Что такое CISO? За что отвечает глава ИБ в компании | Владимир Макаров из Кошелек

• Безопасность и бизнес-процессы в компании.  

• Необходимые навыки для развития в направлении информационной безопасности.  

• Представление спикера: Владимир Макаров, руководитель направления информационной безопасности в приложении "Кошелек".  

• Приложение позволяет выпускать и использовать пластиковые карты внутри мобильного приложения.  

• Удобство использования и оцифровка 525 тонн пластика за 10 лет.  

• Вопросы информационной безопасности и роль руководителя направления информационной безопасности.  

• Руководитель информационной безопасности CISO отвечает за защиту критических активов и бизнес-процессов компании.  

• Важность информационной безопасности для бизнеса в условиях информатизации.  

• Бизнес-процессы как движущая сила компании.  

• Информационная безопасность как подпроцесс для поддержания основных бизнес-процессов.  

• Пример с кофейней: важность информационных систем для бизнес-процессов.  

• Эквайринг, логистика, управление бизнесом и другие системы.  

• Влияние безопасности информационных систем на бизнес-процессы.  

• Примеры угроз и их последствия для бизнеса.  

• Информационная безопасность как непрерывный процесс.  

• Роль CISO в создании и поддержании процессов информационной безопасности.  

• Пример с антиспам-системой и ростом количества фишинговых писем.  

• Отсутствие комментариев в чате указывает на таргетированную атаку на компанию.  

• Необходимо принять меры: оповестить сотрудников, заблокировать письма, понять источник атаки.  

• Важно заранее описать комплекс мероприятий для предотвращения инцидентов.  

• Описание комплекса мероприятий помогает избежать ошибок и задержек в инцидентах.  

• Включает механизмы защиты, метрики для оценки и комплекс мероприятий для реагирования на инциденты.  

• Руководителям по информационной безопасности важно продумать все эти аспекты.  

• Руководители должны продумать все мероприятия, включая метрики и реагирование на инциденты.  

• Важно выстроить систему управления и контроля для выполнения мероприятий по информационной безопасности.  

• Это требует высокого уровня вовлеченности и осведомленности о механизмах защиты и лучших практиках.  

• Работа по созданию комплекса мероприятий по информационной безопасности требует творческого подхода.  

• Это может быть интереснее, чем тестирование на проникновение, хотя пинтест также имеет свои преимущества.  

• Руководитель должен обеспечить разработку и реализацию стратегии кибербезопасности компании.  

• Управление рисками является ключевым элементом информационной безопасности.  

• Важно учитывать риски, такие как взлом и социальная инженерия, для всех активов компании.  

• Компании должны соответствовать требованиям законодательства в области информационной безопасности.  

• Примеры: требования Центробанка, 187-ФЗ, местные фреймворки и стандарты.  

• Важно выполнять как общие, так и специализированные требования.  

• Необходимо постоянно модернизировать системы защиты, чтобы соответствовать новым угрозам.  

• Пример: отказ сетевого оборудования из-за санкций.  

• Важно создавать культуру информационной безопасности внутри компании.  

• Сотрудники должны соблюдать требования информационной безопасности.  

• Обучение сотрудников основам кибербезопасности необходимо начинать с нуля.  

• Важно вовлекать сотрудников в процессы информационной безопасности.  

• Выстраивание культуры кибербезопасности включает взаимодействие с сотрудниками.  

• Создание "секьюрити чемпионов" среди сотрудников, не связанных с информационной безопасностью.  

• Стимулирование сотрудников к изучению дополнительных знаний в области информационной безопасности.  

• Карьерный путь в информационной безопасности не всегда очевиден.  

• В крупных компаниях, таких как Газпром и Роснефть, руководители по информационной безопасности получают высокие зарплаты.  

• Важно стремиться к карьерному росту в этой области.  

• Начинаете с должности специалиста по информационной безопасности ИБ.  

• Важно разбираться в домене ИБ, которым оперируете.  

• Постепенно переходите к тим-лидерству и руководству командой.  

• Решаете более сложные задачи в команде.  

• Начинаете делиться знаниями и опытом с другими специалистами.  

• Переходите к руководству отделом ИБ в крупной компании.  

• Набираете компетенции для самостоятельной работы.  

• Становитесь директором по информационной безопасности ИБ.  

• Получаете творческую свободу в управлении ИБ в компании.  

• Подделка аккаунтов руководителей для социальной инженерии.  

• Важность культуры кибербезопасности и осведомленности сотрудников.  

• Корпоративный шпионаж и его риски для крупных компаний.  

• Коммерческие директора могут передавать клиентские базы конкурентам.  

• Политика нулевого доверия помогает защититься от таких атак.  

• Примеры реализации концепции нулевого доверия в компаниях.  

• Обсуждение вопросов по информационной безопасности.  

• Хард скилы: знание доменов ИТ и информационной безопасности.  

• Важность знания ИТ-процессинга для успешной работы в компании.  

• Необходимость изучения ИТ-решений и доменов компании.  

• Примеры: облачные технологии, сетевое оборудование.  

• Почему это важно: для защиты систем и аргументации перед сотрудниками.  

• Важность понимания бизнес-процессов и риск-менеджмента.  

• Как правильно доносить информацию до руководства.  

• Примеры: экономические последствия и влияние на бизнес-процессы.  

• Необходимость опыта в информационной безопасности.  

• Софт скилы: коммуникабельность, умение вести переговоры и руководить коллективом.  

• Важность опыта и ошибок в управлении коллективом.  

• Конфликтные ситуации неизбежны и требуют умения их решать.  

• Умение договариваться и вести переговоры важно для руководителя.  

• Умение учиться и изучать новые технологии необходимо для успешной работы.  

• Компании внедряют новые технологии, включая машинное обучение.  

• Руководители должны обеспечивать безопасность этих технологий.  

• Вопросы безопасности новых технологий будут обсуждаться с руководителями.  

• Любая система без технического описания сложна в эксплуатации.  

• Важно документировать процессы и системы для их эффективной эксплуатации.  

• Потеря ответственного сотрудника без документирования может привести к проблемам.  

• Документирование работы важно не только для преемников, но и для самих сотрудников.  

• Рекомендуется использовать системы документирования, такие как Confluence.  

• Документирование помогает быстро решать повторяющиеся задачи и избегать отвлечений.  

• Коммуникабельность, лидерство, умение вести переговоры.  

• Смелость, фокус, обязательность, уважение и открытость.  

• Адаптивность к новым технологиям и бизнес-решениям.  

• Адаптация к изменяющимся условиям и создание безопасных бизнес-решений.  

• Не запрещать, а предлагать безопасные решения.  

• Пример с сервисом доставки Яндекс.  

• Умение не обвинять внешние факторы в своих неудачах.  

• Принятие ответственности за свои действия.  

• Примеры из жизни и работы.  

• Смелость, фокус, обязательность, уважение и открытость.  

• Важность этих качеств для работы по фреймворку Scrum.  

• Рекомендации по управлению проектами.  

• Машинное обучение не представляет серьезной угрозы на текущем этапе.  

• Проблемы с автоматизацией бизнес-процессов.  

• Примеры ошибок, связанных с машинным обучением.  

• Взлом информационных систем как типизированная задача.  

• Возможность использования ИИ для взлома в будущем.  

• Примеры тестирования и реализации ИИ в киберпространстве.  

• Специфические домены и фреймворки ИБ.  

• Специфика работы в государственном сегменте.  

• Проблемы с мотивацией из-за низкого уровня зарплат.  

• Проблема с использованием Windows и Office.  

• Рассмотрение альтернативных операционных систем.  

• Подсчет стоимости покупки лицензионной ОС.  

• Опыт использования Linux в Казахстане.  

• Законодательные требования к использованию российских ОС.  

• Штрафы за нелицензионное ПО.  

• Генерация картинок и обучение с помощью ИИ.  

• Рекомендация нейронной сети "Туторми" для обучения.  

• Преимущества и недостатки использования ИИ для обучения.  

• Проведение фишинговых тестов.  

• Киберучения и тестирование реакции персонала на инциденты.  

• Внутренние корпоративные игры для тестирования защиты.  

• В 2017 году многие компании пострадали от вирусов-шифровальщиков.  

• Вирусы отключали серверы и шифровали инфраструктуру.  

• Автор не комментировал ситуацию вокруг компании Сдэк, считая это неэтичным.  

• Взлом учетной записи сотрудника отдела ИБ банка.  

• Важно проанализировать, как это произошло, и принять меры для предотвращения подобных инцидентов.  

• Пример из практики: фишинг-атаки на сотрудников блока ИТ.  

• Важно изучить деятельность компании и её бизнес-процессы.  

• Внимательно читать резюме и должностную инструкцию.  

• Понимать, какие вопросы будут задаваться на собеседовании.  

• Изучать финансовое положение компании.  

• Вести отдельные аккаунты в соцсетях для работы и личной жизни.  

• Внимательно читать вакансию и оценивать, подходите ли вы на неё.  

• Если вы подходите на 50% и более требований вакансии, это уже хорошо.  

• Не ставьте цель соответствовать всем требованиям на 100%.  

• Если вы проходите по 25% требований, это повод для приглашения на собеседование.  

• Важно избегать шаблонных и аляпистых резюме.  

• Избегайте длинных резюме, которые сложно читать.  

• Начинающим специалистам и специалистам с большим опытом сложно писать резюме.  

• Пройдитесь по всем темам и доменам, заявленным в резюме.  

• На собеседовании вас будут спрашивать о том, что вы написали в резюме.  

• Вопросы могут касаться технологий, применяемых в компании, и опыта, заявленного в резюме.  

• Знание стандартов 127.001 поможет ответить на большинство вопросов.  

• Важно понимать архитектуру решений, таких как серверный Касперский.  

• Необходимо знать минимально допустимый перечень портов для коммуникации антивирусного агента с сервером.  

• Изучите компанию, её проблемы и материальное благосостояние.  

• Важно работать в успешной компании, чтобы избежать финансовых проблем.  

• Оцените корпоративную культуру и атмосферу в офисе.  

• Пишите в резюме только то, в чем уверены.  

• Оставляйте актуальные контакты: телефон, почта, мессенджеры.  

• Будьте готовы к частым проверкам почты и мессенджеров.  

• Будьте готовы быстро отвечать на запросы HR.  

• Не пытайтесь уместить всё в резюме.  

• Важно быть готовым к продолжению коммуникации после получения отклика.  

• Существуют два подхода: раскрыть личность или сосредоточиться на профессиональных навыках.  

• Лучше писать о профессиональных достижениях и дополнительных знаниях.  

• Избегайте личных увлечений, чтобы не отвлекать от основной цели.  

• Есть два мнения: фотографии обязательны или не нужны.  

• Если ставите фото, оно должно быть строгим и профессиональным.  

• Улыбающееся фото повышает вероятность рассмотрения резюме.  

• HR проверяют не только софт-скилы, но и адекватность кандидата.  

• Часто приходится сталкиваться с неадекватными кандидатами.  

• В крупных компаниях уровень неадекватности особенно высок.  

• Компания Cisco показала, что не готова продлевать лицензии и "кирпичить" оборудование.  

• Уход иностранных вендоров с российского рынка сыграет им на минус.  

• Специалисты не будут доверять таким компаниям, что приведет к росту локальных провайдеров.  

• Работа в силовых ведомствах может быть преимуществом для сотрудников ФСБ.  

• Для ИБ-специалистов работа в госсекторе может быть недостатком.  

• Рекомендуется переходить в крупные компании после работы в госсекторе для адаптации к коммерческой культуре.  

• Сертификация не всегда гарантирует знание базы по информационной безопасности.  

• Вопросы на собеседованиях могут выявить пробелы в знаниях.  

• Важно правильно строить собеседование, чтобы избежать таких вопросов.  

• Пишите релевантный опыт, избегайте лишней информации.  

• Не стоит подробно описывать все места работы, достаточно последних двух.  

• Описывайте опыт старше двух лет кратко, тремя-четырьмя фразами.  

• Ведите себя уважительно и корректно.  

• Не хамите и не проявляйте предвзятость.  

• Не рассказывайте о проблемах с предыдущим работодателем.  

• Используйте шаблонные ответы, например, повышение уровня зарплаты.  

• Если был конфликт, сведите его к другому пояснению.  

• Если хотите перейти на другую должность, опишите свои компетенции и опыт.  

• Опишите релевантный опыт с упором на новую должность.  

• Если опыт не совсем релевантный, поясните, почему хотите работать в новой сфере.  

• Важно искать работу около вашей корневой специальности.  

• Ищите работу около ИТ, даже если это временно.  

• Работайте в сфере, которая принесет опыт, даже если это не программист.  

• Получайте знания, которые можно применить к будущей специальности.  

• Частые походы на собеседования помогают улучшить навыки прохождения собеседований.  

• Даже опытные специалисты периодически ходят на собеседования.  

• Навык прохождения собеседований можно натренировать, что помогает лучше понимать рынок и свою стоимость как специалиста.  

• Если на собеседовании предлагают зарплату выше текущей, это может быть признаком того, что ваша реальная стоимость на рынке выше.  

• Важно не замыкаться в рамках текущей работы и рассматривать возможность повышения зарплаты.  

• Поиск работы через нетворкинг и профильные сообщества может быть более эффективным, чем через резюме или хэт-хантер.  

• Отправка резюме в кадровые агентства также может быть полезным.  

• Контр-офферы могут быть восприняты как шантаж и не всегда адекватно воспринимаются работодателями.  

• Важно тщательно обдумывать контр-офферы и не надеяться на них слишком сильно.  

• Стрим длился более двух часов и был продуктивным.  

• Возможно, стоит рассмотреть создание отдельного стрима по разбору резюме.  

• Автор благодарит зрителей и приглашает на свой YouTube-канал для более простого и интересного контента по информационной безопасности.