаме компоненти да поправяме
↗уязвимости много по-скъпо от гледна
↗точка на ресурси било то време което ще
↗инвестираме или финансови ресурси ако
↗щете да подменим
↗технологии в българския език си имаме и
↗една много добра поговорка грам
↗интервенция грам а
↗аа превенция е по-скъп от килограм
↗интервенция и сега защо да го правите
↗всичко това какъв е смисъл пак нали аз
↗имам в длъжната характеристика
↗задължения защо ми е да го правя това
↗нещо дори моята компания нали да
↗пострада аз си работя или пък ще намеря
↗друга фирма истината е че ако чакахте да
↗ви кажа някакви а директни ползи и
↗бенефити за вас няма но има изключително
↗добавена стойност и поне се сещам за три
↗съществени причини първата е по-висок
↗морал и интегритет в организацията в
↗обществото в нашето комюнити ако щете
↗ние ако изискваме повече от самите нас и
↗хората около нас рано или късно нещата
↗за всички се подобряват положително и
↗неща като na le и подобни ще стават
↗по-малко другото което е нали се сещате
↗че а ако ви хрумне някоя глупава идея
↗рано или късно повечето от хакерите за
↗които четем не свършват добре втората
↗причина поради която ви съветвам да го
↗правите тя е образование или осъзнатост
↗първо във вашата работа вие ще повишите
↗нивото за разбиране на технологиите ще
↗повишите нивото на продуктите които
↗а правите и най-малкото това ще има
↗много сериозен ефект и върху обществото
↗вие ще имате нисък толеранс върху услуги
↗и продукти които ползвате не са достъпни
↗не са качествени а ви излизат с sql
↗грешка другото което допълнително ще
↗получите оттука е може би когато си
↗отидете на село при баба ви и дядо ви и
↗те ви показва на телефона са получили
↗пратка от пощите която дори не са искали
↗вие ще се сетите какво е това вие ще се
↗сетите как да го свалите как да го
↗репортне как да им спестите както се
↗казва пенсията от директни загуби и
↗третата причина поради която ви
↗настоявам да го направите тя е капитал
↗ресурси и финансов капитал българия и
↗рически е за съжаление има неприятен
↗имидж още през 80-те години с това че
↗сме писали и
↗полиморфизма ние сега много добре знаете
↗че имаме потенциала да разработваме
↗по-качествен софтуер по-сигурен софтуер
↗и генерално да правим услуги и продукти
↗за световните и глобални пазари които да
↗донасят още повече неща и още по-голяма
↗да е тая конференция и още още повече
↗unicorn компания да има в българия знам
↗че са ви казвали да не сканирате qr
↗кодове понеже доста ресурси използвах за
↗някои от слайдовете тук можете да ги
↗намерите а с колегите в края на
↗изложението от хок ви чакаме да ви
↗почерпим една вкусна сода с хиско да си
↗поговорим за информационна сигурност и
↗разбира се за потенциално вашето
↗следващо кариерно развитие много ви
↗благодаря за вниманието аз бях миглен
↗заповядай благодарим ти миглен



