Архив рубрики: Информационная безопасность

Материалы по информационной безопасности

Что в имени тебе моем?

Когда-то я был молодым. Хотя и сейчас не старый, но тогда был совсем молодым. В тот момент, все мои мысли занимала карьера, а главным ее мерилом воспринималась, занимая должность. Это сейчас понятно, что меряется все несколько иначе. Но тогда должность была на первом плане.

Рос я от специалиста до ведущего специалиста, и случилось мне возглавить отдел. У меня и подчиненные были – 4 студента. А, т.к. компания была маленькая, вписали мне в трудовую аж целого Начальника кордебалета отдела. Для публики меня называли Руководителем направления аудита. Ох. Я, кстати, никогда не понимал всех этих Руководителей направлений. Это навигатор что ли заменяешь? Через 3000 км поверните направо? Маразматичней этого я видел лишь заместителей директора по развитию. Вот, уж где мог скрываться кто угодно, под заместителя до подносчика кофе.

И значит пошел, я после такого офигенного карьерного поворота устраиваться в компанию АйТи. А там все начальники заняты, есть ведущие специалисты. Но я ж, блин, целый руководитель. Не, мне нельзя так просто в специалисты. Это сейчас я дегустатор, а тогда было принципиально важно, что бы в должности висело – руководитель. В общем вписали меня, как руководителя проектов. По сути, я этим самым и занимался, но потом должность сменили: Ведущий инженер поддержки продаж Отдела информационной безопасности Департамента инфраструктурных решений.

Это, кстати, две другие крайности. Первая, чем непонятней должность – тем больше вопросов. Я два раза попробовал объяснить, кто такой инженер поддержки продаж. После чего, 5 лет писал везде руководитель проектов и не выебывался. РП все понятен. Как и инженер, аналитик, начальник. Поддержка продаж – нет.

Вторая крайность, чем длиннее и/или мудренее название – тем, по факту, меньше человек решает. Вы видели, когда-нибудь младших партнеров, которые привозили заявки на конкурс? Я периодически видел.

Поэтому я всегда с почтение отношусь к таким же «рыбакам». Ну, молодец же человек – старается. Вы думаете, это удел лишь таких нищих духом и меркантильных людей, как я? Нет, это всеобщая блажь.

Давайте рассмотрим примеры. Я взял двух самых активных личностей на нашей поибэ в данный момент. Конечно, меня, как всегда, можно обвинить в том, что я кого-то там опускаю и пиарюсь за чужой счет. Но смотрите сами, это открытая информация, предоставленная самими участниками. И, думаю, я не первый кто задавался подобными вопросами.

Мерить будем корреляцию между участниками и мной, когда я мутил с должностями.

 

Алексей Лукацкий

Алексей ЛукацкийСам себя Алексей позиционирует, как бизнес-консультант по безопасности. Если посмотреть на сайте Cisco, то встречается еще Business Development. В общем, все очень запутанно. Разберемся с бизнес-консультантом. Что это такое? Кого консультирует Алексей?

Более-менее устоявшееся определение гласит:

Бизнес-консультант – это специалист, оказывающий консультационные услуги другим фирмам, предприятиям, организациям по широкому кругу вопросов. Может действовать как индивидуально, так и в штате специальных (консалтинговых) фирм.

Т.е. консультант – это сотрудник внешней фирмы, которого приглашают решить конкретную проблему. Или же Алексей дает советы Cisco? Как строить информационную безопасность? Крайне сомневаюсь. Вся деятельность Алексея лежит в чем угодно – лоббирование нужных законов, пиар, представительские функции – но, крайне маловероятно, что она заключается в развитии ИБ в Cisco.

Мб Алексей консультирует сторонние организации? Не высказывает отсебятину в кулуарах, а по взрослому – под договор и за деньги? Возможно. Огласке это не предают.

Business Development (ака развитие бизнеса) – примерно в ту же степь. Тут хотя бы, с натяжкой можно сказать, что Алексей защищает интересы работодателя от совсем уж драконовских мер. Хотя развитие бизнеса – это скорее захват рынков, создание новых продуктов или продажи.

Можно предположить, что должность Алексей писал себе сам. Бизнес-консультант звучит гордо, я бы тоже себе на визитку поставил, если бы поумней был.

Корреляция – 100%.

 

Андрей Прозоров

Андрей ПрозоровНа сайте Solar Security Андрей представлен, как Руководитель экспертного направления. Опять же, что такое руководитель направления? Я крайне несведущ в иерархии Солара, но даже мне понятно, что если есть Директор департамента JSOC и Руководитель направления JSOC, то один подчиненный другого. Крайне интересно узнать, зачем городить огород со всеми этими руководителями направлений? Но это дело десятое.

Департамента экспертного направления нет, следовательно, здесь Андрей самый главный. Но что такое экспертное направление? Или это по принципу: эксперт – человек не из нашего города? Зная опыт и заслуги Андрея, можно предположить, что он возглавляет экспертное направление по продвижению продукции Солар.

Насколько нам доносит компания Солар, подчиненных у Андрея нет. Следовательно, крайне вероятно, что это просто красивое название, при переходе из Infowatch. И денег немного плюс должность, я также делал.

Совпадение – 100%.

 

Как видно, умные люди, думаю одинаково.

Всего вам доброго.

Игроки рынка ИБ и таксисты

Надо сказать, я очень люблю наблюдать в динамике различные отрасли. Так, что бы лет 15-20 смотришь, а потом вспоминаешь – эка раньше было. В основном это что-нибудь совсем бытовое, например, таксисты. Думаю, каждый с ними сталкивался.

О, эти разбойники пассажирских перевозок. Раньше можно было просто поднять руку, и мог проехать хоть на мерседесе, хоть на скорой без пробок. Таксисты всегда были обманщиками, во всяком случае, те, кто занимался перевозками на периодической основе. На моей улице 3 остановки, на двух из них стоят частники и чего-то ждут. Лет пятнадцать назад, у них было море работы, до метро можно было доехать и за 50 рублей и за 300. Сейчас их бизнес подзахерел, но они все равно стоят, мб еще кого-то возят.

Но таксисты совсем не заменимы, когда ты в чужом городе. Во-первых, ты в командировке и богатый парень, можешь форсануть. Во-вторых, ты просто не знаешь маршрутов быстрой передислокации. В-третьих, хотелось бы еще и что-нибудь о городе узнать, и таксист не самый плохой вариант. Плюс к этому, там такси сильно дешевле.

Собственно, я этого бы не писал – если бы не столкнулся с совершенно новым для меня явлением в такси. Случилось это в Петрозаводске, где я решил встретить Новый год. Заказали трансфер, нас встретили и довезли. Смотрю, парень вроде нормальный – говорю, дай телефон, мы будем много ездить, нам хорошо и тебе легче.

Надо сказать, что это стандартная практика – выбираешь 1 водилу, и мотаешься с ним. Помню я как-то из Мурманска в Полярные Зори 400 км ехал на такси, ехали часов 5 или 6, зимой в ночь. Так, этот же парень нас и забрал оттуда через два дня. Покатались хорошо.

И тут значит, разложили вещи, хотим покататься. Звоню. Говорит, я на вызове в другой части города. Ну, ладно. Через некоторое время еще раз попробовал. Опять тоже самое. Оказалось, в Петрозаводске все таксисты сидят на зарплате. Диспетчер принимает звонки и распределяет их водителю, а у него в свою очередь план, который он должен в смену выполнить. Я-то с таким не сталкивался, для меня таксист – свободный волк на охоте. Например, в Камышине – диспетчера сидят на небольшой зарплате на телефоне и просто сообщают «своим», где клиент – а водилы уже сами разбираются.

А тут значит – план. Но все цивильно, да ж карточкой платить можно.

И этой бы истории не было, если она не была обрамлена еще двумя фактами. Когда мы собирались уезжать из дома до вокзала, захотел вызвать такси к определенному времени. Яндекс-такси в этом не помог, т.к. у него можно максимум за 15 минут время поставить. Поставил Убер и заказал машину к назначенному времени. И, началось. Во-первых, он опоздал на 20 минут. Ехал откуда-то с Лосиноостровской. Во-вторых, врал, что едет к нам, хотя вез другого клиента. В-третьих, включил счетчик на подъезде к нам, и стартанули мы со 20 рублей. Я был уже мыслями в отпуске, не стал мандиться и просто поставил ему 3 звезды.

Второй случай произошел уже по приезде. Посмотрел, сколько стоит в Яндексе – выходило 500-600 рублей. Неспешно выхожу, вытаскивая чемоданы. Стоят два бомбилы, предлагая подвезти. Спрашиваю – сколько? О, это любимый вопрос бомбил в аэропортах и вокзалах. Есть целый спектр кидалова о невнятно сказанных суммах. Получил классический вопрос – сколько дашь? Говорю, 500 рублей. И получил волну ненависти, с общим посылом, что только заехать на площадь перед вокзалом стоит 300 рублей. И за каким хером ты тогда спрашивал, сколько я дам? Что бы поторговаться? Или что? Так и остались они стоять на пустой платформе, а я доехал за 550 рублей.

Таким образом можно выделить следующие виды таксистов:

  • Обычные таксисты. Чаще всего работают с диспетчером, но сами себе волки. Если ничего не остается, работают с Яндексом или Убером, которые их тираняткак хотят, но деваться некуда.
  • Зарплатники. Водители, на зарплате. Не прочь подзаработать, но диспетчер главнее.
  • Бомбилы. Грабящие людей на вокзалах и в аэропортах. Готовы целый день простоять, но меньше чем за 3 000 не поедут. Поджидающие людей неопытных, туристов и с временной потерей концентрации.

Вы спросите, а при чем тут информационная безопасность? Так, ведь наш рынок – просто калька с таксистов.

У нас есть свои бомбилы. В основном это крупные интеграторы, которые «не хотят связываться с маленькими проектами». У них же большой штат дармоедов, и им непременно нужны проекты на десятки миллионов рублей. Вот, и сидят они в ожидании, когда что-нибудь такое свалиться. Сюда же относятся всякие крупные вендора с непомерным ценником за сомнительные функции, например, SAP. Но этот путь хиреет, т.к. ничего нового не появляется. Да, некоторым вендорам везет отхватить денег, но если копнуть ближе – 80% суммы там закупка иностранного железа с софтом.

Есть у нас и свои зарплатники. Среди интеграторов – это карманные интеграторы каких-то структур, отечественных или западных. Они могут быть сколько угодно разными в размерах от огромных до микроскопических. У них в принципе все хорошо, заказы идут, они работают. Правда, неожиданно могут какую-нибудь реструктуризацию устроить, или продать нафиг. Среди вендоров это выражается в явной нацеленности на конкретного заказчика. Допустим, вы продали Газпрому свои шлюзы с VPN – и будете продавать их вечность. И уже пофиг на качество и все такое. Грузите апельсины бочками (с).

Ну, а с обычными – все понятно. Это среднестатистические вендора и интеграторы. Как все. Где-то конкурс отожмут, где-то бочком пройдут. Работа кипит. Красота.

 

На этом все. До новых встреч.

Что мне нравится в информационной безопасности?

Меня часто упрекают, что мне ничего не нравиться, и я всех критикую. Разумеется, это не так. Каноны жанра диктуют свои законы. Никому не интересно читать про хорошее, всем интересно читать про плохое. Что доказывает существование таких телеканалов, как НТВ и РЕН-ТВ. Да, вся наша поибэ держится на негативе: тут взломали, тут украли, тут риски новые, буууу!!

Как вы знаете, я пишу о недоработках, что бы их можно было исправить. Что бы помочь нам всем стать лучше. Но хватит обо мне, давайте о хорошем.

В нашей поибэ есть много прекрасного, чем я истинно восхищаюсь. И раз вы хотите хорошего, вот, вам хорошее.

Хорошее в информационной безопасности

В категории лучший firewall – CheckPoint. Просто нравится, за 8 лет только лучше становятся.

Лучший отечественный firewall – С-Терра. Самый приятный и честный вендор, с самой большой пропускной способностью. Всегда продавал с удовольствием.

Лучший антивирус – Касперский. Если антивирус все же покупать, то покупать Касперский. Да, поджирает память, да, делает что-то странное сам. Но лучше не найти.

Лучший WAF/DBS – Imperva. Стоит просто везде, самые первые на рынке (вроде). Очень люблю. К сожалению, ни одной не продал. Была возможность, но Информзащита загопстопила.

Лучший DLP – Infowatch. Давно их не видел, да и рынок DLP схлопывается до тошнотворной однообразности, но из всех Infowatch лучший по большинству параметров.

Лучший SIEM/SOC – IBM QRadar. И Гартнер со мной согласен.

Лучший сканер уязвимостей – XSpider.

Отечественный продукт, за которым интересно наблюдать – RuSIEM. Просто интересно, что как же у них получиться.

Лучший маркетинг – Solar Security. Чего у парней не отнять, так это их вездесущности. Куда не глянь, увидишь оранжевенькое. Конечно, не без косяков, но это самый всепоглощающий маркетинг на рынке.

Стартапер – Максим Лагутин. Можно только позавидовать чистоте упорства Максима в освоении денег инвесторов.

Топтание на месте – R-Vision. Давно наблюдаю за этой компанией. Парни оседлали волну самопроверки по СТО БР, и уже пару лет пробуют сделать свой SOC. R-Vision выступает просто на всех мероприятиях, в это году, видимо только на Инфосеке не были. Лучший образец бесцельного использования энергии.

Интегратор – Инфосистемы Джет. Наверно потому, что за 4 попытки у нас так и не срослось совместной работы.

Пресейл – Камиль из Техносерва. Реальное уважение к трудоспособности и навыкам.

Лучшая ИБ – Сбербанк. Я видел это.

Лучшая нормативка – ЗПД. Повторить можно, превзойти – вряд ли.

Алексей Лукацкий, как лучшее лицо отрасли. Ну да, вы можете сказать – какое лицо, такая и отрасль. Но посмотрите, как человек упорно трудится. Разумеется, не стоит читать все, что пишет Алексей, а то, что прочли провести через десяток фильтров. Но нельзя не восхититься последовательности и комплексности проводимой им работы. И не важно, что эта работа имеет деструктивную направленность – главное реализация и подход. А они – великолепны.

 

Наверняка, я что-то забыл, а где-то нет ничего хорошего. Но как видите, у нас есть повод для оптимизма. До новых встреч.

«Быть PS». Как обманывают вендоры ИБ, и каково ваше место в данном обмане (+кейс)

Здравствуйте, мои маленькие любители пресейла. Сегодня у нас глобальная тема – про обман. Если говорить более конкретно о том, как вендора обманывают заказчиков, и вашем месте во всей этой схеме.

fraud

Необходимо заметить, что под вендором я здесь понимаю не каких-то конкретных злых людей, а вcю совокупность процессов и факторов в этом вендоре происходящих. Корни этого обмана, конечно, лежат в людях, эти процессы выполняющих, но вклад их такой ничтожный, что кого-то выделить – крайне сложно. Наверно наибольший вклад вносят сотрудники рекламы, маркетинга и прочих отделов «бизнес-консультирования».

Кстати, рекомендую освежить нашу дискуссию в «Открытой безопасности».

Начнем с диспозиции. Вы пресейл в интеграторе (а это единственное место на рынке раскрывающее всю суть пресейла, пресейл в вендоре – крайне зауженный специалист), и ведете проект по продаже системы информационной безопасности. Ваш заказчик имеет большую поповыносящую проблему (БПП) (иначе, зачем ему вы?), и так вам доверяет, что о ней вам сообщает (или уже отчаялся ее решить и рассказывает о ней всем).

Вы, прикинув бюджет и маржу (см. главу – Продажа), сообщаете бюджет и обрисовываете общие контуры решения. Получает, ок, и идете дорабатывать техническое решение.

Отступление: понятно, что вы не просто так взялись за БПП – вы слышали, что у вендоров А, Б и В порознь был нужный функционал, и если их скрестить, то можно получить нужный результат. Разумеется, вас осенило, это божественное прозрение. Иначе бы этот БПП решило какое-нибудь ООО «Солнышко» еще два года назад, поскольку они только и умеют, что винду устанавливать. А вы серьезный интегратор.

Вы общаетесь с вашим техническим отделом, они подтверждают, что тоже слышали о таком функционале, но сами не видели, надо уточнить у вендоров.

Вы бросаетесь звонить по вендорам, пройдя через дурацкие вопросы «а кто заказчик?», «а сколько денег?», «а когда поставка?», вы получаете подтверждение и радостно пишете КП. В это время заказчик радостно рапортует о близком избавлении от БПП вверх по лестнице. Организуется тендер, на котором вы единственный участник (т.к. дураков больше нет), и вы подписываете договор.

Вы передаете проект в техотдел, и радостно поздравляете себя с выполнением квоты. И тут начинается всякая ебала. В начале выясняется, что вендор А – нужный функционал реализовал лишь в тестовой версии, а в пром это выйдет в следующем году. Вендор Б реализует стандартный функционал на редком и устаревшем оборудовании, которое сейчас не купить. А вендор В – вообще пиздит в своим материалах, на конференциях и партнерам, что бы не отставать от конкурентов.

Дальше варианты развития проекта различны. Но вы и заказчик, точно в роли проигравших. Суть в другом, каждый из этих вендоров обманул заказчика. Причина этого кроется в схеме коммуникаций:

fraud_scheme

Как видно, основная коммуникация: Ответственный за проект – пресейл – продукт-менеджер.

В сущности пресейл и заказчик, введены в заблуждение продукт-менеджером, который в свою очередь обманут внутренними подразделениями вендора. О том, как реально работает что-то, знают лишь разработчики, но их никто не понимает. Маркетинг, пиар и реклама – обеспечивают информационный шум, им вообще пофигу, что как работает. Главное, «держать долю рынка». Не редко, они приходят с идеями написать какую-нибудь неебическую фичу, что бы уделать конкурентов из ПАО «Гипер-звук» (ну и в журнале модном напечататься, куда ж без этого?).

Сейлы давят на менеджеров и разработчиков, что бы план выполнить. Им, кстати, тоже пофигу, как оно работать будет, особенно если сумма в миллионах. Менеджеры по развитию вообще витают в облаках своих влажных мечт об идеальном продукте, и как они будут в блоге писать о тернистом пути его достижения.

В итоге вендор под лозунгом «главное ввязаться в войну, а там посмотрим», будет убеждать, что все будет в ажуре.

В интеграторе в принципе та же фигня и все те же, только еще хаотичней. В итоге, нифига не работает, а крайним остаются — пресейл и ответственный за проект. А БПП так и остается БПП.

Количество заявленных и неработающих функций на рынке просто зашкаливает. Можно было бы привести примеры этого года, как уважаемые интеграторы тянут волынку в уважаемых топ-заказчиках. Но у меня есть пример проще, который наглядно иллюстрирует всю схему.

Пример

Потребовалось мне провести расчетную экспертизу по строительству, чтобы не лазать по всему интернету за документами, мой выбор остановился на системе «КонсультантПлюс» и их информационном банке «Строительство».

«КонсультантПлюс», будучи вендором, продает свои решения через дистрибьюторов, которые осуществляют клиентское сопровождение и прочая. Меня переправили к дисти, который подтвердил мне требуемый функционал, и с которым я и заключил договор.

В ходе эксплуатации, оказалось, что «КонсультантПлюс» нагло наврал в своей рекламе, что у них есть требуемые документы. Если кому интересно, вот, скрин с их сайта:

consultant_ru2

В общей сложности у них выявилась недостача 3192 документов – 2008, 2011 и 2014 годов, которые вендор на голубом глазу предложил получить у дисти в частном порядке. Как видим, даже «самая полная база правовой информации», сделает все, что бы продать свой продукт.

Компенсировать затраты «КонсультантПлюс» отказался.

Такие дела. Берегите себя.

 

P.S. Кстати, оказалось, что у КонсультантПлюса – нет тикетной системы, вы никогда не узнаете, статус вашего обращения, если не будете названивать туда каждый день.

consultant_ru1

НСПК на крючке у АНБ?

Сижу я с утра, правлю резюме, и изучаю сайт потенциального работодателя Solar Security.

nsa-nspkЗацепился взгляд за последнюю новость (сохраненная копия):

Компания Solar Security, разработчик продуктов и сервисов для целевого мониторинга и оперативного управления информационной безопасностью, сообщает об успешном завершении основного этапа проекта, реализованного в АО «Национальная система платежных карт» (НСПК).

В ходе проекта сотрудники Solar Security и НСПК совместно подключили инфраструктуру компании к сервисам Solar JSOC, который обеспечил выявление и анализ событий ИБ, а также позволил предотвращать кибератаки в режиме реального времени 24/7. Параллельно в НСПК была развернута вся необходимая инфраструктура для построения внутреннего SOC, на которую постепенно были перенесены правила корреляции и выявления инцидентов, профили источников данных и другие наработки Solar JSOC.

Успешное функционирование национальной платежной системы является одной из задач национального значения. Поэтому с момента создания НСПК специалисты компании отводили ключевую роль формированию надежной системы кибербезопасности. Важной частью такой системы является мониторинг инцидентов ИБ.

Согласно мировой практике, создание системы мониторинга и реагирования на угрозы кибербезопасности может занять несколько лет, поэтому на период ее построения в НСПК было принято решение об использовании услуг ИБ-аутсорсинга. В качестве сервис-провайдера была выбрана российская компания Solar Security.

Я, честно сказать, порадовался, какой крупный проект. А потом, что-то мне показалось очень неправильным. Всем известно (да, и вендор этого не скрывает), что Solar строит свой SOC Solar inView и его аутсорсинговую версию JSOC на продуктах компании HP – ArcSight. Это, кстати единственный продукт из 4, который Solar не стал заявлять в реестр отечественного ПО (хотя мб и подали):

Все отечественные продукты Solar Security

Все отечественные продукты Solar Security

Т.е. это единственный не отечественный продукт в линейке компании. Я уже писал, что продажа услуг – легальный способ обхода ограничений на покупку иностранного ПО. Судя по новости, НСПК решил строить свою самую главную систему информационной безопасности на западном вендоре… И теперь, каждый сенсор ArcSight будет стоять на каждом ключевом узле НСПК, что бы передавать информацию в JSOC. Это просто особенности работы этой системы.

solar-jsoc-sec

Конечно, у нас на рынке есть более сведущие люди по закладкам АНБ в западных решениях, и об этом надо спрашивать Илью Медведовского. Но мне представляется, крайне плачевная ситуация. Ведь, что такое система SOC? К какой информации она может получить доступ?

Вероятная схема утечки данных из НСПК

Вероятная схема утечки данных из НСПК

Как минимум:

  • Настройки средств защиты;
  • Настройки сетевого оборудования;
  • Настройки серверов и рабочих станций;
  • Инциденты безопасности и многое другое.

Если предположить, что HP сотрудничает с Агентством национальной безопасности США, как и Cisco, то вся наша платежная система уже под колпаком.

Считайте меня параноиком, но я хотел бы задать вопрос – кто кого ввел в заблуждение, принимая решение ставить западное решение ArcSight под торговой маркой Solar Security?

В то время, когда основным драйвером для НСПК стало возвращение Крыма и попадание нашей страны под несправедливые санкции. Мы открываем всю нашу платежную информацию вероятному противнику… Фактически каждый житель России, теперь под колпаком у США. Так мало того, инфраструктура НСПК подвергается серьезному риску, если уже не взломана…. Все это крайне печально.

У меня, к сожалению, нет никаких твердых данных, и все выше изложенное всего лишь мнение человека со стороны, обывателя. Но в этой истории больше вопросов, чем ответов. Надеюсь официальные представители НСПК прокомментируют ситуацию.

Всего вам доброго.

Книга «Быть PS». Глава про конференции

Что-то поднадоело писать про ИБ. Что не напишу, так сразу кто-нибудь обижается. Таит или изливает обиду, тем самым увеличивая негатив в мире. А я, как постигающий дао, не могу допустить распространения порчи в мире. Поэтому вернусь к старым делам, сегодня очередная глава про pre-sale.

Неделю тому назад у меня выдалась крайне насыщенная программа по выступлениям. Вначале, в среду, мне надо было побыть филлером на конференции (а вернее выставке) Infosec-2016, а в середине дня я узнал, что на BISA-Summit мне тоже надо выступить, т.к. я что-то там выиграл (кстати, всем спасибо, кто за меня голосовал).

Надо сказать, что конференции в вашей карьере будут происходить часто, и вам надо определиться с вашей ролью там.

На каждой конференции (выставке) есть три основных темы (направления), за которыми туда приходят люди. Эти темы практически не пересекаются, и у вас вряд ли получиться их совместить. А если и получиться, то эффект будет минимальным по всем направлениям.

Первое, зачем приходят на конференции – узнать что-то новое. Сюда же относится промышленный шпионаж, воровство идей, подглядывания, подсматривание и т.п. 90% посетителей конференции сидят в залах на выступлениях и круглых столах. Посетители по расписанию выходят на обед и кофе-брейки, и редко отступают от намеченной программы. Расстроить посетителя легко – достаточно не дать ему того, что он ожидал.

Второе направление – пиар. Как личный, так и продукта. Крайне желателен хайп, а еще лучше ввязаться в какой-нибудь срач. Самый затратный пусть – надо либо купить место под стенд, либо навязаться в программу мероприятия.

Последнее направление, я называю, ФБД — «фиготня больших дел». Самая скрытая часть любого массового мероприятия. Сложно, даже четко описать ФБД. Она как дао, проще сказать, что дао не является. Например, точно ФБД не является общение вип-менеджеров в вип-комнате и на завершающем фуршете на глобальные темы. Ее затрагивать сейчас не будем, мб потом. Вы сами поймете, когда будете заниматься ФБД.

А теперь, дорогой друг, рассмотрим возможные роли, сценарии поведения и потенциальный профит от каждого сценария.

Посетитель

Самая распространенная роль. Посетитель — это аналог анонимуса в интернете. Анонимус силен, ибо имя ему легион. Самая лучшая роль, что бы что-нибудь вынюхать, представиться псевдо-заказчиком, задать «неудобный вопрос» и т.п.

Разумеется, вас не должны знать в лицо. Так что, если вы человек известный в узких кругах используйте другие способы добычи информации (здесь ссылка на главу о добыче инфы).

Например, пока я занимал 20 минут эфирного времени на Infosec, в первый ряд сел Андрей Прозоров, который последнее время тоже пытается заниматься экономической оценкой. И стал задавать наводящие вопросы. Разумеется, я ушел от ответов, потому что:

  • Выступление было не про методы, а про подходы;
  • Андрей работает в коммерческой организации и выведывает информацию чопорно;
  • И зачем мне плодить конкурентов?

Минусов у посетителя тоже хватает, вас, скорее всего, не покормят и не нальют. Вам не займут местечко в зале с крутой демонстрацией, не позовут в круг Илиты потрындеть о высоком и т.п. Зато можно несколько раз подходить за какой-нибудь нужной халявой – ручки, блокноты, календари и т.п. Ну, и лишний выходной никто не отменял, большинство конференций можно обойти за 10 минут и свалить.

Стендер

Это роль человека, который стоит на стенде, отвечает на вопросы, рассказывает о продуктах или услугах и т.п. Эта роль подходит не всем, я знаю нескольких человек, которые делают это очень хорошо. Я два раза пытался – это было форменное мучение.

Из плюсов: можно завести кучу случайных знакомств и провести день в компании с симпатичной девушкой (их стали все чаще приглашать на стенды).

Из минусов: полностью убитый день (если вы, конечно, не претесь от этого) и невозможность совмещения с другими ролями.

На той же BISA видел скучающего Максима Лагутина, все хотел подойти, но как-то не получилось (Максим, кстати, отчет так и не пришел по SiteSecure).

Спикер

Вы выступаете с докладом или презентацией. Все просто.

Две возможности просочиться – либо вы проплатили стенд, и доклад входит в ваш пакет, либо вы такой очешуенный специалист, что организаторы вас сами позвали (но чащей, вы просто блогер или медийный персонаж и выступать ваша обязанность).

Крайне сомнительная роль. Пригодна разве что для напоминания о себе. Будете рассказывать о продукте, либо скатитесь в джинсу и вас не будут слушать, либо в какое-нибудь теоретизирование, где ваш продукт замылится за глобальностью темы. 95% коммерческих докладов, которые я слышал, провалились.

Из плюсов: пустят поесть в пресс-зону, а благодарные посетители не дадут вам скучать целый день.

Из минусов: ваш провал запомнят и будут обсуждать еще пару дней, практически исключает ФБД.

Например, на BISA многие ждали секции «Agile в ИБ» от Алексея Лукацкого. Я даже отставил бокал с вискарем и приятную беседу, что бы успеть к началу. К удивлению всех, Алексей начал секцию со слов «Я решил не разговаривать сегодня про agile» и начал брейн ринг с кучей «интересных вопросов». Наверно, фанатам Алексея это понравилось.

agile_sec_lukatsky_1

agile_sec_lukatsky_2

agile_sec_lukatsky_3

Как ни печально, но ребята, что на виду, редко что-то могут предложить или сделать для ФБД. Часто это профессиональные выступающие, а с выступающего взятки гладки. Он не принимает решений и редко участвует в их реализации, т.к. все его время занято выступлениями. Очень жаль.

Сейл

Отдельная глава о сейлах. Вообще, это странная роль для пресейла, т.к. в лучшем случае, на конференции пресейл может поддержать продажу или проект, этакий очередной раунд переговоров в нестандартной обстановке.

Собственно для пресейла эта роль вторична к какой-то другой.

Ищущий работу

Удивительно, но много людей ходят на конференции, что бы сменить место работы. Получается в основном у не-технических специалистов.

Алгоритм прост:

  1. Как можно чаще выступать на конференциях, как независимый эксперт.
  2. Тереться по всем конференциям и выставкам, что бы запомнили в лицо.
  3. Участвовать во всех афтер-пати и заводить знакомства.
  4. ….
  5. PROFIT

Адепт ФБД

За все хорошее, против всего плохого

Фух, вернулся я с Infosec. Надо сказать, что занесло меня туда случайно. Тем из вас, кто смотрит сериалы (или аниме), должно быть знакомо понятие филера. Это серии, не двигающие основной сюжет, и созданные, чтобы забить время. Я и был таким филером :) Заполнил собой 20 минут, как мог.

Приехал я раньше, чем планировал, и больше общался с коллегами. Идем мы с одним таким коллегой (а он, надо сказать, человек тонко чувствующий), а он говорит: «Посмотри, как на этой выставке все ненавидят друг друга. Они же все прямые конкуренты. В лицо улыбаются, а сами бы разорвали оппонентов на куски».

apocalypse_vasnetsov

Я удивился. Сам-то я абстрагируюсь от этого, по большому счету мне нет дела до мнения окружающих. Бывает, конечно, у меня бомбит на какую-нибудь крайнюю несправедливость, но в целом я глух ко всяким иммонациям и всем этим «веяниям злобы».

И тут у Александра Бондаренко (R-Vision) бомбануло не на шутку. Сам R-Vision участия в выставке не принимал, но по стендам конкурентов прошелся.

Надо сказать, что это обычное явление. У меня на первом ряду сидел Андрей Прозоров и задавал наводящие вопросы.  Андрей сам пробует заниматься расчетами в ИБ, а значит — конкурент. Зачем же мне ему секреты рассказывать, да еще и бесплатно? :)

Но вернемся к R-Vison. Александр написал следующий пост:

bondarenko

Это Александр зашел на стенд Security Vision, видимо, в очередной раз что-нибудь скопировать (кстати, мои поздравления, R-Vision теперь умеет автоматически регистрировать инциденты – редкий функционал в 2016 году).

Там в комментариях Александру пояснили его ошибку. Понятно, что если у вас решение-клон экселя с методикой СТО БР и ручным заведением инцидентов, вы можете его запустить на ноутбуке. А все более или менее сложные решения демонстрируются на слайдах, т.к. для демонстрации той же генерации и обработки инцидентов хорошо бы еще и стенд развернуть. Я был в демо Security Vision – там развернуто 12 источников событий с кучей всяких интересных штук. Везти это все на выставку крайне нецелесообразно. А интернет на выставках всегда нестабильный.

А знаете, что меня поразило? Видимо, мой друг прав. Как-то неуютно стало в нашем поибэ. Кризис что-ли так влияет на всех? Фбешечку вообще невозможно читать, все друг на друга наезжают, ругаются, обижают и обижаются. Как-то не сформировалось у нас единства в комьюнити, этакой профессиональной солидарности. Вот у врачей есть профессиональная солидарность. Наглядней всего она проявляется, если захотите доказать врачебную ошибку. Своих сдают со скрипом.

У нас же каждый сидит на своем суку и смотрит на всех злыми глазами, будто у него кусок хлеба отнимают. Все ненавидят всех, начиная с блогеров и заканчивая ассоциациями и выставками.

Того же Александра можно упрекнуть в лукавстве. Александр! Наверняка, отсутствие стенда на этой конференции перечеркивает наличие решения, которое вы уже видели на всех прошлых конференциях, где мы были! Да и про образование R-Vision говорят много разного, что-то там крайне темное. Но ведь это все не так важно. Конкурируйте в заказчиках, а не постами в твиттере.

Сегодня я встретился с человеком, который уже три года занимается числовой оценкой рисков. И стартом к этому послужило мое выступление 3 года назад. Хотя за 20 минут мы серьезно поспорили о методике, было чертовски здорово (хотя весь спор возник лишь из-за неустоявшихся терминов). Круто, что кто-то встал рядом с тобой и идет схожей дорогой. Именно в объединении лежит залог выздоровления нашей профессии.

Посмотрите, уже идут разговоры о смерти специальности по ИБ, некоторые эксперты уже седлают волну – куда уходить ИБэшникам. Происходит все большее отдаление от задач бизнеса. Отрасль больна, и вместо того, чтобы решать общие для всех проблемы – мы вырываем кусок друг у друга. Окей, ты усидел, твой враг отвалился. С ним отвалились его клиенты и партнеры, и далеко не факт, что они придут тебе. Скорее бизнес забьет на ИБ, и передаст это в ИТ, где другие игроки, и вопросы решаются совершенно иначе.

«Граждане, любите друг дружку! Уважайте друг дружку! О, как заносит» (с) Бургомистр.

Поодиночке потонем все, а выплыть можно только вместе. Надо больше хороших решений, вместе решать жизненно важные вопросы, и выступать единым фронтом перед остальными. А то так и останемся с «рисками неотказуемости».

На этом все. До новых встреч.

Как убивают четкие инструкции

Так получилось, что в четверг я оказался в Крыму. Там уже успели побывать большинство моих знакомых, а я – первый раз, после присоединения. Это была самая неподготовленная из моих командировок, билет туда был куплен за 8 часов до вылета, а обратный за 20, в самом аэропорту.

Крым, он вообще такой, попасть легко, выбраться сложно. Разница между входом и выходом составила 675%, видимо, окончание сезона – все спешат домой. Дело у меня было в Симферополе, что очень удобно для суточных командировок, т.к. ехать никуда не надо.

Памятник вежливым людям

Памятник вежливым людям

Сам город оставил двойственное впечатление, с одной стороны красиво, с другой – все какое-то незаконченное. Местный Арбат (ул. Карла Маркса) – от силы 200 метров. А главная особенность, что такси в городе не поймаешь можно только заказать по телефону. Не, таксисты стояли в двух местах в центре, но цены ломили, как из Домодедова в Шереметьево в час пик.

Поделал я всякие дела, и забурились мы в кафе Ин Тайм (ул. Карла Маркса, 14), где я попробовал самый офигенный салат Цезарь за последние три года. Цены, чуть ниже московских. Крайне рекомендую. Кстати, хваленные +22 градуса, чувствовались, как +17. Местной особенностью является – предложение пледов, на любой летней веранде, любого кафе.

И, вот, сидим мы – разговариваем с коллегой. И зашла у нас речь о регулировании безопасности. До воссоединения, он работал в государственном банке. Как и у нас, у них банки впереди планеты всей по информационной безопасности, во всяком случае, в области нормативки. У них единый регулятор — Центробанк, и все, кто хочет что-то добавить – идут туда.

Репетиция, видимо, перед выборами

Репетиция, видимо, перед выборами

ЦБ выпускает четкие инструкции, с конкретными мерами. Например, есть инструкция на ИБП, сети питания, заземление (привет, ПЭМИН), криптографию и т.п. Инструкции, крайне подробные. Например, ИБП должен быть в железном ящике, регламентирована толщина листа и как он должен быть сварен (либо сплошной шов, либо прихватами с промежутком не более 25 мм). Или по криптографии, четко обозначены 9 форм журналов и что там должно быть. Что разительно отличается от нас (вопрос знатокам – что такое лицевой счет сертификата?).

Все это проверяется раз в 5 лет специальным контролерами, которые проверяют по тем же прописанным инструкциям.

А все, что не описано – считай и не надо делать. Или надо, но на свое усмотрение. Процедура проверки СЗИ – занимала 3 месяца. Юзали все, в том числе и нашу криптографию.

И, во всем этом благословенном раю определенности, была одна большая бочка дегтя. При таком подходе к регулированию, рынка информационной безопасности в Украине – так и не сформировалось. Не, есть компании, которые вам построят ЦОД в соответствии с инструкциями, но не более. ИБ окончательно стало придатком ИТ, мало имеющая от собственно безопасности.

Нет, ни консалтинга. Ни интеграторов, да, и вендора не особо нужны (за три месяца получил разрешение на импортный МСЭ — и порядок). Такие дела, у наших соседей.

Распрощавшись, я еще немного погулял по городу, и поехал в гостиницу. Т.к. надо было опять вставать в три утра, что бы успеть в аэропорт. Где на прощание, нас ждал приятный сюрприз. За шоколадку, нас посадили в бизнес-класс (в котором правда нас не кормили), поэтому дорога домой была приятна и комфортна.

Завтрак бизнес-классе

Завтрак бизнес-классе

Москва меня встретила дождиком и +6.

Восход

Восход

Дианетика тренингов личностного роста по ИБ

Рекомендуется освежить, вот, эту запись.

3859

Фбешечка в ленте, принесла сегодня ссылку на статью «Когда обман стал нормой?». Статья, какой-то феерический маразм, с не понятным смыслом, неоконченной историей и неясным выводом. Прямо, как я писал.

Зацепился взгляд за фразу:

Сейчас вообще, поколение тренингов и саморазвития. А нас как всегда, ведет не в ту сторону. «Не умеете делать минет? Научим. Вам изменяет муж? Это нормально. Слава богу, он вообще может. У вас высшее образование, а по вечерам вы любите читать Бродского? Ну что за глупости. Живите как дура! Берите карту и дуйте в магаз. Dior сам себя не купит». Откуда это?

Действительно, сейчас мир тренингов и саморазвития возведенного в культ. И это прекрасно. Но обо всем по порядку.

Как вы уже знаете, юность моя происходила в душевных метаниях и маргинальной неге. Как любой нормальный подросток, я пробовал на прочность этот мир. И, нет, мир не оказался прочней. Просто жизнь совершенно не об этом, но это нас уведет далеко от тренингов.

И, в определенный момент моей жизни, решил я сходить в секту. Где наша не пропадала? Разумеется, было боязно, поэтому я выбрал более-менее лайтовых саентологов, а не какую-нибудь Харе-Кришну. Готовился я к этому делу основательно, оставил все вещи дома, взял только проездной и мобильный телефон, что бы позвать на помощь. Кстати, очень важно не брать с собой документы и деньги. У вас появляется шанс соскочить. Оставите данные, и уже не вырвитесь – схема крайне отлаженная, ее, кстати, и скопировали тренинги.

Надо сказать, что каждый тренер – хотел бы организовать секту. Такую настоящую секту, что бы с кучей последователей, что бы машины и квартиры отписывали. В силу разных обстоятельств, они этого не делают – где-то шибко палевно, где-то лучше замаскироваться под бизнес-тренинг. Но главную суть – копируют все, кто-то лучше, кто-то хуже.

pecherskaya

Но вернемся к нашим саентологам. Основа любой секты, выявить причины не идеальности человека. Зашлакованный организм, чакры закрыт, энергетические паразиты. Никому не хочется быть грязным, внушаемым, глупым (о, зацепочка для бизнес-тренингов). Понятно, что во всем этом виноваты не вы, а какой-нибудь ублюдок, который сидит в вас, и с которым надо срочно бороться. Разумеется лишь нашими, проверенными способами.

В саентологии, такими ублюдками выступают энграмы. Энграмы – особая ситуативная память, которая запоминает ситуацию во всей полноте (мысли, чувства, окружение, люди, слова). Если энграма содержит негатив (шок, боль и т.п.) – это очень плохо. Проблема с энграмами в том, что вы не имеет к ней доступа. И если вы попали в обстановку похожую с пережитой, то испытываете все негативные последствия. Все слова, что нам произнесли в этой ситуации, будут действовать на нас как команды, вы более внушаемы в этих ситуациях. И существуют, некие клиры. Если кратко, люди, очистившиеся от всех энграм. У них повышается тонус, улучшается зрение, потенция и все-все-все. Разумеется, что бы стать клиром – надо пройти ряд очищающих процедур. Конечно, за огромные деньги.

По итогу, мозг там чистят капитально. После двухчасовой лекции и разбора моего теста (по итогам, которого стоял вопрос – как я еще жив-то?), считал дедушку Хаббарда родным отцом и учителем. Хорошо, что денег на книжку не было, и паспорта для заполнения анкеты. Так и не стал я саентологом.

Надо понимать, что задача любого тренинга – выкачать с вас бабло, а не научить чему-то полезному. Любой тренинг стоит на этом, если он не по каким-то специализированным прикладным навыкам. Вся эта болтология, лучшие практики от экспертов, повышение личной эффективности – чушь, по сути.

Помниться, как-то на партнерке Infowatch был мастер-класс по приготовлению суши. Вот, это была реальная тема. Где специалист в своем деле, рассказывал неофитам основы. Мастер-класс, наверно, единственный сейчас вариант, обучиться чему-то новому. Т.е. въехать в основы, а дальше думать своей головой.

Несколько отличительны признаков лажовых тренингов:

  • В тренинге есть гуру, который или сам его ведет, или ведет специальный сертифицированный ученик.
  • Тренинг периодический. Это чуть ли не главный маркер, показывающий, что тренер зарабатывает деньги тренингами, а не тем, чему учит. Т.е. зарабатывает, рассказывая, как заработать.
  • Тренинг является частью системы других тренингов. Что бы просветлиться окончательно, надо посетить их все, а лучше и не один раз.
  • Описание тренинга оперирует словами: эффективность, личная эффективность, саморазвитие и т.п. Ну, т.е. какими-то сущностями, которые нельзя измерить (см. тайм-менеджмент).
  • Главное достоинство тренинга, что он от тренера, который провел 400+ тренингов. Т.е. тренер в лучше случае теоретик, в худшем – дилетант с вредными фантазиями.
  • Мощный пиар. От гуру, от участников, расписание следующих курсов на всех углах и т.п.

И так далее. Единственный тренинг, который мне помог – тренинг Гандапаса «Учимся выступать публично». Уже потом, я понял, что это была компиляция потребительских методов и прикладных приемов. Большинство из них обретаются сами, после 2-3 выступлений. Текущая деятельность Радислава, состоит из обогащения через тренинг чуть менее, чем полностью.

radislav-gandapas-self-made-man

Можно ли чему-то научиться на тренингах? Вряд ли. Но главная проблема не в этом. Идти на тренинг (или мастер-класс) надо с определенной задачей или проблемой. Например, вы дизайнер и мучаетесь, какой дизайн сделать финтефлюшечный или минималестичный. В этом случае, конечно, хорошо бы пойти и послушать знающего человека, вопрос, какой ему задать. Хотя лучше всего, знать нужный телефон, напроситься на встречу, и, проставив вискаря, решить все свои метания.

Посмотрите вокруг, вспомните школу, институт. Групповое обучение, крайне неэффективно. Кто-то не догоняет, кому-то скучно т.к. на месте топчемся, интересующий момент до конца не разберешь – он интересен только тебе. И еще множество причин. В группе хорошо ОФП заниматься, хоть не скучно. Во всем остальном, все выбрали бы индивидуальные занятия.

Вы никогда не измените свою жизнь через тренинги. Сама система тренингов заточена на то, что бы ваши результаты были лишь внутри тренинга, с конкретной группой. Она будет вас поддерживать, и она же будет вас затягивать на следующий тренинг. А то, что на работе ваши навыки продаж не работают, так это процессы выстроены не так. Но на нашем вечернем занятии, у тебя все получиться. Приходи, касса работает до 20-00.

Вы такой, какой есть. В вас заложено ваше воспитание, школа, институт, дворовые друзья, гельштат ваших родителей и гены, которые влияют в 5 раз сильнее, чем любое воспитание. И, вы думаете, что какой-то дядя, за 8 часов и 20 000 рублей, вас изменит? За это время, вам можно продать лишь иллюзии, что вы не такой как все, что вы развиваетесь, не то, что остальное быдло.

Полезным тренером может быть лишь профессионал своего дела. Но, если он профессионал, у него нет времени делать тренинги каждую неделю. В лучшем случае, раз в квартал. Не маловажный вопрос, а зачем это ему? Зачем ему плодить конкурентов, разжевывая то, что он постигал годами? Просто задайте себе этот вопрос.

А, самое печальное, что тема тренингов добралась и до нашей поИБэ. Атака идет с двух флангов. Первый – это тренинги общей направленности. Попавшие в паутину, начинают активно ее рекламировать. И, на деловых переговорах, уже можно услышать, кто какую сегодня «лягушку съел». А, иногда, уже проскальзывает и «ваши материалы не отвечают нашей методике продаж СПОР – вам надо доработать их».

Второе – это активное продвижение собственных тренингов по нашей тематике. Я помню, как один «бизнес-консультант по ИБ», рекомендовал всем безопасникам подойти к генеральному директору, и предложить перевести сотрудников на удаленную работу. Мол – «это выгодно, я посчитал, экономим на электроэнергии, и производительность вырастит! А еще BYOD! Совсем шикарно заживем». Понятно, что маразматичность таких предложений зашкаливает. Будь, это какой-нибудь дурачок, никто бы и не заметил. А это один из уважаемых гуру поИБэ. И самое главное – с гуру, взятки гладки. Он ведь пример приводил, а «Кирпич, дурачок, взял и сделал».

Не смотря ни на что, тренинги – это великое благо. Они позволяют вам, получить существенное преимущество перед их посетителями. Точно также как нет ни одного одинакового проекта, нет и одинакового приложения опыта, своего или чужого. В каждой ситуации надо думать своей башкой. И лучше бы, что бы она не была замусорена дорогим треннингом.

До новых встреч.

 

P.S. ОБЪЯВЛЕНИЕ. Тренинг с 10 сентября переноситься на 21.

Суть стартапов

Закончился мой поход в Кибербитва, я с треском проиграл. Из положительных моментов, меня все же пустят постоять на BISA и может быть даже покормят. Обсуждали мы тему сложную, и я примерил на себя роль жопоголика («Шеф, шеф, все пропало! Гипс снимают, клиент уезжает!»). И где-то в середине, все сместилось немного на обсуждение стартапов вообще, и в ИБ в частности.

Надо сказать, что вещь это премерзкая и гадкая. Во всяком случае, в тех проявлениях, что мне доводилось видеть. Я шибко никогда не интересовался стартапами и стартаперами. Долгое время для меня это было синонимом молодого предпринимателя. Обратил мое внимание на это Михаил Забулонов, человек крайне сведущий в наших поибешных и итишных делах. Человек абсолютно незаметный в блогосфере, как говориться – известный в узких кругах. Тогда он возглавлял отдел, в котором я работал. Кстати, как-нибудь я расскажу обо всех своих начальниках, которые, за единственным исключением, были люди уникальные, и я много у них почерпнул.

Стояли мы как-то в курилке, обсуждали разные тактические вопросы, и зашла у нас речь про один из наших поибешных стартапов. Мы обсуждали, стоит их включать в наш портфель или нет. Слово за слово, перешли на наших внутренних молодых разработчиков. И Михаил сказал фразу, которую я запомнил (в сокращении, а то меня больше никогда никуда не возьмут работать):

«Разница между стартапером и (молодым) предпринимателем в том, что предприниматель продает продукт, а стартапер – себя. Цель предпринимателя – прибыль, стартапера – убытки.»

Все это сопровождалось рядом веских фактов из жизни уважаемых на рынке компаний. Я темой заинтересовался, и занялся своим любимым делом – наблюдением. И сейчас расскажу вам о своих выводах.

Как люди решают открыть свое дело? Кому-то надоедает работать на дядю, у кого-то есть крутая идея (идя все жизни), которая ему кажется стоящей и он бросается в пучину бизнеса. Мотивы самые разные. И, вот, начинающий предприниматель решает продавать новый продукт (с услугами все немного по-другому). Человек ищет единомышленников, делает прототип или опытную партию. Ищет деньги, зачастую кредитные, или продает что-нибудь не нужное. Находит первых покупателей, и если товар стоящий: покупателей становиться больше, равно как и денег. И дальше все по классике рыночной экономики.

Глобальная цель предпринимателя – прибыль. Локальная – выход в точку безубыточности, и расширение доли рынка.

Что же делает стартапер? Стартапер делает красивый сайт на 3 языках, заказывает себе бархатные визитки и делает красивую презентацию. Помниться лет 5 назад была история, как очередной стартапер замутив очередной стартап – продал квартиру в Москве, что бы заказать дизайн сайта у Лебедева. О чем не преминул всем сообщить.

Да, старатперы не хотят сидеть в одном бизнесе, им надо открывать стартапы. Какое мероприятие их не посмотрите, какие новости не прочитай – наткнешься на человека с характеристикой «опытный стартапер».

Чем он все это делает? Конечно, чтобы найти инвестора. Стартапер не готов взять кредит под залог квартиры, и строить свое дело. Видимо, подсознательно чувствует, что идеи гнилые. Стартапер хочет продаться какому-нибудь инвестфонду, за большую долю. Инвестфонду, кажется, что он в выгребной яме отыщет жемчужину (не своими же деньгами рискует). Это не происходит, почти, никогда. Поскольку ни один дурак, не будет стоящую идею реализовывать с неизвестными людьми, которые еще и будут вмешиваться в рабочий процесс. На стоящую идею вы быстро найдете себе единственного инвестора, и общаться будете только с ним, а не с безликим инвесткомитетом.

А, вот, всякая лажа и срединные идеи, крайне нуждаются в быстрой продаже. Т.к. людей много, мыслей мало – и пока вы придумали очередной мессенджер, еще тысячи уже делают это по всеми миру.

Поэтому стартапер оформляет идею в кучу красивых слайдов, пишет бизнес-план на 2 млн. баксов и идет по инвестфондам. В итоге продав идею и получив деньги, стартапер вливается в тусовку стартаперов, где они живо обсуждают особенности стартаповедения за яблочным смузи. Да, разумеется все это происходит в модном коворкинге. Кстати, об инвестфондах (наших разумеется). Такое ощущение, что они делают большую прибыль на всяких обучениях и поместной сдачи коворкингов стартаперам, чем от основной деятельности.

Именно поэтому стартапера не интересует прибыль. Он уже получил свои деньги, продав долю. Конечно, в идеале продать 95% и свалить через годик. Развалиться все? «Ну, так я ж ушел. Вот, новый бизнес мучу, здесь я до конца.»

Высший пилотаж стартапера, при колоссальных убытках, все повернуть на привлечение больших инвестиций. Там где предпринимателю при 1% убытков, будут грозить кулаком и обещать различные кары, стартапер при 150 млн. убытков улыбнется, и проведет презентацию для инвесторов о том, что необходимо еще 120 млн.

Возьмите Маска и Тесла – полный развал проекта и освоение денег. Один маркетинг и технологии, отстающие на два поколения. Или тот же Маск и SpaceX. Или Элизабет Холмс и Theranos, там до прямого вранья опустились. Денег кучу угрохали, компания в предбанкротном состоянии, а Элизабет успешная женщина предприниматель. Глядишь, скоро новый стартап замутит. В наших стартапах все точно также, масштаба поменьше.

А ключевая разница лишь одна. Предприниматель, выводя новый продукт, ищет покупателя. Если у него нет покупателя, и продукта — нет. Как уж это будет, зависит от товара. Понятно, что стартаперу клиент не нужен, и даже вреден (инвестфонд денег не даст). Главное получить деньги, два года разрабатывать осваивать бюджет, а там и новый можно стартам замутить.

На кибербитве, пробовали обосновать тезис, что крупные компании , через покупку стартапов двигают свои технологии. За большие деньги, разумеется.  Этот тезис довольно спорный. Если откинуть недружественные поглощения, покупки с целью уничтожения конкурента, и просто случаев, когда стараперами называют всех, даже предпринимателей. То картина печальная.

Вот, Intel купил McAfee, которая до этого купила Stonesoft. Помаялся пару лет, и продал. Или Microsoft купил Nokia, помаялся и продал. Деятельность, организуемая с целью подороже продаться, ни к чему путевому, как правило, не приводит. Рынок двигают энтузиасты, которые бы и без корпораций с инвестфондами себе бы долю рынка выбили, ибо делают что-то конкретное и, иногда, нужное.

Всего вам доброго.

 

UPD: Свежий пример из жизни стартаперов