Антипленарка CISO-FORUM 2023. Тёрли про бюджеты, штучки за полмиллиарда 🙂, ответственность, как общаться с бизнесом. Подробно обсуждали багбаунти, включая внутреннее.
Понравились реплики:
"SAST и DAST это не наши инструменты, а инструменты разработки"
"Если нет готовности исправлять уязвимости, то и искать их смысла нет"
"Нужно создавать предпосылки для разработки СПО на территории России"
Не понравилась реплика про "дурачка внутреннего пентестера", который хотел сканить инфраструктуру, а от него требовали собирать информацию как-то так, чтобы SOC не ловил. Security through obscurity какое-то. Имхо, у внутреннего пентестера должна быть вся информация об инфраструктуре, его задача продемонстрировать практическую эксплуатабельность уязвимостей, а не от SOCа прятаться.
Про заявленные тонкие моменты, связанные с эмиграцией специалистов вроде вообще не говорили.