Еп. 79 I Киберсигурност, психологически стрес, управление на риска и хакери

3:22↗по-скоро от softеare development опит, а и след това съм преминал в SIS admin и information security. През годините просто нямаше толкова изразена възможност чисто технически да се упражнява професията, нали говорим преди 10-15 години. Просто нямаше толкова много професии и а аз потърсих възможност кариера да работя в чужбина. В България смених няколко позиции, след което заминах в чужбина, в Ирландия основно, където работех за Amazon Web Services, основно Security Engниринг. А изключително интересен опит, страшно много възможности. изградих там един доста интересен екип в PH сървиices и аа по времето на ковиID реших да се прибера България, където има много повече вече кариерни възможности. Днешно време изключително много секторът cyбер secкюрити като цяло се е много развил. От една страна заради регулациите, от друга страна самите компании и екипи осъзнават нуждата от сигурни приложения

4:14↗и сигурни продукти. И откакто съм тук, работях основно в Интех сектора, компании като Payхолк и сега вече в Еврост. Като казваш, че преди 10-15 години не е имало толкова възможности, имаш предвид в сферата на киберсигурността. Да, точно така. В някакъв смисъл не са били толкова специализирани компаниите, че да имат отделни длъжности, посветени на това? Абсолютно. По-скоро направленията, които бяха тогава като възможности. Мен беше много интересно концепцията Develops по това време. говорим а 2010212 и реално тя тогава се зараждаше и в България просто все още тази професия не съществуваше ако отвориш един джобборд и потърсеше по това време дело просто нямаше такива неща гледахме ги нали в YouTube някъде другаде а и на мен ми стана интересно нали клауд технологията публичния cloudд просто нямаш толкова много чисто професионални кариерни възможности на този етап за

5:06↗secкюрити въобще да не говорим основните неща които по това време имаше от secкюрити гледна точка бяха свързани с и подобен тип одити, които лично за мен не бяха толкова интересни. Аз осъзнавам необходимостта и нуждата от тях. Просто имайки а професионалния път на по-технически ориентиран човек, на мен ми беше по-интересно actual, нали, securюity engнириing, dfс cs и такъв тип практики. А тука е моментът да вмъкна, че ти беше лектор и на конференцията Allinone на def.bg миналата година, като запис от нея, разбира се, може да намерите на сайта на def.bg bg и в канала в YouTube. Аа ясно е, че ще си говорим много за киберсигурност и може би логично, поне за мен, веднага бих искал да започнем с темата за екстремните спортове, която ти повдигна и по време на лекцията ти All in One и е голяма част от твоя живот. нормално нещо, което изключително много горя и аз лично намирам изключително

6:13↗много паралели между а екстремните спортове, управлението на риска и въобще аа управлението на стреса на работа. Това не е най-интуитивната аналогия, нали? Не се очаква, да между киберсигурност и екстремни рискове. А да, защото в много чести случаи в една компания ние се опитваме да управляваме риск чрез най-различни методологии. рамки там без практици и така нататък. И на базата на тях ние калкулираме каква е вероятността едно събитие да се случи. Дали примерно светкавица ще ни удари или нещо по-силно вероятно дали ще се спънем на тротоара, което най-вероятно се случва на всички от нас. Аа и какъв ще бъде нали потенциалния импакт, потенциалните последствия за една компания. И на базата на това реално ние приоритизираме абсолютно всичко в information security в една компания. А в информационната сигурност е така, в управлението на риска е така и в екстремните спортове е така. А без

7:12↗значение дали те ще са във въздух, вода или на земя, ние пресмятаме понякога лайв, нали, на живо, докато оправим самия а самия спорт или практикуваме самото хоби. Аа какви са вероятните последствия и на базата на тях взимаме определени мерки. Например, ако си позволим да се развием в зимните спортове достатъчно добре и решим да излезем да караме извън пистово, редно е да минем през обучение за това. Редно е да вземем подобна раница, която има airbag и така нататък и така нататък. Дали не да имаме застраховка. Абсолютно по същия начин ние управляваме и риска в информационната сигурност. Само мога да дам един пример, да речем, има застраховки за киберсигурност, които една компания може да се застрахова от инцидент, нали, разбира се, това не Госпира да се случи, както и в планината, но като се случи, както и в планината, нали, ще дойде спасителен екип, ще ни помогне и това няма да ни

8:02↗струва изключително много, а самата полица ще го покрие. Така и в киберсигурността полицата би покрила определен тип разходи по времето по време на решаването на инцидента. Същото нещо а може да се отнесе и за екипировката, както и в cyбер security. Там ние използваме различни инструменти, за които заплащаме, след това се обучаваме как да ги използваме. Абсолютно същия е и принципът. Да речем, в да речем парашутизма ние си закупуваме парашут, имаме резервен парашут, би трябвало да знаем как да ги използваме и то това да е супер инстинктивно аа да сме направили така наречените дрилове, защото в момента, в който стане този инцидент, ние да можем да ги направим без да се замисляме. Същото нещо и самите пилоти правят при аварийни ситуации и кацания на самолети. А такова нещо трябва да се случва в информационната сигурност при управлението на риска. Да се подготвим

8:51↗за тези събития и когато те се случат, не е нещо, което за първи път се случва. Ако трябва да направим една аналогия например с услуги, които не дай си боже използваме като а пожарна, вие ние не искаме пожарогасителите и да са неизправни, хората да са неподготвени. Абсолютно същото нещо се прилага и в информационна сигурност. Не искаме инструментите да са неизправни. Не искаме във времето на инцидента а да осъзнаваме, че ние нямаме необходимите влогове, да кажем кой какво и как е направил. И не искаме ние да сме некомпетентни и да знаем а какви отговорности имаме по отношение на всичките регулации, които днешно време живеем в тях. Кого трябва да уведомим, за какво трябва да уверимим, защото последствието глобите са доста сериозни за бизнеса. Много често, нали, бизнесът не го осъзнава до момента, до който не се случи. За съжаление в екстремните спортове, ако до момента, до който нещо

9:41↗сериозно не се случи, понякога можем да платим малко по-скъпо, дали с травма или с нещо по-сериозно, това не искаме да се случва. Не искаме дългосрочно, дългогодишно да практикуваме това, което правим, дали професионално или като хоби. И идеята тука наистина, ако спазваме едни базови неща, които те са написани с опит през годините, било то в някое хоби и спорт, аз съм сигурен, че така по-възрастните, по-опитните, да речем парапланеристи кайтсърфисти ако ги разпиташ за уроците, които са получили, това е безценен безценни познания и опит. Същото нещо и в информационната сигурност, ако разпитаме на един по аа така дългогодишен опитен специалист, може да разкаже много интересни неща, които са се случвали. една компания, които може да ги имплементира и намали риска си значително. А, мисля, че и аналогията с пожарната е доста интересна, понеже там от една страна имаш професионалисти,

10:35↗специалисти, които са посветени изцяло върху темата, какъвто е и твоят случай, но има и подготовка за пожарна безопасност за всички служители на практика в Да. И може да се върнем към една сравнително пресна ситуация, която се случи в Щатите. А имаше един цял квартал, който изгоря и за съжаление този квартал палисарите в Точно така. Да, в Лос Анджелис, не им помня името на квартала, знам, че беше някъде в LA и все още мисля, че тече разследването, но множеството от причините, поради които инцидентът се разрасна толкова много, са неподготвеност на местната пожарна, недостатъчно кадри, недостатъчно тестване. Тоест ние в информационната сигурност, в екстремните спортове, в пожарната имаме от една страна оперативна отговорност, като се случват неща, да реагираме на тях и така нататък, но имаме и една стратегическа отговорност. Ние готови ли сме за тези събития? Например, готови ли сме за не

11:29↗дай си боже лавина да ни сполети? Никой, никой най-вероятно не е напълно готов, защото те са много непредсказуеми и тежки събития и въобще природни бедствия. Но редно е да направим минималното, за да сме сигурни, че сме подготвени. Същото е било и в този инцидент, доколкото на мен ми е известно, разбира се, от медиите, е, че местната пожарна, а самите хора не са били достатъчно подготвени, самата техника не е била достатъчно подготвена и това, нали е допринесло за разрастването на самия пожар. Той и самият пожар е бил в много сухо време, но за нещастие и това тази липса на подготовка е допринесла и това напълно може да се случи всяка една организация и то се случва, когато не само сайбър екипът е неподготвен, а и целият персонал е неподготвен да реагира на инцидент. Аа доколкото ми е известно, съм в конкретния а пожар от една къща е започнало, може би от електрическата

12:21↗инсталация, нещо подобно. Същото нещо може да се случи и в една компания. може да започне от, да речем, от съпорт персонала или от някой някой край, който не очаква нещо подобно да се случи, който има достъп до критична информация или чувствителна и чувствителни системи и да се разрасне много бързо. И точно тези фази на този инцидент, а на управлението на инцидента са изключително важни, както за един пожар, така и за екстремен спорт, защото там нещата се случват за секунди и за минути, така и в а cyбер secюрити. А можем ли всъщност да дадем някаква работна дефиниция за киберсигурност, понеже първата асоциация на хората е може би сигурност хакери, нали, фишинг атаки и такива неща, но струва ми се, че ти работиш малко по-широката дефиниция. Ако трябва да съм напълно честен, в края на краищата ние защитаваме организациите буквално от тийнейджъри, които аа им е

13:14↗интересно нещо чоплят и понякога намират нещо опортенистично. Това е в общия случай. Но много често ние защитаваме организациите от вътрешни заплахи. Например някой служител си тръгва, той не е доволен от някаква ситуация или нещо и източва някакви данни. А може да се случи също и от външни заплахи, конкуренти правителства въобще злонамерени групи, които имат чисто аа комерcial интерес. Интересува ги да криптират данните, да ги заключат, да ги филтрират и да ги продадат. А и по дефиниция киберсигурността е практика, която се фокусира не само върху защитаването на информацията, а и на самите системи. Фокусът на киберсигурността са три неща. Интегритет на организация. Тоест, например, ако това е една компания, която ти дава, да речем, ставките на валутата, ти а би желал те да са точни, нали? Ако е примерно БНB, желаеш, ако разчиташ на тях, пишеш софтуер, който е базиран и

14:09↗комуникираш с BНB през AP АИ, да са точни ставките, за да не се получи проблем в твоя бизнес. А друга другият компонент е availability или достъпност. Ако например е а критична инфраструктура, мястото, откъдето черпим много важна информация, real time, а например софтуера в една болница, който е животноподържащ, ние искаме неговата достъпност да бъде на 100% или поне 99 то много деветки. А и третият много важен компонент на киберсигурността, който ние защитаваме, а е конфиденциалност, тоест данните да не бъдат разкрити. множество примери в близката и далечна история и на България, и на света, когато данни бът биват разкрити и това довежда много последствия. Дали това ще са а данни например на софтуер, който се който съхранява и а се използва за посредник между психиатри и техните пациенти, който е много чувствителен. Имаше такъв инцидент, ако не се лъжа, в

15:05↗скандинавските страни, който доведе до много самоубийства. А дали ще бъде до чувствителни данни, които са примерно банкова или друга съдебна тайна, които също може да доведе на много сериозни последствия или ще бъдат лични данни като недалечния случай с НАП, при който нашите данни изтекоха и те са използва най-различни скамове и неща и ситуации. Така че тези са трите компонента, които ние защитаваме. Тоест информационната сигурност е подкомпонент на киберсигурността. Киберсигурността защищава всички тия неща и вече като произхождаме от тия а три компонента има страшно много направления в една организация, които можем да се насочим. Много неща трябва да се защитят. Не е zero su game. Не е примерно ние правим тези пет неща и решаваме проблема завинаги и вече сме сигурни и спокойни. Аа реално една организация е движда се мишена. Има както хора, така и процеси,

15:57↗така и технологии. Тоест технологиите не е единственото нещо, което трябва да защитим. А много направления има киберсигурността. Комплексна а методология е, стресираща работа е честно казано, но пък е страшно интересна и постоянно развиваща се и в днешния свят с AI и така нататък. Каквото се появява на пазара, за него има поне 10 начина как да се експлоатира и това дава едно дърво от възможности от насрещната страна. Значи, ако има три думи, които трябва да започнем запознаването си с киберсигурността, това са интегритет, достъпност и конфиденциалност. Но това, което според мен е най-важното, което казваш е, че това не е чисто техническа дисциплина, не, а има много свързан с хора елемент, социален елемент, както и разбира се доста юридически аспекти от гледна точка на compliance, управление на данни. А наистина звучи доста стресиращо, защото темата е толкова широка,

16:56↗че Как дефинираш твоята позиция например? А къде къде знаеш, че свършва работният ти ден? Когато започнах с кариерния си път, нали представях си, че почти всичко е технически проблем. Още повече аз съм започнал от днежеските години по-хакерски майндсет и наистина си мислех, че всичко е изцяло единствено технически проблем, техническа задача. Имаме Firewall, имаме уеб сървъри и така нататък. Трябва да ги компроментираме и трябва да ги защитим и долу там свършва проблема. Но реалността е съвсем друга, а особено днешно време бизнесите живеят в една доста комплексна регулаторна лицензионна рамка, която има страшно много отговорности и изисквания към бизнеса. А тя дали е тежка или не, това е плът на може би друг подкаст, но на въпрос ти за самата позиция, тя е точно както ти сумаризира баланс баланс между а потенциално легални лицензионни конс privacy проблеми. А от една страна, от

17:56↗друга страна технически проблеми, технически дълг, а въобще управление на уявимости и практики, които трябва да се приложат, технологии, които трябва да се използват и не на последно място хора и процеси и то до голяма степен техническите проблеми също отиват към хора и процеси. Например, аз в една компания, въпреки че имам технически опит, не мога просто да отида и да речем да фиксвам а код, да си редактирам, да си деплойвам. Нямам, първо нямам целия а контекст на една промяна, на например, ако променям някакви depнденсите и зависимости в пакетите транзитивни, какво чупят, как го чупят, аз нямам то това разбиране. Не съм hands on вече. А по-скоро трябва да инфлуенънс на съответните екипи с правилния подход, с правната стратегия, те да могат да си го поправят и то трябва да се пипа много специфичен начин, защото в крайна сметка ние имаме а в края в крайна краища ние

18:51↗сме нали обединени в бизнес целите на една компания, но същевременно имаме различен тип голове. А моите голове биха могли да се гледат като пречка от например някой fasted engженеринг екип. Реалността е друга, разбира се, защото те ако а доставят несигурен код, ако доставят код с проблеми и той утре бъде компрометиран, ние всички ще си изгубим работата. За всички нас ще има последствия. Така че моята работа, честно казано, в много чести случаи е на един инфлуенсър в една компания да ходя да говоря с хората, да анализирам съответната ситуация, да търся решения, било то технически решения или чист процес как да се случват нещата. Така че а нали да мога да се минимизира рискът, защото в крайна сметка постоянно и навсякъде има. И едно от нещата, които нали много често правя, е така да се каже да инфлуенсвам, без да имам директен авторитет. Тоест, аз не управлявам съответния екип, да на да

19:46↗речем developм екип или друг екип, support екип, но моята роля е наистина да разбера какви са векторите на атака в този екип, какви са уязвимостите в този екип и технологиите, които ползват, нали, ако това е един съпорт екип, те биха могли да бъдат много лесно компроментирани чрез импулсинизация на потенциален клиент през съпорт канала. Аз много лесно мога да си създам фалшиви профили, още повече имайки контекст и опита, и да се опитам да накарам потребителя да кликне, да ми сподели чувствителна информация за друг клиент или да ми ресетне паролата за друг клиент. Възможни сценарии са доста често разпространени са такива lтеch подходи при извлече. Те са много по-ефективни. Това е истината, защото а ако примерно се фокусираме в една голяма добре защитена корпорация, която има скъпоплатена технология, която я защитава отпред, строга защитна стена и си спазва всички практики и процеси,

20:38↗ние, хората, не можем толкова лесно да се ъпдейтнем, да си купим софтуер, който да ни на ни да ни вдигне версията на а чисто когнитивните възможности. Просто те са ограничени, без значение колко комплексна среда живеем днес. И петък вечер след поредната тежка седмица на спринтове, а ние сме доста уморени, нашите възможности да преценяваме ситуацията е доста забавена и тогава е много лесно някой да се опита по някакъв сайт channъл с както ти каза lowтеch методология с а а pй ops и други нали social engнириing подходи през социални мрежи през други въобще от срещната страна всъщност не се опитва да си докаже аз мога ли да хакна една организация по най-трудния възможен начин. Не ги интересува това. Те търсят най-прекия път и най-прекия път понякога или са хората, или е някоя забравена вратичка. Например, ако погледнем а една сграда и си кажем окей, как да влезем в

21:34↗тази сграда и ако погледнем централния вход на тази сграда, речем банка, най-вероятно там има въоръжена охрана, камери и така нататък. И тези, които обират банки, оглеждат самата банка, нали, планове, чертежи, търсят най лесния път до нея. С компаниите, особено в дигиталната ера, е още по-лесно, защото те са out there. В интернет са, много лесно може да ги сканираш, много лесно може да отидеш в LinkedIn или другаде да провериш кои са служителите, да събереш тази информация, да им отвориш Instagram или друга социална мрежа, да видиш кога са родени, кога празнуват рождения ден, тоест дачертаеш, има разбира се инструменти, които го правят. Не е нужно да ходиш ръчно. Да начертаеш един перфектен профил на компанията и на слабите ѝ пътища буквално за минути, часове и да планираш една атака. И нашата работа е реално да защитаваме от това планиране от следващата страна.

22:23↗И е съвсем естествено е и ние от време на време да го правим, за да видим какво вижда атакуващата страна. Но ти например като чиф офисър нямаш достъп до социалните мрежи на отделните служители. Няма, няма как и да имаш, разбира се, но начинът, по който да въздействаш на такава защита, е предполагам някакви вътрешни вътрешни процеси, обучения, процедури изобщо, които се установяват. Аа да, лично в моя опит, според мен, нали, процедурите са необходимо необходими, а редно е да си опишем и да се съгласим на определени правила, които всички изследваме, но много често в една компания се случват те да бъдат като не знам аа правилника на кооперацията. Например в кооперацията ние си описваме какво да не правим, къде къде паркираме или не колата, къде си оставяме обувките пред хода и така нататък, но сами всички знаем, че това не се случва в действителност в повечето случаи и се

23:18↗налага а да се реагира аа дали на общо събрание или нещо по много си приличат нещата с информационната сигурност с като в една кооперация и за целта това, което според мен е много ефективно е самите ние, самия моя екип да се опитва ваме да създаваме ситуации, в които са подобни на тези и от тях да се учим. Какво визирам? Ние създаваме фиishшинг симулации, social инженениринг ситуации, а които са все едно атака отвън. има също ти операции, на които външна компания може да се заплати и тя добронамерено, разбира се, в рамките на закона да се опита да направи абсолютно същите неща, които един а потенциален хакер би направил или една а група от хакери биха направили една компания и от този до това събитие да се научим. Такъв тип симулации или практически а упражнения са много по-ефективни, нали? Представете си а симулациите, които правим за за пожароизвестяване и за

24:17↗реагиране на пожари, когато стане пожар, нали, ние сме ги правили вече пет пъти в офиса, знаем къде е най-близкото място, знаем къде са пожароглагасителите. Може нали много лесно да си намерим пътя и да намерим да намерим пожарогасителя. Не дай си боже, ако се случи истински инцидент, много лесно го следваме. Същото нещо и с тоя тип симулации. много лесно ние в истинска ситуация, която се случва и когато са ни намалени когнитивните способности, да се опитаме да припознаем нали основните тактики за манипулация отсрещната страна. А защото сега с помощта на изкуствен интелект много лесно да се създаде гласово съобщение, да се създаде видеоразговор дори с примерно представители на една организация, тъй като ето примерно аз аз съм гост на този подкаст, много лесно е да се използва моя образ и глас, да се тренира AI модел и той да се прати като глас от съобщение на някой от моите

25:07↗колеги, да се каже тука нали трябва нещо да се свърши и казах ако ако обичаш. А и затова е много много важно подобни неща да се на практика правят в една организация, за да се дават за пример и след това самите служители, самите хора са много по-подготвени. А ако се върнем малко години назад с телефоните измамници, аз обичам да го давам този пример. А те още си действат. Те си действат, но обществото ни вече доста по-подготвено, просто защото стана много по-публично. И ако ние сме много по-публични, било то вътре в организацията и дори понякога навън, да казваме хей, вижте нали каква е тази нова тактика. Разбира се, от срещата страна веднага ще се коригира, тя ще тя ни следи най-вероятно ще си коригира методологията, но помага за този awернес или осъзнатост на служителите вътре в компанията, в обществото, в комюнитито да са едно ниво, нали, все пак да да

26:00↗изградят един такъв имунитет и разбиране какви са заплахите и нали по-трудно можеш да се попаднеш на тях. Не е невъзможно. Разбира се, те се развиват и те с доста бърза скорост. Дори бих казал, че симулациите може би са доста по-добри, отколкото при пожар, защото може да се симулира наистина за човека реална ситуация, без той да го осъзнава, защото обикновено, когато има пожарно обучение, всички знаем, това е обучение, няма нужда да се притеснявате. Мхм. Докато нали, когато се получи фиishшинг имейл, той си е съвсем легитимен. Човек отсреща не знае, че това е фиishшинг имейл, би трябвало да го легитира, да го идентифицира като много зависи от платформите, инструментите. Аз съм много скептичен, защото има много платформи, инструменти, които не са на много високо ниво. Ако получиш fishнг имейла, то изглежда, че е фишинг имейл и много хора дори даже кликват ей така just for the

26:47↗sake дразнят репорта. А, но има много качествени продукти, инструменти, които буквално а би могъл например GitHub Pool Request даправиш по такъв начин, че той изглежда абсолютно легитимен, да те препратя към фейк GitHub страница, да сидеш кърдента, нали, не е проблемът, че може би си кликнал един линк и си счупил репорта. Проблемът ще е, ако изпратиш подобен фишинг на 1000 служителя, да речем, и пет от тях наистина кликнат и наистина си дарят а паролите за чувствителни системи, това ще бъде наистина чувствителен проблем, а не че си кликнал и си счупил репорт. Това не е интересно. И затова а трябва много да се внимава какъв тип инструменти се използват от секюрити екипите, защото може да се получи обратния ефект. Оф, пак ли, нали, тоя досаден фишинг, той толкова елементарен и лесен, нали? А едва ли не може да се получи подценяване на компетентността на самия екип, ако се

27:43↗използват неправилните инструменти и неправилния подход. Затова съм, нали много да се внимава какво се използва, как се използва, то да е ефективно и същевременно нали да да наистина ни доставя някаква стойност за обучението, за екипа и наистина ни показва слабостите, а не просто да го правим, защото трябва да го правим или сме чули, че е хубаво. Ами ти спомена, че това е работа, свързана с много тре стрес. Също така, както разбираме, доста сеобхватна. Изисква умения, както и технически, така и не толкова технически. Даже бих казал може би повече нетехнически. Аа бих казал, че киберсигурността и по принцип не е най-съблазнителната IT сфера, в която да се реализира един млад специалист. Ако те върна малко по-назад, ти примерно как се насочи точно в този? А, мен си ми беше страските години. Аа на първия правец, на който съм си играл, съм се чудил как да го счупя. Аа след

28:43↗това в училище още имах и даже такъв прякор. Просто защото използвах разни хакове за Counter Strikee и подобни игри и то просто прерасна в разни други неща. А прякорът подходящ ли е за Да, хакера, в смисъл не беше нещо кой знае какво. Просто наистина изпъл и подобни неща, нали, като това въобще ли 2000та година, 2001,2 и просто в училище ми стана още по-интересно. Аз тогава се занимавах с разработка на уебсайтове, беше интересно и ми беше интересно компроментирането на уебсайтове. Тогава беше на мода дефейсването на уебсайтове и ми беше много интересно буквално като някакви вид игра го правехме да компрометираме разни сървъри, да ги да се опитваме да намираме слабите места и личен интерес по-скоро е бил страст. И когато немам хора, когато интервюирам, а през годините съм правил, не знам, може би сумарно доста над 1000 интервюта за секюрити позиции, а винаги търся този

29:40↗интерес към начина и пътя да се компроментира една система. Това е един от въпросите, които задавам. Например, как ти би компроментирал компанията, нали, за която кандидатстваш? Очаквам човека да има подход, да има мислене, защото ти как ще защитаваш една компания от нещо, което не го разбираш? Нали ние долу-горе имаме в момента заключението, че аа има технически аспект и нетехнически аспект, но ако ти не разбираш пътищата, по които може да се стигне до това да се компроментира трите компонента на на киберсигурността на компания, Какво ще какво ще правим, какво ще защитаваме, нали? Не е просто инструменти, не е просто технологии, не е просто хора, ами е съвкупност и нали най-слабото място от тия неща. И за аз давам и задача, на смените интервюта много често. И задачата е нещо подобно, да се търси, да се прави атак сърфис на комбайната, да се търсят слабите места.

30:37↗Аа това ми помага много за това да подскаже мисленето на съответния човек. Сега имаме страхотни инструменти GNI, който е на наше разположение, така че очаквам много високо ниво на репорт, много високо ниво на подготовка. А и реално а това много помага, нали, и на кандидата, и на мен да разбера дали той има правилната подготовка. Аа та догоре това е нали началото на моя кариерен път. Винаги ми е било интересно, тъй като не знам просто страст. Ние в България по принцип исторически имаме така афинитет към offensive security. Дори и днес а повечето кандидати за работа им е интересно пенерейшъting и подобен тип дейности, докато penнейationшъting според мен нали offensive е само една малка част от работата в киберсигурността, която трябва да се свърши. Като намерим уязвимостите и проблемите, някой все пак трябва да ги поправи и това не е нали просто а фикс на код някъде в някоя

31:38↗система или поправка на някакъв сеюритих или нещо подобно. Понякога тази поправка е много по-комплексна и съм съгласен с теб, че понякога продаването на тази нужда е предизвикателна, но в края на краищата бизнес целите между cyber security, Softare Developм и другите R&D екипи е една и съща, нали, а успех на бизнеса, ревеню и така нататък. И ако ние заедно не успеем да го подсигурим, има множество примери, нали, в корпоративната история на множество компании, които за съжаление фалират заради сериозен киберинцидент. Просто в България може би има, не бих казал стигма, но множество компании не споделят публично за проблемите си. От една страна аа тежките регулации в днешно време аа биха донесли много сериозни последствия на една компания, било то имиджове или други и много малки и големи инциденти остават неразкрити пред нали публично а по-често се случва

32:40↗с публични компании, които няма как да остане тайна, тъй като борда а и инвеститорите трябва да знаят дали ѝ се е случил инцидент, не дай си боже дали компанията е платила рансъм или дали компанията са изтекли някакви данни там не може да се скрие това нещо и затова го чуваме по-често от такъв тип големи компании но това не означава че малките компании нали неправителствения сектор аа публичния сектор не се случват тея неща напротив случват се ежедневно на страшно много бизнеси и в България и така нататък и то аз вярвам, че ще се промени а че ще стане част от културата на на бизнес средата в България да има ефективна сигурност тоест да не е ние сега искаме да изкараме едно сертифи фикат, че просто да си го сложим на стената или някой ни го е поискал, а да е ние наистина искаме и държим да сме сигурна компания, услугите и продуктите, които създаваме да са наистина топ ноч,

33:35↗да не се чупят, да не се раздат и това не е само продукт на информационната сигурност, нали, когато става въпрос за достъпност, за availabilлиity, там голът е споделен с бизнес го головете на компанията, нали, с инфраструктурния екип, с генерално софтуер девепмент екипа, нали, Ако ако а кодът не е написал качествено, ако инфраструктурата не е билдната добре, аа всички страдаме. Не е нужно дори да ни атакуват дос и така нататък. Елементарно е да да падне услугата. А тук много ми хареса, че сподели някои впечатления от и начина на подхода ти спрямо интервютата. А може би сега е моментът да спомена, че всъщност в D.bg може да се филтрират по позиции за киберсигурност. Днес проверих, имаше 47 свободни позиции, което е, бих казал, сравнимо с други по подобни подсектори. Аа също очертая и някои особености, нали, на българската среда. Ти си човек, който е работил и в чужбина

34:34↗пет години спомена, провел си над 1000 интервюта. Би ли казал, че от гледна точка на човешките ресурси, включително и нагласата на хората, има някакви дефицити в България все още? Много интересен въпрос. А първо в България наистина това, което споделих вече за о интерес към офенсив нещата е по-засилен, е страшно изявено. А другият интерес, който нали наблюдавам така, защото през последните една-две години доста активно съм въвлечен в Cyber Securриity Community, преподавал съм в университети, доста лекции съм правил на темата на кариерно ориентиране, анкети и така нататък, проучване на пазара. И едно от нещата, които ми прави силно впечатление е нали освен нормалния интерес, тъй като е сравнително добре заплатена професия в събсета на всички IT професии, а съвсем естествено, с това трябваше да започнеш. Да, с това е факт. Тъй като аа разходите за инциденти и последствия са доста сериозни,

35:36↗естествено е, нали, такава комплексна и стрес ст ст стресова професия да е добре платена. А и това естествено е първоначалният интерес на множество кандидати, което е напълно нормално. Аз никога не съм го осъждал. Това е най-правият начин да бъде компенсиран един добър кандидат. Но ако погледне вече второстепенните причини и те биха били а страст, интерес, а защото ще има много дни, вечери, ситуации, в които а повече от чистата компенсация ще ни е необходима, за да можем да се справим с тези нали трудни моменти. А тогава наистина изпъква личното желание. По отношение на дефицитите в българския трудов пазар, аа бих казал, че от техническа гледна точка доста добре се развива, кандидатите се развиват доста добре. Компетентни са в момента аа кандидатите, които виждам на нашия пазар, дори и тези, които излизат чисто от университети, те просто нямат опит,

36:39↗но имат техническото разбиране. Но както вече си говорим толкова време за това, че не е само технически проблемът, тука е много важно кандидатите да разберат и бизнес нуждите на компанията и къде киберсигурността фитва в цялата картинка. Тоест тяхната роля не е просто на екип, който е сайт и прави някакви неща, намира някакви уязвимости и ги хвърля през оградата на други екипи. Ами как могат те да партнират с други екипи, че ефективно да ги адресират? Не е лесна задача, нали? Не очаквам, че човек, който сега излиза от университета, няма този опит, веднага започва да работи в екип с други хора, успява, нали, да намери правилния път до тях. Предизвикателен проблем е, но смятам, че в българския манталитет а ни се отдава киберсигурността под една или друга форма. ще отнеме малко време да се изгради чисто комунално а този тези познания, меки лидерски познания, които са необходими за този

37:45↗по-фиен баланс между процеси и управление на хора, защото аа той отнема доста време, просто България го нямаме и това между другото е видно и в други така събсектори, които не са в IT, например salлс и маркетинг. Аз знам, че доста страдат в България поради простата причина, че ние чисто исторически не сме имали много хора, които да правят много продажби, които да правят много маркетинг през нали говорим десетилетия, че да се натрупа една много голяма критична маса. За щастие има страшно много вече страшно много в тези направления, страшно много хора в киберсигурност. Вече има хиляди специалисти, които и в подкасти на def.bg bg и други събития споделят ноухау, споделят много интересна информация и това нещо транзитира и като аа лекции и като допълнителни познания за хората в комюнитито и то се развива. Аз силно вярвам, че нали нивото на кандидатите много значително се покачва

38:37↗и то а прогресивно. Това, което нали ми прави впечатление, но то естествено от нашата култура, а има нали концепции върху наемането на хора, например контекст, low contтекст контури култури, при които, а например култури като тези в Азия е много важно в какъв контекст е сетъпът, кой на кого е мениджър, как се случват нещата. И когато става въпрос за киберсигурност, която не е технологично насочена, ами е към хората и процесите, това би могло да затруднява определени движения и а съответно нали кандидатите трябва да се подбират внимателно. Когато става въпрос за low контекст култури, например като Щатите, където важен е нали бизнеса, важен е ауткома в момента и например ние, като сме в една среща, не е важно кой каква титла има, как да се съберем и да свършим и да решим проблема, аа тогава се търсят, нали, по-специфични директни умения. Но то е наистина управление на нуждите от страна

39:31↗на бизнеса. Какво се опитваме да решим в момента като екип, дали е по дали наемаме за по-стратегическа роля или по-оперативна. Естествено, за по-оперативна роля ни трябва някой, който е доста пид, доста по-сч, както се казва на английски. Тоест може много бързо да се включва и да реагира в инциденти. Какво става по повече за по-стратегически и така дългосрочни решения? Ни трябва някой с малко повече опит, с повече опит, който може да погледне така отгоре, нали, картинката от по-високо и да разбере, нали, накъде се движат технологиите и компанията и да намери общите пътища. Така че е много а комплексно наемането на хора, но аз основно гледам лидерските умения, ако трябва да съм честен, нали, интегритетът на човека, морален ли е? Много трудно се изпитват тези неща на интервю, особено ако то е кратко, особено ако е джуниър позиция. Човек няма достатъчно опит,

40:21↗който да е за пример, който да разчоплим по време на интервюто. Аа технологическите умения доста лесно се изпитват. А, но живеем в свят, в който контекста, технологиите, инструментите доста бързо се променят, а и доста бързо се надграждат и доста self sufficient. В смисъл такъв операторт, secюрити инженера е много по-важно да разбира концепцията, разбира бизнес нуждите, да разбира а как да защитим една организация, какви са слабостите на организация, отколкото да разбира примерно конкретен инструмент, конкретен тул как работи и така нататък. Това мисля, че все повече става outded, колкото и нали да имаме полемика в комюнито. Ти ако не знаеш да как това се компилира или как това работи на тая архитектура, нищо не разбираш. Не съм напълно сигурен. А вероятността на лиде пътеката, по която една организация ще бъде компрометирана или аа през хората, нали, много по-лесен е пътят. Да. И

41:19↗тулата се сменят много често. Много често. Да. А ще те върна обаче към нещо, което ти повдигна вече няколко пъти, а именно цената на пренебрегването на определени рискове, понеже това, което каза, много ми заприлича на предишен разговор, който водихме тук за техническия дълг, как а се получава леко авинен ефект, докато нещата не излязат от контрол и накрая могат да струват на компанията много, може да се стигне до фалити. А сега може би съвсем очевиден въпрос, но кога трябва да започне една нова компания да мисли за сигурност? Съвсем по клише ще отговоря. Ден ден по ден нула. А в компании като Amazon има една мантра, която се казва Security Job Zero, защото има една много интересна графика, между другото, на това колко струва решаването на киберпроблем. Дали ще е примерно фиксването на уязимос в продукта ни, да речем невалидирането на някой а входен входно поле, например за

42:22↗данни, през което може да се направи някакъв тип инжекция, аа фиксването му продукшъ е експоненциално по-скъпо от това да го фикснем още когато сме седнали и сме го дизайнвали и сме си казали: "Окей, ние трябва да съдем примерно продукт, който е форма аа за рекуест за нещо за заявка и сме забравили да направим елементарна, нали проверка на входните данни и това е после като сме го депойнали довело до инцидент впоследствие. А би трябвало да се случва от началото на компания. Причината е следната. Както в техническия дълг, това е нещо, което расте с компанията и то е едно ръкообразно аа а състояние, което колкото повече го неглежираме, то по-голямо става до момента, в който нещо не се случи. А чисто мен ме е научил опитът, че нещо се случва доста често. А дали ще те върна отново в екстремните спортове? Достатъчно дълго като практикуваш нещо и си изложен на някакъв риск, а ти си

43:22↗изложен на риск дори като пресичаш улицата, нещо се случва. То е неизбежно. нещо ще се случи и киберсигурността доста често се случва нещо на много компании и когато сме неглижирали културата, а причината да се започва от по-рано е, ако ние още от началото а сложим тона да е, че ние наистина се опитваме да изградим сигурен продукт, сигурна култура, много по-лесно ще ни бъде, тъй като е заложено в дефиниция например чисто чисто инженерните екипи биха могли да се дефинират правила, по които ще разработват. Най-вероятно повечето добри компании имат такива правила и те определят примерно какви криптога криптографски механизми ще използват, как ще деплойват инфраструктура и така нататък и така нататък. Съвсем естествено и редно е те там да имат аа разписани правила, които да са по какъв начин те ще отговарят за сигурността. Например, имаме ли всички необходими логове, ако стане инцидент,

44:19↗да разберем какво се е случило. Това този end point например защитен ли е, отговаря ли само да речем, до бекнда или е отворен публично и защо? А и подобен тип, нали, чеклист още от началото на разработването на продуктите, още от началото на една компания, могат да разрешат много проблеми в последствие. Това, което често се случва и примерно една компания няма въобще никакво секюрити, никакъв секюрити екип, отдел и каквото и да е било, стартират, бутстрапват, инвестират и така нататък. започват да живеят една-две години, нали, на мускули. Някой от инженерния екип или от IT е и securюity on the side и в един момент или се случва нещо, някакъв инцидент, нещо се случва, което ги събужда, а или отнякъде някой им поиска верификация, че те наистина са сигурни. Те се събуждат и си казват: "Чакай малко, нали ние трябва да направим нещо." И това, което често съм виждал да се случва, е те са вече

45:11↗стартъп на трета четвърта година и решават, че им трябва секюрити човек. Ама какъв? Ама какво? Ама къде ще репортва? Ама как, защо? Слагат го например някой IT отдел, който е достай в репортинг чайна и той реално идва в една организация, която вече има установени политики, има нали процеси. Хората са свикнали по един начин. Как ще ми инсталираш ти антивирус на на примерно на лаптопа? Аз досега билдвам толкова бързо и тука ще ме караш, нали? Да. Какви са тия работи? Аз пет години работя в тая компания и нали ти идваш тука и ми се появяваш и ми казваш какво да правя. Аз съм с кофаунърите от началото. Тези проблеми са реални на много компании. Аз съм сигурен, че те резонират с много от слушателите. И това, което се получава е едно огромно наваксване, което може да отнеме още толкова години да се навакса. Вместо това, ако се започне от по-рано, даже не е нужно, нали, веднага да се

46:02↗инвестира в човек. може да се наеме консултантска компания, която да им подскаже какви са какви да са стъпките, които а една компания да направи в ранните си дни, тъй като както нали споделих вече, не е много евтино да наемеш сайбер специалисти, комплексна роля е, а те биха могли да изградят една базова хигиена, базова култура. Има, разбира се, рамки, които определят мачуритито или здравостта на една компания. Не се очаква един стартъп още в Early Days да е супер зрял. по отношение на киберсигурността, но ако той расте, ако неговият usърbй расте, ако неговият екип расте, редно е, нали, от по-рано да се помисли за тея неща, просто защото по-късно струва много повече на компанията да поправи тези грешки, отколко и то мисля, че идентично се съвпада с проблемите в техничния дълг. Да, ако може да го обобщим, а нещо се случва е принципът, който човек не трябва да забравя. Освен това роман от

47:01↗Джозеф Хелър, в който нещо се случва и нещата излизат от контрол. Аа между другото много също ми хареса аналогията с екстремните спортове и начина по който се излагаш на риск. А там поправи ме, ако греша, но ти мисля, че спомена и на конференцията, че често пъти най-пострадалите са най-големите професионалисти. Да, първо, че от една страна те понякога си позволяват да поемат рискове, понеже има го тоя елемент на самодоволност, нали, изразъ, който ти използва. А, но също така и те просто се излагат постоянно на ежедневно на на такива рискове. Да, да, абсолютно. Абсолютно е така. Само че аа ако направим паралела между хората, които се занимават с екстремни спортове, а аз съм по-скоро уикенд warриър по отношение на екстремните спортове, но има си хора, за които това е професия и те са а out there всеки ден, тоест техният exposure е много голям. Първо, защото те са

48:03↗онлайн всеки ден. Аз може би съм уикенда, нормалните хора са от време на време. Например ски ваканция е възможно нещо да се случи и да се пребие човек. А ако направим този паралел с една компания, почти няма компания, която да не е онлайн постоянно. Тоест всяка една компания постоянно изложена на риск. А и разликата е между ета, който ние бихме вкарали, усилията, които ние бихме вкарали в това, ако караме ски от време на време, ако караме ски всеки уикенд или ако караме ски всеки ден, нали? Уменията, които са ни необходими, да сме сейф, начина, по който караме и така нататък. биха непредпазните средства, примерно, които бихме използвали, нали, защитни раница, както си говорихме за лавини и така нататък, биха били пропорционални на нивото, на което ние се излагаме на риск. И тези хора, които затова е за тях това е професия, много добре го знаят, нали. Аз от първа ръка съм видял, че

49:00↗много от тях са много, много по-внимателни от тези от нас, които от време на време го правят. А пък от друга страна, както ти сподели, тъй като го правят постоянно и много често, ако не е и с години нищо не се случва, те си позволяват тази граница на риска да стесняват, стесняват да ходят малко повече по ръба. И за съжаление, нали, това е много опасна игра, която от време на време се накланяме към грешната страна и ако не сме достатъчно подготвени, понякога се случва и тежък инцидент. А при киберсигурността и при компаниите това, което нали като паралел е първо, че те са постоянно изложени на риск вътрешен, външен и така нататък. И второ е, би трябвало пропорционално на това изложение ние да вкарваме усилия да го защитим, но поради факта, че живеем в среда, в която ако щеш дори е малко срамно да кажеш, че си бил жертва на киберинцидент, а ние знаем, че това се

49:58↗случва и на публични компании, например миналата година се случи и на crowудстрайк, което е публична cyбеър secюрити компания и те бяха буквално на колене. Технотобилитиity беше смазано, причиниха страшни аg целия свят. А това може да ни нали ако направим а чисто транспониране на вероятността това се случва една киберкомпания това се случва и на много обикновени бизнеси стартиращи или не просто отново не се споделя не се говори и причината не се говори от една страна са имиджови проблеми от друга страна регулаторни много често тези инциденти се замитат е лоша практика и те създават една среда която такава малко стадна среда в която ние си мислим всичко е наред то не се случва на нас и не се случва около нас, докато не се случи. И като се случи, обикновено е доста скъпо и тежко. Ти спомена между другото, че стартъпите например могат да бъдат не чак толкова

50:56↗изрядни може би в началото гледна точка на това, че може би нямат толкова опит, нямат толкова капацитет все още, но може ли да кажеш например, че компании с различен фокус също могат да имат различна степен на внимание относно проблемите на киберсигурността, понеже мисля, че всички ще се съгласят. 100%това сигурност не е възможна. Не, разбира се. Дори нали при парапланеризма например, ти ако вземеш всички мерки, това отново не е 100%центова сигурност, понеже във въздуха си времето се променя. Какво ли не, ти знаеш най-вероятно доста по-добре. А можем ли някак си да структурираме а нивото на допустимост на риск, който има една концепция за апетит на риска, която редно е всяка една компания да седне и да помисли върху този въпрос, нали, лидършипа, собствениците, борда на компания, стартираща компания също да помисли върху това нещо, тъй като особено стартиращите бизнеси, те се

51:54↗опитват с такава доста висока скорост да се движат между аа нали на new бизнес, rвен, иновейшъ и така нататък. И естествено при тях апетитът ще е много висок и е окей да си признаеш, нали, че апетитът е висок. Сега сме в такава фаза и сме окей да взимаме калкулирани рискове. А излизаме извън писто, караме взе взели сме доста сериозен риск. Караме си на писта, на зелена писта, рискът ни е ниск. зависи също и като инвестирането и и всякакви други елементи от нашия свят, които под някаква форма управляваме някаква форма на риск. Аа но е редно да го направим това упражнение. А вече компании, които се занимават с по-критични аа елементи от живота ни, от една страна те трябва да го направят чисто от отговорност към а своите клиенти. Дали това ще са финансови институции, дали това ще са институции, които се занимават с било то идентичност, а държавни институции, компании, които се занимават с

52:56↗изключително критични елементи на нашата инфраструктура. Редно е, нали, ако е self driving car, редно е апетит, риск апетита по отношение на потенциални решения, които колата може да вземе да завива и да причини или предотврати катастрофа, да са много внимателно помислени. И тук за щастие и нещастие на някои хора идват регулациите. Те много често а дефинират една компания в кой сектор попада с определени правила. Например има регулации, които дефинират правилата за финансовите компании. Един една от тези регулации например е Dora аа Digital Operation Resilience Act, който включва доста неща и те дефинират какво една компания трябва да прави по по отношение на правилата вътре в самата организация, как трябва да ги структурира и какви практики да прилага. А вече е за критични компании, например компании, които нашата инфраструктура зависи върху тях. Например интернет и

53:55↗интернет доставщиците са критична компания, критичен компонент на бизнеса, тъй като животът ни вече зависи практически аа от онлайн и велабилите на на тези компании и като критични доставчици те са необходими да се съобразяват с друг тип директиви за междувана информационна сигурност. Сега, аз знам, че много бизнес хора не се радват на регулациите, но те са създадени наистина да ни защитават и нас самите потребители и има нещо много позитивно в тях, защото много често те структурират това една компания какво трябва да прави, а и помагат на хора като мен да ни дадат ясни правила какви са нещата, които трябва да направим, а не просто да си ги дали дали от best practти от някакъв тип рамка или от опит да си ги споделяме и да ги експериментираме. Те са ни ги дефинирали какво трябва да направим. Ние имаме сравнителна свобода какво трябва да се случи и тези неща, които се съберат от

54:48↗една страна в кой сектор се намира една компания, той регулиран ли е и как, те трябва да се съобразят с това нещо, защото грузят глоби. А от друга страна, ако не е регулиран или пък кое какъв е апетитът за определените неща? Например, ако ние сме група приятели, отиваме да караме сноуборд в планината или мога да дам и друг пример, който пък е свързан с различните групи хора. Ние сме примерно приятели. Отиваме да караме сново point. Сега, ако караме извън пистово, аа рискът, който ти може да причиниш на мен, е евентуално ти може да бутнеш дъска, да падне и аз да паднам под нея или ти да паднеш под нея. И ако ние всички не сме аа редуцилирали риска, караме познат терен или с гит например, който познава наистина нещата, нямаме застраховки, нямаме инструменти за реакция, ние нали сме доста неадекватни. и ако нещо се случи и ще си понесем последствията. А от една страна, от друга

55:45↗страна а допринасяме за общия, нали риск, но има и ситуации, които пък това с кой ще избереш в екстрените спортове, какво правиш аа допринася още повече. Например в паратизма хората, с които скачам, като напредваш в нали скоковете, лицензите и опита, искаш да скачаш с хората на твоето ниво само, защото другите хора не могат да се движат по същия начин във въздуха и би мога биха могли примерно вие да се ударите с много сериозна разлика в скоростта, единият да припадне, другият да се пребие и да свършват доста негативно, нали. Може би трябва и някакъв друг опит да имате с тия хора преди да се почнат ще се спраш. Точно така. Много често, например, когато пътувам в чужбина и искам да скачам с много опитни, дори световно ниво хора и те са чакай сега какъв опит имаш ти, я ми покажи няколко клипчета как летиш, нали, как по определен начин искам да съм сигурен, нали, че ти си на

56:36↗това ниво, че да можеш да влезеш в нашата група, защото ние ще летим много висока скорост, 300 км примерно в час под ъгъл и ти ако кривнеш, ще отнесеш някой от нас и ние не можем да си позволим, нали, тоя риск. Тия хора си имат, нали, управление на риск апетита, нали, той е висок, но те много внимават дали ще допуснат при тях или не. И според мен бизнеса трябва да се случва нещо подобно. А когато регулациите не ни диктуват какво точно да направим, да помислим дали примерно вендорите, с които правим нещо, са сигурни, защото ние ги въвеждаме, даваме им достъп до определена информация. Хората, с които правим, нещата са сигурни и ги правят по правилния начин. А въобще вътре процесите, които имаме в самия бизнес, дали ги правим по правилния начин, услугите и инструментите, които използваме, дали са също по правилния начин, защото много често се случва аа особено сега в поколението, нали, GNI,

57:31↗който ние живеем вече, аа харесали сме някакъв тоя, да речем, Deep Seekк или който и да е out there и си казваме той супер много ми помага, генерира ми нали нещата и започваме да го пълним с много чувствителни данни. А дали ни генерира код, дали ни пипа в кодбейза или пък с документи и чувствителна информация и това е изключително рисково за самия бизнес, но shadow е. Ние не знаем за него. Затова е много важно отново да се върна, нали, за апетита към риска. Много важно е бизнесът да седне и да помисли в тази фаза на развитието си колко апетит и колко риск биха биха желали да поемат, за да знаят, нали, накъде да се движат и и е напълно окей. А и за мен като професионалист в сферата да седнем и да си кажем: "Окей, ние в момента сме в етап, който искаме много бързо да се развиваме и да покорим нови пазари. Това е рискова операция за нас. Това са последствията за нас, но сме окей да го

58:27↗направим." Много често се случва например в управление на уязвимости и подобен тип практики, които правим. Например да търсим в сорс кода, да, било то несанитизирани места, проблемни места или неща, на които зависи кода, например компоненти да са уязвими. Много често катонем един скан излизат хиляди неща, нали, те са доста така вербозни, доста подробни и ние сега си казваме окей, откъде да започнем, нали? От сортираме ги по приоритет, сортираме ги по им impact, по северити и започваме естествено оттам, но махаме, да речем, high critical и остават, да речем, 100, 200, 300 medм low. И сега, нали, какво правим? И напълно е окей да прегледаме нещата и да си кажем ние сме окей да поемем риска за тия компоненти. Вероятността е малка, шансът е малък, нали. Аа в крайна сметка ние няма да спрем, да речем, да караме ски на писта, защото има шанс да се а подхлъзнем и

59:21↗пребием. Караме, знаем, че има шанс, знаем, че има риск. Носим каска. Същото нещо и в информация. Аз за това давам примери от различно ниво на екстремалност на спортовете, защото са много релевантни към хората и много по-лесно ги разбират. И така и бизнесът много по-лесно а разбира, че окей е да поемеш риск, стига ти да го ти да го виждаш тоя риск, да го знаеш. Окей, нали, искам да карам с шапка, защото е много готино. Сторитата ми се получават много хубаво, като карам без шапка, без каска, нали, с шапка. Но ако падна и се ударя на пистата и тя е заледена, най-вероятно няма да свърши добре за мен. Окей ли съм да поема тоя риск? Окей, добре. Това е напълно нормално. Тоест от една страна имаме регулаторната рамка, от която просто човек няма къде да избяга. То е ясно за добро или за лошо. Но да, но тя ти казва прави примерно оценка на риска, прави управление на доставчици, на нали

1:00:15↗рисковите елементи. Опачвай си технологията, но тя не ти казва всичко да е на нула, всичките вентори да са супер сигурни. То е невъзможно това да се постигне. Тя просто ти дава насока и сега вече твоя отговорност как ще го направиш. А бихме могли да опростим и да сумаризираме по след начин регулацията. Регулацията е носи колан, нали, на автомобила си карай с включени фарове и с зимни гуми, които имат определен грайфер и така нататък и така нататък. Вече сега ти, ако желаеш може да си сложиш шест точка в колан, можеш да караш и без колан, ще те глобят. Абсолютно. че всички знаем от опита, че на пътя може да правиш много неща, които са рискови и които ако имаш определена шофьорска култура например, ти би избягвал в определени ситуации в трафика. Тоест от една страна са регулациите, от други са от другата страна е вътрешната култура на сигурност която компанията е и в идеалния случай ще си

1:01:12↗изгради и ще поддържа и ще надгражда и ще а така екстендва, извинявам се за израза. към своите служители. Да, да, съгласен съм абсолютно. И а тя трябва да е функция на зрелостта на самия бизнес, на сектора, в който той се развива и така нататък, но е редно, препоръчвам, да се започне възможно най-рано. Дали ще е с екип, който ще го прави това нещо, дали ще е с консултантска компания или някаква външна помощ, просто да се започне възможно най-рано. Можеш ли да дадеш някакви примери за добри практики например за изграждане на такава култура, неща, които ти си правил или които мислиш сега да направиш в новата си роля? То страшно страшно много. Значи аа има невероятно много рамки в интернет, като започвам нали от американския институт по стандартизация нист, той има гайдлайн за почти всичко в cйбър сектора. Много често може да се човек спре на него. Нали преди години аз

1:02:10↗си мислех, че това е много сухо и безинтересно, но истината е, че е добре описано и доста всеохватно. Това е нали супер хайлевъл място, от което може да се започне. Обаче понякога е неприложимо примерно за българската действителност или за определен тип бизнес, който се намира в определен тип свят. Това, което аз много често правя, е а да се опитвам да се ориентирам спрямо вътре нуждите на организацията, но същевременно и най-рисковите места, които аз идентифицирам. А и начинът, по който го идентифицирам, е да търся слабости в процесите и в технологията, която се използва и естествено да прилагам коън практики за обучение на персонала, aware, тези симулации, за които си говорихме и така нататък. А по принцип това, което обичам да правя е веднага нали една компания, която за първи път влизам а бърз assessment, да разбера какви са така най нали low hanging fruits или най-лесните бързи

1:03:08↗quick wins, които могат да се идентифицират и бързо оправят, защото те ще бъдат много висок net value, който могат да се оправят, променят. Просто досега не са били а видяни, защото са неглижирани, защото просто не е имало кой да ги гледа и така нататък. И след това вече гледаме а нали стратегически неща, тактически бързи неща, които могат да се имплементират без много фрикшън, без много нали промени и дългосрочно нали е редно да се използва някакъв фреймърк, някаква рамка, която ни дефинира така много добре определените сектори. Ако говорим строго за, нали, да не говоря супер high level, аа ако говорим строго за аудиторията на def.bg БГ и по по-конкретно за когато говорим за soft developмент. Аа там отново имаме от нас страна Open Web Application Security Project OASP, които имат първо топ 10 рисковете и в API, и в AI и генерално вoftare developм от които ние

1:04:06↗можем да започнем. Това са ни топ причините, които последните една, две, три години са се случвали най-големите пробиви в технологията и ние можем от тях да си дефинираме какво да гледаме и какво да поправяме в една организация. И то може да се транспонира в най-различни неща. Например, окей, а broken autentication наши Как правим authentication в нашата компания? Правилно ли го правим? Ние ли си сме си го измислили? Използваме някакъв фреймърк, а например икшъ под някаква форма? Санитизираме ли всички ходни данни? А има ли как например ние програматично още на Pull Request да вкараме някакъв линтер или нещо друго или динамичен тест, който да провери дали всичките неща, които въвеждаме като нови полета, са добре санитизирани, типизирани. и не е лесно да минеш покрай тях и то не е чак толкова сложно като го погледнеш нали така по-подредено като чеклист от една страна е това от друга

1:04:58↗страна има компании напре като Microsoft които те имаха дълги години които не не обръщаха много време на сигурността и изведнъж станаха водеща компания по отношение на киберсигурност а в момента и продуктите им са доста сигурни имат невероятна култура и с изключение на онзи прослуват случай от преди няколко месеца случва се от време на време и на най-добрите аа но това което Microsoft имат като една практика е Microsoft Secure Softare Development Life Cycle, а цикъла, който те са го публикували. Много често аз го препоръчвам на разработчици на нали на софтуерни екипи да го погледнат и да се опитат нали аз се опитвам да го интегрирам в тяхната култура. И той има много практики, които ние трябва да правим от тая страна, да си дефинираме първоначално изискванията към компонентите например какви криптографски механизми да използваме, как да логваме данните, какво да логваме

1:05:50↗и какво да не логваме, нали? Не искаме да виждаме AP и ключове в логовете и такива неща. А след това да си правим вътрешни и външни тестове, пентрейшън тестове, статични тестове, динамични тестове и за наше щастие аа светът се доста променя, доста адаптира AI в тези всички елементи. Има continuous тестове, които са AI базирани, които намират всички пътища, тестват ги, връщат хува хубави резултати, статичен анализ на кода, динамичен анализ. Всички тези неща биха могли да ни помогнат ние да генерираме с много по-малко инвестиция, много по-сигурен код, много по-сигурни компоненти. Та това са може би нещата, които нали използвам тези наръчници, рамки, guйлаlinлайнс, нали не си опитвам не се опитвам да да измислям топлата вода. Тя отдавна е измислена. А и гледам да съм up to date. Има множество а newsletterри с инструменти. Например Boring Up, TLDR SE. Това са едни летъри,

1:06:47↗които аз че буквално ежеседмично. А има и множество други, които има много интересни а шоукейс на нови продукти, на нови компоненти, нови open source проекти, на нови документации, подходи или на нови инциденти. И ние можем да се научим от всичко това. А, почти автоматично съм скептичен спрямо Microsoft Life Cycle. А рамката, просто понеже има много лоша абревиатура. All от друга страна това е абревиатура, която се е наложила и доказала. Просто нещо, което хората не могат да изговарят лесно и бързо. Да е трудно. Така че Microsoft, ако ни слушате, поработете върху абревиатурите си. Мисля между другото, че влас в момента топ рискът беше контрол на достъпа. Да. А и той много често се случва по отношение на програмните интерфейси. Аа тъй като гледаме бързо да разработваме нещо, тъй като няма UI, в повечето случаи не тестваме всички възможни комбинации и опции. Много често

1:07:51↗се случва неща да излизат извън контрол, но реално хубавото е, че аа нали ОАП е една фондация, организация неправителствена в България, в София също си има чаптър. Аз съм част от нали екипа, който организираме и събития, инициативи и е хубаво хората да бъдат запознати с а концепциите, да си отделят малко време, да разберат какви са точно рисковете, защото много често това колейсън, за което си говорим, тази самодоволност, тя се пренася а и в девелопмънта на продукти. Ние си мислим сега кой точно пък нали би пробвал да ни тества продукта по тоя начин. Със сигурност се намери кой, нали, дали е автоматизиран софтуер или някой злонамерен човек. А и е редно да се вдъхновяваме от такъв тип практики. А OAS също генерира доста инструменти като ZP а attack проси, а като доста нещо, което на мен много ми харесва и отново е а като корелация със симулациите. ASP имат

1:08:50↗множество vulnerable приложения в публич репута, които човек може да си свали на определен а програмен език и да види аа какви са компонентите и елементите, които отговарят на тези топ 10 риска и да пробва нали да ги компроментира или да ги намери. Например, има Vulnerable Juice Shop Web App, в който ние можем да намерим всички тези аа топ 10 проблема и да си дадем сметка как биха могли те, нали, да се случат и на нашия продукт или услуга, която разработваме. Много ефективно според мен тоя тип обучение. Аз обичам така в компаниите, които работя, с екипите, които работя, да си правим подобен тип игри, така да се каже, да си вдигнем една, нали, виртуалка, виртуална среда и вътре да си тестваме разни неща в подобен тип системи. много помага самите нали софтуерни екипи да развият тоя начин на мислене, защото от една страна оensive secюриity специалистите, злонамерените

1:09:44↗също секюрити хакери, те имат това мислене да намерят този тоя пряк път и те се вдъхновяват точно такива счупени елементи, проблемни места за а аутентикация и ауторизация. А много често, нали, отсрещната страна софтуерните екипи просто искат да шипнат възможно най-бързо и възможно най-работещо по спецификациите продукта. Само че разликата е, че от време на време се появяват слабости някъде и те са различни от слабостите. Например от QA гледна точка дали слабостта ще бъде някой компонент да не работи по начина, по който се очаква, а е точно обратното. някакъв компонент, дали не може да работи по начин, по който а не само, че не се очаква, ами може да доведе и до компроментиране на тия три неща: конфиденциалност, интегритет и достъпност. Освен ОАП, поправи ме, ако греша, но ти имаш а роля и в друга а как се казва неофициална организация, не неформална неправителствена организация. Точно

1:10:46↗така. А, асоциация за киберсигурност, на която си основател, доколкото разбирам, не аз съм президент от долу-горе година, години нещо. Каква е нейната роля? Всъщност те са доста взаимно свързани, тъй като аз се опитвам да развивам максимално много комюнити. За мен е чисто нет профит от това колко по-развито комюнити имаме. От една страна България става много до по-добър пазар а за кибер и не само. Аа реномето на българския пазар се качва, нали. Това е моята дългосрочна мисия и желание. От друга страна, аз имам все по-квалитетни и кадърни колеги в сектора, което е страхотно. А например последните години, когато съм отварял роли от по отношение на киберсигурност, доста хора са кандатствали по тях поради причината, че биха желали да работят в екип, човек, нали, който има интерес в сектора и го развива. И за мен това е огромна чест. А и вярвам, че добавената стойност не само

1:11:38↗за мен, а и за всички участници в киберсектора е много, много полезни. Затова аз винаги апелирам да излизаме на подобни събития, да споделяме за инциденти, които са се случили, да споделяме за практики, защото всички ние си помагаме. Това е генералнота роля в тия организации. основно да организирам събития, инициативи, в които ние се събираме, споделяме опит, а споделяме инструменти, помагаме си под някаква форма, защото в края на краищата първо помага за позитивния имидж на България като една по-сигурна, по-кибер а компетентна дестинация, а добавя много възможности за развитието на тоя пазар, защото аз както споделих в началото на на нашия разговор, преди 10-15 години, като започнах, нямаше такава професия. Сега професията е много по-развита. И аз ако дойда и говоря на тоя подкаст или отида и организирам някакво събитие, с много малък процент помагам за общото

1:12:30↗качество. Понякога може би може и да го свалям, не знам. А в сектора и много силно вярвам, че то просто репликира. Също има такъв вълнообразен ефект. Силно вярвам, че нали страстта към аа киберсигурността и към тоя тип професия, тя се разпространява. Тя не остава само нали в това комюнити, ами се разпространява и в самите хора. Например, да речем утре от някое клипче или от някой разговор може да е споделено дори от тоя подкаст на на някой обикновен човек, който не е в нашия сектор, не пише код, не се занимава нали със софтуерни компоненти, обаче му става интересно за злонамерената страна, как те намират кратки пътища и проблеми и започва да си дава сметка и помага за решаването на личните му нали проблеми със social инженениринг и така нататък. малко по-трудно, защото използваме доста чуждици и техническа а терминология, но пък много често нали по от линия на

1:13:25↗неправителствената организация се случва да участвам телевизионни програми и другаде, където коментирам по обхватни аа инциденти или проблеми на обществото, свързани с киберсигурността, които имат огромен, според мен, надявам се, отзвук и спестяват на хората. Например, много често коментирам модерни измами, било то финансови, свързани с генеративен изкуствен интелект, които са генерирани и така нататък. И в последствие, нали, хора ми пишат, нали, не искам да звуча като някой инфенсар това, ама много хора ми пишат, но наистина някои хора ми пишат благодаря, научих нещо ново и за мен това е изключителна радост. В смисъл това е добавената стойност, защото не е просто нали да отидем в една а компания да си вземем заплатката. Аз не го гледам просто така. За мен е лично за мен е мисия. А от твоя гледна точка на какъв етап е развитието на такава общност в

1:14:15↗България? Доколко си сътрудничат може би компаниите? О, има много, много възможност още да си сътрудничат. Аз участвам страшно много от такива работни групи неправителствени неформални групи, Discord hacker.bg и така нататък, Facebook групи. Къде ли не си пишем, за какво ли не. А има все още лека стигма, има малко его, разбира се, защото има хора, които са много години в това комюнити и те са малко като мастодонти, както се казва така популярни. Какво искаш да кажеш, че кодът ми е най-сигурен? Мм, възможно е, но това, което искам да кажа най-вече, че аа комюниityто се развива всеки ден, все повече и повече. Почти всеки университет в България вече предлага специална киберсигурност за добро или за лошо. И това генерира много интерес към специалността и може само да ни радва. А съвсем естествено, най-вероятно в тази специалност, както и във всяка една друга специалност, ще се получи една

1:15:10↗така крива на сатуриране, на пренасищане на пазара. Ще има прекалено много специалисти и твърде малко възможни кариерни пътища и съвсем естествено, нали, от цялото това пренасищане ще излязат по-добрите специалисти, които ще развият нали нивото на още по-високо ниво. Но това не е от вчера. Ние аз участвам в такива форуми, работни групи и неща неформално още от тийнейджърските години ран ран 2000 година. А така че комюнити в България силно винаги е имало. Различно е нивото, на което се подкрепя. Различно е, нали нещата, които се споделят. Но в момента в България всеки месец има по няколко кибервента, което само може да ни радва и да ни говори за това колко обединено е днес и колко много си помагаме. А, няколко пъти спомена за стреса. И тука вече доближавайки се към края на нашия разговор, също ми е интересно да ни кажеш малко повече. ти направи много голям много често аналогии правиш и

1:16:10↗направи много подобни аналогии с екстремните спортове и на процедурите и практиките и културата изобщо, която а следваш при практикуването им, колко много прилича на тази в работата ти, но дали можеш също да ги ползваш донякъде като отдушник и средство за контрол на стреса. Аз лично моята работа не е толкова стресираща определено, но ако мога да потичам час-два преди или след тея, ще съм най-щастлив. Хм напълно те разбирам. А сега не искам нали да звуча, че моята кариера и работа е най-стасиращото нещо на света. Има хора, които буквално излагат живота си на риск всеки ден, например пожарникарите, така че не бихме могли да си позволим да се сравняваме страх с тях. Със сигурност има доста психологически стрес, но той е периодичен. Например, когато стане инцидент, когато на киберинцидент, когато примерно имаме много тежък одит или имаме периоди, в които трябва да

1:17:05↗правим доста административна или друга работа, трябва да имаме доста такаs, трябва да създаваме нещо, което е доста по-комплексно, изисква много, нали, анализ. Има периоди, в които се налага да се работи по-дълги часове, нали това не е ежедневие, не е винаги така, но просто има периодичност. И лично за себе си също съм намерил, че от една страна екстремните спортове много ми помагат за калибриране и редуциране на стреса. Причината лично за мен, която съм редуцирал цялото това преживяване е следната. А повечето от тях изискват физическа активност, както тичането. Просто тоя момент много малко ме мързи да тичам. Понякога тичам, но не е много често. може би не колкото с теб и аа това, което съм научил от физическата активност е, че тя те фокусира в една точка, нали, дали ще дали ще изтичаш стрела, дали примерно в катеренето също много обичам, тъй като там е много

1:17:58↗простичко. Примерно аз сега не трябва да гледам всички рамки, всички движещи се мишени в киберсигурността, хора, процеси интегритет availability дрбр бордове и така нататък. Аз гледам планината, върхът е един, пътеката е ясна, много е простичко, малко физическо натоварване, супер. И това ми дава възможност да се откъсна, нали, от всички тези движещи се неща, крайни срокове проблеми нали инциденти рискове, комплексни рамки и да се фокусирам с нещо много простичко, нали тоя да изтичам примерно 5-10 км или да се кача на една планина или нещо друго. И има на предполагам, че тя е известна на вашите зрители и слушатели концепция за flow states. Всъщност в програмирането доста често влиза човек в flow state, който е фокусиран в задачата и е едно такова а доста високо самосъзнание, в което нали се изключват много а дразнители, нотификации и така нататък. Същото нещо и в екстремните

1:18:57↗спортове, нали, аз като излитна с парапланера, се фокусирам само в летенето и се наслаждавам напълно на 100% на момента. И това ми помага да откъсна себе си от този момент на нали на а напрежение, на работата. Пак казвам, не е нали най-тежката работа на света. Със сигурност е стресова и предизвикателна. Има своите плюсове и минуси. Аа но физическото натоварване, а екстремните спортове лично на мен това са това са моя отдушник. Аз не съм намерил търпението примерно за медитация, но помага ми много, когато влезна в low state благодарение на някакъв тип екстреен спорт или приключение, особено когато е споделено с приятели на хубава дестинация. Просто и спомените и самия момент и преживяванията винаги са страхотни. For state на мен ми звучи доста като медитация. А темата е много широка и може би е ограничена единствено от правилата за паркиране в центъра на

1:19:52↗София. Така че ако можеш а с две-три изречения да кажеш може би кое е най-важно за теб, кое трябва всеки да запомни от този разговор или нещо, ако сме пропуснали важно. Мисля, че доста интересни неща зачаркнахме. Най-вероятно доста неща сме пропуснали, но това, което бих аа искал да кажа като заключение, едно от най-важните неща е да не се притесняват хората от комплексността на определен проблем, а по-скоро колкото по-рано започнат, толкова по-добре да го разчупят на малки и подробни неща. Най-вероятно някой някъде е писал за това да се нали консултират с Perplexity и Chat GPT или модерния tool, който използват и наистина колкото по-рано започват с киберсигурността в техния екип, в тяхната организация или компания, толкова по аа по-евтино ще им бъде в дългосрочно да имплементират такива практики и да си спестят тежки инциденти и проблеми дългосрочно и просто ще бъде

1:20:49↗много по аа сигурно това, което те разработват като продукт или услуга. или като екип. Изключително много ти благодаря за този разговор. Мисля, че беше и интересен и много полезен и мисля, че ще бъде един от тези подкасти, които аз ще трябва да изслушам на забавена скорост, вместо както обикновено на ускорена в Spotify. Хм. А, искаме отново да благодарим и на нашите партньори, без които този епизод нямаше да се осъществи, а именно EB, Smart IT, MyPOS и Storp Storage. Отново напомням да погледнете в описанието информация за хкаatлона заедно с MyPs. Ако епизодът ви е харесал, абонирайте се за канала. Ако не ви е харесало, напишете коментар, особено ако сте в YouTube, какво не ви е харесало, като започнете, както обикновено, с избора на водеща. Ако търсите работа, мястото е def.bg. Чао и до следващия епизод. [музика]