Сексизм в поИБе

Последние пару лет, стало модным говорить об увеличивающей роли женщин в ИТ вообще, и ИБ в частности. Помню несколько лет назад на CISO форуме сделали даже отдельную секцию для женщин. Было немного грустно, но красиво.

Надо сказать, что я нанимал женщин в безопасность, когда это еще не было мейнстримом, с 2010 года. А если просуммировать всех набранных, то количество принятых на работу мной женщин будет 44% (нечетное суммарное число). Почти все из них, достигали существенных результатов в профессии.

И все это время, почти, 10 лет, я вижу, как женщины в нашей поибэ сталкиваются с сексизмом по половому признаку. В подавляющем большинстве случаев девушки и женщины не воспринимаются в серьез. Безопасникам мужчинам приятно находиться в их обществе, но их слова и поступки в упор не воспринимаются в серьез. И такое сплошь и рядом. Два технических директора, которые не могут настроить спам фильтр, изошлись на какашки, что их обследовала девушка. Ее слова просто не воспринимались, но чудесным образом, специалист мужчина смог их прособеседовать.

Когда я учился в 2008 на аудитора ISO 27001, курс у нас читала чудесная девушка из Джетов. Она очень хотела стать сертифицированным аудитором BSI, и существенно раскрыла нам, мужикам, глаза на проблематику. А у нас в группе были сплошь начальники отделов крупных предприятий энергетического комплекса. Насколько я знаю, эта девушка превосходный эксперт.

И ведь нужна самая малость – воспринимать женщин, как равных, как специалистов. Не буду говорить о феминизме, сейчас это движение сильно замарано. Но пора уже избавиться от покровительственного пренебрежения.

Многие думаю, что я с какой-то издевкой наезжал на Юлию Омельченко или Варвару Шубину. Некоторые, даже пошли дальше, чувствуя себя рыцарями, обязанными защитить прекрасную даму.

Антон, именно потому, что я воспринимаю женщин, как равных, я готов вступить в открытую дискуссию. Возможно, ваше воспитание, предписывает вам защищать девочек. Как вы понимаете, тем самым вы становитесь сексистом. Я не знаю точно, но могу предположить, что для вас женщины слабы пол, который надо всячески оберегать и давать денег на маникюр. Но сейчас новое время, если девушка не просит о защите, значит она сама справиться. У нас достаточно сильных и самодостаточных женщин, не нуждающихся в защите в комментариях.

И да, в дискуссии с равным не позорно признать себя не правым. Но многим надо еще привыкнуть, что женщина может постоять за себя и со многим справиться самостоятельно.

Разумеется, у такого подхода есть и обратная сторона. Равное отношение, предписывает и равную отвественность. Никому не интересно вникать в «бабьи» разговоры и продажу косметики Амвея. Некоторые женщины, кстати, явно занимают позицию, я девочка с бантиками и рюшечками. И к ним нет вопросов. К счастью таких в нашей поибэ исчезающее меньшинство.

А на сегодня все, до новых встреч.

Сколько стоит репутация

Как вы знаете, я цифровой гик. Меня хлебом не корми, дай что-нибудь посчитать. Разумеется, я больше всего люблю считать деньги. Особенно чужие. Когда совсем невмоготу, считаю факториалы. Но на прошлой неделе у меня было, что посчитать.

Счетовод

Как вы знаете, в нашей поибе считается, что репутация ничего не стоит. Что всегда приводило меня в крайнее смятение. И я решил начать разбираться. Разумеется, начал с себя, а вернее с того, что меня окружает, и очень быстро подвернулся интересный пример. И подвернулся он… в страховании.

Надо сказать, что страховые компании стоят на две ступени выше безопасников в области понимания рисков, и на галактические годы в их расчете. Но не будем бить себя ушами по щекам, у них была некоторая фора.

Но давайте остановимся на понятии репутации. Репутация в общем смысле – создавшееся общее мнение о достоинствах и недостатках кого-нибудь или чего-нибудь. Это могут быть люди, товары, компании, направления. Например, с точки зрения заработка на хлеб насущный отрасль стоматологии имеет лучшую репутацию, по сравнению с частным извозом.

В экономике репутацию переводят в деньги с помощью понятия гудвил (goodwill). Оно не совсем нам подходит, т.к. применяется в основном при покупке/продаже компаний, и является надбавкой за «хорошесть». Но давайте не будем плодить лишние сущности, и будем считать гудвил при покупке товаров и услуг. Продажа же происходит? Значит в цене хороших товаров заложена наценка на гудвил/репутацию.

Необходима ремарка. Не будем сейчас разделять гудвил на репутацию бренда, маркетинга и пиара. Например, продукция компании Apple будет просто иметь большой гудвил.

Так вот, о чем собственно хотел рассказать. А рассказать я хотел о группе «Альфа Банка». Я просто обожаю Альфу. У меня там открыты все карточки, и карточки моей семьи. Я использую там депозиты, у меня там ДМС, я купил там КАСКО и ОСАГО, страхование жизни и имущества, даже когда-то использовал их кредитки. В общем я влюблен в Альфу и меня все устраивает.

Неожиданно оказалось, что 4 апреля у меня должна была закончиться КАСКО. Разумеется, я хотел продлить ее в Альфе. Мне даже СМСка пришла, и я стал звонить в Альфа-Страхование. Чуть раньше меня начали атаковать другие страховые агенты, предлагая свои условия. Казалось бы, при чем тут защита персональных данных, гадость несусветная. Некоторые предлагали были совсем не подготовлены, и расспрашивали меня о машине и обо мне. Такие были сразу сброшены на телефоне, т.к. если уж вы хотите переманить клиента, делайте это хотя бы удобно для клиента. Рассказывать каждому встречному поперечному, какой у меня стаж вождения немного утомляет.

Но среди уводителей были и подготовленные. Одна тетя, сделала мне предложение в 33 т.р. за КАСКО без франшизы. Т.к. время подходило, я решил позвонить уже и в Альфу. Тут уже зародилась небольшая обида, если уводители начали звонить за 2 недели – первый личный звонок от Альфы я получил за 3 дня до окончания страховки. Да и фиг с ним, я не гордый.

Дозвонившись куда надо, я получил предложение от Альфы в 49 т.р. без франшизы, но т.к. у меня были какие-то бонусы, предложение могло упасть до 46 т.р. Тут я уже расстроился окончательно. Как бы я не любил Альфу, но переплачивать 40% за ее репутацию и мое к ней хорошее отношение, я не готов.

Да, все мы имеем какие-то предпочтения. Вы можете покупать Чудо-йогурт за 30 рублей, а не Данон за 26, потому что они вам чем-то нравятся. Это естественно и нормально. Все мы готовы чуть переплатить, если получаем лучшее качество. Чисто интуитивно это варьируется где-то в районе 10-20%.

Я стал думать и анализировать свои потребности, и сошелся на том, что я бы все равно купил КАСКО у Альфы, если бы она стоила 39 т.р. Психологически комфортная цифра, чтобы остаться клиентом компании. Потом уже посыпались звонки от Альфы, сумма упала до 45 без бонусов, а в конце до 39 т.р. Казалось бы – желаемый успех. Но поезд ушел, к моменту получения заветной цифры 4 апреля, я уже неделю как оформил КАСКО за 33 т.р.

Особенно неприятно удивила аргументация страховой, мол у них были старые тарифы, а теперь все чудесным образом пересчеталось. Но на примере использования «зеленой карты» для поездок за границу, я точно знаю, что есть тарифы минимум на 2-3 месяца вперед. Т.е. Альфа Страхование было вообще все равно, они просто хотели срубить денег, за что обижаться на них глупо.

Итого промежуточный результат:

  • (46-33)/33*100% = 39% — не вписывается в интуитивную оценку стоимости репутации
  • (39-33)/33*100% = 18% — в пределах интуитивной оценки стоимости репутации

Т.к. считать я стал позже, чем уже все свершилось, получается, что расчетные данные сошлись с эмпирическими.

Теперь рассмотрим предложение, которое я выбрал. Оно было от Тинькофф Страхование. Надо сказать, что я, почти, ничего не знаю об этой группе компаний. Общий фон был скорее слегка отрицательный, какие-то там разборки с блогерами, навязчивый маркетинг, но ничего критичного. Как говорят в опросах, скорее бы не выбрал, чем выбрал.

  • Но окупила все цена. Если брать в процентах:
  • 33/46*100% = 28,1% — катастрофическая разница для Альфы, которая побудила искать альтернативные предложения
  • 33/39*100%= 15,3% — приемлемая разница для менее «репутационного» игрока.

Что в сущности тоже нормально, я сам в Ашане покупаю небрендированные хозтовары марки «Каждый день», т.к. не вижу смысла платить за туалетную бумагу по 100 рублей.

Что ж настало время сделать промежуточные выводы:

  1. За хорошее, мы готовы переплачивать до 20% стоимости.
  2. Видимо, существуют какие-то особые случаи, когда производитель закладывает 40% на свой гудвил. Видимо, надо быть Apple, что бы у тебя такое покупали.
  3. Мы скорее выберем небрендированный товар или с худшей репутацией, если она дешевле на 15% и более процентов.

Разумеется, это лишь вступление в тему. Надо, как говориться, еще перейти из b2c в b2b сегмент. Но думаю общие контуры экстраполируются и туда. Но это уже в другой раз.

Как кидали Страховую компанию

Здравствуйте, здравствуйте мои дорогие. Что-то совсем давно не виделись. По заветам тайм-менеджеров поставил себе задачу, писать минимум один пост в неделю. Вот, прямо сейчас и начнем. К счастью мне за это никто не платит, поэтому можно писать в свое удовольствие. И сегодня я хочу рассказать вам историю об еще одном кидке.

Все мы любим такие истории, по рынку гуляет куча таких историй. Стоит зайти в кулуары любой конференции, вам расскажут таких с десяток. И сегодня я расскажу про страховую компанию.

Жила-была маленькая страховая компания. Не совсем уж она и маленькая, так сказать первого эшелона. Но в контексте оскала нашей поибе, это была маленькая страховая компания.

И потребовалось маленькой страховой компании приобрести антивирус. У нее уже был богоподобный Касперский и все было хорошо, но внутренние регламенты предписывали наличие альтернативного антивируса. При чем строго конкретного.

Конкретный антивирус был тоже не большой и не маленький, первого эшелона, но не Касперский. И полетели к этому вендору письма с запросами коммерческих предложений. И вендор отвечал на эти запросы со скоростью неимоверной, сформировав начальную максимальную цену в 500 тысяч рублей. Цена, там была, конечно, другая, но важен принцип.

И разверзлась благодать для вендора, была объявлена конкурсная процедура, и были собраны три предложения, и… А, дальше неувязочка вышла.

Надо сделать лирическое отступление. Многие хорошие вендоры имеют открытый прайс-лист с ценами. Наш анивирусный вендор тоже хотел быть хорошим, и разместил цены у себя на сайте. Это называется оферта. Каждый знакомый с продажами в b2b знает, что чем больше возьмешь, тем дешевле тебе будет каждый конкретный экземпляр.

  • Например, стоимость 1 лицензии может быть – 5000 рублей.
  • Но если ты возьмешь 100 лицензий, то цена за штуку может быть – 2500, или 4000, но точно меньше, чем брать поштучно.

Значит у нашего вендора разбивка по ценам была до 50 штук (размер вымышлен), а на все что больше 51 лицензии надо было запрашивать цену. Из запрошенных цен получалось (цены с потолка, главное принцип):

  • 1 лицензия стоит – 3000 рублей.
  • Если брать 50 штук, то 1 стоит – 1000 рублей

Но нашей маленькой страховой компании требовалось 120 лицензий, и тут цена лицензии составила… — 3000 рублей за штуку.

Что, почему? Маленькая страховая компания смотрела на калькулятор, на бумажке столбиком перепроверила, не могла она понять, почему при покупке 50 лицензий она заплатит 50 т.р., а при покупке 120 в три раза больше.

Собрав всю волю в кулак, решила маленькая страховая компания разбить закупку на три части 50+50+20, на которые цены были в открытом доступе. Т.е. являлись открытой офертой, и по ним вендор обязан был продать. Даже подняли они руководство пользователя мудреное, где было сказано, что управлялка антивируса позволяет присоединять разные лицензии, на разные сроки. И в третий раз написала вендору, смогут ли они это купить.

На что менеджер хитрый ответил, что не смогут. И любой, кто придет к ним купить 50+50+20 лицензий, рухнет в ад отрицательной маржи, купив эти лицензии по 3000 рублей за штуку. Конечно, это по беспределу, но не волнует это антвирусного вендора, ведь можно и так деньги зарабатывать.

Такая история.

Сервис советикус стайл, или не покупайте диваны

Раньше я много писал про сервис. И тут в очередной раз столкнулся с совковым сервисом as is. Не один. а сразу два раза.

Потребовалось мне приобрести диван, что бы сидеть удобно, гостей расположить, да и спальное место лишнее не помешает.

В результате поисков остановили свой выбор на компании INTERYER, адрес переулок Партийный, д. 1, корп. 58. Цены там были ниже, чем в магазинах, где я обычно покупал. Поехали к ним в выставочный зал, который находится в промзоне у метро Серпуховская. Посмотрели, выбрали, да и заказали. И тут начались выкрутасы сервиса советикус стайл.

Назначили нам доставку на среду в 18 часов. Я чуть пораньше ушел с работы, сидим, ждем. После пары звонков и полученных ответов «мы на МКАДе в пробке», закрались подозрительные мысли. Пробок на МКАДе не было. В итоге в полдвенадцатого ночи мне привезли диван два каких-то охламона, и стали его выгружать. Я спустился, говорю, что мне диван нужен в квартире собранный, а не перед подъездом. На что вначале получил предложение кого-нибудь позвать из друзей (в полночь, ага), потом узнал, что они обязаны доставить лишь до подъезда.

Тут надо сделать отступление. Менеджер в магазине уверил нас, что доставка будет до дома. Напечатал в договоре цены 250 рублей этаж за подъем вручную, и сборка 300 рублей.

Указав на то, что мне нужен подъем и сборка, получил хамский отказ и отправил охламонов назад. Следующие пару дней я разбирался с фабрикой, претензий к дивану у меня не было, а вот к доставке были. Следующие охламоны приехали в субботу. Они также хотели чхать на договор и цены в нем, а также договоренности с фабрикой. Оказалось, что компания INTERYER всего лишь посредники, заказ передается на фабрику, а та нанимает каких-то шабашников с Ростова, которые за минимальные для фабрики деньги доставляют диваны. В итоге, диван мне привезли на половину мокрым, плюс подняли дороже. Зашли в своих грязных говнодавах в квартиру и напачкали. Конечно, надо было отказаться и ехать в ИКЕЮ, там доставили бы на следующий день. Но уже некогда было возиться.

Никогда ничего не покупайте в компании INTERYER, эти люди не придерживаются главного правила бизнеса – «уговор дороже денег» (напомнило давнюю историю, когда чел сел в такси с ценой за 2000 р., дал в морду таксисту и ушел). Покупайте в серьезных магазинах, там за те же деньги, вам поставят все в срок и без лишней нервотрепки.

Параллельно с историей с диванами шла история с установкой пластиковых окон. Т.к. окна дело серьезное и надолго, решил вначале обратиться к знакомым знакомых. Пришел замерщик, чего-то там намерил, чего-то в уме считал и выдал цифру в 45 т.р. На тот момент я пребывал в блаженном неведении на счет цен на окна, и подумал, что меня наебывают.

Решил сам поискать подрядчика. Наткнулся на фирму Оконный Континент. Там у них сразу высветился калькулятор, я прикинул цену, вышло дешевле. Позвонил. На следующий день ко мне приехал замерщик Сергей Борисенко, чистый, аккуратный, одел бахилы, рубашка в фирменных цветах. Померил, заполнил расчетную форму. Потом достал ноут и мы с ним посмотрели разные варианты, как сделать дешевле. В итоге получилось два варианта, они были сравнимы по цене с первым, но за счет скидки – вышло существенно дешевле.

Я взял пару недель на раздумья, т.к. сразу заниматься окнами и диваном не мог. Через две недели я позвонил и заказа, думаю, вы уже догадываетесь кому. Конечно, в Оконный Континент. Оказалось, там не только замерщики на уровне, но даже таджики-грузчики. Одно окно не вошло в лифт, так они его пешком подняли без вопросов. Накинул им лично немного денег.

Сама установка окон проходила весело. У нас оказался заливной дом, и поэтому все оконные проемы пришлось штрабить, поэтому было дороже. А потом непрекращающаяся уборка ^^ Зато теперь тепло, и не дует.

P.S. А парни из первой конторы до сих пор мне иногда названивают. Говорю, что сейчас возможности поставить нет, но как только так сразу к ним. Вредно думать, что заказ уже у тебя в кармане, если ты только раз съездил к клиенту и не можешь предложить чего-то большего.

2011 г.

Знание, вера и инфоцыгане

Здравствуйте, здравствуйте, мои дорогие и любимые. А у меня есть для вас новые увлекательные истории. Но начнем по порядку.

В этот вторник позвонила мне уважаемая компания Мегафон. И говорит мне. Какой я уважаемый и любимый их клиент, как они ценят, что я пользуюсь их услугами и всячески хвалят. Как вы знаете я люблю, когда меня хвалят. Все любят, когда их хвалят, это всем известно. И так бодро хвалят, что предлагают только мне, только сейчас 300 минут в день бесплатно. Очень заманчивое предложение. И я уже мечтал, как буду тратить по 300 минут в день, но что-то меня сильно настораживало. И дальше пошли чудеса, то ли закон о рекламе, то ли внутренние правила какие, которые заставляют озвучивать все условия акции, но засада обнаружилась. А условия оказались простыми – 10 рублей в день, и супер-предложение, которое только для меня, станет реальностью. Выяснив, что предложение действует только на момент разговора, и вернуться к нему потом нельзя будет, я вежливо отказался. Ну, не выговариваю я текущий-то лимит, куда мне еще 9000 минут?

И потонула бы эта история всуе, если бы не одно обстоятельство. Я безопасник. А мы, безопасники, народ такой – должны лажу за версту чуять. Лажа она такая, вещь рисковая. Вот, сидит перед вами потенциальный нарушитель, и втирает вам какую-то дичь, а вы сомневаетесь. От отмазывается, а вы проверяете. Он думает, что соскочил, а вы его к стенке прижимаете. Сомнение во всем, суть профессиональной деформации любого безопасника.

Но сомнение это не главное. Необходима еще уверенность в своем сомнении. Думаю, вы замечали, что наш мир полон различных дихотомий. Добро и зло, черно и белое, инь и янь. Одна из ключевых — знание и вера. Каждое подобное деление влечет к себе своих адептов, и как люди, верующие стремятся к вере. Там есть свои пророки и воины чистого знания. И безопасники, безусловно, тяготеют к знанию. Мы просто не можем иначе. Как можно защитить что-то не до конца понимая, как это работает? Как можно что-то предотвратить, если вы не представляете и толики возможных вариантов? Нет, мы адепты чистого, бескомпромиссного знания, это очевидно.

Так откуда это знание взять? Где найти тот бьющий источник? А это уже индивидуальный путь каждого. Кто-то долго и упорно учиться. Кто-то имеет богатый практический опыт. Но чаще происходит смешение (но не взбалтывание), в тех или иных пропорциях. Можно сказать, что безопасник – это человек открытого ума, оценивающий все вокруг через профессиональную деформацию.

И тут как на зло – парочка примеров под нашу тематику.

Первый пример подкинул Алексей Лукацкий. Как только Алексей закончил с темой персональных данных, он начал активно развивать тему обучения. Вещь разумеется нужная и полезная. В начале Алексей решил не бросать тему – экономической эффективности, и запилил авторский курс в «Информзащите». К сожалению, попасть на курс не удалось, а видеозапись теперь купить на сайте нельзя. Но судя по учебному плану, Алексей все также читает тему из 2014 года. Что подводит нас к очень важному вопросу в образовании, а кто учитель?

Ведь, что мы ожидаем от учителя? Что он будет, как минимум компетентным в той области, о которой рассказывает. Что у него есть соответствующий практический, или на худой конец академический опыт. Это категория знания, когда человек может передать хотя бы свой опыт, не говоря уже о каких-то сакральных знаниях.

Есть ли у Алексея соответствующий опыт? Не известно, он про это ничего не говорил. Я был на нескольких курсах у Алексея (по персданным и 382-П), где выборочно зачитывались слайды из огромной презентации на все случаи жизни. Для первичного погружения в тему – сойдет, но уже неофиты найдут там мало полезного.

На волне успеха от курса, Алексей еще заделал свою сертификацию. И, возможно, это было сделано ради шутки, но происходила она из страшного посыла. Веры Алексея в полезность своей работы. А это очень мрачные вещи. Если вы интересовались методиками создания религиозных фанатиков или изучали/посещали тоталитарные секты, то вы знаете, что если человек верит, то его очень легко подтолкнуть в крайнюю степень фанатизма (бей неверных и т.п.). В этом нет никакой тайны, что человеком, безоговорочно верящим во что-то, очень легко манипулировать.

Например, Алексей предложил своим читателям, подтвердить свои знания в области ИБ сертификатом о чтении его блога. Супер. Чем больше сертификатов, тем лучше. Что ж поделаешь, если у нас так сложилось? Но лично меня не взяли на работу в «Информзащиту», когда я сказал, что читаю блог Лукацкого. Именно это стало причиной отказа.

Через это – мы плавно переходим к теме ответственности. Учителя перед учеником, и автора перед читателем. Ученик не может и не должен сомневаться в учителе до окончания обучения. И если ученика научили плохо, если читателю дают ложные посылы и иллюзии, то виноват учитель-автор.

Вторая история, как раз про это. Смотрел, я как-то фейсбучек. Смотрю, Варвара Шубина рассказывает про какую-то книжку. Ну, рассказывает и рассказывает. После серии материалов, я по совету Рустэма Ниловича, Джет-инфо не читаю. А с Варварой мы пересекались в обсуждении свастики на их обложке. Сошлись на том, что не любой пиар одинаково полезен.

И, вот, смотрю – а книжка какая-то странная. И у автора имя какое-то необычное — Ана Мавричева. Думаю, мб опечаталась, с кем не бывает. Я сам-то с ошибками пишу. Ан нет. Все оказалось гораздо глубже.

Не знаю, почему Варвара пиарит Мавричеву, мб потому что они с одного города. Или просто подруги, или тренинг купила, не знаю. Но, что Варвара крайне неразборчива в источниках, я запомнил еще с истории со свастиками. И написал – «Варвара, вы кажется пиарите инфоцыганку». Ведь, если человек пиарит обманщиков, то он уже сам, почти, обманщик. Особенно, если знал. Если добросовестно заблуждался, еще туда-сюда. Но если знал – зашквар.

Кто такие инфоцыгане? Если кратко, люди, называющие себя тренерами, и обучающие других за деньги тому, чего сами не умеют.

Инфоцыгане — это те, кто предлагают купить у них «авторские обучающие информационные продукты»: курсы, тренинги, марафоны, вебинары.

Они аргументируют свой заработок в интернете тем, что «хотят помогать и делиться с другими опытом», «нести пользу миру». Короче, белые мы и пушистые…

Подробнее

Т.е. если Алексей Лукацкий, хотя бы опытный человек в своем деле, как он говорит теоретик, то данные граждане в наглую обманывают своих клиентов. И, разумеется, у данной Аны, выявились все признаки инфоцыганки.

Прямо начиная с имени. Сколько у нас Анн? Много. А Ана – одна. Она об этом сама говорит, попросила поменять имя, когда получала гражданство РФ. В общем случился у Аны конфликт со мной. Ух, какие слова дипломированный тренер по публичным выступлениям использовала… как говориться, сапожник без сапог. Что-то мне совсем с девушками не везет, чуть что не скажу им, у них со мной конфликт. То Варвара, то Юлия Омельяненко, теперь еще и Ана. Грусть, печаль.

А с Аной Мавричевой мы условились так: я делаю разбор ее книжки (если найду) и деятельности, а она получает с меня бесплатную рекламу. Так же мы обратимся к экспертам по инфоцыганам на ютубе, где на Ану снимут разоблачительный ролик.

Если вы хотите ускорить подготовку материалов, то можете помочь, в том числе материально.

А на сегодня все, до новых встреч.

Почему снег белый?

Никогда бы не подумал, что на асфальте удобно лежать. Для меня асфальт всегда был кучей камешков, чем-то вроде ПГС или гальки, которая бывает на пляже. Асфальт на удивление теплый. Вообще сегодня с утра было довольно морозно. Не скажешь, что всего минус 6. Но погода хорошая, как выражаются синоптики «без осадков и ветра». Много белого снега. Мир зимой, словно на старых фотографиях, черно-белый.

Сегодня, как и обычно, я приехал на работу. Вышел из автобуса на своей остановке, хотя автобусом это можно назвать с натяжкой. Классическая маршрутка на 19 посадочных мест, наш маршрут не очень многолюден. Подойдя к переходу, я стал ждать, когда образуется окно в потоке, или кто-нибудь соизволит нас пропустить.  

Знаете, с проведением этой компании по пропуску пешеходов на дорогах, некоторые стали переходить, будто только что сохранились. Сделают шаг на зебру, и чешут ни на кого не обращая внимания. А ты водитель, милый друг, как хочешь так и тормози.

Стою я на переходе, вижу в попутном направлении, в 50 метрах от меня, едет Шкода. Я всегда внимательно смотрю на водительское место, ища зрительного контакта. Расстояние большое, голова водителя смотрит в мою сторону, выхожу на переход. И снег такой белый вокруг, красиво. Вы никогда не задумывались, почему снег белый?

На переходе я поворачиваю голову вправо, и начинаю ждать, когда меня пропустит кто-нибудь из встречного потока…

Говорят, нервные импульсы передвигаются со скоростью 432 км/ч. В минуты опасности, надпочечники выбрасывают адреналин, и ты весь концентрируешься на возникшей ситуации. На короткий миг, ты начинаешь воспринимать все в 7 раз быстрее, чем обычно. Очевидцы описывают это, как ситуацию «всепоглощающего внимания», когда запоминается все до мельчайших подробностей. А иногда, в минуты серьезной опасности может «вся жизнь перед глазами пронестись». Последний раз у меня было такое, 14 лет назад, когда я, будучи молодым водителем, пошел на обгон в слепом повороте. Тогда мы разминулись. С тех пор, езжу аккуратно и не спешу, особенно с обгонами.

А в этот раз ничего не было. Ни сцен из детства, ни лиц родителей и семьи. Ничего. Чернота, я вижу небо, и снова темно. Одна мысль – не хочу сдохнуть. Когда-нибудь потом, в старости можно. А сейчас не хочу.

Знаете, что зебры сейчас дублируют желтыми полосами? Теперь они у нас бело-желтые. Наносят их такой плотной краской. Белые полоски теплые, по крайне мере теплее желтых. По идее солнце нагревает их одинаково, но белые все же теплее.

Как вы уже поняли, меня сбила машина. Та самая Шкода, которая по всем раскладам должна была меня пропустить. Как потом рассказал девушка-водитель, ее немного слепило солнце, и она отвлеклась на бардачок. Ужасное стечение обстоятельств.

В момент удара я стоял к машине левым боком. Бампер и капот, выбивают опорную ногу, и я лечу головой в лобовое стекло. Пробив стекло, машина наконец тормозит (другой пешеход успел отпрыгнуть), а я, сделав три оборота, остаюсь лежать животом на зебре.

Знаете, на асфальте удобно лежать. В свое время я часто посещал мануального терапевта, у них еще такие удобные ортопедические кушетки, способствующие расслаблению. Если в них полежать 5 минут без движения, то можно легко уснуть. Так вот, асфальт ничем не хуже. Лежу я такой, расслабился и смотрю перед собой. Хочется уснуть. А глаза кровью застилает. И нога левая болеть начинает. Понимаю, что живой. Кто-то со встречного направления начинает сигналить, потому что я мешаю ему проехать. Долго сигналил.

Думаю, именно в такие моменты, люди описывают всякие необычные состояния. Я воспринимал все, как в игре от третьего лица. Т.е. ты на полметра сзади, видишь спину, но не видишь лица. Как-то сразу пропали все заботы. У меня были большие планы на эту пятницу, как рабочие, так личные. Но сейчас это все было не важно.

Следующим самым важным в жизни стало – определить, сломана ли нога? Болела она, что пиздец. Это как молотком по пальцу садануть, только не проходит. Она и спустя месяц болит, но тогда особенно сильно. Думаю, если сломал – это будет надолго. А у меня семья, ее кормить надо. У нас как, волка – ноги кормят. А в гипсе много не набегаешь.

Подъехал первый экипаж ДПС, он стоял в начале улицы. А я попробовал подняться на руках, залив всю зебру кровью. Знаете, я никогда не испытывал такого удивления, как от собственной крови, капающей на зебру. Кап. Секунда. Еще, кап. Тогда я понял, понял почему снег белый. Он просто забыл свой цвет.

Лоб был разрезан осколками стекла, хорошо, что не проломил его. Руку от порезов спасла куртка, рукав распоролся от локтя до края. Со лбом вообще забавно вышло. Обычно при таких травмах бывает головокружения, и другие симптомы сотрясения. У меня, видимо, там сплошная кость. Отделался легким испугом.

А дальше все стало развиваться стремительно. Подъехал второй экипаж ДПС и скорая. Я тем временем отполз к тротуару и сел на бордюрный камень. Оттуда я уже переместился в карету скорой помощи, которая увезла меня в институт Склифосовского. В приемном покое было интересно, но об этом в другой раз. Ушибы сошли за 2 недели, синяки еще через неделю. Но боли не проходят, особенно не хорошо по ночам. Как оказалось, у меня разрыв мениска и всякое по мелочи. Но с этим я буду разбираться уже в следующем году…

Я теперь знаю, что видит человек, перед тем, как его собьет машина. Это одна из самых лучших вещей в жизни. Но я променял бы это знание, на то, чтобы в пятницу 16 ноября, было пасмурно…

А где пруфы, Билли? Нам нужны пруфы

Золотое правило блогера гласит – пиши часто и много. Если ты блогер по машинам, пиши о том, как ты тестил машины, ездил на них, смотрел из окна дома, видел картинки в интернете и играл в машинке в детстве. Чем больше говоришь по теме, тем больше будут думать, что ты шаришь в теме. Бич каждого блогера – темы заканчиваются. И тогда приходит на помощь муза креатива, придумывается какой-нибудь фуфел и с треском разбивается в пух и прах.

Думаете я преувеличиваю? Давай рассмотрим свежий пример из нашей поибэ. Как вы знаете, главный эксперт отрасли – Алексей Лукацкий. Алексей человек широких взглядов и интересов. Особое внимание Алексей уделяет взаимоотношениям бизнеса и безопасников. О чем и пишет, в его, Алексея, понимании. Для иллюстрации своих тезисов, Алексей рассказывает истории. Вот, свежая.

SOC бесполезен, если он не может увязывать технические и бизнес-показатели

(оригинал)

…дзынь-дзынь-дзынь
— (Блин, ну кого еще в субботу в такую рань принесло? Почему я забыл включить «Не беспокоить» на телефоне?..)
— Да!
— Привет, Сергей! Это Иванов.
— Доброе утро, Степан Петрович! Что-то случилось?
— Да, случилось, Сергей! Вчера поздно закончился совет директоров. Мы стали получать меньше денег! Явно негативная динамика за последнюю неделю.

Т.е. о проблеме знали вчера вечером, а позвонили в субботу утром? В реальности, если какая проблема, Сергея дернули бы в пятницу, и он бы помчался из дома на работу. А еще вероятней, все потенциально необходимые люди задержались бы на работе, чтобы быстро дать пояснения/исправить проблему.

— Это плохо. А причем тут я? Я же отвечаю за кибербезопасность!

Реальный Сергей ответил бы «за безопасность» или «информационную безопасность». Хотел бы я посмотреть на компанию, где есть отдел кибербезопасности, и сколько у них отделов безопасности по чему-либо вообще.

— У нас не работают системы!

Если знают что не работает, или из-за чего – живые люди так и говорят.

— А причем тут я-то? Это надо обсуждать с департаментом продаж или, на крайний случай, с айтишниками. Зачем ты звонишь мне?

Алексей, вы в своем же тексте нарушили иерархию разговора. Если в начале это Степан Петрович, то почему здесь «ты»? Почему в начале тогда не было «херли ты с утра звонишь? Что случилось?»

— Нет, ты не понял. У нас не работают системы и это из-за тебя; то есть твоих бойцов!
— Не может такого быть. Но давай я проверю и перезвоню через 15 минут!

…прошло 15 минут

— Степан Петрович, это Сергей! Я дернул дежурную смена нашего SOCа — у них все зеленое. Все индикаторы в норме и так уже недели две. Это не может быть из-за нас.

Так все-таки Степан Петрович. В общем все признаки того, что история выдумана. Впрочем, ничего плохого в этом нет, мысленные эксперименты нужный инструмент.

— Хорошо, Сергей. Давай в понедельник часиков в 7 приходи — будем разбираться!..

— Хорошо, Степан Петрович! Буду в 7 утра в понедельник. Хороших выходных.

…ту-ту-ту-ту…

Блин, ты уже в субботу позвонил. Если дело срочное и компания работает 24/7 (есть дежурные смены), почему всех не дернули в выходной на работу? Судя по всему, Степан Петрович, тоже кому-то отчитывается, и его назначили главным по разбору ситуации. И это он должен в 9 утра отчитаться, о причинах и принятых мерах. Поэтому Сергей сейчас поднимает свою пятую точку и весь свой отдел и мчит на работу, что бы Степан Петрович владел всей информацией в понедельник утром.

Руководитель службы ИБ пытался долго заснуть, но не мог. В итоге он сорвался на работу, чтобы разобраться в ситуации и к утру понедельника иметь всю информацию для общения с генеральным директором.

Т.е. Степан Петрович генеральный директор… Сергей на него компромат что ли имеет, или родственник – что он ему тыкает?

Проверки всех ключевых показателей ничего не дали — доступность торговой Интернет-площадки была в пределах допустимого — 99,9%. Число мошеннических транзакций нулевое. Угроз e-mail тоже было немного — 0,02% и все были отбиты на шлюзе. IPS, NGFW, анализ Netflow, контроль доступа… Все в зеленых зонах. Что же случилось?..

Алексей очень любит вводить новые термины. Обычно говорят об отсутствии инцидентов или их малой критичности. Что такое «зеленая зона»? Тюрьма для пограничников?

— (А может это Миша, наш дорогой CIO, решил поквитаться за прошлый раз, когда я обвинил его в том, что вся сеть легла из-за него, а не из-за накрывшей нас эпидемии вредоноса? А может  это Васильна взхъелась из-за того, что мы ей перекрыли доступа на сайт знакомств? Ну а фигли, хоть и финдир, а надо соблюдать политики. С чего они вообще решили, что это мы виноваты и почему SOC за сотни миллионов рублей ничего не видит?)

Потому что надо было его покупать у Cisco?

…прошло два дня…
В понедельник к обеду выяснилось следующее:

За 10 минут недоступности торговой Интернет-площадки из-за DDoS-атаки отвалилась ключевая сделка, которая должна была принести компании 27% ее недельного дохода.

Вот, это поворот. Т.е. основной бизнес компании происходит в интернете. Ключевая площадка хостится в компании (ни резервной площадки, ни балансировки нагрузки), хорошо. Чем же можно заниматься, что на твоей торговой площадке могут за одну сделку сделать 27% дохода? Наверно, ты что-то продаешь. А т.к. ты тратишь «сотни миллионов» на SOC, продаешь ты через электронную площадку много и товар твой нужный.

Вопрос, что ж это за контр-агент такой, который отказался от сделки из-за 10 минутного ддоса? Если сделка ключевая, то ее долго готовили, а следовательно о проблеме было бы известно тот час же. Продажники бы сразу вой подняли, и уговорили бы клиента подождать или перенести сделку. Ни один покупатель не будет срывать покупку нужной ему вещи, т.к. он потратит больше времени на поиск аналога, согласование условий, заключение договора и т.п.

Система защиты e-mail посчитала за спам рассылки маркетингового департамента и клиенты перестали получать предложения с последующим снижением покупательской реакции. 12 тысяч сообщений «выброшено в пропасть» — покупательская активность снизилась.

Алексей, я понимаю, что защита от спама тема уже старая и обыденная. Но нельзя же так. Спам-системы в первую очередь направлены на отсев внешних писем. Обычно, внутри, 12 тысяч сообщений может дропунть smtp-релей, у которого может быть ограничение на количество писем в очереди. Но тогда бы это давно решили, ведь рассылка производится не в первый раз.

Допустим спам-защита смотрит внутрь, значит ее поставили недавно (иначе бы такой фейл выяснился бы давно). Следовательно, завалена опытная эксплуатация и приемка системы, т.к. департамент маркетинга, видимо, в них не участвовал, как один из главных пользователей ресурса.

Ну, и мерить покупательскую активность по почтовым рассылкам – это верх бизнес-показателей. Алексей, вы сами-то рассылки читаете от многочисленных банков, клиник и магазинов, что вам валятся в ящик? Там конвертируемость ниже 1%.

Антифрод не увидел ни одной мошеннической транзакции. Да и откуда? Стоящий на периметре WAF отсек 3% клиентов, даже не дав им разместить заказ.

Чего? Т.е. если WAF отсек? То инциденты должны быть на нем. Опять же вопрос – как принимали систему? Почему отсек? Что это за бизнес, где одна сделка приносит 27% дохода, бегают физики с заказами и соки на миллионы? Интернет-магазин? Не похоже.

Понятно, что Алексей хотел проиллюстрировать, как можно больше средств защиты, но получился конь в вакууме. Почему не написано, в чем была аномалия входа этих 3%?

Последней каплей стало внедрение скрипта, который высвечивал перед каждым посетителем сайта уведомление с прокруткой о необходимости получения согласия на обработку персональных данных в соответствие с ФЗ-152 и GDPR, с полным разъяснением всех последствий от осознанного принятия клиентом всех условий предоставления ПДн компании. Анализ показал, что время, за которое клиент теперь стал доходить до процесса заказа увеличилось на 47 секунд, что привело к оттоку еще 11% покупателей.

Рукалицо. Алексей, какие 47 секунд? Моя бабушка освоившая социальные сети, кликает на галочку секунд за 15. Если у нас GDPR, то мы в тренде со всем интернетом, которые тоже добавили подобную информацию. Получается, что пользователи, зайдя на сайт, уже привыкли к этому в других местах и просто не читают.

Покупатели не уходят, если товар им нужен (а как мы выяснили, у нас не обычный интернет-магазин).

Как видно, пример взят для запугайки с совершенно оторванными от жизни примерами. Потом люди читающие Алексея, придут в свои компании и начнут их пересказывать, а на них будут смотреть, как на блаженных. Итог – информационная безопасность все дальше от бизнеса.

Прискорбно то, что Алексей делает это постоянно. Началось все с «зарабатывающего 10 млн долларов любителя порно», где не хватало самой малости – конкретики.

Да, да, дорогой читатель – тех самых пруфов, которые соединяют историю с реальностью. Мы в ИБ очень бережно относимся к информации, мы не называем фамилий и организаций, когда рассказываем кейсы, но они тем не менее остаются реальными.

Реальную историю от вымысла отличает ряд вещей (если мы не можем назвать ФИО, должность, организацию):

  1. Очертить сферу применения. В фантазии Алексея выше, не понятно, что это за бизнес. Понамешано все в кучу. То, что актуально для ритейла, неактуально для телекома.
  2. Очертить взаимодействующие стороны. Что Степан Петрович генеральный директор, мы узнали под конец. А почему мы подставили какого-то Мишу, мы так и не узнаем.
  3. Очертить проблему. «Получаем меньше денег» это не проблема, как бы Алексею не хотелось. Это следствие (кстати, очень полезно различать, если вы хотите говорить с бизнесом). А, вот, причины этого могут быть всякие разные. У нас могла банально дебиторка вырасти, просто задерживают оплату. И еще миллион причин.
  4. Описать последствия. Ну, тут все понятно.
  5. Описать решение (по желанию).
  6. Уж точно, надо указывать подсистемы, которые не справились.
  7. Можно указывать вендоров и конкретные решения, которые справились.

Это те самые пруфы, которых очень не хватает в многочисленных историях, гуляющих в кулуарах многочисленных конференций. Из-за чего большинство из них напоминают анекдоты. Безопасники рассказывают их бизнесу с серьезными лицами, бизнес смеется. Сравните историю выше, с реальной историей.

А на сегодня все, до новых встреч.

О кофе, или как обмануться с помощью цифр

Здравствуйте, здравствуйте мои дорогие любители посчитать деньги в чужом кармане. Сегодня мы поговорим о кофе, и как можно обмануться с помощью цифирек. Как вы знаете, я люблю все считать. И не мог пройти мимо такой вопиющей темы, как повышения цен в нашем кофе-поинте.

С 1 сентября цены на Латте там подняли со 100 до 125 рублей за 300 мл, и с 140 до 150 за 400 мл. в общем нормальные цены по Москве. Любой из вас вспомнив школьную математику, посчитает – что повышение цен состоялось на 25 и 10 рублей соответственно.

Да, больно, да, неприятно, но очередь за кофе не сократилась (это к вопросу о ценовой конкуренции), место хлебное, альтернатив нет – едем дальше. По нашей доброй традиции давайте посчитаем, на сколько повысились цены.

Объем кофе

Старая цена Новая цена Разница Насколько произошло повышение относительно новой цены

Насколько произошло повышение относительно старой цены

1

2 3 4

5

300 мл

          100 ₽              125 ₽           25 ₽ 20%

25%

400 мл           140 ₽              150 ₽           10 ₽ 7%

7%

 

В колонке номер 4 мы делили 3 колонку на 2.

А в 5 мы делили 3 на 1.

Ну, напрашивающийся вывод, что кофе за 300 мл подорожало сильнее, чем за 400 мл. Но что, мать заступница, творится в 4 и 5 колонках? А это дорогие мои, ключевой момент многих манипуляций. По факту цена выросла на 25% (25 рублей от 100 составляют ту самую четверть). Но если нам очень нужно сгладить противоречия, давайте будем считать от новой цены, будет уже на одну пятую. То ж не очень хорошо, но выглядит более привлекательно.

Если же вам необходим обратный пример, показать, как вы круто растете, делайте наоборот. Теперь вы знаете, как выводить недобросовестных пиарастов на чистую воду.

Но копнем глубже, а в чем причина такого повышения? Если чуть углубиться, у Латте два основных компонента – кофе и молоко (еще вода и ресурс оборудования, но сейчас не принципиально). Видимо, с 1 сентября подорожало кофе и/или молоко (а может просто решили поднять цены, но будем верить в добро). Но почему тогда повышение не одинаковое для 300 и 400 мл?

Оказалось, что объем кофе для 300 и 400 мл одинаковый, а молока чуть больше. И тем самые 7% в 4 столбце, повышение цен на кофе не учитывают, т.к. все кофе уже отбили еще на 300 мл.

Ну, и 300 мл латте вкуснее, чем 400, на мой субъективный вкус. Кофе больше, молока меньше.

Вот так-то. А на сегодня все, до новых встреч.

 

P.S. Материал предоставлен в обучающих целях, никогда так не делайте.

Кто же господин N?

Всем, привет. Думаю, любой из нас любит детективы. Это, когда читая описание преступления, ты делаешь свои ставки и пытаешься угадать, кто убийца. Сегодня, я предлагаю вам такой детектив. Алексей Качалин в субботу закрутил знатную интригу, в которой я предлагаю вместе разобраться.

Алексей написал:

Кружочки-панталончики, в начале я подумал, что это про меня. Вот, вот, оно признание. Но, потом меня одолела депрессия, т.к. подхожу только по 1 пункту (это про истерики. Истерики я люблю). Поэтому предлагаю разобрать каждый из пунктов. В начале воспользуемся памятью и общим фоном в нашей поибэ. Как вы понимаете, вся информация взята из открытых источников, и является личным оценочным мнением автора.

Пункт 1

Эксперт #поИБэ N.: специалист по новым угрозам, блоггер, независисый аудитор, автор статей, бизнес-консультант, телеаналитик, визионер угроз и пророк по нормативке. И вот чтобы всё это успевать — он добавил ко всем этим титулам «Дерьмовый …».

Новые угрозы, у нас любят открывать все, кому не лень. Добавляем в шорт-лист:

  • Алексей Лукацкий
  • Рустэм Хайретдинов
  • Евгений Царев
  • Олег Седов
  • Владимир Безмалый (по выдвижению Михаила Апостолова).

Блогер – без изменений.

Независимый аудитор. Что-то не помню, что бы себя кто-нибудь так называл.

Автор статей – можно добавить еще десяток блогеров 2авторов статей2.

Бизнес-консультант – добавляем в шорт лист Дмитрия Манниникова, Алексей Лукацкий +1.

http://nbj.ru/calendar/2018/07/26/2753/

  • Алексей Лукацкий +1
  • Рустэм Хайретдинов
  • Евгений Царев
  • Олег Седов
  • Владимир Безмалый
  • Дмитрий Мананнинков +1

Телеаналитик, визионер угроз и пророк по нормативке – данные критерии не поддаются оценке, все участники шорт-листа были в телике, и любят говорить за нормативку.

 

Пункт 2

Эксперта N. никто не любит, но не потому что он истерит по никому не актуальным уязвимостям, втирает за выдуманные бизнес-эффекты от ИБ, раздувает опыт управления двумя колдырями до лучших мировых практик корпорэйт гавернанса и не потому что он везде форсит свое мнение такое же унылое как обязательные сэлфачи…
… а потому что всё это вместе.

Истерит – без оценки.

Никому не актуальные уязвимости – я, конечно, не всех блогеров читаю. Но зацепило, что написано именно уязвимости, а не риски или угрозы. Например, Безмалый пишет по рискам и угрозам. Про уязвимости, чаще всего читаю у Ильи Медведовского.

  • Алексей Лукацкий +1
  • Рустэм Хайретдинов
  • Евгений Царев
  • Олег Седов
  • Владимир Безмалый
  • Дмитрий Мананнинков +1
  • Илья Медведовский

Опыт управления двумя колдырями. Руководят у нас Хайретдинов, Седов, Мананников Медведовский.

  • Алексей Лукацкий +1
  • Рустэм Хайретдинов +1
  • евгений Царев
  • Олег Седов +1
  • Владимир Безмалый
  • Дмитрий Мананнинков +2
  • Илья Медведовский +1

Постит селфачи. Ну, тут многие отметились. Лукацкий, Хайретдинов, Мананников.

  • Алексей Лукацкий +2
  • Рустэм Хайретдинов +2
  • Евгений Царев
  • Олег Седов +1
  • Владимир Безмалый
  • Дмитрий Мананнинков +3
  • Илья Медведовский +1

 

Пункт 3

Если Эксперт N. попробует на практике хотя бы одну свою рекомендацию и не будет после этого уволен, то это никак не изменит того факта что N. — долбоящер.

Тут всего один пункт – про рекомендации. Рекомендации у нас любят Лукацкий, Хайретдинов, Царев, Седов.

  • Алексей Лукацкий +3
  • Рустэм Хайретдинов +3
  • Евгений Царев +1
  • Олег Седов +2
  • Владимир Безмалый
  • Дмитрий Мананнинков +3
  • Илья Медведовский +1

 

Пункт 4

Мало кто знает, что темы #поИБэ, особенно в изложении N., стали наконец пользоваться популярностью на неИБэшных конференциях. Кроме самого N…. он всем об этом рассказывает. Поэтому мало кто знает. Потому что N.

На неэбешные конфы у нас любит ходит Рустем Нилович.

  • Алексей Лукацкий +3
  • Рустэм Хайретдинов +4
  • Евгений Царев +1
  • Олег Седов +2
  • Владимир Безмалый
  • Дмитрий Мананнинков +3
  • Илья Медведовский +1

 

Пункт 5

Эксперт N. мастерски работает со слушателями на вебинарах. Ему и мама его вчегда это говорит.

Вебинары у нас последнее активно вел Рустем.

  • Алексей Лукацкий +3
  • Рустэм Хайретдинов +5
  • Евгений Царев +1
  • Олег Седов +2
  • Владимир Безмалый
  • Дмитрий Мананнинков +3
  • Илья Медведовский +1

 

Пункт 6

Презентации Эксперта N. все внимательно смотрят. Но не ту половину слайдов что хреново оформлена. И не ту где — котики с баянами из гартнера. А где Спасибо, Досвидания! Потому что ДОСВИДАНИЯ!!

Презентации с котиками и гартнером. Ох… скажем так, все любят.

 

Пункт 7

А ещё все согласны с идеей N. что тру-эксперт вообще мараться презами не должен. Только хардкор и плэйнтекст с кодом без разметки. Да в принципе с любой хренью N. на кофебрейке можно согласиться лишь бы он не начал свои ИБ-визионерские-теории толкать.

Самый странный пункт. «Плэйнтекст с кодом без разметки», даже не знаю, кто у нас код в презы вставляет…

 

Пункт 8

Будь как N. — на коне в прямом эфире по актуальной проблеме бушующей эпидемии шифровальщиков, а не как его обосравшийся топ-менеджмент.

По теме высказывались все, кому не лень. Так, что никому баллы добавлять не будем. А уж чей топ-менеджмент напутал, можно спорить до хрипоты.

 

Шорт-лист

Список у нас получился следующий:

  • Алексей Лукацкий +3
  • Рустэм Хайретдинов +5
  • Евгений Царев +1
  • Олег Седов +2
  • Владимир Безмалый
  • Дмитрий Мананнинков +3
  • Илья Медведовский +1

Выкидываем всех, у кого меньше 3 баллов.

  • Алексей Лукацкий +3
  • Рустэм Хайретдинов +5
  • Дмитрий Мананнинков +3

Исключаем Дмитрия, т.к. он работает в заказчике. И получаем шорт-лист:

  • Алексей Лукацкий +3
  • Рустэм Хайретдинов +5

 

Факт-чекинг

Начинаем пробивать факты, с первыми двумя пунктами все понятно. Руководил ли Алексей когда-нибудь отделом? Оказывается, да, руководил.

https://lukatsky.blogspot.com/2015/12/blog-post_9.html

Писал ли, кто-нибудь в последнее время про нормативку? Да, Алексей жестко прошелся по новым требованиям ЦБеще раз).

Итоговый счет:

  • Алексей Лукацкий +5
  • Рустэм Хайретдинов +5

 

Мотивация

А, теперь посмотрим, на мотив Алексея Качалина, что его могло спровоцировать на такое заявление. Оказывается, 22 августа было совместное мероприятие, где были оба наших кандидата. Вот, выдержка из пресс-релиза:

Куратор ПРОФИ Алексей Лукацкий отметил: «Роль безопасника меняется. Сегодня это не технарь, как это было раньше. Это человек, который объединяет в себе и знание бизнеса, и знание технологий, и знание организационных вещей, и, разумеется, управление рисками, и комплаенс, и юридическую составляющую». На Западе термин «CISO» постепенно исчезает, безопасники переходят либо в защиту процессов, либо в защиту бизнеса, и, соответственно, буква «I» в аббревиатуре постепенно исчезает.

Так открылись 2 дня учебы, в которых поместились 19 мастер-классов от звезд кибербезопасности и одни киберучения. К слову, в качестве учебных легенд для киберучений «главнокомандующий» Алексей Лукацкий отобрал 9 реальных кейсов из жизни крупных компаний. Шифровальщики на компьютере топ-менеджера и главного бухгалтера, проверка Роскомнадзора, а тут еще звонок журналистки с вопросом — «Правда ли вас взломали?»… и только 2 минуты, чтобы спасти мир! Это было очень непросто, но команды с задачами справились.

Как говориться выводы, делайте сами.

А я же хочу поблагодарить Алексея Качалина, за столь увлекательный квест, интрига, в котором держалась до самого конца. У нас было 7 претендентов, мы сократили до 2. Это успех.

А на сегодня все, до новых встреч.

Как сделать стандарт за 10 дней (авторская версия)

Всем, привет. Хочу рассказать вам историю о том, как я делал методические рекомендации Минздрава. 500 страниц с нуля за 10 дней, сделанных ошибках и сложностях, которые не были преодолены. Надеюсь, мой опыт поможет всем, на кого свалилась задача написать руководящий документ, стандарт или закон.

Источник

Месяц до дня Х

2009 год в безопасности персональных данных, был годом предвкушения. Ходили упорные слухи, что 152-ФЗ «О персональных данных»., принятый в 2006 году вот-вот станет обязательным для исполнения. С момента принятия, рынку и операторам было дано время подготовиться к обязательному исполнению закона, и время подготовки истекало. 2010 год виделся годом большой работы, но закон вступил в окончательное действие лишь в 2011, но этого еще никто не знал (а потом еще пару лет не верили, что приняли)

Предвидя огромную организационную работу, многие ведомства решили начать готовиться заранее. Одним из первых было Минзравсоцразвитие (сейчас Министерство здравоохранения), которое курировало огромный пласт операторов персональных данных повышенного внимания (информация о здоровье) – медицинские учреждения (для краткости будем называть их ЛПУ – лечебно-профилактическое учреждение).

И т.к. в ЛПУ, ввиду очевидных причин, слабо развито ИТ, не говоря уже об информационной безопасности, то было принято решение создать для всех ЛПУ стандарт по защите персональных данных. Которым могли бы пользоваться люди далекие от безопасности и ИТ.

Т.к. в то время, большинство руководящих документов по защите персональных данных были недоступны широкому кругу лиц (действовало так называемое «четверокнижение» с грифом ДСП, которое могли запросить только лицензиаты), то вариант с созданием подробных методических рекомендаций был оптимальным.

Я же в 2009 году занимался информационной безопасностью 3 года, и был на уровне опытного джуниора. С багажом в пару проектов по персональным данным (что в то время было большим опытом, т.к. очень сложно убедить заказчика выполнять необязательные требования), в жесткой схватке с одним крупным НИИ, работа по созданию стандарта досталась мне.

Источник

Неделя до дня X

За неделю до начала работ, я обсуждал с руководством предстоящую задачу. Планировалось, что ее будет делать другой специалист, но в итоге она досталась мне. Надо упомянуть, что, будучи молодым, в профессиональном отношении, я действовал по принципу «слабоумие и отвага». Думаю, это свойственно всем специалистам на определенном этапе карьеры. И именно этот принцип сыграл ключевую роль во всей работе.

Забегая немного вперед, отвага заключалась в атаке «с шашками на танки» силами одного специалиста на такую масштабную работу. Уже значительно позже, я делал похожие работы возглавляя различные по численности группы (от 2 до 6 человек). И если уж говорить об оптимальной численности команды, то оптимальное количество людей 1-2 человека, не считая привлекаемых специалистов, вроде технических писателей. Из 5 подобных работы, 1-2 человека – это лучшее соотношение по производительности и достигаемому эффекту. Например, команда из 5 человек, подобную работу делала 9 месяцев.

Слабоумие же заключалось в указанных мною сроках работы (10 дней, которые вместо рабочих стали календарными), и не понимания всей широты проблем, которые могут возникнуть. Именно недооценка сложности, чуть не стала роковой. Но в этот раз отвага победила, но путь ее был труден.

Источник

1-3 день работы

Поскольку ничего подобного я раньше не делал, решил воспользоваться имеющимися методиками создания документов. Вспомнив самый масштабный документ, который я написал к тому моменту – мой диплом, я решил начать с начала и закончить в конце.

Первым документом были «Методические рекомендации по составлению Частной модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных учреждений здравоохранения, социальной сферы, труда и занятости». (Кстати, все документы можно найти в Интернете). С моделями угроз я работал больше всего, и эта задача была самой понятной. Это было первой ошибкой.

Если не вдаваться в подробности, мне необходимо было описать три последовательные стадии защиты персональных данных:

  1. проведение обследования,
  2. составление модели угроз,
  3. создание комплекта организационно-регламентирующих документов.

Разумеется, я начал описывать с середины, что вылилось в большие проблемы на 7-10 дней.

Второй ошибкой было использование последовательного принципа написания документов. Это когда сначала титульный лист, потом оглавление, список сокращений, вводная часть и т.п. Это не работает, в определенный момент вы обязательно встанете в «креативный тупик», чаще всего он наступает на 3-5 разделе, когда вам понятно, откуда вы вышли и куда хотите прийти, но не понятно как.

Забавно получилось с сокращениями, которые сразу же были сделаны. Чтобы была хоть какая-то преемственность с текущей нормативной базой, я скопировал сокращения из документов регулятора, и там осталось сокращение «ТКУИ – технические каналы утечки информации», которое в тексте нигде не встречается.

Лайфхак: чтобы сделать список сокращений актуальным, во время написания применяйте три простых действия:

  1. Как только вам потребуется сделать сокращение, пишите в формате «(далее – )». Например, обязательное сокращение в тексте (далее – ОСТ).
  2. Держите открытым отдельный файл Exсel, куда заносите все сокращения (можно без расшифровки).
  3. Когда текст будет написан, ранжируете в экселе перечень от А до Я и смотрите количество, а в тексте поиском ищете вхождение «(далее – )». Если числа совпали, поздравляю – у вас актуальный перечень сокращений.

 

Работая с сокращениями, не используйте больше трёх букв. Все отличное от этого выглядит ужасно и плохо запоминается. По крайней мере, в безопасности, где, как и в армии, верховодит всем ТБС.

Результат: 1 файл объемом 20 страниц и несколько табличек в Exсel.

4-6 день работы

После первых дней спокойного режима пришлось окунуться в бассейн кофеина и никотина. Во-первых, была сделана здравая работа – прочитано техническое задание. В принципе и раньше было понятно, что необходимо делать, но важны были детали.

Ключевыми словами были «методические рекомендации», т.е. последовательность действий для людей, слабо знакомых с предметом. Это будет либо главный врач ЛПУ, либо секретарь. Поэтому я решил, что нужно описывать все возможные варианты, чтобы пользователь не имел права на неопределенность: либо красное, либо зеленое, либо теплое, либо мягкое.

В этот момент я работал над моделью угроз и сразу сделал таблицы для всех возможных типов информационных систем (их у меня было 10), написал угрозы и делал другие непонятные вещи, интересные лишь в контексте защиты персональных данных.

После указания названий угроз в табличке стало понятно, что где-то должно быть общее описание самих угроз, затем – что наши 10 видов информационных систем тоже неплохо где-то описать. Так, двигаясь шаг за шагом, наполнял документ.

В процессе работы пришел к принципу «обратного движения», когда в начале пишется результат, являющийся сутью и целью документа, а потом итеративно все, что должно к нему привести.

В общем случае:

  • результат;
  • методика достижения результата;
  • описание.

Принцип оказался довольно живуч. С помощью него можно писать отчеты, начав с выводов, или политики информационной безопасности, начав с основных мероприятий.

Уже гораздо позже я дополнил этот метод концепцией «улучшенного JPEG», которая говорит, что работа в зависимости от срока всегда должна быть готова на 100%, разница лишь в степени детализации. Если кто застал времена небыстрого интернета, то обычный JPG отображался по мере загрузки (тот самый последовательный способ написания документов) сверху вниз, а картинку JPEG загружал всю целиком и улучшал ее четкость.

Одна беда – применение концепции «улучшенного JPEG» в лоб не работает для сложных документов (по крайне мере у меня). При прямом применении вы в новом документе создаете разделы и пишете, о чем они, расширяя описание по мере проработки. В стандартах и хитрых методиках это не работает, с чем я столкнулся на следующем этапе.

Дело в том, что нельзя все предусмотреть заранее. Концепция изложения может несколько раз меняться в процессе, причем меняться кардинально. Поэтому, если наполнять документ чем-то большим, чем заголовки (например, давать пояснения и т.п.), то в итоге вы придете к тому, что надо не просто переставить несколько предложений местами (те самые заголовки), а править, расчленять и дополнять те самые пояснения. Поверьте, это очень муторно.

Поскольку методические рекомендации, описывающие все возможные исходы однотипны, они должны совпадать по структуре и логике описания. Странно же будет выглядеть, если в одном типе будет структура системы, а в другом – нет. И вообще, если у пользователя будет два типа информационных систем, у него меньше возможности запутаться в одинаковых по структуре описаниях.

Сказано – сделано. Я взял самое подробное описание, которое у меня было, для системы, которая включала всё (в моём случае распределенная информационная система II типа), и копипастнул на другие типы. Я рассудил, что удалить лишние (а другие типы систем были подмножеством распределенной ИС II типа) проще, чем дописывать. Разумеется, это оказалось не так. Пришлось не только удалять лишнее, но и дописывать особенности конкретного типа. В итоге на проверку, перепроверку и отлов противоречий ушла уйма времени. В последующих работах я стал действовать ровно наоборот – описывать минимально необходимое, добавляя специфику.

На создание модели угроз ушло 5 дней, и я приступил ко второму документу.

Наученный горьким опытом, в первую очередь создал приложения, которые пользователи должны будут под себя заполнять, а потом приступил к описанию, как это заполнение организовать.

Результат – готовая методика по моделям угроз плюс половина приложений.

7-9 день работы

Это было время эйфории, план в голове сложился, осталась чисто механическая работа – только и делай, что добавляй приложения и описывай грамотно. Беда пришла откуда не ждали, даже две.

Источник

На оформление и переоформление кучи документов я убил значительную часть времени. Хотелось все сделать красиво, поэтому я сразу проставлял еще и внутренние ссылки на разделы и внешние файлы. Разумеется, как только возникала необходимость в корректировках (приложение новое вставить, документ переписать и т.п.), все это влекло за собой переделку всего оформления.

Не помню, о чем я тогда думал, но мне казалось это таким важным, что после каждого структурного изменения я занимался оформлением и перестановкой ссылок. Наверно, мне казалось, что вот это-то изменение точно будет последним, сейчас быстро переделаю и пойду другим заниматься.

С приобретением опыта я стал делать цветные заглушки. Ссылка на раздел 4, приложение 5 (отследить номер) и т.д.

Второй бедой стала терминология. Согласование терминов и определений по всем документам отняло много времени. Постоянно приходилось рыскать по страницам для уточнения той или иной формулировки (я делал все на одном мониторе, и, поверьте, это было нелегко). Это неизбежное зло, постепенно ваш словарный запас пополнит соответствующей тяжести канцелярит, и большинство определений у вас будут согласованными.

На девятый день работы все было готово – два файла рекомендаций с приложениями. Оставалось доделать мелочи.

10 день работы

Доделав мелочи, я решил перечитать все еще раз – поправить ошибки, отловить мелкие косяки и т.п. И тут мне захотелось сделать свою работу еще лучше, чтобы было понятнее. Решил отразить в описании угроз информацию из итоговых таблиц (все эти «реализация угрозы является маловероятной»). Зачем? Почему? Вот, захотелось.

Я начал добавлять, одно стало цеплять за собой другое, а тут результирующие таблицы неплохо бы поправить… Казалось, стало более красиво, но задача вычитки была полностью провалена. Поэтому не стремитесь к совершенству, что-то улучшать можно бесконечно, но вряд ли это кто-нибудь оценит.

А на вычитку время и силы надо обязательно оставить. Именно поэтому оптимальное количество человек в команде – два. Больше не стоит. Когда через полгода аналогичную задачу для образования решали пять человек, мы убили кучу времени на согласования, притирку частей, написанных разными людьми, общую терминологию, вычитку и т.п.

Источник

Если вы — титан мысли, то можете попробовать работать в одиночку. Но учтите, что когда напишете 500 000 знаков, у вас замылится глаз и будет казаться, что вы читаете одно, а по факту написано совершенно другое. Смешно и грустно.

Работу я сдал в срок и пошел спать. Уже потом надо было согласовывать документы с регулятором и править ошибки. В итоге данные рекомендации разошлись широко и отдельные части присутствуют в подавляющем большинстве комплектов документов по персональным данным. После я делал аналогичную работу для образования и атомной энергетики. Но это уже совсем другая история.

P.S. Краткая памятка для отважных

  1. Читай техническое задание.
  2. Не нарушай последовательность стадий работы.
  3. Внутри стадии двигайся от результата к методологии, а потом к определениям.
  4. Дополнять малое проще, чем сокращать большое.
  5. Занимайся оформлением в последнюю очередь.
  6. Ссылки внутри документа проставь на предпоследнем шаге.
  7. Удели время перепроверке.

Источник

P.S.S.

Вы прочитали неполиткорректную (авторскую) версию. Политкорректная версия размещена на Хабре.