Елена Булыгина предлагает Вам запомнить сайт «Ленусик»
Вы хотите запомнить сайт «Ленусик»?
Да Нет
×
Прогноз погоды

Основная статья: Иб

Сисадмин плюс безопасник равно… ведущий инженер!

В октябре 2019 года Сергей Бут пришел работать на Ильском нефтеперерабатывающем заводе инженером АСУ ТП — автоматических систем управления технологическими процессами. Но рядовым инженером пробыл недолго — уже через четыре месяца спустя получил должность ведущего. Что помогло быстро продвинуться на новом месте? Профильное образование, опыт, а также, как признается сам Сергей, учеба в GeekBrains. Здесь он осваивал информационную безопасность, системное администрирование и навыки тестировщика. Как эти знания пригодились ему при трудоустройстве и в работе? Какую еще IT-специальность он изучает на нашей площадке? Обо всем по порядку.

— Сергей, добрый день! Если правильно понимаю, изучать тестирование и информационную безопасность вы начали, когда уже состоялись как инженер. Расскажите о своей карьере до учебы в GB. Почему решили заниматься автоматизацией, чем вам это нравится, какое образование получили в этой сфере?

Я окончил Кубанский государственный технологический университет (КубГТУ) по специальности «автоматизация технологических процессов и производств». На нее я прошел без экзаменов, потому что школу окончил с золотой медалью и сдал централизованное тестирование (тогда еще не было ЕГЭ). 

Сначала рассматривал факультет автоматизации как запасной вариант — хотел стать программистом и поступить на «программное обеспечение». Но из-за очень большого конкурса «автоматом» туда не брали — нужно было сдать математику. На экзамене я переволновался, допустил досадную ошибку в уравнении и недобрал баллов.

Стал изучать автоматизацию. Специальность в итоге пришлась мне очень по душе: понравилось работать с «железками», программировать контроллеры. Это большая ответственность, и порой у тебя даже нет права на ошибку! Ведь когда занимаешься промышленной автоматикой, приходится управлять оборудованием стоимостью в несколько миллионов рублей. А на опасных производствах ошибка в программном обеспечении может вообще угрожать безопасности людей.

После университета я два года работал на станках с ЧПУ (числовым программным управлением). Сначала как инженер-технолог, потом — начальник сектора. Дальше почти десять лет трудился в ООО «НОИНТ» инженером-программистом, ведущим инженером-программистом, начальником отдела.

C октября 2019 года работал инженером автоматических систем управления технологическими процессами в КНГК-ИНПЗ (Кубанская нефтегазовая компания, Ильский нефтеперерабатывающий завод). А в марте стал там ведущим инженером.

— У вас есть и второе образование — менеджмент. Вы получали его, чтобы лучше понимать процессы на предприятии? Или хотели попробовать принципиально новое направление?

Во времена моей учебы в КубГТУ было модно получать два высших образования одновременно. В нашей группе на второе высшее решились три четверти студентов. Занятия шли несколько раз в неделю по вечерам. Как в известной комедии, «Все побежали — и я побежал».

Менеджмент организации становился все более полезным, когда я начал продвигаться по карьерной лестнице. У меня появились подчиненные, я принимал все большее участие в решении «глобальных вопросов». Тут знания и пригодились. Редкий случай, когда с двумя высшими работаешь по обоим направлениям одновременно, здорово! В итоге о времени и ресурсах, затраченных на освоение этих специальностей, я не жалел ни разу.

— В GeekBrains вы пришли изучать информационную безопасность. До этого пробовали тестирование ПО. Сейчас осваиваете системное администрирование. Зачем вам столько всего?

В области автоматизации технологических процессов очень мало специалистов, которые занимаются информационной безопасностью. Я решил совместить эти области знаний: автоматизацию и ИБ. А поскольку безопасник должен в совершенстве знать Linux-системы, я купил еще и обучение по программе «Системный администратор».

Тестирование мне близко: еще в детстве проверял работоспособность всего вокруг, начиная с игрушек :) Это в моем характере — вникать в каждую мелочь и изучать реакцию объекта на нестандартные воздействия. Обучение в GeekBrains по профессии «Тестировщик ПО» упорядочило мои знания и навыки, помогло их «разложить по полочкам». 

Пользоваться этими знаниями я начал практически сразу — мне постоянно надо проверять свою и чужую работу, изменения, которые вносятся в ПО разных объектов на заводе. Теперь я понимаю, что нужно тестировать в первую очередь, что во вторую, а что можно не тестировать вообще.

— Для чего вам нужны знания безопасника и системного администратора?

— О, здесь, пожалуй, нужен небольшой экскурс в историю. Раньше автоматизация была, можно сказать, локальной. На установке стояли датчики, сигналы шли управляющему устройству, которое при определенных условиях подавало сигналы на насосы, задвижки, двигатели и другие механизмы. 

С развитием промышленной автоматизации такие системы росли и усложнялись. Появились беспроводные интеллектуальные датчики, а в качестве управляющих устройств стали использовать «умные» контроллеры, объединенные в сети. 

Автоматизация затронула и ведение технологических журналов. На смену тетрадкам с записями от руки пришли автоматизированные системы, которые собирают и накапливают информацию в специализированных базах данных. Появилась возможность автоматически обрабатывать эту информацию, «сводить» ее в отчеты и передавать в системы управления предприятием: CRM, ERP. 

Развитие автоматизации — это большая тема. Она связана с историей промышленности и, в частности, с четвертой промышленной революцией, на пороге которой мы сейчас стоим. Некоторые специалисты считают, что четвертая революция уже началась. Если интересно — здесь моя статья по теме, написанная еще на прошлом месте работы.

Так вот, когда системы стали большими и сложными, остро встал вопрос их защиты. У злоумышленников появилась возможность проникать во внутренние сети предприятий и выводить из строя оборудование, о стоимости и опасности сбоев которого я говорил выше. Поэтому промышленные сети сегодня обязательно нужно защищать. 

Проблема в том, что решения для информационной безопасности промышленных объектов, отличаются от аналогов для обычной корпоративной сети. Например, для сетей промышленной автоматики крайне важна доступность. Средства защиты не должны даже минимально замедлять работу сети!

Здесь нужны инженеры высокой квалификации, которые разбираются в ИБ и досконально знают систему, в которую вмешиваются. Судя по тому, с чем мне приходится сталкиваться, такие специалисты, к сожалению, редкость.

— Новая должность — новая ответственность, а вы еще продолжаете учиться. Хватает ли времени? Как восстанавливаете силы после работы и как любите отдыхать?

Времени не хватает! Лучший отдых для меня — это полеты на самолете. Летаю на симуляторе X-Plane на Boeing 737-800. Иногда интересно осуществить стандартный перелет из одного аэропорта в другой, иногда придумываю нештатные ситуации — отказы — и пытаюсь посадить самолет в целостности и сохранности. Это по настроению.

Еще у нас в Краснодаре есть авиатренажер Boeing 737-800, который в точности воспроизводит реальную кабину пилотов. Все это находится на подвижной платформе, поэтому создается впечатление, что управляешь настоящим самолетом. В полете тебя сопровождает опытный инструктор. Я летаю постоянно с одним и тем же — он настоящий пилот, много отлетал именно на Boeing 737-800. С ним очень интересно общаться — постоянно узнаю новое.

— Как руководство узнало о ваших новых навыках в IT? Через сколько времени с начала учебы вы почувствовали практическую пользу от новых знаний?

— Я уже учился в GeekBrains, когда пришел устраиваться на нынешнюю работу. О том, что помимо промышленной автоматизации я изучал смежные направления, руководители предприятия узнали уже на собеседовании. В том числе и поэтому повышение я получил очень быстро.

— Чему вы успели научиться в GeekBrains к моменту перехода на новую работу? 

К началу поиска новой работы я отучился всего один семестр на факультете информационной безопасности в GeekUniversity. Дальше принял решение перейти на профессию «Специалист по ИБ» — обучение там более концентрированное и сжатое.

Когда будущий работодатель рассматривал мою кандидатуру, он, конечно, обратил внимание на дополнительное образование, и это стало еще одним аргументом в мою пользу. Думаю, это способствовало и быстрому повышению в должности.

— Как примерно выглядит ваш рабочий день: сколько времени уходит на организационные моменты и руководство, сколько на код и тестирование?

Каждый мой рабочий день отличается от предыдущих: приходится решать задачи по мере поступления. Есть одна-две глобальные фоновые задачи, обычно связанные с модернизацией ПО для какого-либо объекта на заводе. Но очень редко выдается день, когда бы на заводе ничего не сломали, никто нигде не накосячил и ничего не вышло из строя. Поэтому приходится прерывать фоновые задачи и ехать решать острые вопросы.

— Какие темы изучаете сейчас в Geekbrains и что еще предстоит?

Сейчас я продолжаю изучать профессию «Системный администратор». Считаю, что специалист по информационной безопасности должен досконально знать Unix-системы и очень глубоко разбираться в сетях и сетевой безопасности. Поэтому специальности «системный администратор» и «специалист по ИБ» очень органично дополняют друг друга.

В будущем хочу изучить C# и Unity, чтобы попробовать разрабатывать свои игры. Тем более что владение C# и Visual Studio, по-моему, никогда не будет лишним.

— Раз вы упомянули Unity... Какую игру вам было бы интересно создать? Свой авиасимулятор, например? :) А еще же в Unity можно моделировать технические системы и процессы. Тоже в перспективе польза для работы?

Первая мысль была сделать бродилку с картой нашего завода. Но, боюсь, мне одному это не под силу. А интересная идея для реализации скорее всего родится уже в процессе обучения, когда я лучше узнаю возможности движка.

— Есть ли пожелания к GeekBrains? Что бы вы улучшили на курсах, которые прошли и проходите?

Есть несколько пожеланий. Во-первых, было бы неплохо предложить выбор интенсивности обучения: одно или два занятия в неделю. При насыщенной программе занятий бывает, что два урока в неделю осилить не успеваешь. Тем более, у многих учеников есть еще работа, семья и другие текущие обязанности.

Во-вторых, я бы уделил больше внимания разработке учебных программ и методических материалов. К сожалению, по некоторым курсам методички долго не обновляются или выглядят сырыми. Вот, вроде, и всё… :)

— Какие практические задания и проекты по специальностям вам были интересны или полезны?

Мне больше всего понравились курсы по компьютерным сетям и этичному хакингу. Преподаватели очень интересно рассказали о темах, которые в вузе обычно дают сухо и скучно. Потому что в вузе преподаватель — это, как правило, теоретик, и редко когда ему важно, чтобы студент усвоил материал как можно полнее. В GeekBrains, по-моему, все наоборот: большинство преподавателей — практикующие специалисты, которые дают актуальные знания в доступной форме.

Очень нравится проект наставничества. Когда объясняешь кому-то материал, который недавно изучил сам, глубже вникаешь в тему, осознаешь вещи, на которые не обращал внимания. Кажется, Эйнштейн сказал: «То, чего вы не можете объяснить шестилетнему ребёнку, вы не понимаете сами». Наставничество помогает осознавать пробелы в своих знаниях и восполнить их.

— Сергей, спасибо, что поделились своей историей! По-моему, это хороший пример того, как широта знаний переходит в новые возможности, в том числе карьерные. Успешного вам продолжения учебы и дальнейшего роста в выбранном направлении!

Пройти обучение

30 окт 19, 16:21
0 0
Статистика 1
Показы: 1 Охват: 0 Прочтений: 0

Информационная безопасность: как обезопасить себя и клиентов

Прежде чем рассказывать о том, какие риски информационной безопасности могут поджидать вас при работе, хочу представиться: меня зовут Камила Иосипова. Я являюсь старшим менеджером по информационной безопасности IT-компании ICL Services, работаю в данной организации уже 5 лет. Также я являюсь сертифицированным аудитором информационных систем CISA (сертификация ISACA, расшифровывается как Certified Information Systems Auditor).

В 2018 объем утечек данных в компаниях вырос на 5%. Человеческий фактор является одной из основных причин возникновения инцидентов, связанных с информационной безопасностью. Беспечность, неосторожность, мотив, умысел – вот те причины, по которым сотрудники ваших компаний могут умышленно или неумышленно свести бизнес на дно. Как обезопасить себя и своих клиентов, что делать для развития культуры работы с данными у сотрудников, и какие при этом применять методы расскажу далее.

План по налаживанию работы в области ИБ

Если взглянуть глобально, то можно увидеть, что в области информационной безопасности прослеживается определенная закономерность: внимание к ИБ во многом зависит от деятельности компании. Например, в государственных органах или банковской сфере существуют более жесткие требования, следовательно, уделяется больше внимания обучению сотрудников, а значит и культура работы с данными более развита. Однако сегодня обратить внимание на эту проблему стоит каждому.

Итак, вот несколько практических шагов, которые помогут вам наладить работу в области ИБ:

1 шаг. Разработайте и внедрите общую политику информационной безопасности, которая будет содержать основные принципы работы компании, цели и задачи в области управления ИБ.

2 шаг. Введите политику классификаций и уровни конфиденциальности.

При этом необходимо не просто написать документ, к которому сотрудник будет иметь доступ 24 на 7, но и проводить различные обучающие мероприятия, рассказывать о вносимых изменениях. Придерживайтесь правила: предупрежден – значит вооружен. Пусть в компании ведется постоянная работа в данном направлении.

3 шаг. Развивайте проактивный подход.

Это как профилактика в медицине. Согласитесь, гораздо дешевле и проще пройти профилактическое обследование, чем лечить запущенную болезнь. Например, в нашей компании проактивный подход работает так: для работы с информацией в коммерческих проектах мы разработали Стандарт управления ИБ в проектах, который содержит необходимый минимум требований по ИБ для обеспечения определенного уровня зрелости процессов ИБ в коммерческом проекте. Там описано что нужно делать, чтобы поддерживать определенный уровень зрелости процесса управления безопасностью. Этот стандарт мы внедрили в проекты и теперь ежегодно проводим внутренние аудиты: проверяем насколько проекты соответствуют этим требованиям, выявляем риски ИБ и лучшие практики, которые могут помочь и другим проектным менеджерам.

Помимо аудитов хорошо работает Knowledge sharing. Если «гром грянул» в одном из проектов, остальным хорошо об этом узнать и успеть принять необходимые меры.

4 шаг. Все документы, объясняющие правила, делайте: структурированными, понятными и емкими.

Как показывает практика, длинные многостраничные тексты никто не читает. Документ необходимо писать понятным языком. Также, он должен быть в согласии с бизнес-целями и санкционировано топ-менеджментом – это будет более весомым аргументом для сотрудников почему этим правилам нужно следовать.

5 шаг. Проводите тренинги, беседы, деловые игры и тому подобное.

Очень часто люди не понимают, как некоторые правила связаны с их конкретной работой, поэтому нужно приводить примеры, объяснять, показывать, как они могут это применить. Здесь важно показать последствия, вплоть до потери бизнеса, и какие конкретно последствия ждут сотрудника, вплоть до уголовной ответственности.

Чтобы внедрять все вышеперечисленное в компании, необходимы ресурсы, как материальные, так и человеческие. Поэтому сейчас во многих компаниях стала появляться должность Директора по информационной безопасности (CISO). Благодаря данной должности есть возможность донести до руководителей бизнеса важность продвижения каких-либо решений, выделения средств и т.д. CISO способен продвигать информационную безопасность в компании на всех уровнях.

Задачи, которые он берет на себя, обширны: коммуникации с топ-менеджментом, обоснование тех или иных решений, коммуникации с владельцами процессов для внедрения безопасности во по всем направлениям. С точки зрения киберугроз, он является точкой контакта, при этом он управляет, определяет стратегии по реагированию на киберугрозы, координирует работу по реагированию на атаки.

Обучение сотрудников: сложно, долго, но необходимо

Однако, прежде чем учить людей определенным правилам, необходимо понимать одну вещь: нельзя останавливаться на человеческом факторе, за ним может быть что-то другое – недостаток ресурсов, знаний или технологий. Здесь самый эффективный метод – проводить анализ истинных причин, добираться до корневой причины.

При работе с людьми необходимо подбирать ключик буквально к каждому. Все люди разные, соответственно и методы применять нужно разные. В одном из интервью с сотрудником, специалист сказал мне: я буду что-то делать, только если буду знать, что мне попадет за невыполнение требования. И наоборот, на некоторых действует только положительная мотивация, такая как хорошая оценка качества работы, поощрение за успешное прохождение тренингов.

Бытует мнение, что специалисты ИБ часто выступают в качестве «тормоза» инноваций, особенно когда они ограничивают применение новых технологий и моделей работы бизнеса. Это действительно может быть так, однако, важно помнить следующее: «Security is like brakes on your car. Their function is to slow you down. But their purpose is to allow you to go fast. Dr.Gary Hinson» («Безопасность – это как тормоза на твоей машине. Их функция – замедлить тебя. Но их цель в том, чтобы дать тебе возможность двигаться быстро»). Важно понимать, что без этих правил невозможно идти дальше, ведь в какой-то момент ты просто не сможешь развивать свой бизнес, если не будешь защищаться от киберугроз и управлять рисками ИБ. Для того, чтобы соблюсти баланс, в нашей компании используется риск-ориентированный подход, который лежит в основе стандарта ISO 27001. Данный подход позволяет выбрать применимые к нам требования и меры безопасности, которые необходимы для того, чтобы защититься от актуальных для нас угроз. С помощью этого подхода мы можем выбирать и с финансовой точки зрения: насколько целесообразно применение тех или иных мер. Например, мы можем поставить биометрический сканер на каждой переговорке, но насколько это нам нужно, какую ценность приносит, какие риски снижает? Не всегда ответ очевиден.

Мы в ICL Services понимаем, что нам важна конфиденциальность информации, с которой мы работаем, для этого мы шифруем ноутбуки, ведь даже если ноутбук потеряется, информация не попадет в руки злоумышленников. Вот это критично, и на это мы готовы тратить средства.

Я считаю, что только таким образом можно соблюсти баланс между безопасностью и ценностью для бизнеса: выбирать, быть в курсе инноваций и всегда оценивать риски (насколько стоимость реализации риска сопоставима с затратами на закупку того или иного решения для защиты).

Комплексный подход – идеальный рецепт ИБ

На мой взгляд, комплексный подход в работе с безопасностью является самым эффективным, ведь ИБ – это вопрос человеческой осведомленности, поведения и правильной организации бизнес-процессов, с учетом требований безопасности. Инциденты чаще всего случаются из-за сотрудников: люди ошибаются, устают, могут нажать не на ту кнопку, поэтому здесь половина успеха – это технические ограничения, от случайных непреднамеренных инцидентов, вторая половина – культура безопасности каждого сотрудника.

Поэтому важно проводить профилактические беседы, тренинги. В современном мире киберугрозы рассчитаны на людей: если ты получил фишинговое письмо, оно безвредное, пока ты не дотянешься до ссылки и не кликнешь на нее. В нашей компании идет упор на сознательность персонала, на работу с людьми, на осведомленность. Ну и третий момент – организационный, люди должны знать правила, правила должны быть прописаны, должна быть  определенная политика, которой всем необходимо следовать.

Помните: в мире киберугрозы очень распространены, и при этом последствия атак очень серьезные – до полной потери бизнеса, банкротства. Естественно, вопрос стоит на повестке. Безопасность в наше время уже просто обязана быть частью корпоративной культуры, и топ-менеджмент является первой заинтересованной стороной в данном вопросе, поскольку управляет бизнесом, и при реализации рисков понесет ответственность в первую очередь.

Вот несколько советов, которые позволят вашим сотрудникам избежать инцидентов ИБ:

  1. Нельзя проходить по непроверенным ссылкам;
  2. Нельзя распространять конфиденциальную информацию;
  3. Нельзя записывать пароль на бумажке и клеить стикер;
  4. Нельзя пользоваться USB-носителями, в которых вы не уверены (злоумышленник может оставлять зараженное физическое устройство в том месте, где его обязательно найдет жертва);
  5. При регистрации на сайтах, указывая номер телефона и почтовый адрес, внимательно смотрите, для чего необходима данная информация, возможно таким образом, вы подпишитесь на платную рассылку.

Я надеюсь, что со временем безопасность станет ключевым элементом корпоративной культуры в каждой компании.

В совершенстве овладеть навыками для работы в области информационной безопасности вы можете на факультете GeekUniversity.

Пройти обучение

16 апр 19, 16:34
0 0
Статистика 1
Показы: 1 Охват: 0 Прочтений: 0
Показаны все темы: 2

Последние комментарии

нет комментариев
Читать

Поиск по блогу

Люди

7 пользователям нравится сайт lena2018.mirtesen.ru