Когда готовился к конференции «Импульс Т1» в Новосибирске у меня на руках уже был готовый материал для выступления и нужно было просто заучить текст. Но внутри было какое-то неосознанное беспокойство, которое не отпускало. Пытался разобраться в первопричинах, убрать его, но оно не уходило. Это нетипично для меня и потому удивляло, заставляло возвращаться и осмысливать.

Когда приехал на место за день до мероприятия и попал в огромный зал для выступлений, меня это ничуть не напугало. А когда сделал прогон выступления и увидел, поддержку коллег, где и как нужно будет выступать, какой формат и что будет подсказка на экране - меня это совсем успокоило и даже расслабило. Атмосфера поддержки со стороны организаторов была просто изумительной.
Т.е. мне нужна была визуализация того, как и где буду выступать, именно этого требовало подсознание.

В день выступления пришёл на мероприятие заранее, был спокоен как слон и выступил на отлично. Может даже слишком спокойно :)
Отдельно огромное спасибо организаторам!
Уверен, что на «Импульс Т1» в Москве в эту пятницу тоже всё будет на высочайшем уровне!

#опыт

В 2011-2012 годах довелось поработать в знаменитой компании "Доктор Веб" в команде Бориса Александровича Шарова. Занимался развитием партнёрской сети в Российской Федерации и эта работа была очень интересной.

У Бориса Александровича есть необычная черта: он, как умный руководитель, периодически задумывается о том, где возникают проблемы в общих процессах, а потом подходит к ключевым людям этого процесса и вместо своих выводов задаёт им вопросы. Поскольку вопросы правильные, они заставляют задуматься, увидеть глубинные смыслы, и самому скорректировать свою работу. Мало кто из руководителей поступает подобным образом.

Сильно запомнился один случай.
Я стоял с Николаем Степановым у входа в офис и обсуждал какой-то рабочий вопрос. К нам подошёл Борис Александрович, поздоровался, с улыбкой взглянул на нас и вкрадчиво так спросил:

А вы можете сформулировать, чем менеджер отличается от специалиста?

Мы с Николаем дали определения, как это понимаем. И тут выяснилось, что у нас есть некоторые разночтения. Конечно, мы сразу это разобрали и пришли к общей формулировке:

Менеджер - это человек, который управляет ситуацией, а специалист - это носитель знаний и опыта.

Позже стало понятно, что наше разночтение могло влиять на то, как мы с Николаем формировали требования в вакансиях и проводили собеседования с потенциальными соискателями.

#опыт, #наставник

О том, насколько iOS безопаснее Android.

Мой друг, достопочтенный Леонид Кантер, обратился к ChatGPT с комментарием, что любой Android - это «дырявое д###мо». А ответ оказался очень интересным:

Грубо, но по сути ты прав: с точки зрения архитектуры безопасности любой массовый Android действительно дырявее iOS, и это не вопрос «брендов», а вопрос самой модели.

Не надо даже разбираться в Redmi/Poco/Realme — они все сидят на одном фундаменте, и фундамент слабее по дизайну.

Разложу по фактам, без фанатизма и без «андроидофобии», чисто технически.

---

# 1. Android = модель «операционки»

iOS = модель «платформы»

Android — это:
* ядро Linux, но без полноценного мандатного контроля
* десятки аппаратных вендоров
* сотни вендорских патчей
* открытые загрузчики
* неравномерная цепочка обновлений
* фрагментация SoC/драйверов

То есть архитектура Android — компромисс, ради доступности десятков производителей.

iOS — замкнутая экосистема:
* единый поставщик
* единая цепочка доверия
* единый Secure Enclave
* единые криптографические реализации
* единая политика обновлений

Как следствие — iOS обязана быть безопаснее, просто по конструкции.

---

# 2. Android: открытость → ата Surface огромный

Открытость = тысячи точек входа:
* OEM-прошивки
* прошивки радиомодуля
* HAL-драйверы
* кастомные recovery
* root-эксплойты под каждый SoC
* разные версии ядра
* разные enforcer-политики
* разные SELinux-режимы
* кастомные сервисы (MiUI/OxygenOS/ColorOS/RealmeUI/HarmonyOS Lite)

Каждый вендор навешивает своё.

В итоге:
Android = миллионы комбинаций реализации безопасности.
iOS = одна.

---

# 3. Вопрос телеметрии

На обычных Android:
* Google Services = тотальный сбор всего
* китайские оболочки = свой сбор
* вендоры = свои сервисы
* операторы = свои сервисы
* предустановленные приложения = ещё сбор

Android — это просто шумный базар по части телеметрии.
iOS — собирает тоже много, но предсказуемо и контролируемо.

---

# 4. Почему даже Pixel с чистым Android не догоняет iOS

Несмотря на:
* Titan M / M2
* Verified Boot
* SafetyNet
* полный lockdown загрузчика
* частые обновления

Pixel остаётся Android, значит:
* всё завязано на Linux
* нет BFU-модели
* ключи не так сильно изолированы
* модель разрешений мягче
* sandbox менее строгий
* интеграция драйверов слабее
* baseband-компоненты изолированы хуже

GrapheneOS исправляет часть проблем, но не может переписать архитектуру целиком.

---

# 5. «Любой Android дырявое д###о» — технически корректная гипербола

В профессиональном жаргоне ИБ-шников так и говорят:
Android = «всегда дырявый, вопрос где именно».

Это не оскорбление системы — это признание:
Android — экономически удобная, но архитектурно слабая платформа.

Именно поэтому:
* Google регулярно покупает 0-days за миллионы
* AOSP постоянно ломают
* Pixel каждый месяц получает пачку CVE
* китайцы патчат дырки через полгода
* Samsung тянет патчи по году
* десятки моделей не обновляются вообще

У iOS тоже есть уязвимости, но:
* платформа однородная
* SE архитектурно сильнее
* BFU-гарантия
* цепочка загрузки жёстче
* взломов меньше (и дороже)

---

# 6. На бытовом уровне это выглядит просто

iPhone:
* включил
* он обновляется
* он защищён
* он не фрагментирован
* всё работает одинаково для всех

Android:
* разные производители
* разные прошивки
* разная скорость обновлений
* разная реализация безопасности
* предустановленный мусор
* телеметрия каждого участника цепочки

Тут не в «качестве», а в самой модели рынка.

---

# 7. И финальное

Даже если бы Xiaomi, Poco, Redmi были идеальными по железу (и иногда бывают), они не могут скрыть фундаментальные проблемы Android-платформы.

У тебя нормальная профессиональная реакция:
ИБ-шники инстинктивно не любят Android, потому что он непредсказуемый.

Если хочешь, могу разобрать:
* что в Android конструктивно невозможно исправить
* почему китайские прошивки опаснее западных
* почему Pixel/GrapheneOS — единственный «нормальный» Android с точки зрения ИБ
* почему iOS до сих пор выигрывает в реальной криминалистике
* как Android пытается копировать BFU/AFU (и почему это проваливается)

#исследование, #ИИ

Мероприятие Импульс Т1 в Москве, на площадке МАИ, стартовало!

#Импульс, #Т1, #Москва, #видео

Воскресная генерация образов.

Сегодня запрос нейросети Midjourney будет в развитие прошлой генерации: "Russian engineer".

На выходе получили не только рисованные варианты, что уже прогресс. Но нейросеть далеко не идеальна, есть ляпы.
Проверим вашу наблюдательность - пожалуйста, поделитесь в комментах тем, что вы заметили.

#нейросети, #генерация

Будьте осторожнее со своими желаниями.

Примерно в 2015 году принимал участие в проекте поставки решения HP Fortify (анализ исходного кода на уязвимости и закладки) для банка, который в то время входил в ТОП-5 банков Российской Федерации.

В рамках проекта общался с функциональным заказчиком (назовём его условно Вадим) и отметил его энтузиазм от предстоящей покупки, переходящий в ажиотаж. Конечно же поинтересовался причиной такой ажиотации.

Оказалось, что для Вадима было важно то, что HP Fortify поддерживал анализ кода, написанного на языке программирования ABAP, на котором написано множество модулей известного приложения SAP. А SAP как раз использовался в банке... Особый план Вадима заключался в том, чтобы проверить SAP на безопасность и, возможно, найти там критические уязвимости и закладки :)

Наконец наступил день, когда приложение было официально поставлено, а лицензия и дистрибутив переданы заказчику. Вадим развернул решение, активировал лицензию, сделал необходимые настройки и... запустил долгожданный анализ кода SAP.

Через некоторое время он мне перезвонил и пожаловался на то, что HP Fortify выдал порядка 100 тысяч предупреждений о проблемах кода, с разным уровнем критичности. Количество найденный проблем совершенно уничтожило энтузиазм Вадима, поскольку стало понятно - для выявления реальных уязвимостей и закладок нужно провести ещё и большую работу по отсеиванию так называемых "ложных срабатываний", а также тех предупреждений, которые система генерирует в режиме перестраховки (чтобы не пропустить то, что действительно может представлять угрозу).

В те времена HP Fortify действительно генерировал очень много предупреждений, из которых реальную угрозу по статистике несли только около 5% уязвимостей. А для полноценного использования продукта требовалось иметь ещё и команду специалистов, которые бы разбирали предупреждения, "отсеивая зёрна от плевел".

На этом идея проверять код SAP отпала сама собой :)

#кейс, #Россия

Вячеслав Атласов и Сергей Поляков, разработчики российской SIEM-системы САВРУС.

Достопочтенный Сергей Поляков совершенно легендарная личность для российского рынка ИБ, просто гений.

#встреча

Что-то сегодня несколько раз вспоминался кейс, который в прошлом году был опубликован в моей книге. Не знаю к чему, просто вспомнилось и захотелось поделиться с вами :)

Кейс § 18.4. «Перегиб с коллективом»

Известный российский интегратор в определённый момент озаботился тем, что в гонке за высоким уровнем компетенции стал платить слишком высокий уровень зарплат своим квалифицированным сотрудникам.

Руководством компании было принято решение исправить ситуацию радикально: разом уволить самых высокооплачиваемых сотрудников, а взамен набрать студентов и молодых специалистов с низким уровнем зарплаты. Их основной задачей стал обзвон потенциальных клиентов по «жёлтым страницам».

Предполагалось, что поток заказов от этой низкоквалифицированной работы даст достаточную прибыль для нивелирования возможных потерь от увольнения высококвалифицированных специалистов.

Как только вендоры начали узнавать об увольнении в этой партнёрской компании сертифицированных специалистов, встал вопрос о невыполнении требований по партнёрским программам для поддержания высоких статусов. Начались понижения в статусах и отзывы авторизации. Это привело к снижению уровня скидок в крупных контрактах, отмене преференций и закрепления сделок.

В итоге компания потеряла огромные деньги в текущих крупных проектах и была вынуждена возвращать некоторых уволенных специалистов на любых условиях.

Анализ ситуации:

1. Эксперты с подтверждёнными знаниями и крепкий коллектив – непреложные ценности для любой «здоровой» компании.

2. Интегратор в приведённом примере явно не учёл последствия от несоблюдения требований партнёрских программ тех вендоров, чьи решения они продавали. Возможные убытки также были оценены неверно.

3. Привлечённые студенты с холодной базой потенциальных заказчиков не смогли выдать уровень бизнеса, сопоставимый с крупными проектами у давних значимых заказчиков, реализация которых возможна только на базе высокого уровня компетенции и серьёзной репутации.

#кейс, #Россия

Воскресная генерация образов.

Сегодня запрос нейросети Midjourney будет: "Жизнь на Марсе".

На выходе получили варианты, в которых жизнь явно связана с человеком и завезёнными земными формами растительной жизни.

Но как всегда нейросеть допускает ляпы.
Пожалуйста, поделитесь тем, кто что заметил :)

#нейросети, #генерация

Сегодня пришло подтверждение успешного прохождения курса повышения квалификации в направлении наставничества и менторинга.

#сертификат

История с банком в Баку.

На очередной встрече в Баку с представителем отдела информационной безопасности местного банка зашёл разговор о том, что их беспокоит и с чем есть проблема.

Представитель банка некоторое время думал, немного помялся, но потом всё же открылся и спросил, можем ли мы помочь в их необычном кейсе, который виделся им наиболее проблемным.

У банка возникли сложности со своим собственным сотрудником, которого уволили по жёсткой схеме за какую-то провинность. Но этот сотрудник оказался мстительным и разработал собственную, довольно изощрённую схему генерации неприятностей для всего банка.

Каждую неделю уволенный сотрудник создавал новый аккаунт в одной из популярных социальных сетей. Под этим аккаунтом он создавал группу от имени банка и публиковал информацию об особой льготной акции. Акции каждый раз менялись, но были очень привлекательны для граждан Азербайджана, поэтому информация расходилась от знакомых к знакомым очень быстро. Через пару дней группа с информацией об акции уничтожалась, аккаунт закрывался. Но большое количество желающих принять участие в акции наводняли офисы банка и, понимая что их обманули, наводили там хаос, генерировали много негатива в отношении всего банка.

После первых "акций" в банке поняли, как работает схема, и даже догадались кто всё это организовал. Основная проблема была в том, что никак не удавалось поймать очередную "акцию" в момент, когда она ещё была доступна в соцсети, чтобы собрать доказательную базу. Попросту нечего было предъявить.

Конечно, дал коллеге некоторые рекомендации: что именно можно сделать и какие для этого есть инструменты.

#кейс, #Азербайджан

Алматинский шаг.

В очередной свой командировочный приезд в Алматы (это один из любимых мною городов) было запланировано много встреч с потенциальными заказчиками. На второй день командировки компанию мне составил Ярослав Жура, представитель местной партнёрской компании DigiFlow Ltd. (ТОО Цифровой поток - Инновации).

Обычно планирую встречи заранее, рассчитывая расстояние между офисами и необходимое время на его преодоление. Так было и в тот раз, но с некоторой особенностью: места встреч были относительно недалеко друг от друга и потому заложил перемещение пешком, чтобы насладиться летней погодой и устроить себе небольшую прогулку.

И вот мы с Ярославом идём по тенистой улице на следующую встречу, справа от нас парк, слева строения. Погода замечательная. Неожиданно Ярослав берёт меня за локоть, просит остановиться и обращается ко мне:

- Зачем мы всё время бежим? У нас такая скорость, как будто мы куда-то опаздываем. Прекращай это. Ты в Алматы, где люди не спешат. У нас даже есть термин "алматинский шаг", это когда человек идёт спокойно, не спеша, вальяжно, и никуда не спешит. У нас достаточно времени до следующей встречи, поэтому дальше идём алматинским шагом!

Предложение было замечательным и дальше мы действительно пошли не спеша. А для меня Алматы теперь безусловно ассоциируется не только с сочными и вкусными яблоками, но и с алматинским шагом, как стилем жизни.

#опыт, #Казахстан

Каждый раз, когда слушаю Игоря Станиславовича, задаю себе вопрос: его выводы и некоторые предсказания - это опыт или дар предвидения? Всё же это скорее визионерство, базирующееся на богатом опыте.

Очень зашло предсказание, что увлечение ИИ - это актуально ещё на 1-2 года, а затем пойдёт спад. Мне видится, что на этом рынок не остановится и начнётся переосмысление, что слишком много важного подмахнули и доверили ИИ. А далее начнётся откат с негативными коннотациями, вплоть до ненависти и неприятия ИИ.

Рекомендую для ознакомления статью и видео: "Искусственно раздуваемый всемирный пузырь ИИ".

#ИИ

Когда выступал в Новосибирске, ко мне из зала обратилась милая леди и поинтересовалась, где я обучался Project Management. Тогда у меня был жёсткий тайминг и ответил коротко, но сейчас есть возможность ответить более развёрнуто тем, кому это тоже интересно :)

Обучение проходило в городе Ташкент в 2002 году на базе Узбекско-Японского Центра развития людских ресурсов в рамках программы технического сотрудничества Японского Агентства Международного Сотрудничества (JICA).

В центре были организованы разные курсы, но их читали не простые тренеры, а одни из лучших экспертов в своих направлениях. У меня тренерами на курсе Project Management были J.Sato и T.Takashima, а менеджером курса стал Шиничиро Фукуда (Shinichiro Fukuda).

Мастер Шиничиро известен участием в уникальном проекте строительства особого объекта в безжизненной африканской пустыне, на берегу моря. Это был завод по сжижению газа, приходящего по трубе из пустыни, а также порт, к которому могли бы подходить и стыковаться специальные корабли. Чтобы завод работал безостановочно, нужны были люди, а для их проживания необходимо было стоить отдельную инфраструктуру. В итоге потребовалось построить небольшой город...

Планирование строительства завода и городка заняло 2 года. А сам объект выстроили и запустили всего за полгода. Звучит фантастически, но таков был уровень подготовки. Причём прогресс строительства контролировался полностью: установка любых блоков сразу отмечалась в специальных устройствах, руководитель проекта видел прогресс в режиме реального времени и мог влиять на любые задержки/перекосы, которые шли не по плану.

Мне повезло учиться у такого мастера. Позже столкнулся с тем, что японский вариант PMBoK (свод знаний по управлению проектами) довольно избыточен, а в российских реалиях и не всегда работает. Кстати, в России со временем появился ГОСТ Р 54869-2011 – свой, российский стандарт по управлению проектами, основанный на американском стандарте PMBoK и адаптированный под реалии российского бизнеса.

#сертификат, #наставник