Siła współpracy: jak Axis podchodzi do cyberbezpieczeństwa

Wraz z rosnącym poziomem zaawansowania zagrożeń cybernetycznych rozwija się również nasze podejście do ich zwalczania. – Bezpieczeństwo jest integralną częścią wszystkiego, co robimy, od rozwoju technologii po nasze codzienne operacje - mówi Jonas Falk, dyrektor ds. cyberbezpieczeństwa w Axis. Na czele działań w zakresie cyberbezpieczeństwa stoi Axis Software Security Group (SSG), centralny zespół pięciu inżynierów ds. bezpieczeństwa pracujących w organizacji badawczo-rozwojowej. Opracowali oni model rozwoju zabezpieczeń Axis (ASDM), który definiuje proces i narzędzia używane do tworzenia oprogramowania z wbudowanym bezpieczeństwem w całym cyklu życia, od początku do końca eksploatacji.

Czy jednak pięć osób może samodzielnie odpowiadać za cyberbezpieczeństwo tak dużej organizacji jak Axis? Zdecydowanie nie – dlatego zespół wdrożył unikalną sieć „satelitów”, czyli około 75 osób, które działają jako „oczy i uszy” SSG w całej organizacji. Zamiast centralnie realizować zadania związane z bezpieczeństwem, zespół SSG trenuje i wspiera inżynierów oprogramowania będących „satelitami”, aby przejmowali odpowiedzialność, uczyli się wykonywać tę pracę samodzielnie, a następnie przekazywali wiedzę swoim zespołom. Zostając satelitą, nie tylko poszerzasz swoje umiejętności i wiedzę, ale także odgrywasz kluczową rolę w opracowywaniu innowacyjnych rozwiązań cyberbezpieczeństwa.

Aby lepiej zrozumieć ten model, porozmawialiśmy z trzema członkami zespołu SSG: Eva Haslum pracuje w Axis od 2012 roku, najpierw jako programista i satelita, a od 2023 roku jako inżynier ds. bezpieczeństwa oprogramowania w zespole SSG. Lisa Eneroth również pracowała jako programista i satelita przez trzy i pół roku, zanim dołączyła do zespołu SSG w 2022 roku. Tara Hassani, inżynier ds. bezpieczeństwa oprogramowania, dołączyła do Axis i SSG w 2022 roku – tuż po ukończeniu studiów magisterskich w dziedzinie informatyki.

Lisa wyjaśnia, jak można zostać satelitą: „Wszystko zaczyna się od zidentyfikowania potrzeby wyznaczenia satelity w dziale badań i rozwoju. Następnie kierownik działu badawczo-rozwojowego proponuje jednego z inżynierów oprogramowania, który według niego byłby odpowiedni na to stanowisko.” Eva dodaje: „Oczywiście, jeśli interesuje Cię bezpieczeństwo, możesz również sam się zgłosić. Nie musisz być ekspertem w dziedzinie bezpieczeństwa – będziemy Cię w tym szkolić i wspierać; wystarczy ciekawość, chęć współpracy i dzielenia się wiedzą z innymi”. Choć każdy inżynier oprogramowania może zostać satelitą, widać wyraźny i pozytywny wzrost liczby kobiet dołączających do tej sieci. Eva spekuluje: „W SSG są niemal same kobiety, co być może zachęca inne kobiety do dołączenia.”

W roli satelity zwykle dzielisz swój czas, poświęcając około 80% na zwykłe zadania i 20% na obowiązki związane z cyberbezpieczeństwem. SSG prowadzi wstępne warsztaty i sesje coachingowe z satelitą i jego zespołem. W miarę jak rosną ich kompetencje, zespół SSG stopniowo się wycofuje, umożliwiając satelicie przejęcie prowadzenia prac, przy dalszym wsparciu. Sieć satelitów pełni rolę systemu wsparcia i ułatwia wymianę wiedzy oraz najlepsze praktyki. Choć satelici wspierają zwiększanie bezpieczeństwa naszych produktów, Lisa podkreśla istotną kwestię: „Satelici nie odpowiadają za bezpieczeństwo finalnych produktów – to kierownik linii w organizacji badawczo-rozwojowej zawsze ponosi ostateczną odpowiedzialność, jeśli coś się stanie”.

Eva opowiada nam, co podobało jej się w byciu satelitą i swojej obecnej roli: „To fantastyczny sposób na poznanie całej organizacji i współpracę z ludźmi z różnych działów i rynków. Następnie, jako część SSG, zyskujesz naprawdę dogłębne zrozumienie portfolio Axis – prawdopodobnie lepsze niż większość osób w organizacji.” Lisa wyjaśnia, że kiedy była satelitą, zawsze cieszyła się na zadania związane z bezpieczeństwem, tak bardzo, że ostatecznie zdecydowała się przejść na pełnoetatową pracę w tym zakresie: „To bardzo satysfakcjonująca praca. Możesz przejść od bycia nauczycielem w jednej chwili do rozwiązywania problemów w następnej i obserwować, jak produkty się rozwijają.”

Zdecentralizowane, oparte na współpracy podejście do cyberbezpieczeństwa przynosi liczne korzyści. „Wynika z tego znacznie wyższa jakość pracy związanej z bezpieczeństwem, ponieważ jest ono opracowywane i wdrażane przez ludzi, którzy naprawdę znają produkty i związane z nimi zagrożenia” - mówi Lisa. Lisa, Tara i Eva zgadzają się również, że ten sposób pracy pasuje do kultury firmy Axis, w której jesteśmy zaangażowani we wspólne rozwiązywanie problemów i wzajemne wspieranie się.