013 Maciej Markiewicz - Jak dodać dobry SEC do devops

Artur Markiewicz Podcast. Podcast o ludziach, o technologii, o branży, o tym, co można robić w tej branży, w jaki sposób działać, skąd czerpać wiedzę, jakie są dobre praktyki. Dzisiaj gościem podcastu jest ktoś, kto ma nazwisko dokładnie tak samo jak ja. Maciej, przedstaw się. Cześć, też jestem Markiewicz, ale Maciej i zajmuję się cyberbezpieczeństwem, a konkretnie bezpieczeństwem w procesie budowania oprogramowania, tak to można nazwać. No właśnie i uprzedził moje kolejne pytanie czym się zajmuję. Bezpieczeństwem w procesie budowania. Budowania czego? Domów? Oprogramowania. Generalnie pracuję w... nie wiem czy mogę mówić, ale... Mogę mówić Artur? Możesz mówić. No to świetnie. Najwyżej się wytnie albo się nie wytnie.

My dajemy narzędzia, które pozwalają ci dostosować to narzędzie do twoich potrzeb, czy do potrzeb twoich organizacji, czy widzimy się twojego. Jak zdecydujesz, że chcę mieć U2F oparte o UBK to mogę. Jak zdecydujesz, że dla klienta biznesowego Kogokolwiek u mnie w organizacji nie chce dać, to nie muszę. Mam ten wybór. Czyli każdy podejmuje swoje ryzyko, wie co i jak. Wy na pewno dostarczycie dokumentację, gdzie wiadomo, co można, czego nie można i ktoś sobie podejmuje decyzję. Dobra, czyli kwestie Sasa Ignite, dobrze pamiętam nazwę? Tak. Mamy omówioną. To jest to miejsce, gdzie Maciek działa. Dobra Maciek, shift left.

Ona musi zapaść, ona musi być świadoma. Jak nie masz tego na kartce napisanego, co może pójść nie tak, to nie podejmiesz tej decyzji, tylko po prostu pójdzie nie tak i wtedy już jest za późno. W konsekwencjach już tylko się otaczamy. Tak, więc lepiej zapobiegać niż potem reagować na to, co się już wydarzyło. No i stąd właśnie wzięło się całe podejście shift left, żeby jakoś zbalansować to. Dobra, patrzymy na osi czasu. Jesteśmy X, pozycja numer 5, czyli mamy system gotowy. Zapomnieliśmy o bezpieczeństwie. Przychodzi Maciej Markiewicz, mówi hello, mamy dwa wyjścia, nie? Albo budujemy to wszystko od zera, pewnie się nie opłaca, szkoda gadać, ale choćby sprawdźmy podatności, sprawdźmy czy o Was top ten, choćby czy tutaj jesteśmy OK.

Bo najgorzej będzie, jak u Kubusia Puchatka, bo wypadków nie ma, póki się nie wydarzą. A jak się wydarzą, to jest za drogo. Dobrze Maciek, ja pamiętam te Twoje narracje z wielu konferencji, między innymi czy to z Lokal czy ATS-ie, dobrze pamiętam? Na ATS-ie chyba też wspominałeś o SSDLC, na jakichś innych konfach też mówiłeś. Czy to był ATS czy nie? To nie był ATS, to był The Hacksamit. The Hacksamit. The Hacksamit. To wielokrotnie wspominałeś o tym, więc drogi słuchaczu, jeśli miałbyś jakieś pytania co do tego, spróbuj odnaleźć sobie tę prezentację Maćka, spróbuj zahaczyć Maćka o to, albo po prostu poszukaj shift-left ss tlc, dobrze pamiętam? To też było to software? Secure Software Development Lifecycle, tak to się nazywa.

Właśnie tak, jak Maciek powiedział. A ja dorzucę coś, co bardziej po polsku jest, czyli OWASP jako Biblia bezpieczeństwa dla tworzenia aplikacji. Tak, no to tak w zasadzie jest. Jak sobie weźmiesz do ręki OWASP Application Security Verification Standard, to taka jest biblia. Tam jest wszystko, czego potrzebujesz, żeby zacząć przynajmniej. Dobra, ja pamiętam, że kiedyś Ciebie zapytałem o coś innego. Mianowicie świetnie, że deweloperzy, że cały zespół super tworzy finalny produkt, który ma pod panowaniem wiele podatności lub błędów, jakkolwiek byśmy tego nie nazwali. Ale ja widzę zagrożenie jeszcze z punktu widzenia mnie jako inwestora, mnie jako właściciela tego projektu w postaci takiej, a co jeśli ktoś bardzo sprytnie ukryje jakąś

Jak dodać dobry SEC do devops. Names mentioned – Artur, Markiewicz, Maciej. Nie ma takiej sytuacji, w której jakikolwiek system IT jest w 100% odporny przeciwko czegokolwiek. Po prostu to jest jakiś taki modelowy przykład, do którego powinniśmy dążyć, ale nie da się tego zrobić, nie da się osiągnąć tego stanu z uwagi na to, jak to są złożone twory. I chciałbym, żeby ktoś mi też to powiedział. Proszę Pana, nie da się. Oczywiście. Znaczy da się, ale nie stać Pana na to, bo nie stać nawet rządów na zabezpieczenie się przed otakami innych rządów, więc tu proponujemy taką skalę i to będziesz okej.

Niemniej ktoś może mi zasugerować tego typu rzeczy i to się potoczy dalej. Z Krzyśkiem Kępińskim miałem taką rozmowę. Ósmy odcinek, o ile się nie mylę. Krzysztof Kępiński, porozmawiamy o IT, znaczę gościa. Krzysiek, w ramach rozmowy doszliśmy do takiego wniosku, że to o czym mówisz Maciek, żeby myśląc o bezpieczeństwie z klientem, pokazując to bezpieczeństwo, dając mu decyzję na zasadzie, będzie to droższe o 5 godzin, o 5%, tu będzie nie wiem, cokolwiek innego, to To może być jakaś przewaga biznesowa dla deweloperów, którzy w tej chwili chyba nie mają zbyt łatwo, bo te maszyny ich tam zastępują, biznesy się stopują, bo kryzys ogólnoświatowy, bo tych deweloperów jest dużo.

Tych najsłabszych, tych najbardziej leniwych, tych, którzy robią najbardziej powtarzalne rzeczy. No, z tym to tak. Pytanie, gdzie jest ta granica odcięcia, ale to dowiemy się za 5 lat. Nie wiem, kiedy, drogi słuchacze, tego słuchasz. Może to akurat za 5 lat, a może za 5 lat już świata nie ma i nie masz szans tego słuchać, bo AI nas żarło. Ale nim dojdziemy do AI, my musimy zrobić przerwę techniczną, także wracamy za chwilę. Jesteśmy po pit stopie, może nie trwał tak długo, krótko jak w F1, ale trwał odpowiednio długo, żeby wiedzieć, że rozmawiamy dalej z Maciek Markiewiczem, gościem, który według mnie ma ogromną wiedzę o tym, jak deweloperzy mogą pracować, żeby finalna ich praca była ok, żeby z punktu widzenia klienta było ok, a z drugiej strony jestem przekonany, żeby gdyby go puścił do zwykłego takiego bezpieczeństwa na potrzeby zwykłej każdej firmy, też by sobie poradził, bo ma tą wiedzę.

Do rozmowy z Krzyśkiem Kępińskim, którym podałem tą wartość, gdzieś na LinkedIn podawałem. A teraz pytam Maćka. Maciek, może nie słyszał tego, może nie widział. Jak myślisz, jak dużo tych deweloperów pierwszy raz w życiu usłyszało z ust Kamila Bączyka hasło OWASP? Procentowo. Nie wiem, ale ja bym strzelał z 10%. Nie potwierdzam, nie zaprzeczam. Zapraszam Ciebie drogi słuchaczu do przesłuchania, a za chwilę Maćkowi przekażę tą informację, czy był błędzie, czy nie. Natomiast jeżeli to ma być synonim tego, że deweloperzy mają dbać o bezpieczeństwo, a słowem kluczy jest OWASP, to mamy długą drogę, także bardzo się cieszę, że przekazałeś tą wskazówkę dla deweloperów, dla ich przełożonych, a może i nawet dla ich klientów.

A to słyszałem, to jakoś niedawno tak było. To też taka była, bo to jest pewnie nie pierwsza. Aha, czyli ta podatność też tam była. Okej, to jest, nie wiem, ale kilka razy spotkałem się z tą akurat podatnością, więc... Takich historii mam kilka w jakiejś swojej historii, gdzie natrafiliśmy na takie systemy. Na której konferencji będziesz to tak na pewno? Na którą planujesz iść? Gdzie złożyłeś call for papers? Nie wiem, jeszcze na razie na jedną złożyłem, ale zobaczymy. Maciek Markiewicz, gość, który się zna na bezpieczeństwie. Nie mówię w taki sposób, że już chciałbym kończyć tą rozmowę, tylko tak, żebyście zapamiętali, że warto Maćka słuchać, bo na pewno tych historii jest więcej, a w kuluarach może wam powie o pół zdania więcej, niż powiedział publicznie i to może dać wam jeszcze więcej energii.

Kto robi kopię i wklei wszystkich Twoich dokumentów, wszystko czyta, wszystko liczy, bo jest tam na miejscu, tylko przez 9 lat nie widzisz. Pytanie, czy to może mieć jakiś negatywny wpływ na firmę jutro albo za 5 lat? Że on sobie tam stał przez 9 lat i wszystko widział. Ba! I nawet nie wiesz, co on więcej widział, nie? Bo w komputerach jest jeszcze tak, że to, że był w jednym miejscu, że się dał złapać w tym miejscu, a wielu innych jeszcze był. Dobra, mamy sobie ten magazyn zwany RODO, zwany danymi, zwany informacjami. Szeroko rozumiany zbiór rzeczy, które chronimy. Do tego wszystko się to sprowadza. Pytanie Maciek, krótko i treściwie.

No ale zakładając nawet dobre intencje i to, że nie zrobił tego niedbałością, tylko po prostu się to wydarzyło, no to dalej odpowiedzialność ponosi cała firma, bo nawet jak zwolnisz tego kogoś, to co ci to da? Nic. Szyderczo mi śmiecha się Buziak, bo powiem szczerze, że nie mam pojęcia co z tym zrobić, bo albo Te materiały, te podcasty są tak przewidywalne, albo wszyscy bazujemy na tym samym poziomie wiedzy, że tu sobie spijamy z dzióbków i hello, cały czas mówimy dokładnie to samo. Mam przed sobą ekran, który pokazuje Maćkowi jedno zdanie wyjęte z kontekstu. Nie czytaj go głośno, tylko zostaw to dla siebie. Ale to zdanie adresuje dokładnie to, co powiedział Maciek, czyli kto odpowiada za bezpieczeństwo w firmie.

To jest fragment materiału szkoleniowego, który przygotowuję pod jakiś projekt. To jest dokładnie informacja, którą powiedział Maciej przed chwilą. To coś wypracowałem tydzień, dwa tygodnie temu z kimś, który koordynuje to szkolenie, żeby padło tego typu pytanie, spostrzeżenie, że to cała firma, nie tylko IT jest za bezpieczeństwo odpowiedzialna. Kolejna rzecz, spijania sobie z dzióbków. Mówiłeś, że audytorowi lepiej nie zakrzywiać tej rzeczywistości, lepiej powiedzieć co i jak. Poczekaj, czy audytor wyjmie paralizator i ci strzeli w plecy strzał za to, żeby mu powiedzieć, że nie masz second factora na poczcie? Znaczy, nie zrobi tego, jak jest takim poprawnym audytorem, ale zdarzało nam się mieć bardzo ciekawych audytorów, że tak to ujmę, nie wchodząc w szczegóły, ale to była tak jakby nie wina systemu, tylko wiadomo, na różne ludzie można trafić, ale sytuacja wygląda tak, że

No jakby nie obwiniamy go, takie rzeczy się mogą zdarzyć, nie zrobił tego celowo. Wysłaliśmy go na urlop, żeby odpoczął, bo to duży stres dla niego był. No i wiadomo, że on drugi raz tego błędu nie popełni. Jak dodać dobry SEC do devops. Names mentioned – Artur, Markiewicz, Maciej. Niestety nie wszyscy mają taką odpowiedzialność, nie wszyscy tak do tego podchodzą, bo najłatwiejsze jest zrobienie takiego wiesz poszukiwania kozła ofiarnego, zrzucenia na kogoś, a potem powiedzenia przed inwestorami czy opinią publiczną, to była jego wina, wywaliliśmy go i problem rozwiązany, a ten problem, który jest źródłem, sednem całego problemu dalej sobie żyje i ma się dobrze.

Spijanie dzióbków dalej wyjaśniam skąd, bo to co przed chwilą jeszcze uzupełniłeś o kwestii Twoich spostrzeżeń o audycie, o audytorach, o tych wszystkich rzeczach, to już też po raz czwarty przynajmniej. Kuba Stośkiewicz, Kaśka Żółkiewska-Malicka, Przemek Szczurek, Maciej Markiewicz. Bardzo podobne wnioski a propos audytu. Hello, chyba nie chodzicie z tym gazem za plecami, żeby psikać im wszystkim w oczy, bo popełnili błędy. Bo wszyscy mówimy wprost, to nie jest winny człowiek, winny jest proces. Tak. To jest najpiękniejsze w tym wszystkim, że jeżeli chcesz poprawić bezpieczeństwo, ok, jakieś wyjdą, nie wiem, zabąbelkują śmierdzące rzeczy, ale najgłupszą rzeczą, którą jest możliwe, to jest szukanie winnych tych rzeczy z nazwiska.

Że nawet jak Ci wyparują te dane, to one z założenia są bezużyteczne u kogoś innego i skończone w czasie. Czyli w którymś momencie, żeby one już w ogóle nie miały nic wspólnego z biznesem. Poczytajcie sobie o tym, ja dorzucę, znajdę później ten konkretny materiał, który opowiada o tym. To nie jest coś, co ma dokonać teraz rewolucji we wszystkich działach bezpieczeństwa, że nagle będzie ze zwierząt speców zmieniamy na Na to drugie podejście, ale to pokazuje, że można iść w tym kierunku, żeby nawet jeżeli będzie jakiegoś rodzaju włamanie, wyciek, to żeby konsekwencje były mniejsze, a samo to działanie pozwoli na to, żeby były bardziej przewidywalne, co też ułatwia życie. Maciek, ja tak sobie zerkam jeszcze na listę pytań, które chciałbym ci zadać.

Pozostają już tylko takie zwane klasyczne. Czy w zakresie tej merytoryki, którą poruszyliśmy, jest jeszcze coś, co chciałbyś przekazać, czym się podzielić, co Ci chodziło po głowie? Tak, bardzo ważna informacja. Mimo tego samego nazwiska nie jesteśmy spokrewnieni tak, że chciałbym, żeby to wybrzmiało. Nie jesteśmy spokrewnieni, tak. Nie, to oczywiście żart. Nie wiem, no i... Nie jesteśmy, to nie jest żart. Po prostu nie jesteśmy. Dobrze, mamy to, mamy to. Teraz tak mówisz, nie? Proszę? Teraz tak mówisz. Teraz tak mówisz, tak. A jak będzie trzeba spadek, to tak, to pierwszy będę, nie wiadomo. Spadek wiedzy bym chciał. To Ty jesteś z tego maila, tym wujkiem z Nigerii czy z Dubaju? Tak, tak. Jak dopiszę do Was Markiewicz, to nigdy nie wiecie, który.

A jest ich kilku. Dobrze. Jako ciekawostka, nie wiem, czy dostajesz też czasami korespondencję do takiego Markiewicza ze Śląska, który handluje samochodami? Nie. Dostaję przewlekle do jakiegoś gościa. Już mi się nawet nie chce odpisywać do tego, do ludzi, którzy do niego piszą, że znowu pokręcili imię. Bo strzelałem, że może na twoje imię też tam piszą jakkolwiek. No i nieważne. Pozdrawiam cię, drogi Markiewiczu, który pewnie nie jesteś z rodziny. Na pewno mojej, może z Maćka. Dobra, dość tego dworowania. Maciek nie kojarzy, gdzie jest Śląsk i żeby miał tam rodzinę. Nie, kojarzę bardzo. Pozdrawiam Karolinę z mojego zespołu, jest ze Śląska. Serdeczne pozdrowienie. Pozdrawiamy Karolinę ze Śląska. Dobrze, Maciej.

Zawsze mogli do nich wrócić, kiedyś jak AI pozmienia te rzeczy i później powie, że my jednak jesteśmy z rodziny, bo któryś z nas dostał się do jakiegoś tam parlamentu albo w ogóle... Parlamentu? Tak, będzie chciał nas wiesz... W ogóle zginiemy wszyscy przez AI. Żartowałem, nie zginiemy. Będzie nam tylko lepiej... Ja jestem właśnie daleki od takiego straszenia, nie wiem z czego to wynika, czy to jest taki click-byte'owy zabieg, ale... Nareszcie się skończyło spijanie z dziobką. Dobra, zaczynamy. To jest ten moment. Dlaczego to jest niebezpieczne? Podcast Artur Markiewicz o ludziach, o branży. Wcześniej mówiliśmy trochę o developerach, o bezpieczeństwie, a teraz nareszcie się pospieramy trochę. Dlaczego AI nas... Dlaczego nie jest okej? Jest okej. Co ma nie być okej?

Swoją drogą, Mateusz, wiem, że Ma po raz wtóry odpalony swój, nie wiem jak to nazwać, kurs, szkolenie a propos tego, jak jeszcze lepiej klikać w AI-a, także biegnijcie do niego, biegnijcie do Kuba... Wypadło mi nazwisko, nie Uknow, tylko... Kuba Mateusz Chrobok, świetny materiał, także korzystajcie z tego, bo to, O właśnie, jak źle skorzystacie z tego albo nie skorzystacie z tego, to na pewno za 5 lat zginiemy przez AI. Jak skorzystacie dobrze, to zbudujecie coś pięknego i to może wy będziecie stać po tej drugiej stronie. Dobra, dość, bo konfabuluje. Maciek, to reszta mi dopowie, czy system AI według was zginiemy za 5 lat czy nie przez AI?

W sensie zginiemy jako nasza wiedza, jako nasza branża, żeby nie, absolutnie nie mam na myśli W kwestii pozbawienia nas zdolności życia, czy też zabrania nam duszy, czy nasza branża zginie? Ja myślę, jak obserwuję to, co się teraz dzieje, to mam wrażenie, że wręcz przeciwnie, branża będzie miała jeszcze więcej roboty. Dobra. Maciek, jak chcesz, żeby Cię zapamiętano? Ty, no przyjdzie do Ciebie ktoś na tej konferencji, znowu wejdziesz na The Hacksamit albo na innej konfie, ktoś powie, hej, masz nazwisko tak samo jak ten drugi gość, tylko nie wiem, który z Was to jest, więc strzelam, że Ty jesteś ten i właśnie to jest to, co chciałbyś, żeby przypomniał o Tobie. Ja jestem ten młodszy. To się wydnie.

Ja mam żyletkę do cięcia tego materiału, także ten młodszy Markiewicz, dobrze. Pytanie, co na to mój brat, ale to... To jest drugie pytanie, co na to mój brat także, który jest młodszy. To akurat musimy wyciąć, nie? Kto tam ma jakiego brata. Dobrze. Maciek, z mojej strony to wszystko. Ja wyczerpałem temat. Bardzo się cieszę, że spotkaliśmy się i udało się Przegadać czy dyskutować, pokazać po raz wtóry to spijanie z dzióbków, że to nie jest tylko tak, że jeden z nas z tej branży wymyślił, że trzeba coś tam robić bezpiecznie, tylko to jest takie przewlekłe, bo za to nam inni płacą, dają nam w swoje ręce swoje systemy. Za to my odpowiadamy i dzięki temu się tak to wszystko toczy, żeby biznes mógł pracować dziś, jutro i za dwa tygodnie, bo do tego się sprowadza nasza praca, żeby za dwa tygodnie też mogli pracować, żeby nikt ich tam z planszy nie pozamiatał, bo łobuzów jest sporo i te łobuzy próbują robić co chcą.

Maciek, to wszystko na dziś. Dzięki za to, że wpadłeś. Jakbyście mieli jakieś pytania albo cokolwiek, To mamy wspólną skrzynkę pocztową, nie? Żartowałem, nie mamy wspólnej skrzynki pocztowej. Ja, Ty i ten gościu od samochodów ze Śląska. Tak, piszcie do tego ze Śląska od samochodów, na pewno dostanę maila. Jakiś tam A4 miał ostatnio do sprzedaży. Nieważne, to nie moja branża. Ja mam samochód do sprzedania. Nieważne. To napisz do mnie w maile, ja mu to prześlę. Nieważne. Dość tego dworowania. Mam nadzieję, że się podobało wam tak samo jak nam, że wynieśliście z tego wartość i że Od jutra wasi deweloperzy, ty deweloperze, będziesz wiedział od czego zacząć, żeby ten OWAS był czymś za co, teraz ciekawostka, za co będziesz brał jeszcze więcej pieniędzy i robił jeszcze lepsze projekty, a ja ci pomogę je robić, bo wtedy cię będę mega kibicować.

Tego mnie nauczył ten drugi Markiewicz. Dobrze, żeby nie było, że się nie lubimy czy coś, lubimy się bardzo sami wspierać ze sobą i sobie docinać lubimy, także każdy lubi to co Tak. Tak. Czy jeszcze nie? Już nic więcej. Selfika zrobiliśmy sobie w trakcie speed stopu. Także zamykając ten materiał podcast Artur Markiewicz podcast. Podcast o ludziach, o branży, o technologii, o tym jak działać. Mam nadzieję, że materiały związane choćby z audytem, choćby z działaniami związanymi z developmentem czy też bardziej te techniczne Wam się spodobały. Jestem ciekaw Waszej opinii Który z materiałów do tej pory, który słyszeliście, wniósł Wam jak najwięcej?

Możecie śmiało pisać na YouTubie, u siebie w dzienniczku, albo napisać gdzieś na LinkedInie. Bardzo będę się z tego cieszył. Jak macie pod ręką jakieś guziczki, subskrybuj, cokolwiek, wiecie dlaczego? Bo później się dowiaduję od ludzi, że ty, 3 odcinki już przegapiłem, teraz mam 6 godzin oglądania albo słuchania. Nie ma nic do oglądania, oprócz tych live'ów poniedziałkowych, ale do słuchania jest sporo, także Kończę, bo ten drugi Markiewicz mnie pogania. Robisz lajwy? Weźcie mu powiedzcie coś. Zdarzyło się dwa. Tak, dwa lajwy były, dwa promocyjne w kierunku wydarzeń. Jeden był Kamil Grzel, ale to się już pewnie nie zdążycie załapać. 29, jest taki dzień w tym roku, 29 luty, gdzie w Warszawie