На прошлой неделе в Екатеринбурге прошел Уральский форум «Кибербезопасность в финансах», который с одной стороны принял эстафету у почти одноименного форума, проводимого в Магнитогорске на протяжении 10 с лишним лет, а с другой оказался совсем новым мероприятием.
Не буду вдаваться в детали, почему Уральский форум переехал из Магнитогорска в Екатеринбург и почему сменился его оператор.
Сравнивать его с Магниткой совершенно бессмысленно — это просто два разных мероприятия, объединенных одной темой — кибербезопасность финансовых организаций. Но если на прошлой Магнитке старались найти баланс между деловой и культурной программой, между регуляторикой и практикой, между официозом и кулуарами, то нынешний форум совсем иной. Если бы меня попросили охарактеризовать его короткой фразой, я бы ответил «Дорого-богато» и это будет правдой. Пятизвездочный Hyatt Regency, высокопоставленные спикеры первого эшелона финсектора (Набиуллина, Аксаков, Кузнецов…), группа «Смысловые галлюцинации» на гала-стояке гала-ужине, спикерские комнаты, классный рюкзак в раздатке, охрана, большие выставочные стенды, сопровождающие спикеров и модераторов, согласование обязательного сценария секции и все такое.
Хотя магнитогорский душ в «Парусе 1/2», совмещенный с унитазом, я часто вспоминаю 🙂 С другой стороны это экономит время — сидишь на толчке и одновременно принимаешь душ. А вся вода стекает в дырку в полу… Воспоминания студенческих времен… Ностальгия… В Hyatt Regency такого точно нет 🙂
И вот тут важно сделать замечание. Я оцениваю мероприятие по своим критериям, на первое место среди которых выходит контент и польза для участников, а не уровень спикеров или число звезд в отеле. Я уверен, что спонсорам мероприятие понравилось, так как дало возможность пообщаться с большим числом высокопоставленных ИБшников, которые на Магнитку не ездили. Журналисты тоже должны быть довольны — много высокопоставленных чиновников Банка России, Минцифры, Госдумы, Совета Федерации и все генерят какие-то цитаты, раздают интервью. И вот только слушателям было не совсем интересно 🙁
Как по мне, так весь контент можно было бы ужать в один день вместо трех. Действительно интересных секций было всего раз-два и обчелся. Мне, хотя я был на многих, зашло только две — про атаки supply chain и закрытая секция ФинЦЕРТа. Первая зашла тем, что мы (участвовали Дмитрий Гадарь, Алексей Новиков, Сергей Голованов, Евгений Волошин, Артем Гутник и я) не только шутили и вели себя непринужденно, но и рассмотрели различные вектора атак через третьи стороны:
- Атаки через учетные записи выданные 3-м сторонам,
- Загрузка зависимостей с закладками, поставки в виде exe-файлов,
- Закладки Open Source,
- Trusted VPN с банками-агентами, партнерами, терминалами, VIP-клиентами,
- Утечка ключей, парольных фраз клиентов, взлом DNS-провайдера и облачного провайдера, редирект трафика и BGP-маршрутов,
- Аппаратные импланты через протрояненные мобилы, банкоматы и сетевое оборудование,
- Готовый затрояненый софт, который скачивают люди.
К сожалению, записи ни этой, ни иных секций нет. С этой точки зрения мероприятие вообще отличалось от всех мной ранее виденных. Даже презентаций не было предусмотрено (за исключением парочки мастер-классов) — одни дискуссии. А так как зачастую уровень людей на сцене сильно отличался от уровня людей в зале, то слушать их было местами скучновато. Как заседание Госдумы слушаешь — «нам надо», «мы должны», «все вместе», «устоим», «они пожалеют» и т.п. Я поэтому выше и написал, что можно было все в один день схлопнуть без потери качества и смыслов. Тем более, что и докладчики там были часто одни и те же — даже родилась такая шутка, что «не больше трех Гадарей в день», так как Дима блистал все три дня почти на каждой секции 🙂
Вот максимум глубины одной единственной презентации, которую я видел на форуме:
Преимущество данной схемы в том, что при всей ее солидности, она не говорит ровным счетом ничего и ее можно использовать не меняя и год, и два, и пять. Раньше стратегии ЦБ по ИБ были чуть более конкретными и детальными:
Вообще мне показалось, что у регулятора вообще нет четкого плана по развитию кибербеза в кредитно-финансовой сфере кроме общих слов и направлений. Если посмотреть на дорожную карту ЦБ по развитию финансового рынка на 2023-2025 годы, а также проект стратегии развития финансового рынка до 2030 года, то там написано немало вполне конкретных планов и технологий, ИБ которых вызывает вопросы. Например:
- Будут ли требования по безопасности OpenAPI (и речь не об их криптографической защите)?
- Что с безопасностью цифрового рубля, который уже начинают тестировать, и с безопасностью утилитарных цифровых прав?
- Какова процедура опротестования платежей в случае использования цифрового паспорта, о котором давно говорит Минцифра?
- Как киберучения будут интегрироваться в проверочные мероприятия ЦБ?
- Как технологически будет развиваться АСОИ ФинЦЕРТ?
- Как будет обеспечиваться безопасность роботов-помощников?
- Что с безопасностью смарт-контрактов и когда ждать машинночитаемое регулирование?
И это только часть вопросов, на которые ответа до сих пор нет 🙁
Второй понравившейся мне секцией была закрытая сессия ФинЦЕРТа, на которой финансовые организации задавали вопросы представителям ДИБа. Я ее модерировал (может поэтому она мне понравилась?) и ей я посвящу отдельную заметку.
На Магнитке тоже было не айс с точки зрения контента, хотя последние годы в малом зале стало больше практических докладов, и всегда можно было свалить из основного зала с рекламными выступлениями спонсоров. Но там хотя бы была регуляторика, и не в виде высокопарного рассказа «про все хорошее, против всего плохого». Презентации с ключевыми требованиями, которые потом можно было скачать для более детального изучения. А еще возможность задавать вопросы… В этот раз вопросы из зала часто вообще не были предусмотрены — все боялись Евгения из банка «Хлынов» 🙂 С тем же успехом можно было все это просто смотреть на мониторе своего компьютера (если бы была трансляция или запись) с ускоренной перемоткой.
Раньше, на Магнитке, я всегда закрывал мероприятие уже ставшей классикой презентацией «Уральский форум за 15 минут«, но каждый раз в 15 минут я не укладывался, так как даже вкратце пересказать все выступления регуляторов за четверть часа было непросто. Если бы такую задачу мне поставили в Екатеринбурге, то я бы ее не смог решить или мое выступление бы уложилось бы в пару минут и один слайд 🙁
Кулуары… Магнитка ими славилась. Пельменные, бани, караоке, каталка, три бара… все в пешей доступности. Поэтому кулуарного общения на Банном всегда было в избытке, так как деваться было особо и некуда. К концу мероприятия все уже считали себя старыми знакомыми (если вспоминали на утро, с кем и при каких обстоятельствах ты познакомился вечером). На Уральском форуме ситуация иная — мероприятие проводилось в центре города и после официальной части народ разбредался по разным заведениям. Да, рядом был стейк-хаус (и тут еще надо сильно подумать, что лучше — стейки или пельмени :-), салат из крабов, ресторан на 57 этаже, Ельцин-центр и экскурсия в Пышму, но все это есть и в Москве. Но лично мне жаловаться не на что — оба вечера я провел в отличной компании.
Так что оценка нового мероприятия пока неоднозначная. По атмосфере мероприятие проигрывает Магнитке, а по аудитории обходит; по уровню организации обошел Магнитку, а по контенту Уральский форум оказался слабее. Но все-таки ЦБ первый раз проводил Уральский форум сам и в следующий раз все получится. Если учесть интересы всех аудиторий и убрать излишний формализм и напыщенность, то с ресурсами Банка России мероприятие получится вообще огонь!
Снова отмечу, что я оцениваю мероприятие с точки зрения пользы для участников, а не для спонсоров, СМИ или самих организаторов. Поэтому моя оценка может не совпадать с тем, что думают коллеги. А через неделю пройдет Магнитка, в том же месте и с тем же оператором. Посмотрим, удастся ли ей сохранить атмосферу прошлых лет?..
