Сергей Рычихин: если ты пришел только на операционку, то такой безопасник не нужен

Сергей Рычихин — заместитель гендиректора по комплексной и кибербезопасности АО «Расчетные решения». В подкасте «Интервью с банкиром» он рассказал, какие навыки нужны специалисту по ИБ, как построить комплексную систему кибербезопасности и убедить бизнес инвестировать в ИБ. Приводим расшифровку, а посмотреть или послушать полную версию можно по ссылкам ниже.

— Сергей, какие аспекты ИБ сейчас актуальны в твоей компании?

— Как и любая компания, мы смотрим на меняющееся законодательство: оборотные штрафы, КИИ, 187-ФЗ. Также изучаем требования ФСТЭК по безопасной разработке, CI/CD, выстраиванию процессов. С учетом меняющейся реальности учитываем фишинг, таргетированные атаки.

Степень подготовленности хакеров растет, они предварительно «прощупывают» компании: если наши системы фиксируют 20−30 атак, это знак.

— Звучит так, словно хакеров готовят. Есть какой-то Хогвартс, факультет Слизерин, где учат хакеров?

— Учат другие страны. А в целом нужно определиться, на какой стороне, ведь есть и «белые хакеры» — участники баг-баунти. К таким программам приходит любая компания, когда становится более зрелой с точки зрения кибербезопасности.

Баг-баунти – программа, в рамках которой компании выплачивают деньги исследователям (багхантерам) за обнаружение слабых мест в системе безопасности

— Переходят ли хакеры с темной стороны на светлую?

— В моей практике были такие моменты. Еще до появления баг-баунти ребята приходили и говорили: «Я нашел уязвимость, скажите, как мне начать у вас работать». Они не понимали, как правильно позиционировать себя с точки зрения закона, а компании не были достаточно зрелыми, чтобы работать с такими людьми.

В большинстве же случаев хакеры выбирают темную сторону или светлую. Одни развиваются с точки зрения угроз. Другие — с точки зрения защиты.

— Может ли светлая сторона победить? Так, чтобы закончились звонки «от товарища майора» и «службы безопасности банка»?

— Спасибо государству, которое помогает нам, выпуская требования, но если смотреть глобально, то пока уровень кибербезопасности в целом по стране не станет более высоким, мы не победим темную сторону. Ведь работает социальная инженерия – воздействие на людей.

Еще один момент: многие компании-контрагенты выполняют требования «для галочки», и атаки могут произойти через них.

— Ты говоришь, что в Российской Федерации нужно повысить уровень кибербезопасности. Сейчас у нас низкий уровень?

— Да, потому что киберграмотность нужно преподавать в школах. В СМИ неоднократно выходят истории, как школьник или студент взял у мамы карточку и вывел нескольких миллионов. Добавлю, что наша обязанность как родителей — начиная с детского сада рассказывать, чем хорош и плох Интернет.



— В вашей компании есть программа обучения по ИБ?

— Да. Когда я пришел в компанию, то внедрил автоматические почтовые уведомления, проверку знаний, но понял, что этого недостаточно. Следующий этап — митапы, где мы рассказываем, почему одни вещи можно открывать, а другие нет. Также мы с командой таргетируем программы под конкретные отделы.

Я каждый квартал проверяю результаты, провожу киберучения, и вижу, что уровень зрелости растет. По данным последних учений, свои учетные данные ввели только 0,1% сотрудников.

Когда мы писали стратегию развития кибербезопасности, то опирались на лучшие практики, за основу взяли стандарт ISO 2700, построили некую СМИП (Систему мониторинга информационных потоков) и сделали стратегию с интеграцией в бизнес и ИТ.

— Скажи, как убедить бизнес, что нужно увеличивать бюджеты на информационную безопасность?

— С учетом того, что наша компания занимается в основном развитием государственных информационных систем, мы отслеживали различные атаки, в том числе через поставщиков и оценивали возможные потери. Также использовали лучшие практики холдинговых компаний.

Мы проводили аудиты, пентесты, показывали, где фактически присутствуют уязвимости, как их могут использовать злоумышленники. Далее показывали, как эти проблемы можно закрыть. И когда бизнес понимал, что мы можем предотвратить огромные потери, он соглашался на внедрение.

— Сложно вести диалог с бизнесом?

— На самом деле, поскольку налажен контакт с генеральным директором. Но это благодаря тому, что директор прошел обучение по информационной безопасности.



— А как работаете с поставщиками?

— Стандартная практика — заключение NDA, но мы пошли дальше: сформировали соглашение, в котором прописали, что непосредственно должен сделать контрагент в рамках нашего взаимодействия.

В нем простые вещи: парольная политика, хранение и обработка персональных данных. Кому-то мы выдаем рабочие ноутбуки, кому-то делаем интеграцию с нашим SOC (центром мониторинга информационной безопасности), в некоторых случаях проводим еще и аудит этих компаний.

— Если говорить шире. Как за последние несколько лет изменился ландшафт угроз в сфере платежей и подход к ИБ?

— Хорошая практика — провести аудит, оценить, сколько будет стоить взлом той или иной информационной системы. По итогам аудита ты понимаешь, что твоя инфраструктура надежна, но, конечно, только на определенную стоимость.

— Наверное, компании среднего и малого бизнеса менее защищены, потому что их бюджеты меньше?

— Есть маленькие компании, которые взломать практически невозможно. Взяли ноутбук, положили его в сейф, закинули в море.

— Лучшая защита — это выключенный компьютер?

— Мы работаем в основном с государством, и порой у государства построена идеальная защита, но именно по принципу «в сейф спрятать и никакого выхода в Интернет». Взломать такое практически невозможно, если только ты не будешь атаковать конкретного человека.

— Кстати, как бороться с социальной инженерией?

— Работать с людьми. Здесь сотрудники информационной безопасности превращаются в психологов. Как я ранее говорил, мы обучаем сотрудников, формируем таргетированные курсы и фишинг тоже таргетируем, например для бухгалтерии.

— Можно ли побороть социальную инженерию программными средствами?

— Операторы связи пытаются: например, формируют слепки голосов мошенников. Зрелые компании могут отслеживать, какую информацию сотрудники передают в интернет, на каких сайтах используют свою корпоративную почту. Это помогает минимизировать утечки.

Но главное — обучение. Мы в компании каждый день говорим: уходя с работы, ты должен забыть о ней. Как я раньше говорил, нужно повышать уровень киберграмотности.

— Сегодня сложно соответствовать регуляторным требованиям?

— Как посмотреть. Можно следовать требованиям «в лоб». Вот часто говорят: «Вы должны инвестировать значительные суммы, потому что это требование закона». Но после 15 лет работы в информационной безопасности ты понимаешь, что ИБ — не доходное подразделение, и свои расходы придется обосновать.

Кроме того, законодательство меняется, как и комментарии ведомств.

И главное — важно научиться читать законы, сопоставлять требования с классами защиты, с СЗИ.




— Что ты имеешь в виду, когда говоришь о комплексном подходе?

— У меня такое мнение: если ты приходишь просто на поддержание операционной деятельности в ИБ, то такой безопасник не нужен.

Говорю так, поскольку есть ряд компаний, куда пришел человек после вуза и говорит: «Я построил информационную безопасность». Я предлагаю ему: «Давай проведу микроаудит, два-три дня пообщаюсь с твоими ребятами, с безопасной разработкой, с ИТ, если ты не против». И в большинстве случаев я вижу, что комплексный подход отсутствует.

Например: мы можем «в лоб» купить систему или взять open source решение. Но если используешь open source, то имплементируй его внутри сегмента, поставь защиту, настрой анализ уязвимостей. Это комплексный подход.

— Когда мы говорили о законодательстве, прозвучало очень важное понятие — импортозамещение. Насколько успешно оно проходит?

— На сегодняшний день есть сертифицированные российские решения для платежного сегмента. Они, конечно же, дороже, но здесь спасибо разработчикам, которые создали такие решения, что мы смогли бесшовно переключиться.

— Говоря о развитии. На кого в мире стоит ориентироваться? У кого хорошая информационная безопасность?

— Я живу в своей стране, ориентируюсь на себя. Есть, конечно, стандарты, которые используют лучшие практики, но я ориентируюсь на комплексный подход.

— Российские решения конкурентоспособны на мировом рынке?

— Не все, но мы начинаем приближаться к лучшим примерам на мировом рынке. Но опять же, пока используется комплексный подход, комбинация нескольких продуктов. Такого решения, чтобы по щелчку пальцев система стала безопасна, нет нигде в мире.

— Давай поговорим про будущее. Вы, как информационная безопасность, используете искусственный интеллект для защиты?

— Мы используем модели, когда определяем виды атак. Конечно, мы не можем использовать стандартный ChatGPT и похожие решения, потому что входим в экосистему холдинга. Используем только то, что поставляет экосистема.

— Если говорить об отдаленном будущем: что для тебя идеальная информационная безопасность?

— Нет универсального ответа. Скажу о своей компании: мы занимаемся разработкой. В первую очередь мне хотелось бы видеть грамотных разработчиков, которые знают, что такое информационная безопасность и DevSecOps, чтобы это были «security champions», пишущие чистый код и не передающие наружу информацию.



— И, как мы выяснили, борьба светлой и темной стороны бесконечна. Это скорее процесс, чем достижимый идеал.

— Да. Важно не останавливаться, развиваться постоянно.

В следующем выпуске обсудим ИБ в страховании: борьбу с фишингом и вредоносным ПО, регуляторные требования, импортозамещение, киберстрахование. Наш гость — руководитель департамента информационной безопасности ВСК Артем Деркач.

Смотрите и слушайте подкаст на всех популярных площадках.