Говори водещ експерт по киберсигурност – гост Дениз Тургут

2:53↗Киберсигурността е много широко понятие, в което се разви изключително много последните 30-40 години, че и повече в на глобален на глобално ниво, като това е всъщност начинът ние хората да си защитаваме дигиталните системи, нашите телефони, нашите компютри, всичко, което имаме в нашите ръце, което все повече и повече става част от ежедневието ни и когато То отстрани има хора с узлонамерени идеи, ние трябва по някакъв начин да се отбраняваме от тях. Това е киберсигурност. >> А какво е информационна сигурност? >> Значи между киберсигурността и информационната сигурност има една тънка линия, която ги разграничава. Повечето хора не не са се замислили за нея. Ако трябва да съм честен. И аз до преди 5-10 години не бях, но когато навлезох в тази индустрия, започнах да разпознавам тази разлика все повече и повече. Киберсигурността се занимава с това ние да може да се отбраняваме от

4:01↗най-различни видове атаки, които биха а създали проблем в нашата организация, тоест да кажем хакер, който да влезе в в компанията и да нанесе вреди. информационната сигурност е това как ние защитаваме информацията, с която а се сдобиваме или която притежаваме, дали за самите нас или за други хора. И това всъщност е начинът и подходът, по който защитаваме тази информация. Тя може да не е наша, може да е чужда, но всъщност това са двете концепции. Едното защитава информацията, другото защитава нашата организация или нас като физическо лице. Как ще коментираш тия случаи от последните дни на изтичане на много чувствителни лични данни от медицински кабинети, включително и от салони за красота? А така, много неприятен случай. >> Ами бих казал, че е със сигурност а недостиг на мерки а от страна на тези, които са притежавали информацията. Сега защо е имало камери на тия места е друг

5:11↗въпрос, нали? Това отново си е това е съвсем друг проблем, но вече защо информацията от тези камери е изтекла е нещо, което според мен опира и е проблем аа на много места, не само в България. Така че това е просто един случай от много. Ние за повечето от тях не чуваме. Някои от тях, както този излизат по новините, тъй като е по-скандален. Има други, които са скандални по други начини, обаче понеже медиите си имат фокус върху техните си интереси, не не всичко изтича. Ако трябваше върху всичко да се фокусираме и всеки ден има новини за нещо изтекло, то само това щеше да е по новините всеки ден по цялата. >> Добре, но ако го погледнем чисто, нали логично, всеки би искал да си защити мястото. говорим за медицинския кабинет >> и ако има апаратура вътре, която е изключително скъпа, ти би искал да поставиш нали устройство, което да наблюдава, ако някой без достъп влиза и

6:14↗нещо пипа, но пък да е поставена точно под такъв ъгъл не е ли нещо, което всъщност да е извън рамките на >> със сигурност е извън рамките на всякакви регулации, които защитават нас като личности. Особено ако говорим за GDPR, там трябва да взимаш съгласието на абсолютно всеки, който снимаш. Ако говорим за регулации, тогава при всички положения. Ако говорим за морал, нали, това е отново различна тема, но това си опира до хората, които са, които оперират в тоя кабинет и които са собствениците на нали на това на този бизнес. Тоест, тука имаме и морална гледна точка, имаме регулаторна гледна точка, а пък за изтичането на данните е трето нещо, което нали гледната точка за това как те защитават тая информация, което очевидно те не са направили достатъчно добре, >> да, за да имате, така че има много перспективи върху цялата тая ситуация. Абсурдна е за мен е

7:09↗абсолютен абсурд самият факт да започнем от нали моралната гледна точка. Това за мен е най-големият проблем с тая цялата ситуация. А, както казах вече, това, че тези хора не са успели да защитят тази информация, да, проблем е само, че това вече не е до морал, ами до възможности. Не ги опровергавам, не казвам, че не е трябвало да се справят по-добре, но бих казал, че сме срещали и срещаме всеки ден немалко такива случаи, които, както се казва, еми, случва се шапка на тояга. >> Да, за съжаление има така тежки последици. Най-вече хората се чувстват несигурни на такива места. Ти си основател наоритизирол. >> Да. >> И макар че е така интересно името с нулева нулев приоритет, всъщност това е най-високият приоритет на защита. >> Какво ще ни разкажеш малко за вашата компания? >> Точно. Ами името приоритизира всъщност и много правилно се ориентира. А идва от

8:07↗това, че аз дълги години съм прекарал а служейки в а центрове за поддръжка на найми сме поддържали най-различни системи. А един от тях, в който работихме за за Google като подзпълнители, тази компания всъщност класифицираше и и това е наложено всъщност самите Google, а своите инциденти а започвайки от приоритет номер четири, който е най-ниския до приоритизирал, което е най-високият приоритет. Това се използва тая номенклатура в много сървис центрове, нали, по същия начин, като приоритизира обикновения Global Outage. Защо ние се казваме приоритизиро? Защото киберсигурността за нас може да води до Global Аge и е проблем, с който ние трябва да възприемем с критична важност. Критична важност. >> Как събрахте екипа? >> Ами започнахме двама души. Аз и моя бизнес партньор са основател, който самият той е киберексперт. Ние през годините бяхме работили с няколко компании заедно и един ден

9:15↗просто решихме: "Абе аз познавам клиентите, ти познаваш работата, нали? А и аз познавам от части работата, но той етичен хакер. Той е а той е етичен хакер. >> Точно така. А и аз му казах:"Аз ще ти намирам клиентите, ти върши работата." И той казами окей, първоначално нали беше така малко дръпнат, нали, към тая идея, но като видя, че нещата лека-полека се случват, започнахме да правим малки проекти по $500, по $1000 за разни малки чуждестранни стартъпи, които трябваше да им се направи, нали, такива тестове на сигурността да се проверят и малко по малко и почнахме да растем. И така след това той почна да изнемогва. Хме втори човек, трети човек, четвърти човек, пети човек и така и сега. >> На кое място сте в страната в момента? Като защото много не са много фирмите, които се занимават с такъв тип сигурност. >> Ами много е трудно да се класифицираме на конкретно място. Смятаме, че сме една

10:10↗от водещите компании, що се касае конкретно до офанзивна сигурност или етично хакерство. Макар че етичното хакерство е малко прекалено специфично за това, което ние правим. Но в ако гледаме класации за етично хакерство, сигурно сме в топ три в България. Ако гледаме на по-глобално ниво, защото киберсигурността е много широк спектър от услуги, от продукти, от като цяло много комплексна среда, тогава не бих казал, че сме много напред, тъй като сме сравнително малки и нови. Ние сме само на няколко годинки все още, обаче се развиваме изключително бързо. В България има много големи компании, които се занимават с киберсигурност от десетки години. А така че със сигурност не се в момента не можем да се сравноваме с тях, но ги гоним. Просто >> Работите ли на държавно ниво? >> И да, и не опитваме се. Опитваме се, обаче избягваме да го правим, защото обичам да казвам, че нямаме достатъчно

11:10↗приятели в държавата явно, защото за съжаление в България нещата, както всички знаем, са много подредени за определени хора и то това става дума абсолютно всички аспекти, не е само в строителството на магистрали или изграждането на някакви държавни проекти. Това е навсякъде. В такъв случай да се ориентираме към частния сектор и да ми разкажеш кои са най-честите грешки, които българските компании допускат и всъщност поради тяхното допускане стигаме до реален пробив. >> Оф, много са. Страшно много са. >> Из брой ми три. >> Ами всичко всъщност най-вече нещата опират до служителите. над 90% сега има различни статистики, но да кажем, че средно около 90% от всички пробиви идват от хората в които работят в в организациите. >> Имаш предвид, че те не са >> хигие киберхигиената >> обучени или >> Точно така. >> А, окей. >> Хиберхиената, >> а не че е нещо целенасочено те. В

12:14↗повечето случаи не в повече има случаи, в което е, наричаме го internal actor, което когато е целенасочена атаката от служител вътрешно, дали ще е да изнесе данни или да или да отвори портове на някакви сървъри и така нататък, нали. Тука влизаме малко в по-технически детайли, но има и такива случаи, но в повечето не са. Може би 99.99 не са. Много малко са действително такива. Повечето е по-скоро от така наречения гроoss negligence. Просто хората не обръщат достатъчно внимание на важността на киберсигурността и на това как да защитават аа активите на компанията. Включително под активи говоря и за информация, защото тя е актив крайна сметка. Информацията в момента е нефта на на нашето поколение, нали, на нашите на нашата ера. Та повечето хора просто не са достатъчно добре обучени, за да знаят как да го правят. Фишинг много голям проблем. Ние ще ги засегнем тия

13:13↗неща. Вие правите ли някакви обучения вътрешно? >> Правим. Да, правим. Имаме две методологии, които използваме. Едната методология е свързана с а ръчно обучение, където може да съберем хората вла >> маално. >> Да, точно така. Мануално. А събираме хората в групи. Ако са голяма компания и са повече хора, тогава на няколко групи се правят. А ги обучаваме. В България има един една организация киберклуб, която е Аз много ги харесвам хората, които движат тази организация. А те също много ефективно аа чрез покана, те безплатни са събитията, които организират, чрез покани към хора, много деца присъстват, юноши на тия събития, обучават хората абсолютно безплатно. Ние го правим с плащане, обаче при нас са само при корпоратив в корпоративния свят. Събираме хората, обучаваме ги на определени теми, които са предварително зададени. Другият начин, който е изключително ефективен,

14:13↗е, когато фирмата имплементира централизирана система за обучение. Ние предлагаме такива системи, а там има два основни метода на обучение. Едната е централизирана система, в които има тренинги и компанията задължава хората през определено време да преминават през тия тренинги. Те са обикновено видеа и после тестове. Тоест, гледаш нещо и после те изпитват и ако го минеш, супер. Ако не го минеш, трябва да го вземеш пак след някакво време. Вторият начин е чрез фишинг симулации. Тоест ние играем ролята на на хакери, изпращаме таргетирани фишинг >> кукички някакви. Да, >> да. Те са различни. Може да е Може да е стандартен фишинг, който да го изпратим към много хора. Той е един и същ мейл, но може и да е спиърфиishing, където ние знаем повече информация за хората, да кажем, знаем, че са във финансовия отдел на компанията и ние ще създадем фишинг, който е насочен специално към тези хора,

15:08↗тоест с информация, която би ги интересувала от тях. Това се нарича спирфиish. И когато вече имплементираме една автоматизирана система за това нещо, тя започва да изпраща имейли на всички служители на компанията автоматично през определен период от време и да ги оценява самостоятелно кой колко добре се справя с това. Хората могат да го докладват чрез интегриран бутон в имейл системата им и ако не успеят да го докладват, тогава системата им пише черна точка. Ако го докладват, системата им пише червена точка. И така всички хора в компанията се състезават по това кой не е добър да открива фишинг. Добре де, но повечето нали говорим в някаква хипотеза, има хора, които пък грам не разбират от такива неща, но работят в компании, нали, нормално и те са това им е много далечно и ако сега те фейлнат няколко пъти какво става? Ами нищо. По принцип това, което последните години се следва като

16:01↗практика, е да се насърчават хората да се учат, а не аа да а не да не да бъдат осъждани за това, че не успяват да направят нещо. >> Ти смяташ ли, че в България генерално хората знаят как да се пазят личните данни и информацията? >> За съжаление не, обаче не само в България. Това това е не това е със сигурност, че не е само в България, но ние нали говорим за тук. Може ли да ми да >> дадеш един много хипотетичен, но вероятен сценарий в следващите до три години за тежък инцидент в България с изтичане на данни? >> И аз защо те питам, а ще те насоча към администрация и здравеопазване? >> Хм. >> Според теб от наблюдение хипо в хипотезата сме. Значи за мен в следващите три години, ако има тежък инцидент в България, а той ще е както самата ти каза или в някоя държавна институция. А здравеопазване също е доста вероятно. Ще си говорим и за това, като минем покрай Низ две и другите, които имаме

17:15↗подготвени за днес. А, но това, което ние виждаме е, че всъщност най-ргетираните институции са финансовите. А телекомуникациите също, между другото, да не ги забравяме тях. Така че бих казал, че някой от тия четири категории аа от тези индустрии аа би могла да има голям теч. Знаеш ли кое обаче мен най-много ме притеснява? Че нашите данни вече са изтекли многократно от нашата държава от много места. Аа не знам дали спомняш Netflix. >> Я помня. И в интерес на истината, ние много често се натъкваме на а бази данни с информация за български граждани и то не говоря за един-двама, трима, ами за просто гражданите на България, за хората в които живеят в България. говорим за милиони редове информация, нали? В смисъл >> това, което искам да кажа е, че нашите данни вече са навънка >> и не знам какво по-лошо може да стане от това, >> нали, освен ако не е нещо изключително

18:20↗чувствително. Не, не, ще стигнем и до там за това, което аз искам да те питам за едни изключително свръхчувствителни, както аз ги наричам, лични данни и въобще информация. Да, >> но да ти кажа сега последно време има страшно много обаждания от револют в кавички, разбира се, защото те са едни индийци, които се обаждат и се представят, >> с идеята, нали, да ти изтеглят личните данни и няколко пъти, включително и аз съм ескалирала това на към екипа на Револют, те имат доста сериозна система за реагиране. Имаш ли наблюдения в >> Да, имам. А, наложи се на всички провайдери особено финансови институции да пое по да предприемат такива мерки. Това е социално инженерство. Социалното инженерство, фишинга са в е част от тоя вид социално инженерство. Тоест ти се опитваш на по най-просто обяснен начин да извлечеш информация от някой, който по свое желание да ти я даде. Може да е

19:19↗естествено, че тоя човек не знае тебе какви са ти намеренията, но ти в крайна сметка я получаваш от него. Не я взимаш отнякъде, нали, да я придобиеш. Ти си я получаваш от собственика на тая информация. Това е социално инженерство. [хърка] Това, което се прави, точно примера, който ти каза, е вид социално инженерство, в който хората, тоест в случая индиецът, за който говориш, може да не е индиец. Всякакви хора са по цял свят да го правят. В Русия има много такива организирани групи. Аз просто така го казах, защото има ми звънна и да. Окей. >> А те се опитват да се здобият с някаква твоя информация или в случая да влязат в някаква система по искайки код от тебе. Това се случва много често и на много места. Не е само в Револют. Изключително често срещана практика е. Бих казал най-често срещаната. >> Даже и в българ в банките тука често получава имейл. Много хора се оплакваха.

20:15↗А аз на няколко пъти получавах много, много добре направени SMS-и от DHL, които ми казват, че имам пратка, която ме чака на митницата и трябва да платя някаква символична сума евро и 20 цен примерно, за да си я освободя и има линк, където да си вкарам, нали, ми отваря сайта на DHL. Изключително добре направен сайт. Направо трябва да седнеш, да го разгледаш целия и да разгледаш различните му страници и за да хванеш, че не е нещо както трябва. А и след което влизаш вътре, вкарваш си номера на картата, заплатиш уж и обаче нищо не става. Аз разбрах тогава това, че се случва. Направих си една виртуална карта, сложих вътре колкото трябваше 200 точно в Revolutт. Дадох картата. Тъй като виртуално аз мога да я махна по всяко време и то те не могат да ми изтеглят повече пари от това. Интересното е, че те тогава не изтеглиха пари и това всъщност какво е? Те събират карти

21:17↗>> на много хора, не теглят нищо от тях, малки са сумите, хората се вързват лесно и след това ги изтеглят наведнъж и приключват, защото ако ги тегат малко по малко, ще ги спипат и ще им и ще им спрат. >> Да, има доста логика в това >> схемата, но като го направят наведнъж, просто те си имат парите и си тръгват. Има най-различни такива похвати. Дали ще е затеглена информация най най-вероятно >> може би тука е редно да кажем те, че таксите за освобождаване на пратка на DHL не са в рамките на евро или €, а са доста по-високи >> със сигурност. Обаче хората, понеже е малка сумата и си казват: "А, нещо съм си поръчил, забравил съм. Добре, сигурно, нали, има там някаква такса да ми освободят, някаква малка пратка е сигурно евтина, нали? И добре, окей, щом е такава малка сума, все тая и си дават картата, не осъзнавайки, че всъщност тяхната цел не е да вземат и

22:10↗20, ами са в последствие да изтеглят много по-голяма сума. >> Да те попитам и за мобилните оператори. Сега аз може би вече три месеца получавам едни съобщения с едни верификационни кодове, които нямам представа откъде са, от много странни номера. >> Мхм. И няколко пъти се свързвам с мобилния оператор. Казвам им, че не искам да получавам. Аз съм нали подала съм информация, но те не могат това да го спрат. >> А ами тука всъщност трябва първо да се идентифицира източникът на на атаката. Тоест ти получаваш SMS за верификация от кого? От самия оператор? >> Не, от някакъв от сега аз не знам как се наричат. тези кратките примерно 10 20 се така го казвам нали такъв тип нали четирицифърните >> но не пише закъде е този за >> не пише само вашия верификационен код >> да >> което нали ме а мен ми е ясно че аз примерно не съм тръгвала да се регистрирам никъде >> да значи аа това е така наречената

23:15↗двуфакторна автентикация която по принцип се използва вече много често тя е една от основните мерки за защита на на потребителски профили, където и да е, в която и да е система. Най-вероятно твоя и твоя телефон, имейл и регистрация някъде изтекла. >> А от тези лийк >> може да е от телекома. Имаше доста течове на телекоми през последните години, но може и да не е. Не се знае откъде, щом не знаеш какъв е източникът. Когато има теч на данни, много често тия течове съдържат един или повече твои профили в различни системи. А ние, когато проследяваме за наши клиенти потенциални течове на информация, може да кажем банка, и ние следим за течове както на техни служители, така и за техни клиенти. Ако открием теч на техен клиент с клиентска парола, с имею USзърнейм и парола, обикновено не виждаме USърней паролата само за един акаунт. А в този документ, който ние сме

24:20↗намерили във форумите, има много негови акаунти. Тоест тази информация е придоби най-вероятно от неговия компютър и са изтеглени всичките му акаунти, които се съхраняват в браузъра му. Да кажа >> спорадично ги получавам и според мен това не съм само аз, защото знам и за други хора. Абсолютно всеки човек. Аз не съм чувал за човек, който аз лично също ги получавам. >> Добре, какви са вариантите човек да си защити а пространството, личното пространство в а социалните мрежи? >> Кажа аз какво практикувам. Извинявай, че те прекъсва. Предполагам, че си Да. >> Аз какво практикувам? На първо място не държати там, където не ми трябват. Тоест, ако някой за маркетинг или с някакви цели иска да ми вземе имейла, да ми направи акаунт някъде, избягвам да го правя. Ненужни акаунти са потенциални течове, защото във всяка компания, всяка организация, която има някакви данни,

25:21↗това е потенциален теч на твои данни. Може да са, да кажем, отишъл си в а де да знам, някой магазин и те да ти дадат отстъпка, са ти казали може и имейла, телефона, имената ти. Ето достатъчно информация, за да за за да стане това, което ти страдаш в момента. Това е номер едно. Където имам акаунти, които не ползвам, ги затварям, влизам, GDPR задължава организациите в Европа, а но не само в Европа. Повечето компании предлагат тая възможност да си затвориш акаунта и цело. >> Да, обаче искам да ти кажа, че дори и да го затвориш, включително и да се отпишеш така дабскрайбнеш от някакъв subбскрипшън, а не винаги това е успешно. То не е въпрос да се събскрайбнеш, ами да си делитнеш акаунта и те да ти изтрият информация. >> Винаги, винаги това е успешно. >> Така е. Това Това вече тука ти нямаш начин да го проследиш, защото това е отговорност на компанията. Тя ако следва

26:13↗регулациите, тя би трябвало да ти изтри информацията нали? >> Какво може да направим, ако примерно не ни е изтрита информацията? >> Може да се свържеш с тях и да ги попиташ да си рекуестнеш информацията. Това нещо в GDPR си го има описано. Ти имаш правото поне в европейски институции. Точно така. Имаш право на достъп, имаш право на забравяне, което означава, че те >> макар че да ти кажа, при правото да бъдеш забравен, а трябва да им докажеш на и на Google, и на компанията, че всъщност има достатъчно предпоставки ти да бъдеш забравен и новините или въобще това, което е написано. Тоест има си категории. Не просто защото нещо не ти е харесало в информация. Така. Така е. Точно така е. Но да, това е номер две. Поне може да се опитваш да го правиш. Ти нямаш контрол върху това те какво правят. Но да. Номер три, много важно. Използвам пасворд мениджъри навсякъде.

27:03↗Нямам една парола никъде. В смисъл може да имам една и съща парола, да кажем в някакви сайтове, които са просто информативни или знам, че там дори и да изтече нещо, няма абсолютно никаква лична информация да има, но се стремя, където и да създавам пароли, всичко да се менаджира от пасворд мениджър, който ми генерира автоматично парола. Обикновено е между 16 и 20 а символа, >> които има вътре а големи букви, малки букви, символи, наклоничети, запетайки и всичко, което се поддържа, за да може да е най-сложна. А и всичко се съхранява в пасворд мениджъри. Тоест аз не пиша пароли на листчета, което много хора правят. За съжаление не се опитвам да ги запомня, защото те са невъзможни за запомняли тия пароли и съответно не използвам лесни пароли, които са и да са еднакви навсякъде. Това е номер три. И на номер четири използвам мултифакторна автентикация. Това, което ти говори за

27:54↗него. Навсякъде, където се поддържа, имам второ устройство, което да ме автентикира, освен пробата ми. >> Ти като специалист кога започваш да мислиш замбрейдж? В какви ситуации? >> Аа винаги мисля за Asбрийдж, тоест не чакам нещо да се случи, за да за да предполагам, че една стъпка на паци. >> Да, точно така. Винаги. Тоест, аз предварително взе предприемам стъпки а за да си подсигуря информацията в моите акаунти пред изобщо преди да се е случило нещо. Имало е ситуации, разбира се, и при мен, в които получавам имейл точно като теб с абе някой се опитва примерно добре дошли в новия ви Disney акаунт или в новия ви subбsскрипшъ трябва само да си верифицирате картата, за да продължите и тогава виждам абе нещо не е окей. Веднага влизам и сменям пароли и така нататък. Независимо дали е фишинг, нали, ако има линк, не го цъкам със сигурност. А, това е много добра

28:50↗препоръка. Между другото, ако видите или ти ако видиш имейл, който ти казва конкретна система, че нещо се случва в нея, не цъкай линка от имейла, отвори си браузъра, влез в системата на на провайдера, който и да е той, Netflix, Disney A1 CIA и оттам си направи нещата, защото тоя линк обикновено много често може да е фишинг, който да те зададе на в копия на тази страница. >> Добре. Добре. 2018 година в България се въвежда, нали така, за приема закона за киберсигурност. Как работи той до момента? >> Ами Европа е много добра в това да прави регулации. Имаме вече доста, що се отнася за киберсигурност. Аа >> не, не, това си е националното законодателство. >> Въпросът е, че нашето национално законодателство до много голяма степен ние следваме >> Да, така е. >> Чуждестранното законодателство. Точно така. А, бих казал, че за съжаление и тука не става дума само за закона за киберсигурност, ами

29:59↗за МИС, Мис 2, сега GDPR, повечето от тези регулации и закони а налагат а повече усложняват повече бизнеса, отколкото да го защитават. В този случай. Кой аспект? >> Давам ти веднага пример. Първо, че законът за киберсилност не се налага добре, не се налага ефективно. Да, имаме закон, той е добре написан, както и законат за пътищата. В интерес на истина имаме страхотни закони за движение по пътищата, обаче никой не ги налага както трябва. По същия начин законът за киберсигурност. Добре написан е, обаче никой не следи за него. Аз мога да ви кажа толкова много примери, в които ние отиваме при клиента, казваме му така и така по този закон. Трябва да имате такива и такива системи. Трябва да менаджирате риска. Трябва някой да отговаря за информацията. Ами да, ама то е закон, то така, то никой не го налага. Ако някой отиде и започне да го налага действително и започне да глобява

30:55↗компаниите, той ще работи, но до момента, до който той не се налага, няма какво да стане. Същото беше и с >> орган е Комисия, защита за лични данни. >> Комисия за защита на лични данни. Изпълняват ли си функциите според теб като експерт както трябва? >> Еми >> или е избирателно? >> Избирателно е. Много е избирателно. Ако няма кой ако не се самосезират или съответно не бъде подаванна жалба към тях, аа те тогава няма да подходят със сигурност проеактивно към компаниите да ги пре нали. Да, да. аа правят одити или проверки. Те са по-скоро в моите очи бухалка аа за много различни ситуации, за съжаление. А аз не съм видял някой от моите клиенти да е действително а бил глобен от КъзалД, освен ако не се е случило нещо много специфично и КъзалД да е бил информиран. Ами сега по тези случаи, които излязоха, които нали в началото коментирахме, те според мен така неправилно

32:08↗излязоха с своето становище, защото и те и хората абсолютно с право се ядосаха за това, което комисията каза. >> Да, със сигурност. >> Мм не знам, може би трябва наистина повече упражняване на такива функции, ама то не е само в твоята сфера. Навсякъде контролът, който се упражнява е много занижен. >> Да, много е занижен. Това е така. А мога да ти кажа, че примерно в САЩ а мерките са много по-занижени, ако го погледнеш откъм законодателство, обаче нещата се налагат по много ефективен начин и компаниите ги спазват, защото се налагат. Тоест за мен а да налагаш една мярка е много по-важно от това колко добре е създадена тя. В Щатите мерките са доста общи, имат много изключения, обаче се налагат изключително. >> Дай ми пример от Европа, Германия, Франция, ако имаш >> позитивен пример, >> да или от друга държава. Аз просто така ги хвърлих тях. >> Ами със сигурност в западните европейски

33:12↗държави по-добре се налагат законите. >> Скандинавските. >> Със сигурност те са изключителни ефективни. >> Може ли да кажем, че са водещи в това отношение? Така като пример. >> А, да, да. Бих бих казал със сигурност, че скандинавските държави са водещи. А ние работим с партньори и с клиенти във Финландия, аа които са, ако им погледнеш как са им написани договорите, когато сме имали вид одит не от нас, но от наш клиент, към наш партньор, за да закупят технология от тях, банка, нали, и те ги проверяват. Имат цени огромни формулери, в които ги разпитват това как правите това, това това, това, това. Всичко е изключително добре подредено и изключително добре направено. Няма никакви излишни неща, но няма и нищо, което да липсва. Просто подали са си градинката по много хубав начин на Запад и много ме е яд, че в България не е така. >> Да. А защо в България не е така? Като аа

34:09↗аз, това е мое лично мнение, аз смятам, че имаме така много добри специалисти във всяко една във всяка една сфера и някак си регулаторната рамка ни е написана много прилично и е добре, нали, някои неща трябва малко да са по-осъвременени, бих казала. >> Да, >> но защо така се получава при нас? >> Ами защото тези добри специалисти не са на правилните места и не им е дадена правилната власт. Ти смяташ ли, че примерно хора като теб или от като твоите колеги, те трябва да са в Комисия за защита на лични данни, а не просто някой, който е завършил примерно мениджмънт? >> Аз лично не бих отишъл в Комисия на защита на личните данни, но да, със сигурност трябва да има експерти, но пак повтарям, дори и да се сложат най-добрите експерти на тези места, ако не им бъде даден правилните правомощия, тогава те няма как да действат. И за съжаление в много ситуации това е това е проблемът.

35:05↗>> Преди да продължим, искам да благодарим и на нашите приятели от Work and Share, които ни предоставят място за подкаста. Ако и вие търсите пространство за креативна работа, съчетано с приятна атмосфера или искате да стартирате свой подкаст, попълнете формата от линка в описанието. Като говорим за киберсигурност и защита на личните данни, има ли конфликт между итанимиation? >> Ами и двете са много важни практики. data minimization а със сигурност е първоначалната концепция, която аа трябва към която трябва да се стремят компании, които събират различни данни за своите дейности, тоест да събираме възможно най-малко данни, за да може да оперираме ефективно с в бизнеса, който имаме. А, практикува се на много места, действително, а, имаме опит, да кажем, с куриери, с болници, айде при болниците е малко по-специфично с техните видове данни, но да кажем при куриерите, които

36:14↗когато ти събират данни, те ти трябват на те събират особено в последно време аа единствено имена, адрес и телефон, на който да могат да ти пратят код, с който да си имаш пратката, което в последните години става по-ефективно и по-ефективно. Тоест, налага се със сигурност. >> А, големи големи премеждия съм имала с тези куриери. >> Много българските специфи. >> Това е съвсем друг въпрос. Да, аз също. Аа, но в интерес на истината аа се налага на практика dataта minimization. >> Аз това казвам и на клиентите, с които често се свързват с мене относно GDPR, че колкото по-малко данни се обработват, толкова по-добре. Тоест, не взимайте повече данни, отколкото са ви нужни за целите, защото целта на обработването >> Точно така. >> е изключително важна и колкото повече данни имаш, >> толкова повече мерки трябва да приложиш да ги засташ. >> Точно така. И по-голям е шансът, когато

37:08↗това е вече риск мениджмънт, нали, отиваме, толкова по-голям е шанса, ако стане нещо, да изтекат неща, които изобщо не е било нужно да са там на първо място. А за dataтаing или data loging, а тука вече а разбира се важно е да знаеш кое, къде и как в твоята компания и това в една по-голяма институция и в един идеален свят аа нали ще бъде менаджирано, дали ще е с някакъв софтуер или ще има екип, който го прави при по-големите институции. За съжаление не е много ефективно. Аа по простата причина, че в по-големите институции има толкова много данни, които са разпръснати на толкова много места, че те губят следа на тия данни. Кое къде отива, кое къде се съхранява, имат >> каза следа, извинявай, че те прекъсвам. А спомням си така, когато мен ме въведоха в блокчейн технологията, това ли е най-сигурната технология за >> относно загубата на следа, която ти казваш?

38:18↗>> А и да, и не. По принцип блокчейн вкара един с една съвсем нова а гледна точка върху това как могат да се проследяват информацията, смарт contractра и така нататък. А, които имаш пълна проследяемост върху това кой какво е правил, да кажем с един документ, подписи и така нататък, нали. Всичко е абсолютно проследимо и най-вече децентрализирано, нали. Това е най-важното, защото когато имаш една централизирана система, там винаги някой може да прави някакви промени, нещата могат да се изгубят и така нататък. Когато е децентрализирано, това няма как да се случи. Така че това е отговорът. Да. А отговорът, частта, която е не, е, че освен блокчейн, а, винаги от много години насам е имало много ефективни начини да се прилагат такива мерки за сигурност. А обаче просто те не се използват достатъчно често, както всъщност и блокчейна. Блокчейнъ до ден днешен, въпреки че всички говорят за

39:18↗него, на много места се вижда реално в употреба. А просто той стана един бъзвалърд пред последното десетилетие. А всички говорят за блокчейн, блокчейн, блокчейн, обаче никой действително не използва технологията, както тя е предвидена да бъде използвана. >> А блокчейн бъдещето ли е в администрацията? Не само в България, генерално. Не смяташ ли Не смяташ ли, че ако има една блокчейн технология примерно в администрацията, това би а намалило значително корупционни практики, които се твърди, че са бъде абсолютно да би могло да бъде, но никой няма да го допусне. >> А я как си дойдохме на думата. >> Да. >> Защо няма да го допусне? Някой друг трябва да ни отговори. Добре. техническото възстановяване или всъщност договорните последствия са най-важните за една компания, когато има бридж на а информация, на данни и така нататък. >> Ами и двете, бих казал равносилни са. Аа

40:20↗от една страна договорните отношения а могат да защитават както и самата компания, така и нейните клиенти. Разбира се, много от регулациите се фокусират върху това нещо. И ние виждаме все повече и повече от тези изисквания в нашите договори с клиенти. Въпреки че ние не сме техен клиент, ние сме техен доставчик, тоест ние сме от другата страна на нещата. И тука вече е темата за supply chain, което е изключително важна последните последните години, даже и последните винаги е имало suly chain. Въпросът е нали как се е бил менаджирал, защото ако навремето съпчейн е бил в а производство, да кажем, сега е навсякъде. Софтуер просто това е suy chain. Така. Така че договорите, да, договорните отношения при всички положения са много ключови. А обаче и изпълнението на защитата на данните е друга тема, която тя може да не е договорена, но там вече идваме на тема

41:25↗морал и доверие. Най-вече доверие. Ние, когато работим с наши клиенти или нашите клиенти, когато работят с техни клиенти, м техният основен мотив не е договорът, ами е мора доверието. Ти защо се доверяваш на твоята банка? Защото смяташ, че тя ще ти съхранява ефективно средствата и ако говорим за данни, че ще ти защитава доколкото има тази възможност твоите данни и ти си окей да ѝ дадеш, защото банките знаят всичко за тебе. На колко си години, какво работиш, каква ти е заплатата, тътт. Това е доверие. Ти не се съгласяваш да работиш с нея, защото си прочела договора и си видяла какво правят вътре. Ами защото просто се доверяваш на тая банка, видяла си, че тя е ефективна, смяташ, че защитават по ефективен начин твоята информация и твоите активи и това е. Така че бих казал на равно ниво, само че зависи какъв е какви са взаимоотношенията, дали са доставчик

42:23↗клиент или клиент краен клиент, тоест или или организация краен клиент и така нататък. Но според мен са равни по важности. >> А какво може да ми кажеш за европейските регламенти? Ще започнем от GDPR, Нис 2, Дора. Ние ще ги изпишем отдолу за зрителите какво означава всеки един от тях, а пък за слушателите ти ще ги обясниш. Да започнем с GDPR-ра. Да. Значи при GDPR нещата са >> общ регламент защита за лични данни. >> Да. Така. при общия регламент за защита на лични данни аа имаме най-много информация от това какъв е резултатът, тъй като го има от най-много време аа от тези три аа там наскоро четох един анализ, който беше изключително интересен за това какви са ефектите на GDPR, дали е бил ефективен върху това да контролира и да създаде обща рамка на Европейския съюз, на държавите членки за това как те да съхраняват информация и как да я защитават или по-скоро е бил е

43:28↗създал проблеми на малкия бизнес. Защо проблеми на малкия бизнес? Веднага ще ви кажа от наша от нашата перспектива. А много компании не могат да осъзнаят истинската идея за GDPR и дума по дума слагат вътре изискванията, които да кажем ние като трета страна, нали, а като техен доставчик, според тях ние трябва да спазваме. обаче не осъзнава, че всъщност реглацията GDPR а налага изискването да се взимат най-важната дума пропорционални мерки, а не просто тези, които да ги сложим върху всички. И когато ние като една малка компания не може да спазим тия мерки, които техният legгъл отдел е решил, че трябва да са там, щото защото лигал хората те не разбират от техническите изисквания на тая регулация, не знаят какво всъщност стои зад тази защита на личните данни. бих те подкрепила тук, тъй като аз имам доста така и мои лични наблюдения и от колеги, че те наистина много като рамково го четат,

44:44↗>> бе, ако не са минали обучение, което е специфично. Да. Затова е много важно човекът, който всъщност прави GDPR политиките да бъде обучен специалист по тази тема. >> Точно така. Точно така. >> А не просто някой адвокат. >> Абсолютно. А много за съжаление много рядко се намират хора, които да имат познанията и в двете сфери. Да. Ето да. Ани. Ето. Супер. А, но ние го срещаме този проблем доста често. И какво се случва, когато се срещнеш с този проблем? Ти си между Чекайна кованята. Не може да кажеш на на отдела, който се занимава с този договор в при клиента ти, че това не е окей и че това не е вярно и че не трябва да е там. Същевременно не може да ги спазиш, защото тези мерки не са пропорционални за работата, която ти вършиш в тази компания. И сега, ако дойде някой да ти наложи пък наказание с глобите, които са там, бизнесът какво става с >> Точно така? Ами бизнесът си отива. Или

45:43↗другият вариант, който се прилага най-често, е спираш се застраховка и отиваш при едни много добри момчета от Канада, които правят киберзастраховки, а или insurance. Правиш си застраховка за няколко милиона и като ти дойдат на одити и да не дай си боже нещо се е случило. и откри, че това нещо е във връзка с данни на този клиент и че са изтегли негови данни и клиентът тръгне да те съдия данни, тогава застраховката влиза, му дава парите и приключва случая. >> Те са много, обаче все пак трябва да са изпълнени условията по застраховката. Кои са тези момчета от Канада, че ми стана интересно? Аз >> колонаци се казват. >> Аз не съм запозната. >> Да правят точно такъв тип киберзастраховки. >> Това може би за по-големи компании, не говорим за малкия бизнес. >> А, да. Ами ние си ние си плащаме. Аа ние си плащаме. Бих казал, че сумата не е особено голяма. Колкото застраховаш една

46:40↗скъпа кола на година, което >> А от скъпа кола до скъпа кола има голяма. >> Да. Окей. Еми аа не е много скъпа. Бих казал, че всяка компания, която има някакъв приличен оборот над да кажем- 200 000 на година, може да си я позволи. >> Добре. Низ две. Това е така наречената Network and Security. А information security. >> Да. >> Втора част. >> Така. Или мис, както ние го превеждаме. А, >> директива. >> Да, точно така. >> Как се транспонира тя в България? >> Ами сега това е разликата реално между регулацията и директивата, че директивата трябва да бъде транспонирана в в националното законодателство >> за срок от две години. >> Точно така. трябва да бъде, нали, трябва да бъде а предложено обсъждане това, след което да бъде а да бъде а предста всъщност самият закон да се появи в държавен вестник и тогава вече имаме нали този закон. >> Забавеното правосъдие е отказано

47:45↗правосъдие. Във времена, в които конфликтите често се превръщат в дългогодишни съдебни битки, медиацията предлага нещо различно. Път към разбирателство. Ако имате спор, конфликт или съдебно дело, но търсите бързо и ефективно решение, извънсъдебното споразумение чрез медиация е за вас. Акордли предлага конфиденциално съдействие при разрешаване на индивидуални бизнес спорове, както и правни консултации. Направете запитване от линка или на страницата на Accord Leagal. Бързо, ефективно и без съдебен процес. Сега проблемът при това нещо е, че не можем да имаме пълно доверие на комисията, която е създала закона. Ние не знаем, докато не го прочетем, колко буквално или не буквално те са го транспонирали и какво са добавили или извадили оттам. >> Трябва ли да мине на някакво по-публично обсъждане с експерти от областта? >> За мен да. За мен да. във всяка аа развита държава такива неща си има

48:48↗комисии, комитети, които се събират от точно такъв тип хора и тези хора помагат на държавата да разчете закона, да го създаде и да го приложи. В нашия случай колко това се прави, не бих казал уж има организации, които участват в тези неща. Колко са ефективни не знам, но при нис 2 или всъщност при Мис 2 вече, която се прие на второ четене миналия четвъртък, очакваме сега да се обнарод в държавен вестник. Ще видим какво е минало на второ четене, тъй като ние имаме от първото гласуване може да видим какво е написано, обаче сега при второ четене може да има промени, така че не знаем все още аа каква е крайната му версия. Там много се разширява обхвата и по принцип мен ми харесва как е написана регулация, тоест тази директива. Обаче а ще видим как ще бъде транспонирано в България. Разширява се обхватът. Вече всяка компания над 50 служителя или милиона евро годишен оборот влиза в

49:56↗обхвата на регулацията. И най-важното, което е, което тук със сигурност бих казал, че ще видим как ще бъде приложен, е, че вече има директна отговорност от мениджмънта на компаниите. >> Точно това исках да засегнем. на личната отговорност и така от и тука има dutти of care. Ние в предишния епизод ти говорим за Duty of Care в здравната сфера, но тук отново има Dutти of Care какво може да ни кажеш за това каква е тази лична отговорност, която NСВ ще въведе кой ще кой ще носи отговорността. Това, което е предложено, е аа отговорността да се а да се насочи към управителния съвет или ако няма такъв към най-високите изпълнителни директори, който е на най-висока позиция в компанията или към човека, който отговаря за информационната и киберсигурността на компанията. Но към high мениджмънт се върви. Отново няма конкретика. Това е проблемът, че когато нямаме конкретика,

50:56↗>> това не е ли регулаторен и договорен риск обаче, когато нямаш конкрети със сигурност е риск и точно мен това ме притеснява, че не знаем как ще бъде идентифициран човекът, който трябва да е отговорен и да бъде глобен. Ще бъде посочван предварително ли? Той ще носи някаква лична отговорност. Тоест, ако да кажем компания Хикс трябва да излъчи такъв човек, както беше с DPO-то, с GDPR, трябва да се каже човек, който отговори. Тоя човек знае, че той носи тая отговорност и тогава, когато се случи нещо, е ясно кой е. Няма два две мнения по въпроса. >> Да, защото при GDP при GDPR- DPO-то, нали, то в особено в компанията, той отговаря за това да следи всички надолу по веригата дали са си изпълнили нещата и да прави, нали, качествен мониторинг. Често има много пропуски, точно защото и служителите не знаят какви са пък техните и права, и задължения в защитата

51:52↗на данни. Добре, да те попитам за бетинг компаниите, изобщо всички тези а нали компании, които се занимават с инвестиции, валути при тях как ще низ 2 как ще се отрази? >> Ами засяга и тях цялостно за мен. Сега ние понеже работим с доста такива организации, работим с някои от най-големите в България и мога да ти кажа, че те имат повече чувствителни данни от всички други. >> Да, защото нали >> на какво залагаш, как залагаш? Те следят поведението ти. >> Не само това, те следят и твоят риск преди да те допуснат за определените залагания, примерно, защото ако си високорисков, те не те допускат до определени мисля, че суми. Това е а защото мисля, че беше излязла една статистика колко хора са си посегнали на живота, след като са губили толкова много пари. >> Хм. Абсолютно. Да. Те имат абсолютно целия тип психологически профил. Аа как залагаш, защо залагаш, кои цветове ти

52:52↗харесват, къде цъкаш повече, къде не, всичко знаят за теб. Те имат толкова много чувствителна информация, че те са длъжни да я защитават с най-високите мерки. Някои го правят. Някои компании, с които работим в България, са много добри в това да си защитават информацията и аз рядко съм срещал лично като професионалист в сферата по-добри предприети мерки за защита на нали информационна сигурност и киберсигурност от тази индустрия. Това, че низ 2 ги засяга е много хубаво, но според мен истината е, че в тая индустрия те вече са си предприели нужните мерки, защото каквато и регулация да има, ти ако не го правиш по свое желание това нещо, никой няма да защитаваш нищо по по ефективен начин. Трябва да идва отвътре това, не отвънка от регулация да ти го налага и ти да го правиш просто за съответстващ с регулация. Много такива компании има. В здравеопазването е пълно

53:49↗с такива, които го правят просто за да чекнат един нали едно символче в една таблица. питам за за здравеопазването, тъй като а в предишен разговор дискутирахме това, че се говори за европейски пор здравен портал за трансфер на данни от държавите членки, което за мен е един огромен риск, защото това са толкова чувствителни данни за >> нали медицинските данни, толкова чувствителни, че то просто аз не знам какъв ще бъде регламент там, как да се опазват тези неща, но понеже говорихме за личната отговорност Мхм. >> Не смяташ ли обаче, че един човек да носи отговорност за цяла една компания, когато примерно от най-ниското ниво някой не си е свършил работата и случва се човешка грешка, по веригата нагоре тръгва, никой не го е видял. Изведнъж един-единствен човек отговаря. Това не е ли много голяма тежест за един човек? Не трябва ли всъщност самото ентити, нали, да отговаря?

54:49↗>> Ами не, защото в крайна сметка ти си служител на товати. Ако твоите отговорни отношения с него като служител не съответстват на изискването от регулацията, ти не носиш отговорност. Тебе не те интересува какво ще стане. Компанията ще си поеме глобата. Каквото ще се случва, ще се случва. Ако трябва ще се срине цялата. Ти ще си тръгнеш и ще си поемеш. >> Това не отвага ли вратата за аа дупка и липса на та такъв тип експерти, че по-малко хора ще искат да заемат така да >> поемат ролята. Еми, има два варианта. Единият вариант е да се диверсифицира риска, тоест да се сложи на по-голяма група хора, да кажем борд, ако е голяма фирма. Другият вариант е просто на тоя човек да му се плаща много добра заплата и той да е истински експерт, който да си поема риска, да му се плаща за тоя риск, обаче той знае много добре какво прави. А имам такива познати в индустрията,

55:47↗които са много големи професионалисти и аз бих си заложил абсолютно всичката информация в техните ръце, а и смятам и те са много добре платени действително, аа които реално си носят риск и отговорността за тия неща, но сега просто ще им бъде наложена и по друг начин. Ще видим всъщност как ще бъде определено. Не мога да кажа все още, но това е идеята, нали, да има да има лична отговорност за тези неща. А смяташ ли, че в общия регламент за защита на лични данни, така наречените a propri technical and organizational measures е едно изречение, което е страшно неясно, нали? Кое точно всъщност е подходящо, да, кое е апроприят и какви са тези мерки. Това е толкова обширно, че ти не може да знаеш. >> Аз много го харесвам, да ти кажа честно тая фраза. Защо? Защото а този, който а съхранява личните данни, администратора на личните данни, той трябва да избере какви са и той да ги наложи на

56:48↗обработващия. Тоест ти, ако си достатъчно зря компания, ти трябва да знаеш какви лични данни споделяш. И тука това вече отиваме към supply chain мениджмънт. с всеки един от твоите съплаеъри какво им даваш, каква информация и на всеки един от тях да си имаш каталог с различни мерки, които да наложиш. А, виждал съм такава система, много добре разработена на много малко места, на пръстите ми на едната ръка могат да се броят, да, >> които си имат специфични мерки, категоризирали са си по критичност доставчиците и си налагат аprжар според това какви данни споделят с тях. И тогава вече този проблем го няма с това. ти дат на една малка компания, на които даваш информация примерно за доставки, да кажем, даваш адрес и примерно имейл и имена, да кажем, че това е сравнително не аа специална инфо нали лични не не специален вид лич лични данни. Ти да налагаш същите мерки, на които даваш

57:57↗примерно на някой друг твой доставчик, на който му споряш информация за здравното състояние на тоя човек. Това е абсолютно неадекватно. Когато се прави ефективно и добре, работи. И затова аз много го харесвам, нали, този apprpropriate measures, защото те не са проприт просто, защото всеки да си избере какво да прави, ами е проприт, защото те прехвърлят отговорността, законът прехвърля отговорността върху компанията, която съхранява тези данни, да прецени на кой какво да наложи. Ние това го правим също, макар че сме малка компания. Хората, с които ние работим, дали ще са наши служители или наши партньори, те си имат различни видове договори и ние в тия договори им налагаме както мерки, които изискваме от тях задължително да спазват, когато обработват и когато работят с данни на наши клиенти. Тоест в каква среда да работят, как да са им защитени мрежите, аа какви пароли да

58:51↗използват, как им управляваме ние достъпа до данните. Ние може да им отсечем достъпа по всяко едно време и да им спрем всички системи. Всичките тези неща ние сме си ги подредили и според зависи от това с колко критични данни нашите хора работят, тогава се налагат и те подписват различни документи, като има и много сериозни глоби, които ние директно налагаме на тях, ако се случи нещо в разрез с договора, който те са подписали с нас. >> Тоест ние сами го правим. Като казваш договори, вашите договори, а предполагам, че са едногодишни, нали, минимално имате >> с автоматично подновяване, >> с автоматично подновяване. нямате някакъв и повечето фирми във вашия сектор аа оперират така едногодишни, защото това е едно законодателство и а бих казал супер динамично развиващ се сектор, >> така че не може да ги обвържете с а абсолютно >> по-дълъг договор. Истината е, че в много

59:47↗ситуации даже аа освен по взаимосъгласие, разбира се, клиентът има правото да си прекрати договора, ако се случи, ако се случи нещо, нали, което ние сме направили. Може да бъде в много случаи, че не си изпълняваме функциите, което клиентът може да прецени. >> А кой следи примерно фирми като вас? Дали а имат а нужните сертификати? Вие имате ISO сертификати. Имаме. >> Така. Тоест вие сте под някаква форма сертифицирани от кой орган? Европейски. >> Да, има различни европейски институции, организации, които имат правото да издават такива в случая за ИСО, нали, и сертификации. А те се разпознават от клиентите. Много клиенти ги търсят, за да могат да се гарантира малко или много, макар че това никога не е гаранция за изпълнение, аа че нали ние ще изпълняваме по един адекватен начин доставянето на нашите услуги, че ще защитаваме техните данни и така нататък.

1:00:43↗Различни соци нали дейности. Това обаче е друга тема. Да, одиторите, когато са дошли при нас и са ни одитирали, ние сме ми показали как го правим, защото това е нали цялата идея на одита действително да им покажем нещата. Обаче колко адекватен е бил реално одит и колко вярно е това, защото един сертификат той изподнува веднъж на година, а на шестия месец може вече нещата да не съдят по същия начин и ние да не изпълняваме баш нещата, които са в този сертификат, макар че е посочено, че го правим. А в нашата индустрия обаче бих казал, че точно защитата на данните и начина, по който ние оперираме с тях, е водещ фактор за нов бизнес. Един път да се случи ние да изгубим аа доверието на нашите клиенти, по тоя начин нашата работа приключва. Ние никога няма да нашата репутация ще се изгуби. Ние никога повече няма да го правим. А може ли примерно да направим едно обобщение

1:01:41↗до този момент, че всъщност изключително важно е компаниите, когато се доверяват на специалисти като вас, все пак да имат и някакво предишно запознаване с тези регулации лично тяхно, за да могат да си изберат и най-добрия специалист, а не просто да попаднат на някой, който е решил, че ще се занимава с киберсигурност. Тоест това не е ли малко личната отговорност на всеки един от нас >> хм >> да се информира, защото ние живеем в такъв свят, в който ти имаш информация къде е истина, >> нали? Но ти трябва да си се запознал с това нещо. >> Ат Точно така е. Истината е, че ние всъщност работим повече с големи организации. А мисля, че най-малките ни клиенти са от 200 човека, нали, започват и нагоре, а до десетки хиляди в някои случаи. служители. А и те даже бих казал, че в много случаи по-малките са по-добре запознати, защото при нях при тях са наистина подбрани

1:02:41↗добри специалисти, имат си много хубава организация вътре, много ефективно работят. Големите са много тромави, нали там всичко е много бавно, има такива специалисти онакива, някои са по-добри, някои не толкова, но понеже нямат и трябват им голям набор от специалисти, те не подбират толкова, защото не могат да ги намерят. Пазара няма достатъчно. Та в отговор на въпроса ти, тяхната експертиза е достатъчно на ниво в повечето случаи, за да могат да преценят кой един ли е по-добър или друг. Аа и то е това е на лично ниво, защото това идва от експертите, от индивидите, които работят в тази компания. А и те могат да преценят по сертификатите на тоя човек, по а предишен опит. В нашата индустрия много се гледа предишен опит и си искат референции от други клиенти. Клиентите а обикновено познават изпълнителите като нас в тази сфера и те се допитват един друг работили ли сте с тая компания?

1:03:39↗Какви са? Точно така. Което е много важно. >> Много важно. >> А гледат ни сертификатите, гледат ни и сотата, гледат индивидуалните сертификати на експертите, което показва вече техния опит. Гледат какви проекти са правили преди, какво са правили. В някои по-специални случаи даже ни искат да им покажем, да им демонстрираме върху някакво тяхно приложение реална атака, да видят как работим. >> DDOS атака, примерно. >> Не, DDOS, DDOS-а или distributти denial of service е много специфично нещо, което се избягва обикновено, тъй като обикновено се прави върху продукционна среда и тогава може да им счупим системите и това се избягва. >> Но това е най-честата атака в администрацията. А >> ето сега наскоро имаше в мисля, че търговския регистър беше с такава потока. >> Да, има доста често са срещани и в банковия сектор. >> Сега ще отидем натам. >> А, но има и вече много добре разработени

1:04:36↗защити за това нещо. Истината е, че при да кажем, че наричаме DDOS техническа атака, не е социална, както това не минава през хора. Тоест няма човек, който да който да е атакуван, за да се случи това нещо. злоувреден код ли е? Какво представлява? >> Не, а DDOS а в случая, защото има DOS, което е просто deni of service, има и DDOS, което е distributed deni of service. Distributed den of service е, ако имаш така а в повечето случаи се прави с така наречената botnet мрежа, където имаш а [хърка] инсталирани агенти на много крайни точки по света и тевременно се опитват да влязат в тоя сайт. Представи си най по най-прастия начин ти го обяснявам. Все едно това стотици хиляди ботове, които пускат заявки към твоята към твоя сайт и той не може да ги издържи, защото са толкова много едновременно, за много кратък период от време. Това е най-важното. >> Да. >> И просто той пада. Системите, които сад

1:05:33↗отдолу падат. Не могат да го издържат това нещо. [хърка] А или ако си държиш системите в облака, както знаеш сега облачните системи, които са много модерни, те могат да скейлват, еластични са. Тоест, ако имаш повече трафик, това нещо по слага повече си така просто power на английски му казвам, нали, но отдолу изведнъж а при тебе окей, това нещо може да може да се задържи, системата ти да не падне, обаче сметката, която ще платиш най-накрая на провайдера ти в облака за тоя период, в който си има огромно натоварване, ще е огромна. Тоест пак е ефективна атаката. Та това е всъщност и е начин да атакуваш определен а публично достъпен а уебсайт или мобилно приложение, за да го свалиш и то да не оперира в определен период от време, което пък си е бизнес риск. Също така >> виждаме какво се случва с изкуствения интелект. Той направо ни заля. >> Да. Много често дори специалисти като

1:06:34↗теб не се объркват от това кое е кое е истина, кое не е, защото и сам ти самия каза, че дори сайтът на DHL е бил копиран изключително добре. >> Копия има на всичко. >> Да. Аа и той той навлиза изключително агресивно този изкуствен интелект. >> Аа най-вече смятам, че според според мен ще засегне чувствителни лични данни в здравен и банков сектор. >> Хм. Какво е Дора за финансовия сектор и защо е толкова трудно приложима? Нали така казват част от специалистите? ICT риск партири, тестове за устойчивост. >> Така е. Много трудно приложим, е, защото има много високи изисквания. Много високи изисквания. Има защо да има високи изисквания, тъй като банките първо, че са, както казахме вече няколко пъти, едни от най-таркетираните индустрии, финансовата индустрия. Те държат и много лични данни. А и те имат съответно техния парите, с които оперират, са много много. Те държат

1:07:36↗всичките пари на в една държава се съхраняват в банки, нали. Тоест това е естествено перфектната цел за всеки також. Съответно, когато имаш толкова много рискове различни а финансови рискове, бизнес рискове и така нататък, това е и много сладка цел за всеки хакер. Аа за да защити аа тези финансови институции от доколкото е възможно от такъв тип атаки, съответно Европа се опитва да създаде регулации, с които да им налага мерки, които да следват. Много банки го правят а и и по подразбиране, защото те знаят какъв им е бизнес рискът, ако нещо такова се случи. А истината е, че сега с влизането на на Дора аа и в България амждаме от финансовата индустрия засилен интерес към решения и услуги за киберсигурност. Не казвам, че преди не е бил, но сега вече имат и ясна а ясна пътека, нали, по която те трябва да вървят като една такава индустрия и ниво на сигурност, което те трябва да

1:08:50↗поддържат, защото вече има глоби много големи при това, а докато преди това е било основно репутация. Естествено може отново да са някакви нали финансови загуби, но основното е репутация във финансовия сектор, което е много по-скъпото, отколкото финансовите загуби в повечето случаи. Така че Дора аз това е от малкото регулации, които според мен е, тъй като е много целенасочена, е ефек наистина ефективна, но по подобен начин, както в другите регулации а е въпрос на това дали е по-ефективна в това да защитава действително компаниите и банките в случая финансовите институции, не само банките или пречи, защото каквото и да си говорим Отново всяка една банка, те този thd party за който ти говориш, те трябва да прехвърлят до някаква степен отговорностите, които доля им налага и към своите съплаъри, към своя съпрчени. Това идва и при нас. Ние работим с доста банки. Съответно при абсолютно всеки

1:09:57↗договор, даже наскоро ей сега подписвахме анекс към договор, за да добавят клаузи отбора към него, имат едни изисквания, които не винаги са добре описани. И ние да кажем, че имаме оборот от 10 милиона на година примерно, ако трябва да покрием всичките изисквания, които те ни налагат, целият тоя оборот ще отиде в това да ние да си поддържаме инфраструктурата, системите, да плащаме за инструменти и така нататък. >> Да, нали ти казах много банки, прости всички банки. Влизането на България в еврото според тебе откъм сигурност по-положително ли е? Тъй като сега не те питам за какво ти е мнението за еврото, а тъй като в България това е страшно поляризирано. А но откъм сигурност в банковия и финансовия сектор положително ли е? >> И защо те питам? Защото а подготвя сега не знам дали хората са запознати. Предполагам, че една част са запознати с така нареченото дигитално евро, което

1:10:55↗дигитално евро всъщност ще въведе и едни нови регулации. >> Да. >> И банките ще въведат едни нови регулации. >> Да, така е. >> Аа което е много интересно, защото това аз не съм сигурна, че достатъчно се обсъжда. >> Ами не се обсъжда достатъчно, защото на първо четене хората се интересуват по-скоро какво ще стане с парите им. Да. Какво ще стане с тях. А нали сега как ще ме следят? А нали ще могат да видят всичко какво съм правил. Аз не се притеснявам от тия неща, защото и да ме следят, няма какво да намерят. Според мен истината е, че да има има то >> за дигиталното е >> Да, за дигиталното говорим. А >> нали от то от тази перспектива, ако говорим аа за самото седене, аз не се притеснявам толкова много. Има много хора, които са първонични просто защото не обичат да бъдат следени. Други хора, които искат просто защото има какво да крият, а трети хора, които като мен, които не са.

1:11:55↗>> Може ли за хората, които примерно нямат представа какво всъщност представлява дигиталното евро? Много кратко обяснение. >> Дигиталното евро е, представете си, че централизирана система, която през която минават всички разплащания в Европейския съюз, няма вече кеш, всичко се плаща дигитално евро. Свързано ти е с теб като а като човек. >> Отделна личност, физическо лице. >> Точно така. С физическо лице, егенета, биометрия. Всичко е на едно място. Знае се ти къде кога какво си платил и това е централизирано. Контролира се от ЕЦБ. Всичко, в което е в Европа. Идеята му е да минава през абсолютно един регулатор, един хъб. Това е точно обратното нещо на блокчейн. Блокчейн децентрализира, >> дигиталното евроцентрализира. >> Ето така. Много лесно го обясни. Да. >> Ами може би трябва повече да се говори на тази тема. Така пак аз обръщам внимание от водещи специалисти в

1:12:52↗сферата, за да се а да достигне до обществото какво представлява това. Аз не съм сигурна обаче, че от гледна точка на риск аа и на сигурност ние сме достигнали на това ниво тук в България, за да гледаме към дигитално евро. Въпросът е как ще бъде регулиран изобщо и кои са органите, които ще се занимават с дигиталното евро на национално ниво. Те как ще бъдат регулирани, а и изобщо дали им дали са нужни, защото виж Револют. Револют е една банка, която има банка единствено в Латвия. Мисля, че бяха. >> Така е. Обаче Револют за последните две-три години вече са на такова високо ниво, нали? Те са от обаче от колко години са на пазара? >> Точно така, от доста. Обаче истината е, че те от самото начало много добре тръгнаха, много добре се справяха през цялото време и и както PayPal навремето се биеха с хакери, постоянно някой ти крадеше акаунта на PayPal, постоянно

1:13:55↗някой ти превеждаше някакви пари, много измами имаше. Те се справиха много ефективно с това нещо и разработиха един изкуствен интелект. който съдеше абсолютно всички транзакции в PayPal и много ефективно митираше тези проблеми. Ако по същия начин като ревлют и като PayPal, нали, аа дигиталното евро, когато бъде създавано още в началото му, а бъде регулирано по добър начин, системно бъде създадено, изградено по добър начин, има достатъчните мерки за сигурност, то би могло да работи много добре, особено ако е централизирано. Аз затова дадох проблем с ре пример с Револют, защото Револют са централизирани, но работят глобално. Особено в Европа, нали те в Европа се ползват най-много революцията. В Щатите си имат други системи в Азия имат уичат, които >> Клага ли беше в Щатите? А >> да, нещо такова мисля, че беше в Щати в Азия учат. Уичат е всичко. Оттам си

1:14:50↗пазаруваш, оттам ти минават парите. Вен аз не знам. Клада беше нещо друго. >> Нещо друго беше. Да. Венно. Точно така. А, но да. За Азия учат е всичко. Те всичко минава оттам. Абсолютно всичко и работи. И работи. Така че аз не виждам защо дигиталното евро да не работи. Говорим нали тука изцяло за оперативно. Не говоря за мнението ми за него, нали. А, но оперативно би могло да работи и има си и плюсове и минуси на централизираната система, че тя е плюсовете са най-вече, че това, че тя се управлява на едно място и ня не трябва да разчиташ на на други крайници, нали, на тая система, затова и те да работят ефективно. минусите, нали, че ако се случи нещо, то случва на едно място и това е, нали, няма както е в момента децентрализираната система, да, ако една в една банка се случи нещо, ще бъдат засегнати N на брой хора, но всички останали ще са окей, нали, докато там

1:15:47↗всички ще бъдат засегнати. Можем ли да кажем, че изкуственият интелект ще навреди повече, отколкото ще спомогне? Заради това, че все повече и повече хора искат да го ползват зловредно и злонамерено. >> Много зависи от то >> или извинявай, че те прекъсвам да го пре пефразирам въпроса. Хората осъзнават ли, че когато ползват примерно изкуствения интелект да генерират снимки, изображения, които са с цел нали забава, колко всъщност вредят на алгоритъма дори в социалните мрежи, както и на тези системи за защита? >> Ами генерирането на съдържание не мислих не мисля, че е същественият проблем. А тъй като ние доста често се сблъскваме с изкуствен интелект и най-различни видове имплементации на изкуствен интелект в при нашите клиенти, има няколко основни точки, които го правят злоувреден, ако мога така да се изразя, но той е малко като доcрата на времето. Аа много голям

1:17:00↗интерес. Всички се аа втурват натам, а много от тях ще се окаже, че е изключително неуспешно, защото в момента инвестициите в изкуствения интелект са огромни, а възвръщаемостта не е толкова. И по едно време според мен ще се окаже, че както стана изт камерата да работи, да супер е, обаче е супер за определени неща. Просто в момента всички се опитват да изкуствен интелект, изкуствен интелект навсякъде за всичко, но той е много неефективен в започето неща. А във връзка с а това дали е повече а ще се използва злономерни цели или ще помогне, аа много е трудно да да се каже това нещо. Използва се и за двете. Аа както казах, срещаме го на много места. А и проблемът е, че хората, които го налагат, които изискват да има изкуствен интелект в една организация, да се използва, а все още не знаят точно по какъв начин да го интегрират, имплементират, а какви ограничения да сложат на

1:18:10↗използването на изкуствен интелект. А има едно нещо, което се нарича тя е то е един фреймърк, а OLASP. Това са най-често срещаните уязвимости в дадена а сфера, в мобилни приложения, в уеб приложения. има такъв вече и за от няколко години за изкуствен интелект или за LLM large language models. в него някои от най-срещаните тези 10-те най-често срещани проблеми, един от тях, който е свързан с това, което ти каза за генерирането на изображения, е а това, че тези модели се учат от нашите ампитвания към тях, от информацията, която им даваме. А беше се случило няколко пъти през годините служители на компании, които са подали конфиденциален документ, са го сложили в, да кажем, чат GPT да го анализира, а той съхранява информацията. Той ото ще направи анализа, ще му изплюе обратно аа нали съдържанието структурирано, обаче той ще я запази тая информация. И се беше случило няколко

1:19:26↗пъти, че в последствие друг човек пита за сходна информация и той му дава информацията от договора, която вече е запаметил, така да се изразя. И това е теч на данни. Аз защо те питам? Защото смятам, че хората изключително малко осъзнават огромния риск от ползването на изкуствения интелект почти за всяко нещо и че а нали той колкото и помага на света и в дадени сфери за по-добро, толкова и вреди. Това е може би най-големият хъб за лични данни в момента, защото събира най-чувствителните лични данни. >> Така е. Така е. И според мен >> как се защитаваме от изкуствения интелект и от тези данни, които ние доброволно предоставяме с цел дори а да попитаме, нали може би те вече знаят изкуствения интелект, знае и какви са предпочитанията ни за храна, ако питаме за рецепти. >> Да, разбира се. А става много модерно тука последните няколко месеца хора да карат изкуствен интелект да създаде

1:20:28↗изображение за на база на това каквото е мисли за тях. И това е ако не е най-доброто доказателство. Не знам за това колко много информация има да кажем чат GPT за нас. Той прави изображение на това, което ти си му подавал с времето като информация. А какво си го питал, какво си търсил, с какво се занимаваш. може да намери информация за теб онлайн. Също така, а разбира се, повечето такива модели имат освен достъп до база данни, има достъп и ограничен достъп. Това го открих като един от проблемите в началото още, тъй като той е малко като wild wild, нали, цялата ситуация с с а >> с тия модели изкуствен интелект, [хърка] >> а че те откриха, че това се нарича така аа така наречения пойнъенинг. А когато моделът, който има достъп до интернет, стигне до източник, който е неверен, той взима информацията оттам. В тая в този неверен източник може да има и и а зловреден код също така, който той да

1:21:30↗бъде вкаран вътре. Това са някои от методиките за атакуване на на изкуствен интелект, нали, на то не на изкуствен интелект, ами на тези модели, които поддържат изкуствен интелект. А и всъщност халюционациите също идват оттам, че много често те четат от грешни източници на информация. Нали и ти дават някаква информация, която не е вярна. Проблемът е, че в момента над 60% от съдържанието в интернет е напозино от изкуствен интелект >> и всъщност какво се случва? Един кръговрат, че изкуствен интелект, че какво написал изкуствения интелект, >> да и стават едни абсолютно неверни халюционации, както се наричат, които ти дават грешна информация. Тоест грешната информация е проблем, подаването на лични данни е проблем. Хората, които а не си ограничават комуникацията с публично достъпните модели. Има вече модели, които могат да се пускат и много компании го правят това нещо, които се

1:22:21↗пускат и се внедряват локално. Те обслужват само определената компания. Те имат достъп само до информация от компанията, не до целия интернет, нали. Това работи. работи, защото това е ограничен модел, но това не означава, че информация от тоя модел не може да изтече някъде. Ние тестваме такива модели в работата си, когато една, да кажем, компания Хикс е имплементирала модел на изкуствен интелект, който да обслужва техните клиенти и този модел има достъп до базата данни с а информация за продукта, да кажем. И ти го питаш, абе как да се логна в акаунта си или как да разреша тоя проблем XYZ и той ти отговаря като агент. Супер е, работи. Обаче, ако този изкуствен интелект не се настрои добре и той не се настрои само до каква информация да има достъп и така нататък, е много вероятно той да изкара информация, която не трябва да е там. Така че много е все още се учим върху

1:23:22↗това как да работи. Значи какво? Направих си една проба. Написах аз един текст лично мой по дадена тема, след което накарах и изкуствения интелект да напиша по темата >> и ползвах програма, която да, която уж открива дали текстът е генериран от искусствен интелект. Е, искам да ти кажа, че не успя да го хвана. >> Да, да, да, да. Аа не работи, не работи. А и колкото по-добър става изкуствен интелект, толкова по-плашева това нещо, защото все повече все по-малко можем да идентифицираме аа нещо създадено от човек, спрямо нещо създадено от изкуствен интелект, но по темата сигурност, нали, със сигурност, както казах, а все още сме в един аа такъв м етап от това е нещо ново за човечеството и е много голямо откритие, нали, много голям голяма а тема изобщо за нас, че все още не знаем точно какво да правим и как да подходим, къде да го регулираме, къде не а прекалено много

1:24:24↗регулации ще ограничат развитието му. Прекалено малко пък а може да създадат проблеми, нали, за които се говори в момента, с изкуствен интелект. Така че много пипкава тема. А, но това за момента, което може да правим ние като хора, е просто да не качваме конфиденциална и лична информация там, която не трябва да е там, и да ги използваме за цели просто да ни улеснява ежедневието. Тоест, >> аз съм поканила и един експерт, освен теб по водещата тема за киберсигурност, съм поканил един експерт а в сферата защита на лични данни. А за мене един от най-належащите и най-големите проблеми, които аз виждам и с които се боря, макар че много хора може би тук няма да одобрят моето мнение, е качването на снимки на деца >> в интернет, на малки непълнолетни деца. >> Качват се снимки на това в момента, в който детето се роди, току-що излязо от майката буквално до аа ежедневните им

1:25:24↗навици, хранене, преобличане. А интернет е презалят с такива снимки. Това е най-безобразното нарушаване на правата на човешките и на децата, нали? Та това са същества, които те не могат да дадат своето съгласие. >> Така е. Така е. >> И те вече имат един дигитален отпечатък. който е дигитален отпечатък. За съжаление аз съм виждала аа преди в момента е още по-сериозен, но съм го виждала вече преди 10 години 2016 в UNDC Виена, когато бях аа по работа там. Това е в направлението за киберсигурност, офиса на ООН и там видях такива неща, които до ден днешен ме плашат. А и това е какво се съдържа като информация в така наречените Dark and Deep Webеб. >> Хм. Да. >> И какви снимки има и как много родители нямат представа, че тези снимки стигат там, а там има хора, които ги купуват и правят с тях отвратителни неща. >> Да, така е. >> Грозни неща, отвратителни неща, които

1:26:30↗дори не мога да говоря за тях. >> Да, да, така е. За съжаление повечето хора изобщо си нямат на представа аа какви инструменти съществуват, колко много лична информация за тях има. Кажи като един експерт в тази област защо не трябва и че това безумие с качването на тези деца >> постоянно нали в опита си ти да се събереш едно одобрение от обществеността или от твоите приятели ти ги излагаш на един неимоверен риск защото виждаме това не е само в Америка или в чужбина това е тука и в България и това е тема която >> много се избягва че има такива хора и че тази регулация на >> такъв тип престъпления е изключително, а бих казала липсваща. >> Липсваща е, да, защото в крайна сметка според мен до голяма степен, нали, това е и човешки права. Ти няма как да задължиш някой, нали, да действа по определен начин, примерно да качва снимки, след като детето навърши 10-годишна възраст и така нататък

1:27:37↗примерно, защото просто няма как да го регулираш, да го следиш това нещо. Дори някакъв изкуствен интелект да се използва, да следи, много хора ще писнат, ще кажат: "Вие как може да ни казвате какво да правят?" Какво може да защо? Те всички казват: "Аз съм родител, аз решавам, но това дете, то няма право на глас." >> Така е. Така е. Няма право на глас. Факт. Нали това е другата страна на нещата. А за съжаление точно заради това, че хората не знаят какво се случва и колко лесно е да се добавяш до тия снимки и някой ден на това дете какво може да му се случи, нали, заради тия снимки, които ти си качвал, хората, които не го осъзнават си действат и си казват: "Ех, какво толкова може да се стане? Това са едни снимки, те са тука в социалните медии, няма какво и да ги вземат. голямата работа кой ще ми вземе точно пък на мен ли и то точно това тоя маталитет точно пък на мен ли и в

1:28:31↗корпорациите го има това нещо аа се отразява по много лош начин защото хората просто не ги интересува >> спрете да качвате снимки на непълнолетните си деца >> с ежедневието или >> задължително >> поне до момента в който те са осъзнати нали и могат да го правят сами и да решат дали това наистина е окей или >> да не не буквално аз даже Даже се чудих, защото аз все още ги пазя от тогава снимките и се свързах и с професорката, която беше там на този семинар, за който ти говоря от 2016, да ми ги изпрати и аз мога да се чудя дали да не ги използвам тука, да ги кача да видят, ама те са смразяващи снимки. >> Хм. >> И да да се види просто как се как се купуват и как се търгуват и как това се употребява. И тези новини, които се четат после, че нали примерно органите на реда са разбили къщата на някакъв престъпник и са намерили порнографско съдържание с непълнолетния метод. Е това

1:29:28↗е част от порнографското. Така. Така е. Абсолютно вярно е това. Аа един мой доста близък човек в а в нашата индустрия се занимава точно се занимаваше точно с това към Геда Боб. А и той ми е разказвал за какви неща са намирани. В смисъл не естествено не ми ги е показал, но сме си говорили и той ка той просто нещата са абсурдни. Но проблемът е, че пак тука опираме до това колко ефекти колко ефективно държавата налага закона и какви правомощия се дават, защото за съжаление нашите органи, които се занимават с това, аа са изключително ограничени финансово. Не им се отпуска достатъчно. >> Аз също така Аз също това исках да споделям твоето мнение. Смятам, че има изключително много служители, които а са с нужната квалификация и искат >> да възпират такъв тип, но нямат ресурс. >> Това е много, защото това изисква огромен ресурс. >> Точно така. Да, абсолютно вярно е. Точно така.

1:30:33↗>> А преди да ни разкажеш, тъй като искам да ми разкажеш малко случаи от твоята практика, разбира се, без да даваш нали пълни детайли, искам да те попитам за случката, която вълнува така разтрес цялата държава от началото на февруари месец. изключително неприятна случка със загубени животи, независимо какъв е сценарият >> или какво се е случило, нали, фактът, че имаме загубен човешки живот не един, а шест. Аа но изтеча една информация, която е свързана с видеонаблюдение, което видеонаблюдение е широко обсъждано, че не е категорично автентично, така да кажем. А от твоята камбанария като специалист, смяташ ли, че такъв тип, а нали запис може да бъде манипулиран до такава степен, до каквато някои теории развиват? >> Гледах записите аз. А не смятам, че са манипулирани. Това, което най-вече ме води до тази моя мисъл са две неща. Първото нещо е, че манипулация на такъв запис е

1:31:44↗трудна. Прекалено не е невъзможна, разбира се, но прекалено много ресурс би отнела, за да се реализира по толкова ефективен начин, защото не си говорим, нали, нещо да е супер очевадно, че е манипулирано там, нали. Много всички се чудят това така ли е или не. Щом се чудят, значи е добре направено, ако е направено. И това ме води до втората ми точка, която е, че не мисля, че има някой достатъчно а добър в България или интелигентен, който да може да го направи толкова добре. В смисъл трябва да си страхотен в това нещо, да може да го правиш по тоя начин, за да ги манипулираш тия записи и да ги подредиш изобщо цялата ситуация да я подредиш по тоя начин, по който тя се развива. Прекалено добро е, за да е истина, разбираш ли? Прекалено професионално е. Ние в България не можем нищо, в смисъл изобщо не можем да си намерим следите и уликите на а на на >> самото престъпление.

1:32:42↗>> Да. На престъплението. Камоли нещо такова да е направено по толкова добър професионален начин и след това а липсващи камери, данс да е замесен. Така и така. Изобщо цялата тая ситуация за мен е много абсурдна. Със сигурност аз съм убеден, че не всичко се казва и нещо се крие там. Ами знаеш ли, Дени, аз съм на мнение, че нали това е тежък случай, тежко криминално престъпление, има непълнолетни замесени и така нататък с много теории. Въпросът е, че а когато е толкова обществено разпространен един случай, това е множество острията, защото обществото хем има интерес, но хем вреди изключително много на процеса по разследване. А не знам дали си даваме сметка колко важно е един процес да да не бъде оцапан. М >> не знам дали в България има практика. Честно нямам представа да има така да се отваря гореща линия. Затова ако има престъпление с обществен интерес,

1:33:39↗свидетели или хора от обществеността да дават сигнали. Ако това е направено, то искам да ви кажа, че може би цялата страна щеше да звъни там, защото аа имаше просто хората бяха страшно обсебени от това нещо какво се е случило навсякъде, >> което смятам, че >> не беше и най-здравословното нещо за самото за цялата ситуация. >> За развитието на ситуацията, да. По принцип, нали, м за такива неща, >> но и те се органите се забавиха, МВР се забави да излезе и да каже >> становище. Да. С становище това да държиш така. >> Това е очаквано >> от нашите служители на реда. Обаче а проблемът е, че по принцип такива ситуации аа в развитите държави се пазят в тайна, докато нече >> доколкото е възможно, докато не те Да, точно така. Докато тече разследването, за да за да може то да не е афектирано, нали, и да бъде повлияно от външни фактори. А пази се в пълна тайна. Нещата

1:34:40↗се гледат от компетентни органи, от експерти, които действително експерти, защото нито аз, нито ти сме експерти да гледаме това видео и да кажем дали е така или не. Има си специални начини методологии пари за това нещо. Това винаги като се случи нещо, каквато и да е ситуация с вид престъпление и да излизат публични фигури и да започват едните са за, другите са против, да защитават, това пак по някакъв начин разделя обществото и всъщност е изключително зловредно. >> Разбира се, разбира се, че е така. А, но истината е, че в политиката една от основните цели е да разделяш, разделя и въде. А >> първия основен принцип >> да не можеш да имаш работещо общество, ако няма нали полярно мнение, а ако няма към какво да се хванеш ти и да имаш нали своята страна на нещата, тогава нещата просто няма да работят, няма да може да имаш власт, няма да може да контролираш тия хора.

1:35:35↗>> Така че това е си е абсолютно в нормата. >> Примери от аа примери от твоята практика да ми разкажеш някакви интересни, много интересни примерно. Ами в нашата практика всеки ден изкачат интересни примери за ситуации, които които се се развиват, но те са най-вече в фирмената среда. Ние не работим с индивидуални, нали, с физически лица. Не са ни такива клиентите. Ние работим с големи компании. А, бих казал, че много от интересните примери са в здравеопазването. Там виждаме най интересните. Те са по-скоро, бих казал, в нашите очи абсурдни неща. Аа където, да кажем, правихме експеримент преди доста години беше това, мисля, че преди три-четири години. А, правихме експеримент в една молница, за да видим колко от техните служители а ще разпознаят фишинг. А като експериментът е много прост. Имаме една група от хора, таргет, които таргетираме, а които всъщност

1:36:53↗няколкостотин души, естествено не е абсолютно цялата болница, а които нали идеята е пращаме един фишинг, да видим колко от тях ще се ловят, колко от тях ще се отворят мейла, колко от тях ще цъкнат линка и колко от тях ще си въведат а информацията. А в частта с въвеждането на информацията бяхме получили резултат от над 100%, което човек си каже как е възможно това нещо. А интересното беше, че някои хора си ги бяха въвели по няколко пътиме [хърка] са сигурни, нали, че че работи. >> Така че това е един много скандал един много скандален такъв пример, който имаме. За щастие между другото в последните години нещата много са се подобрили в защита на хората изобщо не само в тая индустрия, навсякъде. Доста по-добри са. Виждаме много по-хубави резултати вече от в последните няколко години. Аа та това е един много абсурден случай. Други абсурдни случаи сме имали, в които аа сме могли да

1:37:49↗станем милионери, просто да си тръгнем и да изчезнем някъде по някакви острови и да не се занимаваме повече с нищо. Но разбира се, ние не сме го правили. Продължаваме да си имаме тук в България и да работим. А, имали сме ситуации, в които а сме откривали м следи от хора, които са работили преди в една организация, а преди много години, обаче до ден днешен техните акаунти и привилегии на тоя акаунт седят в компанията. Никой не знае, че тоя акаунт все още е там. Той си има администраторски привилегии. Може всеки ден да се върне, всеки един момент да се върне, да се логне, да прави каквото иска тия неща. Тотална загуба на контрол, нали, над над това нещо, нали, което е огромен риск. А успявали сме да влезем в мрежи през принтери. Аа буквално, когато са настройвали офиса на компания, въпросната компания, а човекът, който е настроивал принтера, е решил, че ще го направи с

1:38:50↗администраторските си >> данни. данни, тоест usзъра им и парола, които имат достъп до абсолютно всичко, нали, в тая компания настроил го е с администраторските. Ние успяваме да ги вземем от принтера по много прост начин и оттам имаме вече контрол над цялата институция през неговите. >> Това са много интересни примери, които даваш. >> Да. >> Аа, Дени, искам да ти благодаря за това участие, тъй като смятам, че беше много интересно. На мен ми беше много интересно. Като част от нещата съм, нали, съм запозната не в така техническата специфика, както си ти, >> аз чисто в теоретичната и по-ранкова. А, но нека да оставим нещо скрито, да не разказваме всичко. Сега искам да ти задам едни блиц въпроси, >> които са малко по-чни. Добре. >> Кой беше моментът, в който ти осъзна, че киберсигурността не е просто технология, а всъщност отговорност към обществото и се насочи към нея?

1:39:45↗>> Преди 10 години, когато почнах да работя в индустрията. Най-трудното решение, което си взимал като лидер в дадена криза, техническо ли беше или беше чисто човешко? >> Човешко, >> разбира се. >> Имаш ли лична слабост, която си преодолял покрай работата ти? >> Да. Това да мога да казвам не. >> Ако не работеше в сферата на киберсигурността, в коя сфера щяхме да те намерим? >> Оха! А най-вероятно някакъв вид инженерство. >> Някакъв вид инженерство е много интересно. Да. >> Тоест, можега ли да си направя аз едно заключение, макар че те познавам от много време, че всички тези твои аа така на сърце проекти са свързани с това, че обичаш да търсиш адреналин? >> Аа и да и не. По-скоро са свързани с това че аз от малък съм много в част компютрите. Всъщност майка ми искаше да ставам компютър инженер, което аз не пожелах. Затова учих политика и между отношения. А да. Това е едно. [смях]

1:40:47↗>> Така че всъщност по-скоро са свързани с това, че аз имам интерес към технологиите и а и хората и това как те ги употребяват а по-скоро, отколкото нали чисто чисто технологично а някаква нали такава адреналин да търся в в тая сфера. Макар че има такъв и е много интересно. Много е интересно. Не е ли като такова пристрастяване, като откриеш нещо, като видиш нещо точно? >> Да. Да. Би би ми било много тъпо да се преместя от тая индустрия. Ще се чувствам много, ще ми е много скучно. >> Кой е най-ценният урок, който си научил от провал, не от успех? >> Аа никога да не се доверяваш на хората изцяло. >> Това мисля, че във всяка една сфера е общовалидно. Как изглежда умът ти, когато не се занимава със cyбер secюрити? >> Ами как изглежда? Опитвам се да си почина, защото иначе се пренатовари обикновено играя или някакъв спорт, или си почивам с приближение вкъщи. Гледам

1:41:48↗да се изолирам от от темата изобщо от работа, защото иначе просто ще ми гръмна главата. >> Книга, която ще препоръчаш на някой в твоята сфера или една книга на всеки? >> Ами една книга на всеки. Barbриian set theгейт. Много интересна книга. Проверете за какво става дума. Няма да ви спълвам. А не е фантастика или нещо такова, както звучи. По-скоро е свързана с икономика. Така че интересна е. >> А на някой, който би искал да се занимава в твоята сфера? >> Аа книги, свързани с киберсигурност, не мисля, че има особено много, обаче >> наръчници може би. Не знам. По-скоро бих казал книга, която аа говори много за мм социалните норми и за това, което виждаме в момента изобщо свързано с въпросите, които ми зададе с камери, с наблюдение и така нататък. >> 1984 на Джордж Рола. >> Така. Добре. Опасен ли е интернетът? >> Да, много. >> Какво за теб е справедливост от три думи?

1:42:52↗>> Морал. Ти само в една >> Дени, много ти благодаря, че беше мой гост. >> За нищо. За мен беше привилегия. >> Благодаря ти.