Талантливый инженер по инфраструктурной безопасности Дарья Мочалова о пути в профессии и трендах сферы

О специфике этого направления и трендах индустрии мы решили поговорить с инженером Дарьей Мочаловой, которая в сфере ИТ уже 12 лет. На сегодняшний день она работает в крупной технологической компании в онлайн-ритейле и является членом международной профессиональной организации ISC2.

Информационная безопасность — это сфера, отвечающая за поддержание систем в состоянии, при котором все элементы инфраструктуры устойчивы к внешним и внутренним угрозам. Специалист по ИБ обеспечивает конфиденциальность, целостность и доступность данных, защищает их от утечек или несанкционированного доступа. Именно поэтому эта профессия так важна для каждого, кто пользуется технологичными устройствами. Дарья рассказала о том, как именно она помогает людям защитить ценную информацию.

— Дарья, вы являетесь большим профессионалом в сфере информационной безопасности. Сегодня эта индустрия активно развивается, а профессия инженера входит в топ самых популярных. Скажите, как вы пришли к такой интересной и сложной профессии?

— В индустрии ИТ я работаю уже 12 лет, но непосредственно к информационной безопасности пришла 5 лет назад. В начале карьеры я работала в технической поддержке и системном администрировании, после чего перешла к сетевой инженерии, где также затрагивались вопросы ИБ. Заинтересовавшись этим направлением, я начала более глубоко его изучать и полноценно ушла в информационную безопасность, в том числе архитектуру и работу с бизнес-процессами.

В информационную безопасность меня привело как образование, полученное по данному направлению (Организация и технология защиты информации), так и желание сделать мир лучше, защищать людей, процессы и компании от злоумышленников.

В итоге я нашла в данном направлении все, что искала: интересные задачи и понимание того, что своими действиями я помогаю обществу. Кроме того, данная сфера позволяет не стоять на месте, а постоянно развивать себя и выходить за рамки, изучая актуальные тенденции, технологии, проблемы.

— Сегодня, будучи успешным специалистом по информационной безопасности, вы работаете в крупном маркетплейсе, где занимаетесь уменьшением рисков и минимизацией доступов к чувствительным данным. Это оказывает влияние на всю индустрию ИБ. Какие яркие проекты можете выделить?

— Вы правы, на сегодняшний день основные направления моей деятельности – это уменьшение рисков инфраструктурной безопасности, решение фундаментальных проблем, связанных с ней и интеграция бизнес-процессов и информационной безопасности. В этих направлениях я занималась проектами, которые были направлены на то, чтобы снизить риски, связанные с утечкой и порчей информации, в особенности те риски, которые копились достаточно долго, и с ростом компании из мелких недостатков вырастали в серьезные проблемы.

Самым ярким и интересным для меня является проект по сокращению доступов к одной из масштабных систем CRM (управление взаимоотношениями с клиентами), что позволило существенно уменьшить риски утечки данных. В данном проекте я тесно работала с коллегами от бизнеса и IT, что привело к изменению концепции доступа в систему на более безопасную и способствовало минимизации доступов к чувствительным данным у нескольких тысячей пользователей. Эти пользователи обладали избыточным доступом в связи с выполняемой ими работой и изначально некорректно построенным дизайном обеспечения доступа.

— Дарья, сейчас вопросы обеспечения безопасности электронной коммерции для малого и среднего бизнеса крайне актуальны. Учитывая ваш опыт, в чем вы видите специфику направления инфраструктурной безопасности и какие инструменты вы применяете в этих вопросах?

— Специфика инфраструктурной безопасности заключается в том, что спектр вопросов, которые необходимо решать, и, соответственно, компетенций, достаточно обширный. Здесь нужно понимать особенности бизнеса, обладать фундаментальными знаниями сетевых/серверных технологий, платформ виртуализации и контейнеризации, уметь моделировать угрозы, видеть фундаментальные проблемы в инфраструктуре, коммуницировать с другими подразделениями по всем этим темам на языке, который будет им понятен.

Одним из инструментов является тесное взаимодействие с бизнес-стейкхолдерами для учета интереса всех сторон. Именно в рамках данного направления я выстроила коммуникацию таким образом, чтобы вопросы ИБ учитывались с самого начала проекта, инициируемого со стороны представителей малого и среднего бизнеса.

Другим важным инструментом является понимание возможного контекста специфики тех процессов, которые могут возникнуть при проектировании системы или мер информационной безопасности. Так, при обдумывании средств защиты необходимо осознавать, какие обходные пути могут быть доступны злоумышленнику, в том числе за счет тех компромиссов, на которые необходимо идти для соблюдения интересов бизнеса. С этой точки зрения я выработала подход, позволяющий анализировать возможные риски с учетом потенциального профиля злоумышленника, потенциальных угроз, возможности их реализации и потенциального влияния.

Здесь важно отслеживать эти изменения, принимать проактивное участие в таких вопросах, общаться с коллегами, которые уже сталкивались с подобными сложностями.

Еще одним важным вопросом является использование внешних поставщиков (приложений, облачных сред, кода). Здесь также важно учитывать риски, которые с этим сопряжены, особенно с учетом специфики санкционных ограничений и политической ситуации. Важно заранее предусматривать возможные последствия от выбора тех или иных решений.

При этом нужно учитывать, что бизнес - это не монолит, поэтому различные блоки организации (витрина, логистика, оплата, внутренние сервисы, поддержка и т.д.) могут требовать разных подходов.

— Вы - признанный эксперт, так как являетесь членом международной профессиональной организации ISC2. Как специалист, скажите, что дает вам членство в ассоциации?

— Дает, по сути, возможность принимать участие во внутренних активностях, связанных с ИБ, работать над развитием программ подготовок и экзаменации, а также получать дополнительное повышение квалификации.

В этом контексте становится особенно важно показать всем участникам свою пользу, так как все еще распространено мнение, что информационная безопасность, представители которой только и хотят все запретить - это скорее стоп-фактор. Информационная безопасность в этом контексте должна быть эффективна и понятна - и это то, что очень интересует крупный бизнес.

И здесь важно скорректировать ожидания представителей бизнеса с тем, что может привнести ИБ.

— Дарья, какие тренды будут определять будущее индустрии?

— Во-первых, конечно, появление новых технологий, которые требуют переосмысления вопросов информационной безопасности, в частности, искусственного интеллекта. В данном аспекте как раз очень важно понимать текущее состояние бизнес-процессов, включенности кибербезопасности в них, и то, каким образом эти самые процессы будут трансформироваться под новые угрозы, которые неизбежно будут появляться с новыми технологиями.

Во-вторых, миграция в цифровую сферу, в том числе привычных вещей, вроде рабочих коммуникаций, публичной инфраструктуры и прочего. Как пример, развитие AR на горизонте ведет к изменению того, как люди работают, получают информацию и передают ее. Все это потенциально несет в себе новые риски с точки зрения информационной безопасности.

Ну и в-третьих, место информационной безопасности в целом, так как зачастую, все же, есть еще непонимание роли таких процессов со стороны представителей бизнеса. И здесь есть тенденция к тому, чтобы наращивать эту связь, потому что количество угроз со временем увеличивается, проблемы становятся более глобальными, и это требует более тесного взаимодействия всех сторон, участвующих в разработке процессов и систем.