Гостев из будущего

Мне тут прислали старую ссылку на обсуждение сервисов пентеста, где местами участники откровенно переругались между собой. Но мое внимание привлекло мнение директора по консалтингу Positive Technologies. Она неоднократно озвучила там рецепт успеха: постоянный Red Team плюс багбаунти на недопустимые события. Нет денег на Red Team — хотя бы багбаунти. И, мол, сам Позитив держит багбаунти в 3060 миллионов рублей за такое событие. Я помню, что несколько лет назад PT объявил недопустимым событием кражу денег со своих счетов. Посмотрел, а что происходит сейчас, — да, так и висит в скоупе. Хотя, казалось бы, его давно можно было убрать: я с самого начала расценивал это как маркетинговый трюк для привлечения внимания, а не как событие, которое Позитив всерьёз считает для себя недопустимым. И вот почему. Компания находится под американскими санкциями. Санкции вводятся, чтобы лишить возможности зарабатывать за пределами России. При этом компания пытается выходить на зарубежные рынки и считает это важнейшей частью стратегии. Если бы соответствующие органы поставили себе такую задачу, главный интерес для них представляла бы именно эта внутренняя информация: партнёры, клиенты, сделки — всё, что компания делает на международных рынках. Обладая ею, можно вводить вторичные санкции против партнёров и клиентов. А это уже реализация недопустимого риска для совершенно посторонних компаний. Еще можно заводить уголовные дела за обход санкций, с потенциальным арестом сотрудников, оказавшихся за рубежом. Так что критичнее для стратегии компании — это или кража денег с банковского счёта в России? Вторая мысль. Определить, что именно является недопустимым событием, и публично об этом заявить — две разные задачи. Компания зачастую плохо представляет, что именно для неё недопустимо. Для этого нужно понимать, что интересно атакующему, а не что вы сами считаете угрозой. Зачастую это совершенно разные вещи. Утечка пароля от облачной почты вашего финдира может оказаться куда большей проблемой, чем внедрение кода. И случиться она могла ещё несколько лет назад, когда он работал в другой компании. Но даже если вы точно определили свои недопустимые события, сказать о них публично вы зачастую не можете. В любой серьёзной компании есть режим коммерческой тайны и утверждённый перечень того, что ею является. Так что либо вы включаете этот перечень в скоуп багбаунти, либо признаёте, что ваше понимание коммерческой тайны и недопустимого события сильно расходится. Ни один пункт перечня не тянет на недопустимое событие, а кража денег со счетов — тянет? PT сама назвала кражу конфиденциальной информации одним из трёх недопустимых для своего бизнеса событий ещё в 2022 году, но в багбаунти её так и не вынесла. Это подтверждение такой развилки на их собственном примере. @gostev_future