Специалистът по информационна сигурност не може да си позволи да бъде спокоен

Джей Бависи е президент и съосновател на EC-Council – водеща международна организация в разработката на специализирани програми за обучение и сертификация на специалисти в областта на информационната сигурност и електронния бизнес, сред които получилите международно признание програми Certified EthicalHacker (CEH), Computer Hacking Forensics Investigator (CHFI), Licensed Penetration Tester (LPT) и др.

Г-н Бависи, от основаването на компанията през 2001 г. по програмите на EC-Council са обучени над 150,000 и сертифицирани над 50,000 специалисти по информационна сигурност по света. На какво се дължи този успех?

Мисията на EC-Council е да осигурява на специалистите по информационна сигурност специализирани знания и умения, които ще им помогнат да се справят в ситуация на киберконфликт.Тази мисия не може да бъде постигната без нашата глобална партньорска мрежа, която гарантира разпространението на актуалните, високотехнологични знания сред международната общност по информационна сигурност.

Какви са глобалните тенденции в сферата на информационната сигурност?

Сферата на информационната сигурност се усложнява значително, тъй като се променя заедно с развитието на технологиите, а технологичната еволюция днес се случва много бързо. Това е предизвикателство за общността, която трябва не само да може да отговори на новите заплахи, но и да ги предвижда. Тази общност винаги се е стремяла да бъде на крачка пред заплахите, но при скоростта на технологичните промени, високото средно ниво на умения на хакерите и самото количество данни, които трябва да бъдат защитени – това е задача, която от ден на ден става все по-трудна.

Тенденциите в атаките се променят от специализирани професионални атаки към такива, насочени към крайния потребител. Използват се техники като spear phishing или методи на социалното инженерство, а фокусът е върху относително лесни цели на ниско ниво, като потребителски имена и пароли. С глобалната тенденция към мобилност, това става плашещо, тъй като реално носим компютър в ръцете си всеки ден, а това означава, че държим огромно количество ценна за хакерите информация. Едновременно с това се увеличават и атаките, спонсорирани от правителствени структури. Stuxnet и Flame са вероятно едни от най-сложните и технологични примери. Друга тенденция, вероятно най-значимата днес, са нововъзникващите групи хактивисти като Anonymous и LulzSec.

Неслучайно правителствата виждат сигурността на информацията като преден фронт на войната срещу престъпността и тероризма. Информационната сигурност е област, който се разраства всяка минута, тъй като влиянието й се усеща върху все повече аспекти – както в живота на отделната личност, така и в дейността на правителствата и бизнеса.

Какви са най-големите предизвикателства пред специалистите по информационна сигурност днес?

Много са, но основно бих посочил огромните отговорности, които възлагат на тях правителства, корпорации и крайни потребители. Информационната сигурност се превърна в критичен фактор за успеха на всяка организация.

Друго сериозно предизвикателство е високият интензитет на технологичните промени. Специалистите по информационна сигурност трябва не само да опознават технологиите бързо и в дълбочина, но и да знаят как ги защитават. Те трябва да имат волята и решимостта непрекъснато да актуализират уменията си. В допълнение, информационната сигурност все повече се очертава като поле на хоризонтална конвергенция, където различни области се срещат по един безпрецедентен начин. Затова специалистите трябва да са компетентни в много области – различни софтуерни платформи, хардуерни архитектури, да познават проблемите на непрекъсваемостта на бизнес процесите и пр. Казано накратко, специалистът по информационна сигурност не може да си позволи да бъде спокоен.

Какъв е съветът Ви – трябва ли специалистите да се стремят да имат знания и опит в различни области на информационната сигурност, или да се фокусират само върху една сфера?

Отговорът ми е – и двете. Ако сега навлизате в сферата, е важно да придобиете разнообразни умения и обширни знания за индустрията. След като натрупате минимум 5-7 години опит, трябва да се фокусирате върху конкретна област.

Например, вероятно ще започнете с базово ниво Security + сертификация. Може би ще искате да продължите към Certified EthicalHacker (CEH), за което ще ви е необходима широка основа от знания и разбиране на мрежовата сигурност, сигурност на уеб приложенията, мобилните устройства, т.н. След като натрупате опит обаче, трябва да се фокусирате в областта, в която са Вашите интереси и таланти, за да изградите успешна кариера.

Компютърните престъпления продължават да причиняват сериозни щети в глобален мащаб. Как може да помогне обучението?

Смятам, че законодателните мерки по целия свят се засилват и технологиите за защита се подобряват непрекъснато. Въпреки това обучението е от критична важност, тъй като едно от най-слабите звена във веригата е именно човекът. Количеството знания, по отношение на информационната сигурност, което достига до масовия потребител, е микроскопично и това е една от областите, които трябва да подобрим.

Освен това техническите способности на специалистите по информационна сигурност, работещи от години в дадена организация, обикновено не се развиват със скоростта, с която се променят технологиите. Това създава рискове и без систематизирано, интензивно обучение тази празнина не може да бъде преодоляна.

Специалистите по информационна сигурност реално са авангарда на организацията. Ако не се инвестира в обучението им, те се опитват да учат сами, но реалността показва, че стандартизираното обучение и сертификация е най-добрият начин да се осигури защитата.

Разкажете ни повече за развитието на програмата за сертифицирани етични хакери – CEH. Как се създава и по-важното – поддържа актуална такава програма?

Много добър въпрос. Certified Ethical Hacker е крайъгълен камък за успеха на EC-Council. Програмата подлежи на строг технически и академичен контрол, а процесът на разработването й беше и продължава да бъде много сложен. Разполагаме с голям технически екип от тесни експерти и работим с над 300 сътрудници от целия свят, които ни помагат да я поддържаме актуална.

Тази година CEH получи ANSI 17024 акредитация от Американския Национален Институт по стандартизация – ANSI/ISO/IEC 17024 Personnel Certification. Едно от изискванията за тази акредитация беше програмата да е разработена от общност от експерти, а не от отделен човек.

Нашите екипи от експерти създават съдържание, базирано на практиката и отговарящо на глобалните стандарти в етичното хакерство. Данните, инструментите, хакерските технологии и знанията се обединяват, след което екипите, отговорни за изготвяне на учебните материали и графичното оформление, представят това високотехнологично съдържание във формат, подходящ за преподаване.

Сигурността на мобилните устройства е въпрос, който предизвиква все по-голяма загриженост. Какъв е отговорът на EC-Council?

Действителни много организации са изправени пред огромни предизвикателства при внедряването на приложения за сигурност на мобилните устройства. Мобилната среда отваря сериозни рискове за сигурността.

Нивото на техническа експертиза, необходимо за участие в обучение за мобилна сигурност, е много високо, затова само най-сложните в техническо отношение програми на EC-Council Center of Advanced Security Training (CAST) предлагат курс за мобилна сигурност и разследване. Курсът се нарича CAST 612 – Advanced Mobile Hacking & Forensics и поставя фокус върху iPhone, BlackBerry, Android и др.
След време, когато търсенето на умения за защита на мобилните устройства нарасне, може да се появи необходимост и от базова сертификация на тази тема.

На 7 юни New Horizons Bulgaria организира за втори път семинара Hack the Hackers , посветен на етичното хакерство. Два дни след отваряне на регистрацията бяха получени над 300 заявки за присъствено участие, още над 200 човека се очаква да се включат онлайн. Какво е Вашето послание към гостите на Hack the Hackers 2012?

Битката за защита на информацията е изключително важна за стабилността на правителствата и корпорациите и се радваме, че българските специалисти се присъединяват към нас в тази битка. Благодаря на нашия партньор New Horizons Bulgaria за отлично свършената работа. Сигурен съм, че този семинар ще бъде много полезен и ще покаже необходимостта от високотехнологични програми по информационна сигурност в България. Желая ви успех!