На одной из проходимых мною стажировок (хотя именно эту я бы отнёс к проектной работе), CEO и его замы абсолютно ничего не понимали в соотношении бизнеса и ИБ. Приходилось вместе с ними сидеть в конфе и пояснять им каждый пункт в OWASP SAMM.

Но вот, плюс ещё одна автоматизация в копилку, и CEO стоит лишь скинуть ссылку на этот курс (хотя, я абсолютно уверен что к вам, ИБшникам, вопросов меньше не станет).

Кстати, хотел бы высказаться по поводу одной ситуации с этой проектной работой, и эту мысль хотел бы отразить на все остальные начинающие бизнесы.

Это был стартап, но сути не меняет, тот же начинающий бизнес. Проблема в плане ИБ была в том, что я по сути был ЕДИНСТВЕННЫЙ ИБшник в команде. Да, стартап небольшой. Да, у меня было меньше задач, чем у среднестатистического специалиста. Но это не отрицает факт того, что, по сути, я один встраивал ИБ во все бизнес-процессы. Получается, был своеобразным CISO. Но, при этом, мне ещё приходилось объяснять ВСЕЙ команде разработчиков основы безопасного программирования.

И тут уже самая главная проблема не в том, что я пришел единственным ИБшником, проблема идет с самого начала приглашения людей к проектной работе (стажировке).

Что я имею ввиду? А то, что вам, CEO (и пр. должности, отвечающие за то, кого нужно брать в команду), я НАСТОЯТЕЛЬНО рекомендую в первую очередь брать специалистов по ИБ (при чём на различные должности, т. к. одному выполнять все задачи будет всё труднее со временем), ЛИБО программистов, которые знают основы ИБ.

Почему? Да всё просто. Таким образом, вы экономите своё время на запуск своего бизнеса, а тем более экономите на этом деньги, чтобы потом не переплачивать за огромный рефакторинг кода, который почему-то оказался небезопасным.

Кстати в последнее время думаю на этот счет. В сфере хакинга появляется всё больше методов автоматизации взлома различных ИС. Казалось бы, удобно, но тут есть большое но.

Автоматизация для опытных хакеров имеет значение в виде экономии времени, но для новичков это, скажем так, остановка в развитии. И из-за этого большинство новичков идут блэчить, т. к. применять монотонно автоматизированное ПО для взлома куда проще, чем изучать ИБ глубже.

Проблема ли это? Отчасти, да, потому что на таком уровне развития останавливаются потенциальные кадры для рабочих мест, которые могли бы защищать ИС от взлома. Но и здесь можно найти плюс, отсеиваются те же потенциальные внутренние нарушители.

Но в итоге плюс это или минус решать вам, для меня же важно уметь автоматизировать повседневные задачи самостоятельно.

https://telegra.ph/BUG-BOUNTY-S-CHEGO-NACHAT-NOVICHKU-03-24

Сюда же)