Cybergadki #2 - Rafał Meisel

Wiemy, ja przynajmniej wiem, w jakiej firmie pracujesz, ale gdybyś powiedział ze dwa słowa i tak ogólnie, co tam robisz? Chyba, że nic nie robisz, to nie mów. Nie no, coś na pewno robię. Generalnie pracuję w firmie Saprasteria. Mieści się ona w Katowicach. Jest to duża korporacja francuska, a raczej na skali globalnej to taka średnia korporacja, około 55 tysięcy pracowników. Ja zajmuję się w niej tematami cyberbezpieczeństwa. Kilka lat temu Moimi głównymi zadaniami był Vulnerability Assessment, czyli mieliśmy narzędzia bezpieczeństwa. One wykrywały podatności, czy to w kodzie, czy to narzędzia typu DAST wykrywały i naszym zadaniem było

Zobaczenie, czy faktycznie to są podatności, czy może false positives, które trzeba było powiedzieć, że nie, to jest fałszywy alarm. No i następnie takie opracowanie przekazać deweloperom, żeby oni z wytłumaczeniem wiedzieli, co mają zrobić i jak. Następnie moja ścieżka się troszkę zmieniła. Mianowicie z takiego vulnerability assessmentu, jeżeli mówimy tutaj o cyberbezpieczeństwie, przyszedłem w stronę DevSecOpsa. Czyli nie byłem stricte programistą, ale pomagałem programistom ustawiać bezpieczne pipeline w oparciu o narzędzia bezpieczeństwa.

Do narzędzi później jeszcze przejdziemy, bo ja tutaj mam przygotowany pogląd pod to. Ale to na razie jeszcze, bo zostańmy tu w firmie i powiedzmy, co się w tym Cyberg dzieje, że zmieniłeś troszkę punkt widzenia? Ja myślę, że dalej cały czas w głowie miałem zajęcia, które mieliśmy na studiach. To, że nam robili wykłady, robili nam warsztaty, na które jeździliśmy do Katowic i tam zajmowaliśmy się głównie pentestingiem. To cały czas mnie kusiło, cały czas miałem to z tyłu głowy, a u nas w firmie było zapotrzebowanie, można powiedzieć, na ten Vulnerability Assessment i z tego zacząłem. Z tym, że z biegiem czasu to nie było już tak satysfakcjonujące dla mnie i szukałem nowych ścieżek.

I takie ścieżki się pojawiły dość szybko. Znając i wiedząc jak to działa wszystko, jak działa Vulnerability Assessment, jak się szacuje te ryzyka, jak wygląda Tłumaczenie deweloperom tych podatności, to ja chciałem też im wspomagać w jakiś sposób. I tutaj pojawiła się właśnie, można powiedzieć, nisza, w którą skoczyłem, bo jest mało osób, które znają narzędzia do skanowania kodu i tworzenia bezpiecznych pipeline'ów i rozumieją jak to konfigurować, jak to Działa wszystko i dlaczego to jest ważne? I tutaj myślę, że tworzyłem swoją wiedzę, tworzyłem i zbierałem doświadczenie właśnie na podstawie studiów, mojego zaangażowania w szacowanie ryzyk związanych z podatnościami, no i

Wykorzystałem trochę moją pasję do dzielenia się wiedzą, bo jednak rozmowa z deweloperami i tłumaczenie im, tutaj macie takie podatności, ale one działają tak i tak, powinniście to załatać w ten i w ten sposób, mnie pociągała do dalszej nauki. Czyli można powiedzieć, że ten taki background, który zdobyłeś pracując w tym dziale Vulnerability Assessments przełożył się na to, że jesteś w stanie teraz Wykorzystać tę wiedzę i wykonywać swoją pracę lepiej? Tak, tak zgadza się, ponieważ ja wiem jak pracują deweloperzy i wiem jak do nich mówić, że jak ich zasypiemy Czyli w takim razie, jak dozować zespołem deweloperskim podatności?