Что должен продакт знать про ИБ? И должен ли?

В идеальном мире у всех, конечно же, есть свой ИБ штат на каждый продукт, который следит, чтобы все было хорошо. Appsec процессы, сторонние аудиторы, может дашбордики красивые. Но это все жутко оторвано от реальности. Как и практики, что ИБ должно быть заложено в архитектуру продукта изначально. Ну да, постараемся всунуть это в экономику стартапа или сжатые по всем ресурсам MVP

Я не ожидаю, и не верю, что продакты со старта могут сильно погружаться в вопросы ИБ. С другой стороны у нас есть ИБ штат, который по идее и должен погружаться в безопасность продукта. НО: регуляторка, штрафы, импортозамещение, обслуживание инфры, терки с ИТ. И вообще хорошо, если ИБ выделены в отдельную функцию. Чья же зона, что же делать?

У меня нет простого ответа на этот вопрос. Здорово, когда специалисты проактивные и могут выходить немного за зону своей стандартной ответственности. Например, продакту было бы круто разбираться в рисках ИБ. И понимать, что случиться с данными продукта, по-простому, могут всего три вещи

😒 хакеры украдут данные клиентов (нарушат конфиденциальность данных) - минус деньги из-за штрафов и траты на демедж контроль
😒 хакеры зашифруют данные клиентов (нарушат целостность данных) - минус деньги, потому что систему придется потом восстанавливать + отток клиентов
😒 хакеры положат важный сервис/сайт/пр (нарушат доступность данных) - минус деньги из-за бизнес простоя

Можно проанализировать, как "хакеры" повлияют на ваши денежки. Какие риски страшнее, а какие можно принять. Например в on-prem, управление доступностью почти полностью на стороне клиента. Но вы можете подумать о безопасности данных на случай, если к клиенту придет шифровальщик

Со стороны специалистов по ИБ круто было бы узнавать о продуктах побольше и спрашивать, какие кнопочки и сервисы самые критичные, кто их обслуживает и так далее. Но пост не для них 💻

Расскажите, как у вас построены процессы коммуникации с ИБ. Если интересно, напишу еще пару постов о том, на что можно обратить внимание в вопросах ИБ

#иб

Про вебинар по Sales Kit-ам и всем последующим вебинарам

〰️Вебинар по Sales Kit-ам будет 31-го июля, в 19.00 по МСК 〰️
Записаться, чтобы не пропустить @es_ca_b2b_chill_bot

По поводу этого бота:
‼️ Все материалы, по всем вебинарам планирую добавлять в бота по категориям. Например отдельно перезапишу вебинар по Service Blue Print и добавлю ссылку на запись в первых числах августа
‼️ Все последующие мероприятия буду анонсировать в боте. В том числе оффлайн встречи, кейс-клубы и кое-что еще
🔥Если у вас есть свой вебинар или воркшоп, то вы можете написать мне @es_ca. Все обсудим, сделаем анонс через бота, помогу с комнатой.
🌷 В бота планирую добавлять анонсы других b2b мероприятий, которые буду находить

В продолжение про ИБ и продактов

Еще раз отмечу, что есть компании, где все работает прям как по методичке. И есть ситуации, когда у продакта это мини-CEO, а ИБ функция в компании еле-еле тянет базовые задачи. Начну посты с базового минимума. Когда по ИБ вообще голяк, и термиин "инфобез" звучал 0 раз 😐

Полезные упражнения, которые может поделать продуктовая команда

☺️ Нафантазировать события, которые похоронят продукт. Только нам нужны не все подряд события, а ИТ-шные и которые касаются продукта. Взлом ноута сейла или PR скандал сюда не входят. Например, если хакеры украдут полностью код, всю логику, все доки по продукту - это убьет продукт? Может недельный простой это крест на будущем? Есть ли события, после которых не получится восстановиться? Это ваш супер критичный список "что может пойти не так"

☺️ Подумать какие системы, функции, шаги являются ключевыми в росте и удержании метрик. Может быть за месяц до окончания действия лицензии вы делаете рассылку для клиента с красивой инфографикой. И за счет этой рассылки клиенты вовремя продляют свою подписку. Соответственно, если клиент не получит инфографику, то у вас не будет продлений. Здесь у вас получится просто критичный список "что может пойти не так".

🔜 Что делать с этим дальше? Я тут написала список из нескольких пунктов. Получилось душно и я как будто всю ответственность на продакта положила. Это не ок, поэтому просто: принесите список C-level-у своему. Скажите: "команда, если будет А, Б, В, то это гг вп. Надо что-то сделать, пожалуйста. А то там всяких пацанов на рынке ломают". C-level может поступить как ему угодно: принять риски, вложиться в защиту, консультантов позвать или проигнорировать все вами сказанное.

Заниматься вопросами ИБ не задача продакта. Это отдельная функция. Но если ИБ вообще никто не занимается, то будет здорово проявить немного проактивности в этом вопросе. Подсветить проблемы коллегам

Вебинар

В блоге много постов про разные driven-ы. Вопрос - чтобы что? Чтобы что знать, какой подход актуален для продукта, если и так на месте все понятно 😑

Driven - точка опоры. Через какую призму продуктовая команда смотрит на развитие продукта. Это можно понимать интуитивно. А можно очень заблуждаться в своем видении ключевого подхода

Примеры:
🌸 в product driven ждать, что любую сделку затащит сейл.
🌸в sales driven сливать бюджеты маркетинга на таргет
🌸в marketing driven реагировать на запросы от каждого клиента

Не вы выбираете подход. Исходя из процессов вашей компании и контекста продукта: его ЦА, цикла сделки, конкурентов и тд - вы можете понять, какой подход ведущий и сфокусироваться на нем. Ведущем = не единственном подходе.

Мне понимание разных подходов помогло при переключении между компаниями. До Контура я работала в среде чисто сейловой. В Контуре многие инструменты и процессы, которым я пользовалась раньше, сработали бы хуже, чем я привыкла. Знание, что помимо "сейлового подхода" есть и другие, помогло мне быстрее вникнуть в контекст и выбрать подходящие инструменты

Чтобы было проще сориентироваться и посмотреть, какой подход к какому контексту ближе, подготовила бинго тест

На доске фреймов много, надеюсь, что всем хватит

B2B Вебинар-ы | Моя Доска

Три класса эскалации от клиента

Эскалация это нервно, геморно и с холодком по спине. До суда довести клиента достаточно сложно. Но ходить на ковер внутри компании тоже не приятно. За свой опыт могу выделить три класса эскалации: посторонний, невнимательный и капец косяк

1️⃣ Вы посторонний. Ждали не вас. Бюджеты выбивали не под вас. Планы строили не с вами. Вы можете все сделать замечательно, но это не нужно клиенту. У клиента были договоренности совсем с другим исполнителем.

🔷 Когда может встретиться: конкурсы и тендеры. Клиенты хоть и стараются написать ограничения под своего подрядчика, все предусмотреть могут не всегда. Нет, нет, да и проскочет "не тот" исполнитель. И этим "не тем" можете оказаться вы

🔷 Как понять: проблемы возникают сразу. Со своей стороны клиент может долго согласовывать время встречи, не отвечать на письма. Но стоит вам хоть где промахнуться - пожар. Пик пожара в начале, потом станет получше

🔷Что делать: объяснить ситуацию команде. Все коммуникации и договоренности фиксировать с клиентом в обязательном порядке. Даже если мышь звонит по телефону и предлагает перенести встречу - все в письма. В остальном это не самый проблемный клиент. Он пришел к вам заряженный злобой и разочарованием. Но по мере нормального-хорошего ведения проекта (внедрения продукта) он оттает

2️⃣ Вы невнимательный. Клиент слышит "спасибо, мы вам перезвоним" и уже устал от этого.

🔷 Когда может встретиться: у вас есть клиент, который вкладывает много ресурсов в развитие вашего продукта (постоянно делится ОС, выделяет ресурсы на тесты и интервью, предлагает фичи), но не получает внимания взамен

🔷 Как понять: такой клиент сначала придет в поддержку. Потом даст негативную ОС выше, например внедренцу или другому знакомому. Потом дойдет до открытого письма на всю группу. У клиента будет грусть, потому что "он писал, а его динамили" Это будет постепенное нагорание

🔷 Что делать: всех клиентов регулярно нужно чесать за ушком. Выделять им время на конфах. Вникать в проблемы. На ивенты звать. Посматривайте за своими тихонями и их редкими обращениями

3️⃣ Капец косяк - критичная "работа" вашего продукта подвела клиента. И случилось очень дорогой промах. Клиент получит штраф, простой или гипер нагоняй от руководства

🔷 Когда может встретиться: когда угодно

🔷 Как понять: вас выдернут из ретрита с какао, из вечернего зажора, из жима по 100. Это будет взрыв, сразу все узнают, что что-то пошло не так

🔷 Что делать: помочь клиенту. Клиенту сейчас о-о-очень плохо. Можно прибегать к формальностям, объяснять, что вы не причем, что эксплуатация была не верная. Можно показать себя как надежного партнера. Кто виноват разберете потом. В моменте нужно решать, что делать

У меня есть несколько историй про эскалации. Про что рассказать сначала: невнимательность 👀 или про посторонних 🗿?

B2B Вебинар-ы | Моя Доска

#эскалация #опыт

Команда, привет!

У меня тут визуал B2B-B2C продукта из ИБ. Это проект под засекреченным названием CYBERLIST, над которым работали ребята из студии продуктового дизайна Crauch.

CYBERLIST — багбаунти платформа с упором на геймификацию. Внутри спецы проявляют свои хакерские навыки на реальных задачах и соревнуются за первое место в рейтинге. Они ломают компании на законных основаниях и сдают отчёты. Компании их смотрят и платят деньги — все в плюсе.

Этот продукт отличается от конкурентов сильным HR уклоном. Я без проблем могу представить кейс поиска пентестеров через платформу. Тут дизайнеры постарались — добавили красивые графики и диаграммы, чтобы участникам платформы было проще следить за результатами. А еще фильтры, сравнение и выгрузку отчётов для быстрого поиска специалистов.

Вот, что Crauch пишут про кейс:

Клиент решил освежить платформу — добавить больше геймификации и сочных визуальных эффектов. Мы сразу поймали синергию и даже провели секретную встречу на которой пожали руки. Самый кайф, когда услышали от клиента: «Ребята, делайте то, что умеете. Вы крутые». Тут и понеслось

За 6 месяцев вместе с братишками из SNP сделали математическую модель работы рейтинга, провели дискавери, спроектировали, задизайнили и протестировали. MVP успешно себя показал — готовимся к дальнейшему развитию платформы

Жаль, что клиент под NDA. Но догадки кто это у меня есть 🐥

🖼 Заценить кейс на Behance
🤣 Телеграм канал Crauch

🔶 Пост-напоминание, завтра в 19.00 по МСК буду рассказывать про сейсл киты 🔶
Приходите, если еще ничего не запланировали. А даже если запланировали, то все равно тыкайте в бота. Потом всем придут материалы после встречи ⤵️

@es_ca_b2b_chill_bot

Факап история про эскалацию из-за невнимательности к клиенту. В истории есть специфика, некоторые термины и процессы упрощены.

Контекст: Клиент купил продукт, пользовался пару лет. Внедрение прошло спокойно. Без проблем делился ОС. Иногда приходил с доработками, но не критичными. Мы клали их в беклог. Клиент не первого эшелона, с лояльностью к компании.

Как-то вместо стандартного запроса на фичу клиент встретился с сейлом. Первый звоночек. Говорит, что ему для использования продукта в определенном внутреннем контуре нужно на руках иметь подтверждение, что решение достаточно безопасное. Такое подтверждение нужно через год. Способов решить задачу несколько, но сейл решил продать услугу по анализу продукта. Как раз на «проснуться, улыбнуться, анализ + отчет (=подтверждение)» времени хватает. Но работы будут делать эксперты из другого штата.

Один раз встретились с экспертами, обрисовали задачу, руки пожали.

И у нас раз в месяц с коллегами происходил диалог:
Наш вопрос: «Ну что, к задаче приступили?»
Варианты ответов:

➖«Да, там Дима из отпуска вышел, запросил доступ»
➖«Ага, вот Васю выделили, запросил доступ»
➖«У нас стажер вышел, дайте ему доступ»
➖«Поняли, что Гришу подключим, дайте доступ»
➖«Ой, дайте уже просто доступ на всех»
➖«А вот Гришка-то кстати уволился, теперь Толя»

Спустя 9 месяцев на горизонте маячит срок по задаче. Клиент возвращается с вопросом «Как дела?», вновь через сейла. Мы быстро встречаемся с коллегами и спрашиваем: «Ну что, КАК ДЕЛИШКИ?» На что получаем приятный ответ, что Толя приступил к анализу и движется. Просим Толю все находки отдавать нам. Возможно, там есть что-то ценное, что можно взять в работу. Но Толя пропал.

Где-то через месяц Толя выдает отчет. Проблемы там есть, но не критические. Смотрим вполглаза и отдаем клиенту. Система скорее безопасная, чем нет.

Клиент читает отчет и раз в неделю спрашивает:

📌«А где анализ по вот этому блоку?»
Толя говорит, что действительно не дописал и исправит.

📌«Обсуждали анализ работы в разных средах. А тут только одна».
Толя говорит, что нигде не было про разные среды. Показываем ему ТЗ. Точно, было. Он исправит.

📌«Где?»
Это просто странный докоп клиента, Толя не будет переделывать.

📌«Почему?»
Потому... А, точно, снова не посмотрели ТЗ полностью.

📌«Не хватает».
Штош, действительно не хватает.

Все обновления отчета нам стоило внимательно читать. Но мы читали невнимательно. С каждой итерацией количество деталей аудита становится все больше, и отчет превращался в гайд «Как проанализировать продукт». Где-то на 3-й итерации подключается тимлид Толи. И качественно ничего не меняется. После 5-й итерации клиент эскалирует на команду экспертов. Они активизируется и находит столько проблем, что их править еще десять лет вперед. Из них две проблемы были критичные.

Тут клиент просит и нас с проблемами разобраться. И мы разбираемся доступными ресурсами. А именно - прикрываем проблемы. Толя недостатков не находит. Пишет обновленный отчет, по которому у нас все хорошо. Но к этому времени клиент и сам может провести весь анализ. Чем он и занимается - и находит «прикрытые» проблемы.

На этом этапе мы попадаем в круг:

«Да, проблема исправлена» - говорим мы (имеем в виду: «Давайте сворачиваться, плиз»).
«Нет, вы все врете» говорит клиент (имеет в виду: «Никуда вы не уйдете так просто»).

Приходим к этапу «горят сроки». Эскалация на продуктовую группу. Теперь мы отдаем все силы на исправление недостатков. И справляемся с поставленной задачей за смешные 1,5 месяца. Пожара в конце не будет - мы разошлись мирно, но с осадочком. Получили клиента, который всегда ходит через сейла, с околонулевым доверием.

P.S. История - фантазия ИИ, совпадения случайны, я не участвовала, только рядом стояла.

B2B Вебинар-ы | Моя Доска

#факап

Что по выводам, которые я для себя сделала после вчерашней истории:

💫 Мы не остановили сейла на моменте "дайка я продам услугу". Это стоило проговорить внутри, а не отпускать на самотек

💫 И в целом не обратили внимание, что клиент пришел через сейла, а не к нам, как было раньше

💫 Особенно проявить внимательность стоило на моменте эскалации на штатных экспертов. В моменте, была уверенность, что проблема вообще не на нашей стороне

💫 Клиент может эскалировать не из-за бизнесовых проблем. Задача звучала так: «нужна бумажка, что наш продукт ок», чтобы коллеги могли без проблем решение использовать. Мы со своей стороны несколько раз прислали какое-то фуфло. Для клиента в итоге важнее было не получить бумажку, а обратить на себя внимание. Наше опоздание на 1,5 месяца по факту никак не сказалось на задаче клиента

💫 Каждая новая итерация вытягивает силы и заболачивает проект. Каждая новая итерация повышает вероятность следующей итерации. И дает бонус к вероятности получения эскалации

💫 Штатные эксперты - все равно подрядчик. Еще на второй смене исполнителя, стоило встать над душой и ждать четкого плана по работам

💫 Ждем историю про факап, потому что "посторонний"?

B2B Вебинар-ы | Моя Доска

#факап #история #выводы