Роскомнадзор зняв бан з Телеграма

Роскомнадзор (російський держорган, який опікується захистом інтересів Кремля в інтернеті, зокрема впроваджує цензуру) відмовився від заборони Телеграма, так ніби вона колись могла б працювати. Серед аргументів найбільш важливі для нас два:

  1. Дурови ніби то запропонували уряду допомогу в боротьбі з тероризмом і екстремізмом. Мовляв, ми вже й так багато для цього робимо: банимо контент, закриваємо канали тощо. Готові до співпраці.
  2. Телега це загалом дуже зручний спосіб швидко поширити інформацію серед тих, кому вона цікава. (І при цьому не залучений жоден штучний інтелект чи ще якась новомодна техно магія. Я розсилаю пост, ви миттєво його отримуєте. Якщо вам не цікаво – ви ставите канал на м’ют або відписуєтесь.) І виявилося, що це дуже допомагає поширювати важливу інфу під час глобальних криз. Землетрусів там, повеней, епідемій. Тощо.

Щодо другого аргументу мені важко щось критикувати, бо тут все досить раціонально виглядає. Але я все ж таки спробую. Будь-яка криза відкриває вікно можливостей для непопулярних змін. Комусь вона дає привід звільнити 40% працівників – бо завжди хотілося, та не було солідної відмазки. Комусь вона дозволяє натиснути на політичних активістів та обмежити право громадян на зібрання та протести – дик карантин же ж. І практично всім вона дає моральне право попросити знижку – дивіться яка страшна криза, нумо поторгуємось. Роскомнадзору криза дала змогу відмовитись від нерозумної та невигідної для Кремля спроби обмежити використання Телеграму в РФ. І що найголовніше – публіка вважатиме це великою перемогою, а це вигідно всім: і Телеграму, і Кремлю, і Роскомнадзору, і Роскосмосу. Хоча ні, Роскосмосу вже ніщо не допоможе.

Щодо першого ж аргументу… тут все просто, мої дорогенькі. Українці (в нормальному розумінні цього слова) цілком натурально попадають в одну з названих категорій. Для офіційного Кремля, якщо ми не колаборанти, то ми або терористи, або екстремісти.

Zoom буде шифрувати дзвінки безкоштовних користувачів

Чесно кажучи, я не дуже вірив, що це станеться. Дивіться, два тижні тому Зум знову осоромився, коли їхній директор заявив, що компанія “не планує використовувати наскрізне шифрування” для захисту дзвінків в безкоштовних планах. Багато хто побачив в цьому суцільну зраду, мовляв, всі шифрують, а Зум такий – не буду. Насправді це справжнісінький піар фейл, тому що групові дзвінки не шифрує наскрізь рівно ніхто з конкурентів Zoom (будьмо реалістами: Wire Зуму не конкурент).

Чесно кажучи, я не дуже вірив, що це станеться. Дивіться, два тижні тому Зум знову осоромився, коли їхній директор заявив, що компанія “не планує використовувати наскрізне шифрування” для захисту дзвінків в безкоштовних планах. Багато хто побачив в цьому суцільну зраду, мовляв, всі шифрують, а Зум такий – не буду. Насправді це справжнісінький піар фейл, тому що групові дзвінки не шифрує наскрізь рівно ніхто з конкурентів Zoom (будьмо реалістами: Wire Зуму не конкурент).

На місці піарників Зуму я б, якщо чесно, забив і почекав, що ця буча вляжеться якось сама. Але бач як, здається, компанія вирішила використати ситуацію собі на користь, та переглянула своє попереднє рішення. І підкреслюю: в наслідок цього Зум не стане шифрувати дзвінки всіх користувачів end-to-end “як решта” конкурентів. Він стане першим з них, хто таке зробить.

Як писати резюме в кібербезпеці

Кожного разу після події типу Nonamecon чи OWASP Kyiv в мою поштову скриньку та месенджери надходить багато повідомлень приблизно такого змісту: чи є у вас вакансії? як потрапити до вас в компанію? ось моє резюме. А отримавши відповідь, найчастіше питають, як його покращити.

Так, на жаль, відкритого набору в Berezha Security не існує: ми не настільки великі, щоб тримати вакансії відкритими та оголошувати на них “конкурс”. Коли ми ростемо, про це перш за все дізнаються наші підписники в Facebook, LinkedIn та Twitter, ну і звісно ж наші друзі та партнери по суспільно-професійній діяльності. Але резюме я все одно читаю, і ось що я мушу вам про це сказати.

Написання “ефективного” резюме – це окрема навичка, яку треба прокачувати. Я не вірю в “кар’єрних коучів”, хоча не виключаю, що деякі з них вартують свого гонорару. Як на мене, то для спеціаліста з кібербезпеки такий засіб підготовки резюме це занадто. Вимоги до текстів в нашій галузі зараз невисокі, адже людей критично не вистачає. Але CV все одно мати треба, і скласти його вам допоможуть такі прості поради.

1. Пишіть про досягнення, а не про досвід. Дуже часто доводиться читати пачку булетів по кожному місцю роботи, зміст яких зводиться до того, що автор мав справу з тими чи іншими методиками та інструментами. Ця інформація може бути корисна, але її краще десь узагальнити в одному розділі документу, а в описі місць роботи вказати досягнення, які демонструють вашу траєкторію в конкретній компанії. Прийшов першим ІБшником, за два роки побудував нормальні операції та автоматизував процеси. Або розпочав молодшим пентестером, а за рік виріс в автономну одиницю та виступив лідом в надцяти проєктах. Щось таке, що характеризує вас як працівника, який прогресує та росте, а не просто отримує досвід.

2. Уникайте списків. Булети розстрілюють ваше резюме. Хочете навести приклади – робіть це через кому або крапку з комою. І ніколи не перетворюйте розділ в вичерпний опис. Адже мозок сприймає інформацію дуже своєрідно: з усіх перерахованих пунктів він залишить в пам’яті середнє враження. Тому краще навести два найкрутіші приклади, ніж вичерпний список. Наприклад, не варто перераховувати усі ваші професійні сертифікати, починаючи з CCNA та адміністратора Windows 2012 Server. Звісно ж, краще перерахувати найбільш релевантні та найсвіжіші здобутки.

3. Слідкуйте за граматикою. Багатьом відома така штука як Grammarly, але й MS Word з ввімкненими параметрами граматики відпрацьовує досить ефективно. Уникайте зайвих та складних термінів. Якщо слово можна спростити або видалити без суттєвої зміни змісту – це варто зробити.

4. Навчання без сертифікації нікому не цікаве. Якщо пройшли протягом трьох років 5 найкрутіших та найтоповіших навчальних програм, але не склали іспит – краще не вказуйте їх в резюме. Поки не складете іспит. Натрапляючи на назву курсу без відповідного сертифікату, читач почне розпитувати вас про причини такої незавершеної дії. І якими б вони не були, це не на вашу користь.

5. Рекомендації. Якщо маєте дозвіл вказувати імена, позиції та контакти в резюме – зробіть це. Але спробуйте обмежити список людьми, з якими працювали в останні рік-два. Адже інакше вони матимуть дуже загальне уявлення про вашу ситуацію та вагатимуться робити припущення. Найкраще в резюме виглядають рекомендації прямого керівника або внутрішнього чи зовнішнього “замовника”, який безпосередньо отримував користь від вашої роботи.

6. Волонтерський досвід та суспільна активність. Навіть Forrester та Gartner беруть до уваги ці критерії, коли оцінюють компанії, а про конкретних професіоналів годі й казати. Якщо ви здатні підняти п’яту точку та піти зробити щось для спільноти – це обов’язково треба вказувати в резюме. По-перше, це унікальний досвід, а по-друге, так ви засвідчуєте, що на вас можна покластися не лише тому, що вам за це платять гроші.

7. Медіа-активність. Якщо маєте блог, акаунт на GitHub, фейсбук-сторінку чи ще десь ведете професійну або колопрофесійну діяльність – не соромтеся вказувати це в резюме. Просвітницька діяльність, коміти в опенсорс проекти, виступи на конференціях тощо – все це може бути цікаво потенційному роботодавцю. Адже цілком можливо, що він шукає не просто працівника, а ще й представника компанії в медіа та на профільних заходах.

Якщо маєте питання на тему складання резюме – тепер для цього є спеціальний канал #career-advice в Discord-сервері Ukrainian Cybersecurity. Молодші колеги можуть ставити там питання, а досвіченіші – відповідати, в тому числі приватно, або навіть голосом.

Своєю чергою, я спробую допомогти покращити якомога більше ваших резюме. Досвід відбору більше сотні спеціалістів з безпеки треба якось використовувати. Але зважайте, що останній раз я писав CV років зо 10 тому, отже розцінюю цей процес виключно з точки зору роботодавця. Тому моє власне резюме не є зразковим прикладом.

Ще про безпеку Zoom та інших відеоконференцій

Як я і думав, наскрізне шифрування несумісне з записом у хмару. Цікавий факт: якщо ви з якихось причин уникаєте встановлення додатку та користуєтесь веб версією Зума у браузері, ви також уникаєте наскрізного шифрування дзвінків ¯\_(ツ)_/¯ Отже, Зум надає end-to-end encrypted зв‘язок, якщо у всіх часників встановлені клієнти (бажано версії 5 і вище) та дзвінок не пишеться в хмару.

Брюс Шнаєр про безпеку Zoom та інших засобів телеконференцій. Я ділився своїми роздумами про це трохи раніше.

Як я і думав, наскрізне шифрування несумісне з записом у хмару. Цікавий факт: якщо ви з якихось причин уникаєте встановлення додатку та користуєтесь веб версією Зума у браузері, ви також уникаєте наскрізного шифрування дзвінків ¯\_(ツ)_/¯ Отже, Зум надає end-to-end encrypted зв‘язок, якщо у всіх часників встановлені клієнти (бажано версії 5 і вище) та дзвінок не пишеться в хмару.

Моя думка про Zoom не змінилася: я використовую його сам та рекомендую іншим. В сучасних реаліях більшість спілкування та навчання перемістилося в інтернет. Про системні наслідки цих змін, такі як обмеження соціальної активності поза навчанням та роботою, та колосальне збільшення нашого цифрового сліду в системах інтернет-гігантів, які заробляють на тотальному спостереженні, я якось пізніше висловлюсь, бо це дуже важлива тема.

Але коли мова про кібербезпеку, тут для мене все просто. Про безпеку продукту можна судити по історії та по траєкторії. Траєкторія в Зуму зараз найкраща: за останній час поліпшення безпеки були радикальними та системними, а дії компанії достатньо відкритими. Історія Зуму, в порівнянні до регулярних зіродеїв у WebEx не така вже й сумна. І якщо ви хочете розбиратися в безпеці трохи більше, ніж на рівні читання заголовків сенсаційних новин, ви можете самі в цьому переконатися.

Ще один найближчий конкурент це Google Meet, який так сильно прагне отримати доступ хоч до якихось відеоданих, що вже зробився безкоштовним та додається автоматично до кожної події в гугл-календарі, яку ви створюєте. Як і Вебекс, Міт тупо не вивозить до рівня Зуму. А Зважаючи на історію Гугла в контексті доступу до даних… Ви серйозно готові віддати їм відео ваших робочих зустрічей та відеоуроків ваших дітей? Тут є простір для дискусії та обміну думками, але я – точно проти. Якщо ви не згодні, то давайте ви передивитесь Чорне дзеркало, і ми повернемось до цієї теми 🙂

В Європі CISSP прирівняли до магістрського ступеню

Трохи дивна новина, поясню чому.

Спочатку про CISSP для тих, хто не в курсі. Це така загальна сертифікація з кібербезпеки. Щоб її отримати, треба або пройти складний квест та заплатити трохи грошей, або заплатити трохи більше грошей і витратити понад тиждень часу.

В сценарії з квестом ви готуєтесь самі, для цього знадобиться трохи часу у тиші щотижня протягом декількох місяців. Треба буде опанувати близько тисячі сторінок літератури, продивитися трохи відео уроків, та потренуватися складати екзамен на спеціальному тренажері. Після цього ви складаєте іспит і якщо все успішно, то ви майже CISSP. У старі часи процедура була дещо ускладнена тим, що іспит приймався очно й на папері, тому треба було кудись їхати. Але тепер це можна зробити на компі в авторизованому екзаменаційному центрі, який завжди поруч.

Другий шлях простіший – ви записуєтесь на один з безлічі «таборів з підготовки» (CISSP boot camp), проводите в ньому близько тижня, там вам в голову «заливають» необхідний для здачі мінімум знань, після чого садять за комп і через дві години ви майже CISSP. А через чотири – вже майже нічого з того не пам‘ятаєте.

Пишу майже, бо в обох сценаріях вам тепер треба знайти хто б з дійсних CISSP-ів підписав вам рекомендацію (endorsement), але це вже бюрократія. Після успішного ендорсменту вам надходить сертифікат, і тепер ви – раб лампи, адже щороку мусите його продовжувати за гроші.

Сподіваюся, я склав враження про те, скільки зусиль та знань треба, щоб отримати CISSP. А, ще одне – обов‘язковою вимогою є 5 років практичного досвіду в професії кібербезпеки за деякими знижками по типу профільної освіти.

І ось це тепер в Європі – еквівалент магістра. Чи справедливо це, вирішуйте самі. Моя справа – дати вам вхідні дані.