На Урале обсудили практику внедрения принципов безопасной разработки в отечественных компаниях
14 июля в Екатеринбурге состоялась крупнейшая в регионе конференция о тенденциях в сфере информационных технологий и информационной безопасности — IT IS conf. Особенностью мероприятия стала секция «Безопасная разработка», где впервые на Урале собрались эксперты по DevSecOps со всей страны.
С докладами выступили спикеры из УЦСБ, Авито, Positive Technologies, Вебмониторэкс, Swordfish Security, ProfiScope, UDV Group и других компаний. Эксперты обсудили цикл безопасной разработки, инструменты и способы создания сервиса для анализа защищенности собственных программных продуктов, культуру и общие тренды в DevSecOps.
В частности, Всеслав Соленик, директор по кибербезопасности СберТеха, рассказал о создании сервиса по контролю безопасности стороннего ПО.
«После 24 февраля в код некоторых приложений были встроены политические лозунги, высказывания и баннеры, а в ряде случаев — вредоносные функции. Срабатывают они, естественно, только у пользователей из России. Поэтому сегодня каждая зрелая отечественная компания должна проверять абсолютно все устанавливаемые программные продукты и обновления как для рабочих станций, так и для серверного или сетевого оборудования», — отметил Всеслав.
Итогом секции стал круглый стол на тему «Безопасная разработка ПО: практика и нюансы построения». Ведущие специалисты по ИТ и ИБ обозначили грань, после которой необходимо внедрять принципы безопасной разработки, а также обсудили важность обучения разработчиков основам DevSecOps, способы расчета модели угроз для продуктов без контекста, мотивы, по которым компании переходят на отечественные решения.
Михаил Бахтерев, руководитель группы распределенных систем лаборатории анализа сложных систем ОВС ИММ УрО РАН, предложил сделать курсы по ИБ обязательной частью учебной программы в вузах не только для профильных, но и других ИТ-специальностей — программистов, администраторов, инженеров и других. Ученый также отметил важность диалога между разработчиками и специалистами по безопасной разработке.
Антон Башарин, product owner AppSec.Hub из Swordfish Security, рассказал о рисках привлечения в компанию внешней команды для построения безопасной разработки. По мнению эксперта, приглашать сторонних специалистов можно, если они помогают вырастить внутреннюю команду. Такой подход поможет избежать потенциальных рисков, связанных с нежизнеспособностью разрабатываемых решений, уверен представитель Swordfish Security.
«Безопасная разработка как область профессиональной экспертизы набирает всю большую популярность. Будучи новой практикой, она требует активного обмена опытом, горячих дискуссий и прорывных идей. УЦСБ — первый из системных интеграторов на Урале, который развивает подходы DevSecOps не только в части услуг и сервисов для своих Заказчиков. Наша команда убеждена, что инновационную среду для развития этой практики способна создать коллаборация ее участников. По этой причине компания уже не в первый раз берет на себя роль организатора и проводит обучающие и практико-ориентированные мероприятия, подобные этой встрече», — отметил Виктор Вячеславов, руководитель Центра кибербезопасности, УЦСБ.
