Блог CISO

Коллеги, иногда я смотрю на список наших регламентов и думаю, что мы не компания с политикой безопасности, а компания, которая методично записывает все способы, которыми Вадик может сломать прод. Регламент растёт. Вадик тоже, но в основном в ширь.

Коллеги, Виталик сказал, что пентестеры нашли уязвимость в его коде. Я спросил, какую. Он сказал, мол: «Какая разница, я всё равно сейчас уже не буду фиксить, мне в прод завтра». Я напомнил про SLA. Он напомнил про бонус за скорость. Мы посмотрели друг на друга. Оба правы. Оба в аду, но в разных котлах. Но мой котёл поувесистей.

Коллеги, Татьяна Владимировна утвердила договор с облачным провайдером. Пункт про шифрование: «по согласованию сторон». Про резервное копирование: «по согласованию сторон». Про инцидент-менеджмент: «по согласованию сторон». Я спросил, кто должен будет это всё согласовывать. Она ответила, что тот, кто спрашивает. Татьяна Владимировна уверена, что самая умная. А я уверен, что самая умная теперь имеет доступ только к Консультанту.

Коллеги, Артём добавил в корпоративную вики инструкцию Как обойти 2FA для ускорения бизнес-процессов. Написал из лучших побуждений, чтобы коллегам было удобно и они лишний раз при проблемах не отвлекали его от более важных задач. Теперь у нас внеплановый аудит, а Артём пишет объяснительную. Все заняты делом. Это называется идиллия. Или статья 272 УК РФ. Зависит от точки зрения.

Коллеги, Гендиру втюхали на тест новый антибот. Теперь чтобы зайти на корпоративный портал, нужно отсканировать QR-код, пройти Face ID и решить капчу. Вчера весь офис отлетел при входе на 40 минут в среднем. Капча спрашивала про злосчастные гидранты. В нашем офисе вообще не знают что такое гидранты. Мы же не в США. Руководителей спрашивали про машины в том ценовом сегменте, которые они принципиально не считают за машины. Офис погрузился в истерику. Я пришёл, помог всем несчастным. Сегодня капча спрашивает: «Вы робот?» Я не знаю, что ответить. По утрам уже точно да.

Коллеги, Лариса Ивановна попросила проверить, не взломали ли нас. Я спросил, почему она так думает. Она сказала, что вчера компьютер сам открыл 1С. Я пришёл, посмотрел. Ночное автообновление, 1С после него открылся на автозапуске. Я всё объяснил. Она кивнула. Через день пришла снова. Опять взлом. Excel сам открылся. Я пришёл. Это был я. Вчера вечером подключался к ней глянуть пересмотр зарплат. Забыл закрыть. Лариса Ивановна смотрит на меня. Я смотрю на Excel. Хорошо, что мы оба знаем: взлом — это когда кто-то чужой. А тут, конечно, автообновление.

Коллеги, Марго сделала презентацию для инвесторов. Смотрю на слайд «Наша команда», где фото всех, включая меня. В очках с модной оправой, которую я не ношу, с улыбкой, которой уже лет 6 не умею улыбаться, с волосами, которых у меня нет. Я спросил, откуда фото. Она сказала, что нейросеть дорисовала, чтобы было красиво. Я смотрю на себя красивого. На того, кем я мог бы стать. Сколько жертв я преподнес на алтарь информационной безопасности.

Коллеги, понедельник. Гендир прислал мне в 07:00 голосовое о том, что у нас утечка. Я вскочил, оделся, приехал. Оказалось, что утечка воды в системе горячего водоснабжения труб в мужском туалете. Я стоял в луже, пар от которой залепил мне очки, в костюме и с ноутбуком. Гендир прошел мимо и бодро сказал: «Вот это погружение в проблему!». Мне кажется, он не понимает, что у меня полный доступ в интернет. Включая сайты с оружием.

Коллеги, сегодня мне позвонила Марго, ваяющая презентацию для коллег из hr, чтобы я ей напомнил названия грейдов в разработке. Я спросил почему она не позвонила начальнику отдела разработки. Она сказала, что боится с ним разговаривать этими терминами. Я не понял сначала, какие «эти» термины она имеет в виду, а потом как понял. Ещё чуть-чуть и соискатели бы думали, что мы нанимаем сэров, милордов и джунджуриков.

Коллеги, в целях борьбы с терроризмом, в частности со случаями вербовки в мессенджерах, поставили на мониторинг слова: взрывной рост, горящий дедлайн, бомбический отчет, разрыв мозга, зарядить письмо, залётный клиент и убойный KPI. Важно! Если вы по ошибке использовали запрещённое слово в чате, вы обязаны тут же написать в ответ три раза «БЕЗОПАСНО» и приложить стикер с огнетушителем. Если не приложите, то система ДЛП выбьет вас из корпоративного мессенджера до проведения служебного расследования и выяснения всех обстоятельств.

Коллеги, Артём запустил скрипт, который автоматически чистит старые логи. Он уговорил админов, что помогает мне с повышением эффективности, не проверил, что в категории старых у нас те логи, которые были 3 минуты назад, а в типах хранилищ разбираться вообще не стал, как я понял, с ухмылкой заявив, что «ИТ ИБ учить не надо». Короче SOC в панике, SIEM молчит, а Артём искренне удивлён общему негодованию, ведь освободилось 40 гигов. Я уже не знаю, что хуже, когда он гадит со зла, или с видением дела.

Коллеги, Татьяна Владимировна из юридического подготовила Положение о защите персональных данных. Там 4 страницы про согласия и разногласия и 0 слов про шифрование. Я предложил добавить AES-256. Она спросила, это статья УК или пункт ТК. Я сказал, что это алгоритм. Она сказала, что у неё свои алгоритмы. Я посмотрел на документ, и там действительно есть алгоритм: «При утечке сообщить в ИБ».

Коллеги, у нас в офисе завёлся сталкер. Не человек, а процесс. В диспетчере задач на сервере бухгалтерии обнаружен процесс, который называется stalker.exe. Я чуть не подавился. Подняли логи, проверили цифровую подпись. Оказалось, это легитимная программа для мониторинга сетевых принтеров от какого-то китайского вендора. Она называется Stalker потому что следит за принтерами. Которые, кстати, и так никуда не убегают. Я удалил процесс, но название осталось в моём сердце. 

Коллеги, Паша из техподдержки закрыл тикет с текстом: «Проблема решена методом волшебного пендаля». Пользователь пожаловался. Я вызвал Пашу. Он пришёл с ноутбуком. Включил. Показал видео, где он бьёт системный блок ногой, и тот включается. Решили убрать слово «волшебного», всё-таки пендаль был вполне обычный. Конфликт разрешён.

Коллеги, сегодня у меня день рождения. Я пришёл в офис и увидел, что Лариса Ивановна принесла торт. Марго надула шарики. Артём написал скрипт, который автоматически поздравляет меня каждые 5 минут. Я хотел его поблагодарить, но потом заметил, что скрипт рассылает поздравления всем сотрудникам компании. Я заблокировал его учётку до обеда. Спасибо, коллеги. P.S. Если кто-то хочет подарить мне что-то полезное, то купите лицензии одного позитивного продукта одной позитивной компании. А то я их прайс воспринимаю, как номер телефона.

Коллеги, у нас появился новый метод пентеста. Это когда Артём просит у сотрудника ноутбук под предлогом «я айтишник, мне нужно проверить вашу учётку пожалуйста». И сотрудник даёт. Без проверки. Без звонка мне. Без подтверждения. Просто даёт, потому что Артём вежливо попросил. Я сказал Артёму, что это не пентест, а социальная инженерия, граничащая с обычной наглостью. А сотрудники и рады. Готовы отдать ноутбук даже курьеру, если он скажет волшебное слово. Коммуна хиппи.

Коллеги, Марго прислала мне скриншот фишингового письма. Не для жалобы, а, судя по всему, для дизайн-ревью. Говорит, шрифт красивый, цветовая гамма выдержанная, CTA-кнопка сочная. Я смотрю на это письмо, а оно смотрит на меня. И мы оба понимаем: кто-то из нас двоих точно не в своём отделе.

Коллеги, Артём спросил можно ли назвать наш корпоративный портал «порталом в ад». Я сказал что с точки зрения информационной безопасности это некорректно. В аду всё горит, а у нас всё просто медленно загружается. Это разные категории. Портал скорее в категории чистилища с элементами уныния. Не ад, но близко.

Коллеги, это пиздец. Или как сказал наш главный архитектор: «Всё нормально. Если продакшен падает, значит он у нас есть. Значит компания жива настолько, что в ней есть чему падать. Падающий продакшен — признак зрелости инфраструктуры. Мы не стартап из трёх человек с табличкой в Excel, мы серьёзная организация, у которой есть что ронять».

Коллеги, с утра админы запустили обновление на пять минут. Прошло уже почти два часа. Админы всё ещё обновляются. Сервер всё ещё скоро загрузится. Весь офис сидит перед монитором в состоянии неопределенности. Люди, которые вчерашний дедлайн перенесли на время «сегодня до обеда» начали конкретно нервничать. Я не знаю, где грань между обновлением сервера и захватом заложника, но она явно пройдена. Если сейчас же всё не встанет, вызывайте переговорщика.