Agile и безопасность - как совместить несовместимое

Длительность: 2 часа

Сегодня всё сильнее развивается конфликт между требованиями бизнеса к информационным системам и требованиями информационной безопасности. Бизнес постоянно ускоряется – требует более быстрых изменений бизнес-приложений, гибкости процессов, скорости разработки новых функций. Конкуренция заставляет компании сокращать время вывода новых сервисов (time-to-market) и переходить на модульную гибкую разработку процессов и приложений (agile).
Процессы исследования же приложений не менялись годами – и самый критичный из них, это процесс взаимодействия исследователей защищённости и разработчиков. Традиционный, сложившийся годами подход: программисты заканчивают разработку бизнес-приложения или его модуля, затем передают исследователям на анализ, те возвращают отчёт с замечаниями, программисты исправляют эти замечания или мотивировано отказываются от исправлений, приложение снова исследуется и так, возможно, несколько раз. Если компромисса с программистами о закрытии всех уязвимостей достичь не удаётся, то отчёт о найденных уязвимостях отдаётся бизнес-заказчику, который принимает решение, что важнее – быстрый запуск уязвимого приложения или закрытие уязвимостей.
Такой процесс исследования защищённости может занимать месяцы, и это устраивало бизнес до тех пор, когда time-to-market исчислялось полугодиями или годами. Но сегодня бизнес требует выведения новых функций ежемесячно, еженедельно, ежедневно и даже ежечасно и это не преувеличение. Напомним, что Герман Греф на Гайдаровском форуме в феврале 2016 года приводил пример американской компании Амазон, проводящая в своих системах изменения до десяти тысяч раз в день, а каждое изменение системы — это потенциальная уязвимость. Изменения в системе не обязательно означает изменение в коде или функционале приложения – на деле функционал даже на самых крупных порталах меняется несколько раз в день, остальные изменения – это изменение настроек, добавление новых пользователей или документов в хранилище и т.п. А значит, безопасности надо учиться быть быстрой, чтобы не стать самым медленным процессом на пути от идеи до функции.

Лектор: Рустэм Хайретдинов — заместитель генерального директора InfoWatch. Выпускник Механико-математического факультета МГУ, кандидат экономических наук. Работает в ИТ-индустрии с 1992 года, участвовал в создании и продвижении на рынок российских ИТ- и ИБ- продуктов. С 2001 года занимается информационной безопасностью, реализовал более 70 ИБ-проектов масштаба предприятия. Автор курсов по информационной безопасности: «Внутренние угрозы информационной безопасности и противодействие им», «Защита заказных бизнес-приложений и организация процесса безопасной разработки». Преподает на курсах MBA в РАНХиГС при Президенте РФ, на курсах повышения квалификации сотрудников информационной безопасности ВНИИПВТИ, Магистратуре Сургутского госуниверситета, корпоративных университетах.