Кто такие Security Champions

Добрый день, уважаемые коллеги! И сегодня у нас в гостях Артем Сидоров, руководитель команды бизнес-партнеров по информационной безопасности.

особой реализации изменения подходов возможно изменения мышления Как вы обеспечиваете исполнение требований информационной безопасности их реализацию ваших продуктах которые вы создаете силами Java команд Ну когда я только начиналась в банке началось примерно четыре года назад мы действительно столкнулись со сложностью

Добрый день, Артем.

информационной безопасности да И так появились собственно бизнес партнеры по информационной безопасности а вторая часть была прикладная внутри команд чтобы это было члены команды которые в том числе отвечают за безопасность и при этом знают досконально конкретно свой продукт или платформу и могут

Добрый день.

ними ставите Где вы их находите в конце концов Расскажи нам поподробнее точный комплексные вопросы постараюсь ответить по частям кто это да это люди которые находятся внутри команд погружены полностью в их процессы в тех технологий и знают как команды работают ходят

Новые продукты, новые требования информационной безопасности, новые требования операционной надежности, новые методы проектного управления.

наверное будет конечно это самые частые когда разработчик является но также бывают архитекторы бывают и представители бизнес-направления команды то есть вообще не отойти люди изначально но есть успешный прецеденты когда они выполняют ролью чемпиона бывают скроммастера Казалось бы самое очевидное роль которая

Да, все требуют особой реализации, изменения подходов, возможно, изменения мышления.

команды в сфере безопасности без этого человеку не интересно этим заниматься у него нет проактивного подхода И это не взлетают Мы четыре года очень много повидали разных историй убедились что прежде чем человек назначить выполнять Интересно ли ему А как он видит свою

Как вы обеспечиваете исполнение требований информационной безопасности, их реализацию в ваших продуктах, которые вы создаете силами Java-команд?

учатся как Наверное если мы говорим про первоначальные кадры Конечно больше часть Мы берем изнутри команд людей которые уже в курсе того чем команда занимается и заинтересованной безопасности как я сказал есть у нас прецеденты где мы подбирали человека снаружи а именно на

Ну, когда я только начинался в банке, это началось примерно четыре года назад, мы действительно столкнулись со сложностью. Java — это очень гибкий, очень динамично меняющийся формат работы, и там коллеги могут раз в две недели новый релиз выкатывать. Как силами стандартных, обычных безопасников это обеспечивать? И пришли к тому, что, наверное, правильно будет разделять компетенции, чтобы часть из них было вне команды, в департаменте информационной безопасности, да. И так появились, собственно, бизнес-партнеры по информационной безопасности. А вторая часть была прикладная, внутри команд, чтобы это были члены команды, которые, в том числе, отвечают за безопасность и при этом знают досконально конкретно свой продукт или платформу и могут имплементировать требования безопасности и саппортить все остальное, свою команду, с их выполнением.

несколькими схожими по направлениям деятельности либо второй вариант Когда у нас большая платформенная команда Big Data например и там вообще у нас два чемпиона на одну команду есть такое тоже это обязательно ваш сотрудник обязательно состоявшийся член команды или вот есть потребность не нашли можно

Я понимаю так, что это сотрудники подразделения по информационной безопасности, внешние люди. Security Champions — это члены команды разработки. А кто они, какие они функции выполняют? Какие задачи вы перед ними ставите? Где вы их находите, в конце концов? Расскажи нам поподробнее, точнее, комплексные вопросы — постараюсь ответить по частям.

в силу тех или иных жизненных обстоятельств и имело отношение к безопасности или заканчивал информационной безопасности или начинал был разработчиком потом стал безопасником такие же есть прецеденты становятся безопасными наоборот безопасники айтишниками но я сейчас имею ввиду инфраструктуру Вот и такие

Кто это? Да, это люди, которые находятся внутри команд, погружены полностью в их процессы, в их технологии, и знают, как команды работают, ходят на ежедневные, еженедельные стендапы, Sprint Review и участвуют полноценно в полноценном процессе разработки команды.

обучения подготовки взяли вы специалист по безопасности выбрали человека горящего желания работает в этой сфере изучить все равно проходит какое-то первичное обучение и потом не может быть по-другому идет всегда постоянная обучение повышение квалификации в бою на курсах на тренингах и так далее Как у вас это

Какая роль именно внутри команды? Может быть, есть разные примеры?

зоны роста в этом очень хорошо помогает starsmap это упражнение которое позволяет ценить и подтвердить компетенции и уже после этого понимать а что ему развивать может быть кто-то в комплаенте недостаточно хорошо понимает законы которые надо выполнять может быть кто-то

Ввиду того, что каждая команда достаточно индивидуальна, мы стараемся индивидуальный подход применять. Есть прецеденты, где это разработчики, наверное, это, конечно, самые частые, когда разработчик является, но также бывают архитекторы, бывают и представители бизнес-направления команды. То есть вообще не отойти от людей изначально, но есть успешные прецеденты, когда они выполняют роль чемпиона. Бывают скрам-мастера. Казалось бы, самая очевидная роль, которая может совмещать функции чемпиона, но практика показала, что нет, не всегда это работает так, как хотелось бы. Но самое главное, что я могу выделить: очень важно, чтобы человек, который берет на себя функции чемпиона, действительно интересовался безопасностью, был заинтересован в развитии и себя, и команды в сфере безопасности. Без этого человеку не интересно этим заниматься, у него нет проактивного подхода, и это не взлетает. Мы четыре года очень много повидали разных историй и убедились, что прежде, чем назначить человека выполнять эту роль, нужно понять: интересно ли ему? Как он видит свою деятельность? Не так, что руководитель сказал: «Будешь ты», — ну, нужно что-то менять, это работать не будет. То есть на первом месте интерес и активность, а потом уже вы их учите, отправляете на курсы, либо они у вас постоянно в бою чему-то учатся?

организуем либо собственными силами внутри либо с подключением внешних обучающих центров и вообще мы организовали чемпионов В нашем банке через которую мы доносим до них новости координируем обучение спрашиваем их пожелания какие-то к Новому что они бы хотели Почему бы не хотели обучиться управляем

Наверное, если мы говорим про первоначальные кадры, конечно, большую часть мы берем изнутри команд, людей, которые уже в курсе того, чем команда занимается и заинтересованы безопасностью. Как я сказал, есть у нас прецеденты, где мы подбирали человека снаружи, а именно на роль Security Champions. Но это больше так называемый выделенный чемпион: история, когда человек в команде роли не совмещает, а занимается в команде только исключительно вопросами безопасности. Это актуально либо для некоторых команд, когда наш чемпион занимается не одной командой, а несколькими схожими по направлениям деятельности, либо второй вариант, когда у нас большая платформенная команда, Big Data, например, и там вообще у нас два чемпиона на одну команду. Есть такое тоже.

команду если взять нашу модель Наверное ты скорее прав чем Нет это все объясняется как раз все теми же пресловутыми особенностями индивидуальности процессов каждой команды и стеков технологии каждой команды чемпион который работает в этой команде учится защищать конкретно и

Это обязательно ваш сотрудник, обязательно состоявшийся член команды, или вот есть потребность, не нашли, можно и рекрутеров привлечь, чтобы они привели человека?

другой горшок чтобы сразу же росло Нет я думаю так не получится так из безопасной с классическими не получается индивидуален не только по своим личным навыкам и пройденной подготовки он еще индивидуальный для каждого типа команд просто так Секьюрити чемпионы из одной

Чаще это наш внутренний, состоящий сотрудник, но в редких вариантах, да, можно привлечь с улицы. Это тоже работает.

[музыка] какие-то навыки есть общая такая платформа которая как минимум должна быть одинаково для всех Ну хорошая коммуникационные навыки безусловно умение договориться как внутри своей команды донести свою мысль Так и чего греха таить донести позицию команды безопасности если это необходимо

А что значит «с улицы»? Неужели встречаются резюме с должностью Security Champions?

критерием потому что все хорды там уже индивидуально Мы создали вы роль обучили внедрили в командах наладили процесс какую пользу приносит эта командам продуктом создаваемыми повышает безопасность продуктов опускаемых командами Но скажем откровенно командам своим это из коробки не интересно но какую именно бенефиты

Нет, скорее встречаются резюме разработчика, который в силу тех или иных жизненных обстоятельств имел отношение к безопасности, или заканчивал информационную безопасность, или начинал как разработчик, потом стал безопасником. Такие тоже есть прецеденты: становятся безопасники айтишниками, наоборот, но я сейчас имею в виду инфраструктуру. Вот такие уникальные, относительно редкие, спайки технологических стеков в голове одного человека найти возможно, но это, безусловно, сложно, и в большинстве случаев мы все-таки стараемся готовить человека внутри. Даже если какой-то части компетенции нет, но есть желание их изучить.

безопасности которые уже более профильно помогает не разобраться это сильно снижает время на разработку и исключает такие сложности Как там не пускают в пруд не дают какие-то доступы у нас завтра или Лис она ничего не согласуете такие моменты практически исключаются в

Спасибо. Вернемся к теме обучения, подготовки. Взяли вы специалиста по безопасности, выбрали человека, горящего желанием работать в этой сфере, изучить всё равно. Проходит какое-то первичное обучение, и потом, не может быть по-другому, идет постоянное обучение, повышение квалификации: в бою, на курсах, на тренингах и так далее. Как у вас это организовано? Какие есть уникальные фичи, которыми можете поделиться с нами? За уникальность там не буду брать на себя много. Да, наверное, всё, что мы делаем, делается где-то ещё, но для начала всегда нужно оценить компетенции человека, понять, что он умеет хорошо и какие есть зоны роста. В этом очень хорошо помогает Stars Map — упражнение, которое позволяет оценить и подтвердить компетенции, и уже после этого понимать, что ему развивать. Может быть, кто-то в комплаенсе недостаточно хорошо понимает законы, которые надо выполнять, может быть, кто-то технологически что-то не понимает, ему нужно донести. Здесь мы предлагаем различные курсы, проводим регулярные мероприятия, обучающие, причем больше даже не какой-то сухой теории или лекции, а в какой-то игровой форме по вопросам безопасности. Также есть обычные, традиционные обучающие мероприятия, которые мы организуем либо собственными силами внутри, либо с подключением внешних обучающих центров. И вообще, мы организовали сообщество чемпионов в нашем банке, через которое мы доносим до них новости, координируем обучение, спрашиваем их пожелания, какие-то к новому, что они бы хотели, почему бы не хотели обучиться, управляем той же самой Stars Map, про которую я говорил.

но важными моментами мазками то может сказать максимально обобщённо все вопросы безопасности в команде если немного углубиться то они отвечают за устранение уязвимости не обязательно собственными руками чаще это просто распределение задач на профильных специалистов здесь я говорю как про

То есть можно ли сказать, что каждый Security Champion — такой штучный продукт, индивидуальный, нет каких-то курсов, вузов, штамповки, каждый — это вот именно индивидуальная работа, которую вы потом выпускаете в команду?

по этим задачам своему курирующему бизнес-партнеру информационной безопасности также они курируют установку защиты на свои приложения в случае если приложение масштабируется инфраструктурно и задача вовремя это подсветить бизнес партнеров ценной безопасности для того чтобы покрыть эти Новые инфраструктурные решения Какими бы они были необходимыми

Если взять нашу модель, наверное, ты скорее прав, чем нет. Это все объясняется как раз все теми же пресловутыми особенностями, индивидуальности процессов каждой команды и стеков технологий каждой команды. Чемпион, который работает в этой команде, учится защищать конкретно её, и неверным будет сказать, что если его выбросить сейчас в другой банк, он там вообще ничего не будет знать и понимать. Если человек научился это делать один раз, на другом стеке и немного с другими процессами, этому тоже научиться. Но вот взять и пересадить в другой горшок, чтобы сразу же росло, — нет, я думаю, так не получится. Так из безопасника с классическими навыками не получается. Индивидуален не только по своим личным навыкам и пройденной подготовке, он еще индивидуален для каждого типа команд. Просто так Security Champions из одной команды в другую тоже даже так — какое-то время на адаптацию потребуется, где-то меньше, где-то больше. Но опять же, есть у нас платформенная команда передачи данных и есть разработка веб-приложения — абсолютно разные технологии, абсолютно разные процессы. Первое время придется разбираться.

напрямую влияем на этот вес То есть если он не выполнил свои задачи он получает туда 0 у него снижаются показатели я спрашивал о том как клиенты и ваши партнеры узнают продукты действительно надежный безопасный подозреваю что для того чтобы он вышел на рынок и вы могли

[музыка]

конечно же у нас это происходит А и проводится определенные мероприятия по приемке системы да Перед переводом ее в промышленную эксплуатацию если мы говорим про какие-то большие проекты либо опять же там маленькие приёмочки если мы говорим про Джал команды потому

Какие-то навыки есть общие, такая платформа, которая, как минимум, должна быть одинаковой для всех. Ну, хорошие коммуникационные навыки, безусловно, умение договориться, как внутри своей команды донести свою мысль, так и чего гр

безопасности на одном языке очень быстро ну очень хорошо помогает ему А доносить свои мысли до безопаснее и Наверное он работает переводчиком в обратную сторону понимает требования безопасности объясняет команде Наверное я соглашусь Но люди которые выполняют роль бизнес-партнеров со

стороны информационной безопасности в принципе тоже в состоянии говорить на бизнес языке и самостоятельно общаться в том числе стоп-менеджментом и доносить свои мысли понятно вам языком Это следствие введенных вами ролей процессов методов управления проектами это следствие всей нашей деятельности что мы

вырастили ряд таких специалистов которые в состоянии говорить одновременно с обычными и сойтишниками из бизнесом и переводить птичьего на птичье Спасибо интересно Артём Как вы оцениваете результативность работы ваших чемпионов безопасности Ну если про формальную часть то у нас есть процедура ежегодной оценки

результатов эффективности сотрудников банке и есть договор енность владельцами команд что определенный процент от 20 до 100 в зависимости от распределения задач Security чемпионов в сравнении со всеми остальными забираем мы назначаем ставим чемпиону задачи которые он должен выполнять насколько он с этим справился и это

напрямую влияет на его материальную мотивацию Спасибо