Кларк Роджерс:
Это очень, очень интересно. Вы начинали программу безопасности в AWS, так что Вы досконально знаете площадку AWS – как обеспечить ее безопасность, какие угрозы ей присущи, каков допустимый уровень риска и так далее. Перейдя на должность директора по информационной безопасности (CSO), Вам пришлось познакомиться с такими направлениями, как amazon.com (внутри компании мы называем это stores), Whole Foods, Prime Video, MGM, Twitch и другими структурами.
Во-первых, как Вы ознакомились с профилем безопасности каждого из этих бизнесов и с их подходами к рискам? И как Вы затем все это объединили? Как Вы добились того, чтобы была некая «единая панель управления», которая давала Вам уверенность в том, что уровень риска для Whole Foods соответствует его специфике, а уровень риска для AWS – своей? Как Вы к этому пришли?
Стив Шмидт:
Прежде всего, одна из вещей, которую я обожаю в своей работе, – это разнообразие предприятий. Люди часто говорят, что я занимаю свою должность уже 16 лет. И это действительно редкость для специалистов в области информационной безопасности. Почему так происходит? Такое разнообразие обусловлено тем, чем занимается компания. Это постоянная возможность учиться, и мне это безумно нравится.
Я уже не так молод, и мне часто говорят: «Как долго Вы еще планируете работать? Не собираетесь на пенсию?» А я отвечаю: «Нет, мне это по-настоящему в удовольствие». Я не хочу уходить, ведь работать действительно очень интересно. Вы переходите от построения крупнейшего в мире облачного провайдера до запуска спутников в космос и управления сетью продуктовых магазинов. Такое разнообразие – не только серьезный вызов с точки зрения бизнеса, но и возможность использовать масштабы компании, чтобы снизить затраты на операционную деятельность.
Если говорить о функционировании подразделений по обеспечению безопасности – это недешево. Но когда вы масштабируете это на бизнес такого уровня, как у Amazon, то получаете возможность значительно снизить удельную стоимость.
Кларк Роджерс:
Конечно.
Стив Шмидт:
Каждое направление бизнеса выигрывает за счет масштабов остальных. Мы ищем способы, как, скажем, продуктовый магазин может использовать те же инструменты обеспечения безопасности, что и космическое подразделение – и во многих аспектах это действительно возможно. Например, управление уязвимостями: необходимость устанавливать обновления на компьютерные системы принципиально не отличается – будь то создание спутников или управление супермаркетом.
Это позволяет нам действовать на уровне, который был бы недоступен для изолированного бизнеса, и тем самым поднимать общую планку для всех. Часть моей работы как раз и заключается в том, чтобы обеспечить наличие единых стандартов безопасности по всей компании – будь то управление уязвимостями, реагирование на инциденты или другие ключевые компоненты типовой структуры информационной безопасности.
А затем мы определяем, какие элементы должны быть адаптированы под специфику конкретного бизнеса с учетом его уникальных условий. Такой подход позволяет избежать универсальных решений, которые, напротив, могли бы привести к значительному росту затрат. Если взять, к примеру, продуктовый бизнес: потеря одной единицы товара там имеет относительно низкую ценность. А вот потеря спутника – это совсем другой масштаб.
Кларк Роджерс:
Конечно.
Стив Шмидт:
Поэтому нам приходится адаптировать подход к обеспечению безопасности под особенности каждого отдельного направления.
Кларк Роджерс:
Как вы обеспечиваете… Начну сначала. У Вас есть директора по информационной безопасности, которые отвечают за программы безопасности в каждом из этих направлений бизнеса. Как Вы добиваетесь того, чтобы они действительно управляли безопасностью эффективно?
Стив Шмидт:
Одна из вещей, на которую Amazon делает большой акцент по всей компании, – это идея однопоточного руководителя – человека, который полностью сосредоточен только на одном направлении. И именно поэтому в сфере безопасности у нас есть CISO для каждого отдельного бизнеса – по двум причинам.
Во-первых, я хочу, чтобы был человек, который каждый день думает только об этом. Будь то Эми Герцог, отвечающая за устройства и Kuiper, или Крис Бетц, который руководит безопасностью в AWS. Во вторых, я применяю общие метрики ко всем направлениям. Например, я регулярно просматриваю ежемесячный отчет по управлению уязвимостями, который охватывает всю компанию. И он строится на одних и тех же цифрах, по одной и той же методике, с одинаковыми способами представления данных и так далее.
Это дает нам единое, согласованное представление по каждому из проектов. И это позволяет сделать две вещи. Во-первых, убедиться, что мы соблюдаем тот уровень, который считаем необходимым. А во-вторых – гарантировать нужную прозрачность во всех уголках бизнеса. Потому что очень часто проблемы возникают там, где кто-то думает: «Да это неважно, это мелочь».
А именно туда и проникает злоумышленник – и страдают все. Поэтому, имея такой обзор «с высоты десяти тысяч футов» на все происходящее, мы можем убедиться, что в каждом уголке компании все делается правильно.
Кларк Роджерс:
А еще у нас есть централизованные системы под управлением Amazon Security, или AMSEC, которыми могут пользоваться все направления бизнеса.
Стив Шмидт:
Во многих аспектах все устроено одинаково для всех наших проектов. То, как вы собираете определенные типы данных, как вы их анализируете, как формируете отчетность, – все это по сути одинаково. И вместо того, чтобы каждый бизнес снова и снова делал одно и то же, мы решили объединить это в одну систему. Это позволяет нам экономить, например на времени разработчиков.
Возьмем снова управление уязвимостями: если вы запускаете систему сбора данных в рамках крупного бизнеса, вам нужны инженеры на дежурстве. А если вы когда-либо управляли дежурной командой (а вы, конечно, управляли), то знаете, что для того, чтобы один человек был постоянно на дежурстве, на практике вам нужно около семи человек – чтобы учесть отпуска, больничные и прочее.
Кларк Роджерс:
Мы хотим, чтобы люди отдыхали.
Стив Шмидт:
Верно. И благодаря тому, что мы распределяем эту нагрузку на несколько бизнес-направлений из одного центра, мы можем делать это гораздо эффективнее, потому что получаем более качественные инструменты в рамках общей платформы и при этом снижаем затраты.
Кларк Роджерс:
Какие практики вы разработали или используете, чтобы докладывать совету директоров Amazon о состоянии безопасности во всех этих разрозненных проектах?
Стив Шмидт:
Совет директоров Amazon, прежде всего, сам по себе довольно интересный. Очень немногие советы обладают таким техническим уровнем понимания, как у нас. Кроме того, несколько лет назад компания Amazon приняла решение создать отдельный подкомитет по безопасности. В отличие от многих компаний, где вопросы безопасности могут рассматриваться в рамках аудиторского комитета, у нас есть специализированная группа людей, которая занимается исключительно вопросами безопасности.
Это, конечно, здорово, но это также означает, что за нами очень внимательно следят. Поэтому нам пришлось выстроить систему отчетности, которая со временем постоянно эволюционирует – по двум причинам. Во-первых, мы сами становимся лучше в том, как формируем отчеты. А во-вторых, совет директоров со временем становится все более погруженным в тему – его представители задают все более точные и глубокие вопросы, интересуются все более конкретными аспектами отдельных направлений. Как правило, мы считаем важным при каждом обращении к совету предоставлять информацию по определенным компонентам бизнеса: выполняются ли там заданные стандарты безопасности.
Кроме того, есть темы, которые особенно интересуют членов совета, например: «Расскажите нам про это направление» или «Мы входим в новую сферу и считаем, что там много рисков, подготовьте нам обзор». Это позволяет выстроить отчетность с двумя частями: постоянной – про ключевые показатели, а также переменной – в зависимости от их интереса.
И еще мы добавили финальный блок, который назвали «Текущие события». В нем мы берем те инциденты, о которых вы, скорее всего, уже слышали в новостях, и разбираем их с точки зрения уроков и выводов, которые можем применить у себя. Мы показываем: вот что произошло в индустрии, вот почему это не затронуло нас
и вот какие инвестиции в безопасность позволили нам избежать этих проблем. Думаю, для совета это действительно очень ценно. Во-первых, они понимают, что мы в хорошем положении. А во-вторых, это помогает принимать инвестиционные решения на будущее. Когда мы говорим, что 8 или 10 лет назад мы инвестировали в многофакторную аутентификацию, и именно это позволило нам избежать атаки, которая затронула другую крупную компанию, совет говорит: «Отлично. А во что еще нам стоит инвестировать уже сейчас, чтобы через 10 лет снова быть на шаг впереди?»
Кларк Роджерс:
Многие из наших клиентов CISO уделяют большое внимание работе с советом директоров. Кто-то из них получает больше личного взаимодействия, кто-то – меньше. Вы уже отметили, что наш совет уникален своим пониманием вопросов безопасности. Какие рекомендации Вы бы дали своим коллегам – CISO или CSO, – которые докладывают своим советам, чтобы их услышали, чтобы они могли донести ключевые мысли, говорить на языке совета и так далее?
Стив Шмидт:
Самое главное, что я слышал от членов совета директоров (почему им нравится наш подход) – это то, что мы очень внимательно избегаем профессиональной лексики. Многие CISO разбираются в технологиях и стремятся докладывать в той манере, к которой привыкли технические специалисты…
Кларк Роджерс:
Биты и байты.
Стив Шмидт:
Именно. Это отражает их привычный способ мышления. Но нам нужно помнить: совет директоров – это, по сути, наш заказчик. И когда мы им докладываем, мы должны говорить на их языке. Мы должны находить способы объяснять вещи в контексте, который будет понятен именно этому конкретному совету.
Так что, во-первых – важно выработать единую, стабильную систему отчетности, а не менять формат каждый раз. Потому что тогда людям сложнее это понять – «переварить», если проще. Во-вторых – определить буквально две-три ключевые метрики, которые вы хотите озвучивать каждый раз.
Не нужно заваливать людей числами. Например, мы всегда, без исключений, докладываем по управлению уязвимостями. Это самый важный и базовый механизм обеспечения безопасности, который мы применяем – и, как мне кажется, любой должен применять. А дальше уже можно добавить блок с дополнительными вещами, которые помогут обсуждать такую тему: «А стоит ли нам в это инвестировать?» То есть намеренно разделяйте составные части отчета – что является основной, а что служит поводом для стратегических решений.
Кларк Роджерс:
То есть, если мы инвестируем вот сюда, это снижает риски вон там?
Стив Шмидт:
Да, это сочетание – как снижения текущих рисков, так и снижения будущих. Причем как раз будущие риски – это, наверное, самая сложная часть нашей работы как специалистов по безопасности. Потому что у нас нет конкретного случая, на который можно сослаться. Многие на это смотрят и говорят: «А это точно нужно?»,
«Нам обязательно делать это прямо сейчас?», «Обязательно в таком масштабе?», «А может, можно сделать поменьше?» Это те самые споры, которые нам всем приходится вести. И нам важно со временем формировать у совета директоров определенную базу знаний. Показывать: вот примеры реальных атак, которые выглядят похоже, и вот почему мы считаем, что это может затронуть нас – скажем, через год, два или три. И, соответственно, поэтому мы должны действовать уже сейчас или в обозримом будущем.
Кларк Роджерс:
Понятно. В Amazon нас знают за инновации, за подход «от потребностей клиента», за умение слушать своего клиента и так далее. Ваша роль как руководителя по вопросам безопасности предполагает множество выборов – возможно, часть из них делают Ваши CISO, которые Вам подчиняются, – но в целом Вы решаете, какие инструменты покупать, а какие разрабатывать самим. Часто все упирается в масштаб.
Готовое коммерческое ПО может просто не справиться с масштабами Amazon – и тогда нужно разрабатывать свое. В прошлом году мы публично рассказывали о таких инструментах, как Madpot, Mithra и Sonaris. В качестве CSO, как Вы аргументируете необходимость инвестиций – чтобы действительно получить ресурсы инженеров под такие проекты (и, вероятно, под множество других, о которых мы не говорили)? Как Вы убеждаете совет, что эти вложения оправданы и какую ценность они принесут?
Стив Шмидт:
Это просто. Давайте сначала разделим: покупной инструмент и тот, что мы разрабатываем сами. Думаю, это важная отправная точка. Мы покупаем инструменты, если речь идет о чем-то стандартном. Например, решения для обнаружения и реагирования на угрозы на конечных устройствах – мы их покупаем, а не разрабатываем с нуля. Почему? Потому что наши ноутбуки Mac, Windows, Linux – это те же самые машины, которые используют многие другие.
Да, у нас может быть немного другое ПО на них, но в целом это не делает наш бизнес уникальным. А вот создать систему вроде Madpot в очень крупном масштабе можем только мы. И именно в такие области, где никто другой не может сделать то же самое, мы и инвестируем.
Сам процесс инвестирования – такой же, как и во многих других сферах: мы прототипируем, тестируем и смотрим, что работает. И с самого начала понимаем: с первого раза идеально не получится. Придется переделывать, дорабатывать, менять – это нормально. Сейчас Madpot – это крайне успешная система, но она не возникла за одну ночь. Это результат многолетней работы, которая началась с одного инженера, который сказал: «Хм, мне нравится эта идея. А давайте посмотрим, можно ли сделать что-то интересное».
И теперь это движок, который позволяет нам собирать своевременные данные по киберугрозам, обрабатывать их и передавать в инструменты безопасности, которые доступны всем нашим клиентам. И вот это, на мой взгляд, самое важное. Многие наши клиенты говорят: «О, я хочу сырой поток данных о киберугрозах».
Но на самом деле – нет, вы не хотите. Что вам действительно нужно – это релевантная информация в контексте вашей текущей среды. А все остальное – это просто шум. Объем этих данных сейчас настолько огромен, что пытаться обработать все подряд – бессмысленно, если только у вас нет инфраструктуры нашего уровня.
И именно поэтому многим клиентам нравится получать такие данные в рамках управляемого сервиса. Им не нужно тратить ресурсы на то, чтобы разгребать гигантские массивы информации или терять контекст, потому что мы его применяем, сравнивая между разными клиентами.
И вот этот контекст – ключевой момент. Централизованная видимость, которой обладаем только мы, – вот тот самый выигрыш, который снова возвращает нас к теме: что можно купить готовым, а что стоит разрабатывать самим.
Кларк Роджерс:
И, полагаю, внутренняя аргументация, если так можно сказать, звучит примерно так: это помогает нам обеспечить безопасность AWS и Amazon, а заодно приносит пользу нашим клиентам. То есть, по сути, это выигрыш для всех.
Стив Шмидт:
В типичной для Amazon манере мы начнем с клиентов и скажем, что это помогает всем нашим клиентам лучше защищать себя. И одновременно это помогает и нашему бизнесу, потому что большинство наших бизнес-направлений – это тоже клиенты Amazon AWS. Так что выгода есть во всех смыслах.