Coffee Coffee #27
Wywiad z bezpiecznikami!
O odcinku
W świecie IT, nie ma osób, które budzą więcej emocji, zainteresowania i owiani są większą tajemnicą ... niż bezpiecznicy (no może Agile Coach). Dlatego, postanowiliśmy przeprowadzić "Wywiad z Bezpiecznikami!"
Żeby nie było lipy, zaprosiliśmy nie byle kogo:
✅ Andrzeja Dyjaka, który w bezpieczeństwie zjadł zęby na różnych obszarach i różne błędy wyszukał (w tym też takie, o których nie może mówić)
✅ Kubę Kałużnego, który dba o bezpieczeństwa w Snowflake a oprócz tego mówi o modelowaniu zagrożeń językiem zwykłych ludzi
✅ Wojtka Lesickiego, który między innymi dbał o bezpieczeństwo Waszych zakupów w Allegro.
W tym odcinku podcastu "CTO Morning Coffee" skupiamy się na roli bezpieczeństwa w świecie Senior Technical Leaders, w tym CTO. Goście, Kuba, Wotjek i Andrzej, dzielą się swoją wiedzą na temat bezpieczeństwa jako kluczowego elementu jakości w oprogramowaniu. Dyskutują o znaczeniu Security Champions, integracji bezpieczeństwa z procesami inżynieryjnymi, a także o wyzwaniach związanych z komunikacją i kosztami bezpieczeństwa w organizacjach. Odkrywamy, jak bezpieczeństwo wpływa na codzienne operacje i decyzje technologiczne, dostarczając cennych wskazówek dla liderów technicznych.
O czym było:
✅ Rola bezpieczeństwa w pracy Senior Technical Leaders i CTO.
✅ Znaczenie Security Champions w zespołach technicznych.
✅ Bezpieczeństwo jako integralny element jakości oprogramowania.
✅ Integracja bezpieczeństwa z procesami inżynieryjnymi.
✅ Wykorzystanie narzędzi i procesów bezpieczeństwa w codziennym funkcjonowaniu firm.
✅ Wpływ bezpieczeństwa na koszty i efektywność organizacyjną.
✅ Komunikacja i edukacja w zakresie bezpieczeństwa w organizacjach.
✅ Wyzwania związane z pozycjonowaniem i wartością dodaną bezpieczeństwa.
=============================================
CTO Morning Coffe tworzą:
👉 Sebastian Gębski:
🔵 Twitter: https://twitter.com/liveweird
🔵 Blog: https://no-kill-switch.ghost.io/
👉 Wojtek Ptak:
🔵 Twitter: https://twitter.com/wjptak
👉 Tomek Onyszko:
🔵 Twitter: https://twitter.com/tonyszko
🔵 Blog: https://www.onyszko.com/
🔵 Newsletter: https://signup.onyszko.com/
Live long and prosper 🖖
---
To nagranie jest zapisem spotkania na Twitter Spaces, tak jak zostało przeprowadzone, bez dodatkowej obróbki. Zapraszamy do dołączenia do przyszłych spotkań na https://www.ctomorning.coffee
Transkrypcja
Brak wyników.
wszystkim cześć cześć dzień dobry mam nadzieję że się słyszymy słyszymy się dzień dobry Wojtek na kawie faktycznie dobrze w międzyczasie jak wszyscy dołączają to może tradycyjne przypomnienie formułka mogł póść nania ale nie słyszeliśmy się przez TR tygodnie więc może warto ją rzeczywiście powtórzyć Słuchajcie jest cofe nasze co teoretycznie dwutygodniowe programy w ramach których spotykamy się i rozmawiamy o tematach które są istotne dla tak zwanych st czy i nie tylko aktualnych i aspirujących podczas tych godzinnych sesji rozmawiamy sobie w sposób zupełnie otwarty każdy może zabrać głos tak zamy do używania funkcjonalności Twittera podnieś łapkę i wtedy takiego głosu udzielamy w ramach takiego odcinka zawsze rozmawiamy o jakimś jednym konkretnym temacie Staramy się od tego nie odbiegać w ramach takiego odcinka również Staramy się przestrzegać jakichś zdroworozsądkowy zasad Czyli wiadomo dyskusja cywilizowana nie robimy jakiś osobistych wycieczek nie krytykujemy osób nie krytykujemy firm krytykujemy postawy i zachowania nie skupiając się
na jakiś osobistych gierkach zachowujemy po prostu profesjonalizm jednym słowem jeżeli podobają się wam te spotkania to możecie na City morning cofe zapisać się na powiadomienia o kolejnych Zachęcam do śledzenia nas na Social mediach czyli konkretnie na Twitterze i na linkedinie tam cofi ma swoje konta i tam też będą się pojawiać nowe informacje również na naszym webpage jest link do archiwum odcinków gdzie możecie sobie odsłuchać odcinki w postaci podcastu jeszcze jedno ważne wspomnienie wspomniałem o tym żeby podnosić łapki żeby zabierać głos my czasami możemy tego nie zauważyć więc nie zachęcaj się odnoście dalej bo w ferworze dyskusji może nam po prostu to umknąć i myślę że chyba z najważniejszych tematów powiedziałem na chwilę obecną wszystko się czy mas napisane Czy leci z głowy ale postaram się to następnym razem może spróbować nagrać dzisiaj mamy gości nami Kuba i Andrzej ponieważ możemy pytać o bezpieczeństwo chłopaki coś wiedzą Kuba może powied Dzień dobry Kuba jest jesteś w tej chwili Fir
produktowej Cześć tak ja prowadzę zespół prod Security firmie firm nie nazywając firm ale duża i śnieżna Andrzej jesteś z nami Jestem jestem Dzień dobry ja z kolei Buduję swój własny mały biznes skupiający się głównie na Edukacji i szkoleniach i konsultingu natomiast z doświadczenia pracowałem w całości procesu wytwórczego i jako programista i jako bezpiecznik ja chłopaków OB znam więc tylko powiem że oczywiście są skromni nie mają czasu ale każdy z nich ma tam pasem trochę lat i różnych funkcji z Andrzejem prywata możecie posłuchać jakieś rozmowy na moim podcaście z stem IT to polecam bo jest ciekawa No dobrze to zaczynamy z kopytka panowie Przygotujcie się na listę pytań bo mamy ją tutaj i oczywiście jak ktoś ze słuchających chce się włączyć to jak najbardziej możecie zarówno dodać swoje rzeczy Jak zapytać się dobrze tematem jest dzisiaj bezpieczeństwo ale kontekst to
Andrzej Kuba wszystko jest taki koncept branży który się nazywa w lew w lewo całym całej drodze czyli procesu twórczego programowania i bardzo dużo senior Technical leaderów w Engineering wcześniej albo pracowało blisko albo sami byli Security to dlatego że Security w zespołach to są te osoby które odpowiadają za bezpieczeństwo danego zespołu współpracują zespołami Security więc więc bardzo często z takiej funkcji technicznego lidera później później ta osoba przechodzi na jest jedna sprawa druga którą chciałem dodać to taki taki frazes ale bezpieczeństwo to nie jest jakaś osobna osobna charakterystyka softwaru
bezpieczeństwo to jest qu w związku z tym jeżeli techn Leader dba sofu to również bezpieczeństw skrócie i ja tutaj dodam dokładnie to co to co Jakub powiedział Bezpieczeństwo jest tylko jakąś składową i jest składową tutaj konkretnie jakości każdy produkt który ma dobrą jakość będzie miał bezpieczeństwo na jakimś poziomie bo nie jest to zerojedynkowe nic nigdy nie będzie w 100% bezpieczne to jest gradient i i na bezpieczeństwo należy patrzeć po prostu jako na skład tak jak Patrz przykładowo oni w pewnym momencie zaczęli się marketowa jako coś dodatkowego nie jako osobna dziedzina i wyszli na tym bardzo dobrze więc ludzie też powinni tak tutaj nauczyć się tej lekcji No dobrze to trochę żeby nie było tak przye bardzo fajny świat idealny ale wzó do tego co andzej powiedziałeś w tej chwili że ludzie powini się markować jako osobna dziedzina dotąd to robiliśmy i to nie za
bardzo do końca zadziałało jedak Bezpieczeństwo jest postrzegane jako osobna funkcja niekoniecznie zintegrowana z technologicznym procesem i tak dalej to teraz to co powiedzieliście ale praktycznie tutkę bym powiedział że czasami widzi nawet jako koszt niektórych organizacjach taki wieci czysty koszt który trzeba ponieść żeby coś wytworzyć ja się tutaj zgadzam i może może nie nie odpowiednio to wyraziłem Chodzi mi o to że właśnie bezpieczeństwo bezpieczn cy powinni i ja widzę że są te zmiany to się łączy z tym że często gęsto teraz już ludzie którzy przechodzą przez ścieżkę Security championa potem wskakują do bezpieczeństwa więc oni mają pewien background taki z procesu wytwórczego więc trochę inaczej patrzą na to natomiast bez powinno się marketowa właśnie tak jak sre Czyli jako pewna dostawka żeby nie było widziane jako koszt tylko jako część większej całości robimy to po to żeby końcem końców potem mieć obniżony koszt wytwarzania nowych funkcjonalności i żebyśmy nie musieli myśleć o pewnych aspektach bezpieczeństwa bo one się po prostu dzieją a nie są taką dostawką bo dopóki będzie widziana jako dostawka jako taki dodatek No to zawsze wtedy
będzie widziana jako dodatkowy koszt nie coś co nas przyspiesza przyspiesza działanie co jak jest widziany zespół bezpieczeństwa bardzo często zależy od struktury organizacyjnej i jeżeli zespół bezpieczeństwa jest osobno zawiązany gdzieś przy organizacji cio organizacji it jest osobną organizacją Security to wiadomo to będzie postrzegane jako koszt bo samo it jest kosztem ale wielu organizacjach zwłaszcza dojrzałych albo inaczej nowych organizacjach zespoły Security albo część zespołów Security jest zawiązana w grupie Engineering No i to jest niesamowicie skuteczny argument za tym że że jednak Security jest częścią tej inżynierii i wtedy nie jest bezpośrednio postrzegany jako koszt natomiast jeszcze takie triki których można użyć do tego żeby bardziej związać się z deweloperami i I współpracować blisko z ingiem ty po prostu używać tych samych procesów i i tutaj można to robić wielu różnych aspektach aspektach narzędzi przykładowo Żeby nie były to osobne narzędzia tylko żeby te narzędzia integrowały się z istniejącymi narzędziami których używają deweloperzy No ale też procesy tak na
przykład nie ma sensu żeby uruchamiać osobny proces followów do incydentu bezpieczeństwa jeżeli grupa Engineering już ma swój własny proces tam retro integracja z tym procesami które ma ining to jest bardzo skuteczne rozwiązanie KOR żeby się spytać do firmach to widziałeś ale może nie spytam się to jest bardzo dob pytanie właści to w firmach widziałeś to co powiedziałeś przed chwilą OKE większości okej dobre dobra odpowiedź dobrze skrócie Nie no właśnie dotknąłeś jednego takiego tematu to może Andrzeja pociągnę trochę tutaj dalej no bo jeżeli mówimy o bezpieczeństwie Czy przy produkcji czy organizacji to myślisz technologia proces czy funkcja No bo ja się spotkałem z tym że na przykład to
jest postrzegane jako funkcja kba że dział jest osobno i się patrzy na nich jako taką funkcję przez którą coś musi przejść albo z drugiej strony Patrz się na to tylko na poziomie sieci i ten to jak jak rozwiązać problem z tymi trzema elementami czy to powinna być technologiczne proces czy funkcja czy wszystko razem szerokie i najpierw musielibyśmy sobie wprowadzić jasny podział to jest też odnosi się do tego o czym Jakub przed chwilą powiedział czym innym jests czys czyli application Security produ Security a Czym innym jest KPS czy net czyli corporate Security Network Security jedno i drugie to Security ale będą pełniły trochę inne będą pełniły inne r dla organizacji i co innego mają zadanie robić więc o ile przykładowo Korps i nets można powiedzieć że jest to pewnego rodzaju funkcja i dalej Być może oni nie do końca pasują jako część ining No to już
APS czy prsek to jest część inżynierii więc może niekoniecznie funkcja pomimo tego No i właśnie dlatego się to wszystko miesza bo po prostu wszystko jest skracane do Security No i tak klasycznie wszystko było osobnym jakim ś pionem więc raczej było funkcją i i było skupienie na technologii ale przy przy proc iaps tym czym ja się zajmuję no i też tym czym się Jakub zajmuje No nie sądzę że że tutaj da się to albo ograć samą funkcją że po prostu mamy jakąś przelotkę że trzeba tutaj teraz pójść do bezpieczników czy samą jakąś technologią są to ewidentnie zestawy różnych procesów które muszą się wydarzyć lepiej lub gorzej ja to nazywam praktykami mamy Wojtka który dołączył do nas który też według mnie ma coś do powiedzenia Wojtek jak chcesz się włączyć to wiesz odnotowują dobrze Ja tylko chciałem wrócić troszeczkę do tych tematów kosztów bo jakby dla mnie to że Security jest postrzegana jako kosz jest czymś normalnym Od czego raczej nie nie nie uda się ucieknąć raczej ważne jest żebyśmy w organizacji pokazywali co ten kosz daje co ten kosz umożliwia przed
czym chroni Wydaje mi się że to jest najistotniejsze Ja myślę że Wojtku że tutaj dotknąłeś bardzo fajne bardzo fajnej rzeczy ja mogę powiedzieć jak to wygląda firmie której teraz pracuję że faktycznie ta edukacja edukacja przede wszystkim Inżynierów jest bardzo mocna i taka bardzo tak jak Kuba też wspominałeś bardzo jest częścią procesu więc naturalnie gdzieś cały czas aspekty się pokazują podam No dobrze jak mówimy o tym że to jest część procesu kosztów i tak dalej teraz mamy organizacje i w organizacji są różne role i wiadomo że role gdzieś się tam ze sobą albo współpracują albo ścierają tak albo Każda ma swoje zakres odpowiedzialności No Jeżeli patrzymy na organizacj mamy takich ludzi jak cto właśnie albo VP of Engineering albo takiego Wojtka firmie której pracuj No i mamy też rolę s czym ta rola jest według was i jak ona ma relacje do tych innych ról inżynierskich właśnie bo Kuba powiedziałeś że to powinna być część inżyniering ale jednak dalej jest to osobna działka często przynajmniej w tych organizacjach w których ja się
spotykam ja może tak krótko skomentuję prop ścierania się tych dwóch organizacji Zawsze jest jakieś napięcie natomiast chodzi o to żeby to napięcie było zdrowe jeżeli któraś z tych stron ma istotnie mocniejszą pozycję w organizacji no to no to jest źle tak jeżeli deweloperzy akceptują wszystkie wymagania Security jak leci to to po prostu Będą Będą n tym spędzali zbyt dużo czasu no i w drugą stronę jeżeli enger ma całkowitą władzę nad tym nad dostarczaniem jak największej liczby ferów bez żadnych wymagań bezpieczeństwa to też jest źle takie zdrowe ten jest jest jak najbardziej na miejscu jak to powiedział konsultant z którym pracowałem jego rola to jest Andrzej z twojego punktu widzenia Jeżeli masz jako jak pracujesz z organizacjami No to jeżeli masz CP to adresu tylko tego jednego Czy rozmawiasz z wszystkimi wiesz co mojej perspektywy znowu Przypomnę się głównie zajmuję IEM to bliżej mi do i raczej preferuj roz bo końcem końców Uważam że ta rola jest
bliższa wytwarzaniu oprogramowania dla mnie ciso tutaj nie gra pierwszych skrzypiec bo rola ciso w organizacji jest obrona jest obrona organizacji czyli bardziej wracając właśnie do tego corporate Security Network Security jest tylko pewnym małym wycinkiem który zajmuje głowę ciso nawet w firmie produktowej Przynajmniej tak to widzę i nie spotkałem się na razie jeszcze z jakimiś exception od tej od tej reguły być może są i być może właśnie są to firmy Silicon Val ale pracując na naszym rynku raczej cois zajmuje się tym swoim pionem dlatego Ja preferuję i wydaje mi się że bliżej mi do rozmawiania lepiej się rozumiemy zto czyli ludźmi dobrze dołączajcie macie swoje przemyślenia Andrzej wszedłeś trochę w to co ja mam przygotowane na swojej liście bo taką listę gdzie sobie przygotowałem oczywiście tematów No bo teraz bardziej Na naszym podwórku to jest to są moje doświadczenia albo obserwacje rola sis w szczególności jest postrzegana trochę jako taki hamulcowy nie i teraz pytanie
czy ta funkcja w organizacji powinna być pociągowym czy hamulcowym Tak czyli czy raczej powinna być właśnie jak się ustawiać tak no bo mój punkt widzenia jest taki że ja się spotykałem że w większości to jest traktowane jednak jako bloker do zrobienia czegoś BL organiz przegrywa odpowiedź Mo może zadam punktu widzenia tak żeby nie był to bloker ja powiem tak myślę że jest wiele sytuacji w których zespoły Security mogą się wykazać tym że wcale nie są hamulcowymi to są sytuacje kiedy są nowi klienci z pewnych branż w których Security ma istotniejsze znaczenie przykładowo z branży bankowej albo z branży rządowe wtedy zdobycie takiego nowego klienta bardzo często oznacza spełnienie pew wymaga bezpieczeństwa i wtedy ja traktuję taką
sytuację jako jako en a nie nie bloker Ja dodam Ja dodam uwagę nie mam nie mam pełnej odpowiedzi natomiast jedna uwaga od raz do głowy mówić językiem korzyści Czyli to co jak przed wspomniał bardziej że co nam to otworzy niż językiem niekorzyści czyli czyli po prostu straszenie bo często gęsto sprowadza się to do do straszenia a wtedy po prostu odcinamy odcinamy się od drugiej strony bo druga strona już po prostu w ogóle nas nie słucha jak straszymy że tu Każda nowa podatność zrobi to i to i to i w ogóle to pójdziemy pójdziemy do piachu No to po pierwszym drugim razie jeżeli się to nie wydarzy to zaczynamy być po prostu ignorowani więc rozmowa językiem korzyści co nam to da a nie co co nam to zrobi konkretny przykład bezpieczeństwa w którym można się wykazać od strony od strony nie hamulcowej tylko tej
drugiej wyszukiwanie podatności w bibliotekach tak można robić to skanerami ręcznie i później Zgłaszać podatności do zespołów inżynierskich Co trwa bardzo dużo czasu identyfikować ownerów kodu wyznaczać terminy na załatanie podatności i tak dalej A można pójść trochę bardziej nowoczesną ścieżką wpiąć się w te same procesy których używa Engineering wpiąć się w pipeline na githubie albo w innym narzędziu I automatycznie wystawiać pry które updatu ją wersję danej biblioteki tak no to wtedy wtedy na pewno będziemy bardziej postrzegani od strony od strony tej która pozwala na robienie więcej biznesu i przyspieszenie całego sdlc niż niż od strony hamulcowej słuchajcie a Jak poznać że tak naprawdę robimy wystarczająco dużo nie za dużo jeżeli chodzi o Security No bo łatwiej jest być świętszy od papieża to jest akurat taka specyficzna rola Gdzie czasami to że Security robi dobrą robotę to po pierwsze jest w ogóle totalnie niezauważalne to jest jedna sytuacja a czasami możemy mieć trochę szczęścia ale nie tylko Jest to związane ze szczęściem i Security w cudzysłowie może nie być nam potrzebne być może na przykład dlatego że jesteśmy małą organizacją jeszcze się nikt nami nie
zainteresował albo mamy taką specyficzną branżę że te informacje nie są na tyle krytyczne i tak dalej jakimi tutaj ja widziałem że wojcie się odowa chba poprzedniego pytania tak to był rzeczywiście poprzedni wątek gdzie to jc tak dokańczając bo teraz padło dosyć trudne pytanie które dotyczy metryk sposób natomiast Wracając do poprzedniego jeszcze na chwilę wątku ja bym trochę jednak straszył zaczy ja bym jednak starał się mówić o tymie są zagrożenia mam bardziej w organizacjach mówić jakie są zagrożenia dotyczące samej organizacji lub organizacji o podobnym profilu No i mówić w jaki co Co się stanie jak jak ten atak wyjdzie Oczywiście tutaj jest jest takie ryzyko gdzie też wspominali Co się stanie jak mówimy o tym ileś razy a tych ataków ciągle nie ma w którymś momencie może być rzeczywiście takie pytanie czy czy potrzebujemy tych wszystkich kosztów natomiast trochę zależy od tego
jakie mamy relacje resztą pewnie levelu i jak to przedstawiamy Jaka jest dojrzałość też tych osób żeby nie miał wszystko mówić o tym jakie są to jest nadal jakby takie Security które jest kosztem Natomiast pokazujemy co co dajemy w organizacji prz przez to przed jakimi zagrożeniami ją chronimy nie nie stworzymy dzięki temu nowego biznesu aktual ja tutaj wtrącę krótkie pytanie pokazujesz co czy pokazujesz ile to znaczy czy kwantyfikować na na język biznesu inaczej Moim zdaniem to to nie to inaczej z tym nie nie ma jak podchodzić Ja trochę wejdę w waszą rozmowę z takim dodatkowym pytaniem Zaraz wrócimy do wątku Sebastiana ale tutaj Wojtek dotknąłeś ciekawej rzeczy bo ja jako konsultant gdzieś tam powiedzmy czasami zahacz na przykład Ja bardzo często dostaję takie pytanie od ludzi zajmujących się tym jak ja mam pokazać że to co robię to w ogóle coś robi No bo to jest paradoks ubezpieczenia akurat nawet wczoraj o tym
gdzieś Pisałem że tak długo jak robicie swoją robotę to nic się nie dzieje to nie jest tak że totalnie nic nie widać tutaj chyba prch do py Seb które pomagają ocenić czy robimy wystarczająco dużo bo są branżowe frameworki tak są jest czyli Mod kilka różnych frameworków które też można budować sobie samemu tymi frami oceniać ile robimy w porównaniu do innych organizacji dane na temat różnych branż na temat różnych wielkości firm sektorów czy robimy tyle co oni czy robimy mniej czy więcej tak można to robić w bardziej zautomatyzowany sposób to Jednocześnie też pokazuje pewne liczby przykładowo czas załatania krytycznej podatności to już można wtedy porozmawiać na temat konkretów tak na przykład Załóżmy że przez lata nie było krytycznej podatności takiej dużej która by Dotykała Prawie każdego systemu natomiast mamy dane w naszym frameworku że średni czas załatania podatności jest
załóżmy w niektórych organizacjach nawet rok 3 lata no i wtedy i wtedy przychodzi na tapetę taki prezent w postaci na przykład Lock for Shell czyli podatności w popularnej bibliotece Lock for j w której w której jest jasny impa tak i jest łatwo eksploatowana podatność i wtedy możemy pokazać wprost z tego frameworku nam średnio zajmuje załatanie podatności rok gdy wyjdzie kolejny Rock forell mamy Krótko mówiąc czas no to jedna z metryk tak Andrzej Wojtek Wojtek Ja wiem że wy mieliście w jednej z organizacji proces jakoś tam ustawiony Bo to jest tak jakby mocno organizacja znaczy mocno metryka nastawiona na rzeczy typu płatności i tak dalej a jak pokazać to że robimy to na przykład w trakcie czy jeżeli tak Andrzej wcześniej mówiłeś że to musi być część procesu też to na przykład podejść do tego że wiemy że robimy to co trzeba ale w trakcie wytwarzania to już konkretnie zależy od praktyki o jakiej mówimy
przykładowo to się będzie trochę różnić dla sast czy dla Dust czy czy czy dla innych więc więc zależne od praktyki Natomiast tutaj tak jak Kuba powiedział są ewidentnie są różne dane które możemy sobie wyciągać z tych praktyk i pokazywać je że one się dzieją natomiast takim szerszym pytaniem jest czy faktycznie same liczby nam powiedzą że ma to wpływ przykładowo ostatnio się widzieliśmy z Kubą na confidence i mieliśmy krótką przecinkę o modelowaniu zagrożeń chyba nawet Wojtek też w tej przecin i jak jak pokazać że modelowanie zagrożeń proces faktycznie wpływa na zmniejszoną ilość podatności które lądują w gotowym produkcie No bo możemy mierzyć same sesje że one się odbywają i przyrastają na modele zagrożeń wszystko jest okej ale jak jasno pokazać że ma to przełożenie potem na końcową na końcową zmniejszoną liczbę podatności albo generalnie że coś nam to w procesie usprawnia i No na koniec dnia mamy mamy mniejszy Koszt to są trudniejsze pytania ja jeszcze na nie nie mam takiej dokładnej odpowiedzi też też te procesy mierzę ale jeszcze nie mam takiego
jasnego połączenia do kosztów natomiast żeby tutaj nie zostawiać takiej otwartej pętli to dodam że dużo łatwiej jest pokazywać wartość znowu mówiąc o bezpieczeństwie jako części takiego szerszego procesu wytwarzania programowania i procesu który jest wypadkową jakości czyli ni sprzedawanie samego bezpieczeństwa że tyle tyle i mamy podatności i je łamy tylko patrzeć też na nie jako po prostu zwykłe bagi i każda podatność to jest też zwykły po prostu Pak i tak można też pokazywać że po prostu szybkość szybciej szybciej naprawiamy różnego rodzaju błędy No ale temat temat metryk generalnie jest Jest dość ciężki tak jak Wojtek zauważył nie jest łatwe żeby pokazać wartość dodaną bezpieczeństwa wiesz co ale to tutaj trochę wejdę z takim pytaniem pomocniczym przy tematem bo pytanie Sebastiana trochę było takie Skąd wiemy że robimy Nav tak a i nie wkładamy Za dużo trochę skręciliśmy od razu w stronę metryk bo wy wiecie co mierzycie i tak dalej no ale popatrzmy na z punktu widzenia takiej organizacji wiesz która się rozwija
i to by na przył ma tak tajemnicą polela jest że bezpieczeństwo się adresuje na końcu nie i teraz ktoś musi zdecydować że w ogóle zaczynamy w to inwestować przeważnie na początku tego nie robimy nie to jak z waszego punktu widzenia Jaka jest jak Jaka jest jak podejść do stwierdzenia jaka inwestycja na początku jest wystarczająca na przykład nie Czyli jestem w City of startupie dotąd robiliśmy to nie robiliśmy i tak dalej No i teraz OKE gł i myślę coś muszę z tym zrobić to jaki poziom Na początek jest dobry Ja przed momentem miałem powiedzieć że czasy w których przez rok d lata zespół kilkudziesięciu programistów siedział nad softem i gdzieś na koniec być może robił testy bezpieczeństwa minęły bo teraz widać dosyć szybko czy czy dobrze zainwestowaliśmy w bezpieczeństwo bo jeżeli jest jest Depl co dwa tygodnie albo nawet częściej niektórych firmach codziennie r to to w sumie widać od razu jeżeli pominęliśmy którąś którąś z części procesu bezpieczeństwa to to być może dostajemy
sygnały w post podatności ale właśnie podałeś k przykład bo startup jest takim k przykładem tutaj wiesz co ja spotkałem się nawet z firmami bardziej zaawansowanymi które wiesz na przykład wchodząc w jakiś nową działkę nie No ktoś zadaje to pytanie i się orientują Okej nie robimy nic nie i też nie wiedzą ile powinni zrobić żeby było dobrze prawda jest taka Wiadomo każdy bardziej związany z bezpieczeństwem ktoś kto kocha tą dziedzinę powie od razu wcześniej tym lepiej prawda jest taka że w takim naturalnym cyklu startupów najpierw budują jakąkolwiek wartość żeby pokazać tą wartość inwestorom później żeby zacząć sprzedawać tą usługę Czy produkt do pierwszych klientów być może mus zacząć spełniać pewne podstawowe normy jakieś tam iso i tak dalej i zazwyczaj wtedy zawiązuje się pierwsza Pierwsza funkcja bezpieczeństwa i to jest właśnie KPS nets czy Global Security o którym mówił Andrzej i to jest zazwyczaj moment w którym zatrudnia się kogoś kto Docelowo będzie ciso natomiast problemy abeke czy czy Product Security zazwyczaj
rozwiązuje się dopiero później natomiast najczęściej w takim startupie pojawią osy które które rozumieją które były już branż wystarczająco dużo i rozumieją to że bezpieczeństwo to jest tak naprawdę Quality w quity trzeba znaczy trzeba można już inwestować od samego początku i i zazwyczaj jeżeli tutaj nie mówiąc duż bezpieczeństwie tylko mówiąc o Quality jeżeli w Quality zainwestuje się od samego początku dobry Design dobrą architekturę bo wiadomo architekturę jest najtrudniej późno zmienić później zmienić to to wtedy też poja bezpieczeństwo rozwiązania dob układ r upraw pociągnę trochę za język ale Andrzej albo Wojtek jak ch ty to wskocz bo dotknąłeś fajnej rzeczy mo możem ter zagrać r taki tam przy swoich rzeczach robiłeś ale bo powiedziałeś że zespole przeważnie jest osoba która gdzieś coś robiła dotknęła i tak dalej nie i teraz Jeżeli masz taki zespół albo wchodzisz nawet większy zespół widzisz że nie jest robione Cokolwiek nie chcesz być tym dooms Day który
przychodzi i mówi Słuchajcie jutro niebo zapali się na głowę to jakbyś podszedł do tego żeby wprowadzić ten temat na agendę Czyli masz zespół który produkuje produkt masz wiesz jakąś Road mapę i tak dalej orientujesz się że jakieś rzeczy są nie zaadresowane No i teraz musisz przekonać ten zespół albo e jednak wprowadzić na agendę przynajmniej jakieś minimalne wymagania to jak tego podz wnie Andrzeja pło hasło modelowania zagrożeń ja traktuję te sesje modelowania zagrożeń jakoż pewną formę edukacji zagro jest taka sesja zespołem różnymi osobami z architektami być może co może taką często uświadamia lud problem któ wcześniej nie mieli żadnego pojęcia co jeśli dany użytkownik przyjdzie zacznie robić różne różne dziwne akcje w naszym systemie tak co jeśli przykładowo ten serwer który miał g ukryty za nagle się okaże że on jest w internecie tak i na taką sesję bardzo bardzo łatwo jest przekonać ludzi żeby dołączyli oni bardzo często wtedy uświadamiają sobie pewne ryzyka później to jest tak trochę
pingpong polegający na tym że trzeba uświadomić że te ryzyka Rzeczywiście są realne trzeba trzeba wykonać jakąś pracę techniczną i dowieść przynajmniej przynajmniej jeden atak który realizuje dane zagrożenie wtedy układ sił mocno się zmienia bo mamy już ludzi którzy są zainteresowani tematem mamy ludzi którzy rozumieją te ryzyka praktycznie sami je podali podes modelowania zagrożeń i mamy potwierdzenie w postaci tego że te te ryzyka Rzeczywiście są są rzeczywiste ja bym do tego i ja jeszcze dodam do tego co Jakub powiedział co myślę że spora część słuchaczy się domyśliła w takim wypadku tą osobą która wprowadza to bezpieczeństwo do zespołu czy do organizacji raczej powinna być osoba która ma może niekoniecznie talent ale chociażby jakieś predyspozycje posiada umiejętności miękkie potrafi rozmawiać i potrafi rozmawiać bo to jest po prostu ważne żeby rozpocząć i potem umieć kontynuować ten dialog szczególnie jeżeli chcemy przekonać tą drugą stronę często gęsto bezpieczn cy mają z tym problem I wydaje mi się że raczej to wynika z takiej własnej jakiejś decyzji
że nie chcę rozmawiać i ja wiem lepiej niż z nieumiejętności po prostu nie chcą rozwijać tych umiejętności miękkich a one są ważne żeby przekonać zespół szczególnie właśnie techniczny zespół czy czy czy organizacje do do jakiejś no do jakiejś wizji to ja mam dwa punkty Zanim pójdę dalej jeden to jest pytanie kto z was słyszał o modelowaniu zagrożeń modeling możecie zrobić łapkę tam taką reakcję zobaczymy ile osób się z tym spotkało A druga rzecz to będzie kryptoreklama Kuba ma bardzo fajne nagrania na temat moding pokazujące że moding może być też Fun jak będziecie mieli okazję nie wiem czy Kuba dalej to robisz ale takie sesje zagro i modelowania tego polecam mogę też z drugiej strzy też poznaliśmy takich okolicznościach Gdzie mogę zdradzić ze swojej perspektywy też potrzebowałem zwiększyć świadomość bezpieczeństwa firmie krej pracowałem coś bardzo sprawdził tak naprawdę zrobienie tak praktycznie już
rzecz biorąc pełnych pentestów aplikacji na produkcji i z takim fajnym raportem jak poszedłem do zarządu No to Dyskusja na temat bezpieczeństwa była dużo dużo prostsza tak mogę zdradzić Więc polecam też takie podejście więc można się wspomóc wiedzą ekspertów i później dzięki temu też mieć dużo prostszego na ławie szczególnie w momencie kiedy gdpr był wchodził wtedy i wycieki danych były takim przerażającym aspektem na horyzoncie więc takie taką taką praktykę mogę polecić serdecznie wróciłeś trochę do tematu bo mamy dwa podejścia tak trochę nie Kuba to co powiedział i jak ja widziałem jak on to robi na przykład to wiesz tutaj możesz string zrobić pan i zaangażować zespół powiedziałeś to jest trochę to co Wojtek mówił wcześniej postrasz myy zarząd że coś się stanie nie to nawet nie było straszenie tylko to było takie pokazanie faktów bardzo bardzo dobitnie gdzie jesteśmy i jakie to jakie to stwarza ryzyko więc ale no w sumie dobra do mogło być straszenie ale to nie
jest straszenie Wojtek tutaj poruszył ważną kwestię dlatego że wcześniej też rozmawialiśmy o tym jak jak rozpoczynać takie takie Security w organizacjach szczególnie w mniejszych startupach często gęsto To jest jeden z tych pierwszych kroków czyli wykonanie takiego pent testu produktu czy jakiegoś jakiejś aplikacji mniejszej zależy od od organizacji wielkości i pokazanie dobitnie tym osobom na se level że mamy problemy Mamy problemy i faktycznie powinniśmy W to zainwestować i to może już zrobić sam cto No bo takie pentesty może po prostu zlecić i i to może rozpocząć taką konwersację na na temat właśnie tego co powinniśmy zrobić w temacie Security No i właśnie tutaj zarówno polityk jak i dotknęli takiego tematu który nazywa się pentest i nie będziemy rozmawiać o pent testach ale z mojego punktu widzenia i takich doświadczeń które ja widziałem to on się to jest często Punkt startowy ktoś mówi Zatrudnimy firmę żeby zrobiła p testy nie i teraz pytanie to w organizacji jak zatrudniać ludzi od Security I czy to właśnie powinny być
takie rzeczy jednorazowe typu Zatrudnimy ludzi do pentest i potem Skupmy się na załat tego co znaleźli czy i to nam wystarczy na początek czy na przykład od ręki radzili byście wciągnąć kogoś do organizacji kto cały ten temat rozumie ogarniać będzie współpracował z taki firmami z z mojej perspektywy to drugie podejście na pewno przyniesie więcej wartości bo temat jest skomplikowany i nie jest łatwy z różnych powodów natomiast raczej wygląda to w ten pierwszy sposób więc ten drugi byłby jest bardziej rozsądny i przyniesie więcej wartości ale jest też trudniejszy do zrealizowania czyli zatrudnienie kogoś kto będzie takim buforem pomiędzy zewnętrznymi dostawcami usług nie jest to łatwe ale na pewno przynosi więcej wartości Wydaje mi się że tak jak Andrzej mówi że rzeczywiście ten punkt to podejście drugie może dawać więcej wartości ale też podejście pierwsze to weźmy zróbmy pba jest dużo bardziej popularne no i może być dużo łatwiejszym w ogóle rozpoczęciem takich rozmów na temat Security podejście numer podejście
drugie jest dużo bardziej dojrzałe wymaga pewnie te większej dojrzałości większego czytania zrobienie pent testu jest dużo łatwiejsze więc czasem warto zacząć od łatwiejszych rzeczy w ramach Babs jak to się zmieniało na przestrzeni lat bo 10 15 lat temu zwłaszcza w Polsce fajnie to widać w Polsce jest mało firm produktowych jest więcej usług jest dużo banków tak naprawdę w Polsce banki to były pierwsze firmy które które zatrudniały na początku zewnętrznych pentesterów 10 15 lat temu i tak wyrosło dużo firm konsultingowych w Polsce później jakieś 10 lat temu te firmy zaczęły zatrudniać swoich wewnętrznych pentesterów No a teraz widzimy w dojrzałych firmach takie podejście że ten testerów w całym zespole Security jest Jest niewiele i chyba też do tego dążymy bo jak sobie popatrzymy na ining to funkcji waliduj jakość produktu czyli czyli qa czyli czyli tester i tak dalej no jest kilka procent całej całej organizacji Tak większość jest skupiona na na designie i na implementacji A walidację tego czy to działa zajmuje się mniejsza liczba osób
do tego też Moim zdaniem dąży branża Security więc jeżeli ktoś jest w stanie jeszcze tutaj Zgadzam się i z Andrzejem IEM że że drugie podejście zazwyczaj będzie Long Term bardziej opłacalne więc jeżeli ktoś jest w stanie przyjść do organizacji która nie ma ani pentesterów ani zewnętrznych pentesterów Ani od bezpieczeństwa Security iner jest w stanie przekonać organizację do tego że żeby od razu pójść tą drogą Long Term to jest dobrym bezpiecznikiem wiesz co I tutaj mam taki problem według mnie trochę że jak jesteśmy taką organizacją która jeszcze tego nie ma Nie Czyli jesteśmy albo małym startupem albo Według mnie to nie dotyczy tylko małych startupów ale też takich średnich firm nawet nawet produktowych To mamy taki problem o którym trochę Andrzej mówił na początku że bezpieczeństwo nie jedno ma imię Nie no bo jak powiesz że chcesz zatrudnić ja w którymś momencie nawet u siebie w firmie powiedziałem że przestajemy zatrudniać ludzi od Cyber Security Nie bo to może znaczyć wszystko nie A jak zaczniesz szukać człowieka od bezpieczeństwa to znajdziesz ludzi od procesów znajdziesz ludzi od szczególnych działek znajdziesz pentesterów i tak dalej i tak dalej no i pytanie jest do was
takie jak Jak określić kogo potrzebuj napraw na jakie umiejętności patrzeć Ao nie potrzebujemy jak z waszego punktu widzenia taka organizacja czy cto czy Czy osoba odpowiedzialna za ining może podejść do zweryfikowania takiej osoby tak Czyli krótko mówiąc jak zatrudnić kogoś związanego z bezpieczeństwem Jeżeli nie wiemy jeszcze kogo zatrudniamy albo na czym się skupić też Wedy na początku z mojej strony markerami jest spojrzenie po prostu na doświadczenie tej osoby nie chodzi mi tutaj o ilość lat chociaż to też ma znaczenie natomiast pewną różnorodność Rol i czy ona pasuje do tego co do tego do czego potrzebujemy bezpiecznika w naszej organizacji do naszego kontekstu przykładowo jeżeli chcemy zatrudnić kogoś kto będzie nam kierował zespołem Product Security No to fajnie był mieć kogoś kto miał jakieś doświad pisaniem kodu nie jest to konieczne ale jest to jakiś dodatkowy marker który może ułatwić wybór odpowiedniej osoby natomiast sama sprawa
generalnie jest trudna bo rozstrzał jest naprawdę naprawdę duży i nie ma takiej checklisty która spełniły tutaj swoją funkcję przykładowo na pewno nie należałoby patrzeć prz możemy póść patrzeć na przykład na takie markery jak certyfikaty bo ktoś może mieć dużo certyfikatów i po prostu być dobrym w zdobywaniu certyfikatów A ktoś może nie mieć certyfikatów i być dobrym w wciągnięciu zespołu Product Security więc niestety certyfikaty są tutaj raczej szumem niż sygnałem raczej raczej trzeba patrzeć na doświadczenie i przy rozmowie Czy rozumie ten aspekt inżynierii znowu jeżeli mówimy o APS i prsek to C Czy rozumie ten proces s it sam Tech sam po prostu proces budowania softwaru No to to na pewno jest wymagane przykładowo powinna rozumieć sdlc kontynuując to co to co mówisz to moje pytanie jest takie na przykład okej wiecie mam zespół załóżmy 20 450 programistów i mam zapewne jakiegoś
Clouds tutaj oczywiście z szacunkiem osób Chodzi mi bardziej o nazwę roli i pytanie moje do was jest takie no na przykład nie mogę znaleźć albo nie stać żeby znaleźć albo nie mam Może potrzeby Na taką osobę full zespole to moje pytanie do was jest takie czy i jak skillować Czyli w jaki sposób edukować trenować osoby które są bliskie tej infrastruktury szczególnie teowej na przykład waz bardzo odważne przeprowadzać wewnętrzną edukację i prowadzić tak naprawdę program czegoś co brzmi jak Security Champions bez żadnej osoby wewnętrznie która zajmuje się bezpieczeństwem natomiast jest OPC można rozpocząć zewnętrznych konsultantów odle mo są takie laby w których dla devops albo dla programistów są przygotowane pewne zadania związane Security tam są takie elementy gic że żeby cała edukacja też
sprawiała f natomiast chyba bym się obawiał robić to tak całkowicie bez długoterminowej wizji i strategii którą powinna dostarczyć ta osoba odpowiedzialna za bezpieczeństwo w organizacji tutaj chętnie pociągnę przyszły mi tylko sow przyszły mi dwie rzeczy do głowy Po pierwsze z moich doświadczeń wśród tych powiedzmy 40 deweloperów może się okazać że kilku ma jakąś taką zajawkę bezpieczeństwa i różne platformy o których Kuba tutaj wspominał typu h które moż jakby dostarczyć mogą pomóc znalezieniu ty tych ludzi Wydaje mi się że rozmowa z zespołem jakie oni widzą zagrożenia Tak właśnie tutaj wcześniej wspomnianym modelingu też może pomóc znaleźć osoby które mają odpowiedni mindset natomiast tu trudno się nie zgodzić z Kubą że może się okazać że takich osób nie mamy albo mam mamy problem żeby pomoc im w rozwoju więc tu bez zewnętrznej pomocy może być ciężka
Ja trochę skont bo wspomnieli się o pewnej analogii do qa swego czasu a są bardzo duże organizacje dosłownie tysiące Inżynierów gdzie nie ma qa gdzie właśnie Quality jest tematem wszystkich i tylko jest to odpowiedni sposób zewnętrznie weryfikowane zzy mogę powiedzieć Potwierdzam to czy analogicznie nie można byłoby zrobić organizacji w których nie ma Security czyli Security jest problemem wszystkich natomiast to o czym powiedział bodajże Kuba czyli tam ogólnie strategia i ogólnie jakość jest właśnie weryfikowane regularnymi audyt i audyty tworzą pewnego rodzaju pętlę feedbackowa i mówią tak naprawdę tym ludziom tym zespołom czego im brakuje czego się mają doucz na czym się mają skoncentrować czy Czy taki model według was ma szansę bytu jest racjonalny i czy widzieliście taki model w praktyce Powiem tak nie widziałem ale to jest pewnego rodzaju ideał do którego się dąży tylko tutaj ja widzę ten problem że dalej musiałoby być i to tego co trochę nawiązuje do tego o co pytał Wojtek dalej musiałaby być taka osoba która tą wizję niejako najpierw wyznaczyła a potem ją nałożyła na daną organizację potem ta osoba albo rola albo zespół może powiedzmy zniknąć i to będzie działać przez jakiś czas No i potem przechodzi to w ręce tych audytów
które weryfikują czy dalej jesteśmy czy dalej jesteśmy w tych ramach w których wcześniej sobie Założyliśmy No ale dalej najpierw ktoś musiałby coś takiego rozpocząć przy czym tutaj z mojej strony ja bym dodał że ja lubię mówić że Bezpieczeństwo jest częścią jakości bo jest natomiast przynajmniej jeszcze na chwilę obecną jest trochę bardziej skomplikowany niż niż testowanie takie no po prostu jakości czy czy czy aplikacja mi się gdzieś tam nie wywala wymaga większej większej jakieś wiedzy domenowej na temat różnych praktyk i od strony operacyjnej osoby która wykonuje jakieś pentesty czy czy czy inne rodzaje testów bezpieczeństwa Wymaga trochę większej specjalizacji większej wiedzy czyli tak naprawdę więcej lat doświadczenia a więc idealnie dałoby się tak zrobić i fajnie gdyby tak było i zakładam że w dużych naprawdę dużych organizacjach być może nawet tak jest ale ja tego nie widziałem i No ja jeszcze tego nie widziałem ja powiem tak nie można nie jest wykonalne żeby testować wszystko i audytować na koniec wszystko to co
tworzą deweloperzy to po prostu będzie kosztowało za dużo więc trzeba mieć jakiś mechanizm który zdefiniuje kiedy Testujemy i co Testujemy tak być może takim mechanizmem jest modelowanie zagrożeń To jest coś co co my robimy w organizacji i modelowanie zagrożeń wskazuje najbardziej krytyczne elementy systemu i w tych punktach uruchamiamy pewien zestaw akcji tak jednym z nich na koniec Być może jest PEST Natomiast co do tego czy by to działało my poniekąd do tego trochę dążymy to znaczy z naszych w ogóle leers inżynierami rozmawiamy takim językiem pewnych pryncypiów na temat tego co w ogóle powinno się dziać w organizacji z takich jest to że w związku z czym deweloperom też jednocześnie zależy żeby powinno zależeć żeby ich kod był bezpieczny bo to jest bo to jest jakąś jakimś wyznacznikiem tego że że że kod jest wysokiej jakości plus plus to że oni są erami tego tego ryzyka
tak to jest jeden z drugich naszych princip czyli engineers Security no i w takim zestawie w takim układzie jeżeli mamy jakiś proces przykładowo modelowanie zagrożeń które pokazuje kluczowe elementy systemu pokazuje kluczowe ryzyka można wtedy rzeczywiście punktowo odpalać pentest i weryfikować czy idziemy w dobrą stronę i i wtedy minimalnie korzystać z zespołu Security jeszcze tak szybko na koniec żeby nie zajmować zbyt dużo czasu program Security Champions o którym wspominałem czyli czyli takiej funkcji bezpieczeństwa realizowanej przez jednego z Inżynierów zespołu Docelowo jeżeli tak się zastanowić do czego to dąży dąży to do tego żeby tak naprawdę każdy inżynier był Security championem w swoim zespole więc poniekąd być może ta wizja jest zrealizowal to ja tutaj gładko Wejdę jeszcze kontynuując ten wątek Słuchajcie szczególnie dla mniejszych organizacji Załóżmy że właśnie startuję czy wystartowałem jakiś produkt mam kilkadziesiąt osób w swojej firmie jestem zapewne użytkownikiem chmur kje pytanie do jest takie co warto co
byście polecili żeby koniecznie skorzystać z produktów wendów A co na pewno warto zachować in jeżeli chodzi o warstwę bezpieczeństwa może zacznę Wojtek od ciebie dobre pytanie Wydaje mi się OW Toż dosyć sporo produktów które mają spojrzeć na całe maturity i w ażurowej chmurze aktualnie to jest Defender Microsoft Defender który ma pomóc znalezieniu wszystkich configuration które mamy i trochę nie wyobrażam sobie tego robić własnymi rękoma wię natomiast od strony produktu C chcemy pisać własne skanery wy mi Trudna droga bazując na moich doświadczeniach więc jest kilka produktów które po prostu chyba lepiej kupić To może ja rozszerzę tutaj też to py poproszę o komentarz też chodzi mi o Rol i funkcje zespole wic produkty r i funkcje warto
zachować właśnie wewnątrz poproszę to bardzo zależy od etapu rozwoju danej organizacji i tutaj mam na myśli kontekst dojrzałości pod kątem bezpieczeństwa ja to obserwuję w branży i Wspomniałem o tych bankach które 10 15 lat temu zaczęły zatrudniać zewnętrznych pentesterów 10 lat temu zaczęły zatrudniać swoje własne zespoły i teraz widzę gdzieś od pi lat że że banki zaczynają inwestować w swoje Inżynierów bezpieczeństwa na pewno najprościej na zewnątrz jest wsać walidacja cli pentesty audyty tego typu rzeczy co jest trudno w sować te funkcje które wymagają ciągłego kontaktu z inżynierią czyli zazwyczaj będzie to edac modelowanie zagrożeń tutaj jeszcze się cały czas bam nad odpowiedzią na pewno na pewno te funkcje
których trzeba bardzo często utrzymywać kontakt z deweloperami konsultować rozwiązania Dale Toto trzymać dobrze czas nam się kończy my mamy gorącą debatę które minut krót to teraz takie trochę inne jak mówimy o technologii i to ogólnie całą cały czas mamy coś nowego nie Czyli mamy nowe technologie nowe wektory ataku mamy nowe zależności ktoś wymyśli coś nowego i tak dalej I teraz pytanie czy w praktyce da się to ogarnąć to wszystko co się dzieje Czy da się patrzeć na te wszystkie zmiany i dostosowywać cały czas firmy do tego czy raczej trzeba się skupić na tym żeby jakś tam trzymać czyli czy przy tych wszystkich zmianach szybkości jak to się rusza to to jest realne żeby nadążyć za tym czy to jest krótka opinia z Dobra to krótka opinia Wiesz co tak wszystko się rusza bardzo szybko natomiast to jest podobnie jak przy inżynierii oprogramowania i ogólnie it Wszystko rusza się bardzo
szybko natomiast fundamenty są niezmienne i tak s jak pew fundamenty powstały w latach 70 80 i do tej pory z nich Korzystamy pewne paradygmat temu i one dalej się przewijają po prostu jeżeli zrobimy jeżeli zadbamy o te fundamenty to te nowe rzeczy ryzyko z nimi związane jest mocno mocno mocno obniżone więc tutaj wracamy do tego straszenia że jeżeli chcemy postraszyć to jednak i ja zakładam że Wojtek tak raczej straszy w ten sposób że nie jest to takie wishing tylko faktycznie jest to gdzieś przełożone na jakieś prawdopodobieństwo na na to co może się faktycznie wydarzyć No bo to jest końcu końców ryzyko jakieś jakieś prawdopodobieństwo więc jeżeli mamy fundamenty i zadbamy o fundamenty o fundamentalne pryncypia i zasady bezpieczeństwa to te wszystkie nowe rzeczy i ryzyko z nimi związane jest po prostu mocno mocno mocno obniżone wiem czy chcia zostać zapamiętany z tej rozmowy jako Wojtek który straszy tutaj bardziej mi mówi że pokazywać Jak jak wygląda taki transe Natomiast te fundamenty o których tutaj
wspomniał Andrzej Wydaje mi się że takie rzeczy jak jakiekolwiek mfa backupy jakikolwiek Pat Management są takimi rzeczami które są dosyć uniwersalne i jak patrzymy na różne konkretne sposoby któ atakujący stosują No to jakieś gro choćby takimi prostszym podejściami fundamentami jak to wspominał Andrzej powstrzymane Wydaje mi się że to jest dobre [Muzyka] rozwiązanie No tak jak krótko dodam że jeżeli ktoś chce Jeżeli ktoś celem danej osoby jest uzyskanie stpr bezpieczeństwa zabezpieczenia się przed wszystkimi bieżącymi atakami i tak dale to jest skazane na porażkę także udział w wyścigu trzeba brać proporcjonalnie do do możliwości do budżetu Być może jest to utrzymywanie tylko jakiegoś baseline natomiast no nie ma żadnej firmy która jest w 100% bezpieczna dobrze czas się kończy będziemy zabijać ale mam jedno pytanie które Muszę zadać możecie odpowiedzieć macie 15 sekund na odpowiedź możemy ustalić ludzie straszą generative Ai że zacznie
hakować masowo banki nie wiem wymyślać explo i tak dalej gener Security Co o tym myślicie dobra to to akurat ja się tutaj szybko ustosunkuję ostatnio dwa albo trzy odcinki temu sama pal czy jak to się tam mówi podcaście All in który Zresztą polecam mówił właśnie o tym jak to Cat GPT być może napisze explo na najnowszego zer na i zaczął jakąś taką tyradę co według mnie i wielu innych bezpieczników No pokazuje dogłębne niezrozumienie tematu nie jest tak łatwo napisać xlo na zero w Windowsie Czy w jakimkolwiek innym systemie operacyjnym więc na chwilę obecną nam to nie grozi trudno jest mi sobie wyobrazić sytuacji w której Cat GPT pisze exploita na podatność której nikt nie zna w w Windowsie jest to możliwe jest to possible ale probability tego jest przynajmniej na chwilę obecną Ja oceniam na bardzo niskie więc nie ma się czym przejmować zabije od stron bezpieczeństwa ja ja mam może nie przeciwne zdanie natomiast widziałem na tyle dużo ów które są proste nadal mamy w Security zerod krytyczne które polegają na dodaniu
odpowiedniego fragmentu w hederze żądania że llm który sobie przeczyta dokumentację i znajdzie w niej dziurę To jest coś co jest całkowicie realne Natomiast ja bym się zastanawiał nad czym innym Bo my musimy myśleć przyszłością Jak użyć llm do tego żeby robić bezpieczeństwo to jest super ciekawy temat Myślę że tutaj Wojtek Wydaje mi się że to będzie wsparcie dla obu stron zarówno dla atakujących jak i broniących na takiej zasadzie właśnie wsparcia jeżeli atakujący ma do przejrzenia ileś systemów to możliwe że GPT podobne będzie ułatwiać mu znalezienie kórym warto się zastanowić z drugiej strony jako obrońcy ja widzę duży potencjał w takim elemencie że jest jakiś incydent i jakieś dostarcza dodatkowy enrichment do tego incydentu Microsoft próbuje to Polkę zająć Security No właśnie więc wydaje mi się że to jest fajne że obie strony będą korzystały z tego rozwiązania dobrze Panowie dziękuję wam bardzo za udział Dziękuję wszystkim za wysłuchanie
lista była dłuższa może k zrobimy dogrywkę Nawet na jeden konkretny temat który miałem tam gdzieś na liście A dzisiaj naprawdę bardzo dziękuję za to że uczestniczyli Ja ze swojej strony na koniec jeden komentarz bezpieczeństwo i deweloperzy jak ja to mówię give h zacznij się przytulać i tam nie odstraszać od siebie i będzie lepiej Dzięki jeszcze raz było gościć Dziękujemy bard udział Dzięki cześć do
