ИТ проектите в България: По какви проекти работи Paysafe?

Сашко Лазов - Head of Cyber Security Engineering екипа на Paysafe (вляво), и Любомир Георгиев – Head of Identity and Access Management екипа

ИТ секторът в България продължава да се развива динамично и да предлага все повече и все по-интересни възможности за професионална реализация. Технологичните екипи в България работят по проекти на компании и организации от цял свят, разработват собствени софтуерни продукти, които намират приложение в разнообразни области от живота.  

По какви проекти работи Paysafe в България, пред Economy.bg разказват Любомир Георгиев – Head of Identity and Access Management екипа на компанията, и Сашко Лазов, който оглавява Cyber Security Engineering екипа в Paysafe.

Мащабът и сложността на работата, които се извършват от Information Security екипа на Paysafe в София, са нещо, което е на световно ниво в областта на Identity and Access Management. Стратегията на компанията и на отдела по киберсигурност в Paysafe е да използва технологии от бъдещето и облачни технологии. В комбинация  те се превръщат в иновативно решение, което доказва на практика своя успех.

Любомир Георгиев е професионалист с над 10 години опит в сферата на информационната сигурност и по-конкретно Identity and Access Management (IAM) домейна. През годините е бил част от водещи компании като PwC, HP и Европейската централна банка. От над 4 години е в Paysafe и в момента оглавява глобалния Identity and Access Management екип на компанията, който е базиран в София  

Кои са ключовите проекти, по които работи екипите на Paysafe в България?
Любомир: Identity and Access Management (IAM) екипът е част от глобалния Information Security (InfoSec) екип на Paysafe. Фокусиран е върху внедряването на технологични решения и процеси за контрол на вътрешния достъп до корпоративните системи на компанията.  За разлика от много екипи в Paysafe, които са насочени към разработката на продукти за крайни клиенти и партньори, нашият екип е отговорен за подсигуряването на сигурността на вътрешните системи и данни на самата компания.

Два от основните проекта, заложени в глобалната ни IAM програма, са предимно за вътрешно ползване. Свързани са с внедряването на ключови технологии – система за контрол на привилегирования достъп, както и система за управление на дигиталната идентичност и права на достъп на всеки служител на Paysafe. Мащабът и сложността на работата, които се извършват от екипа в София, са на световно ниво в областта на Identity and Access Management.

Сашко: Cyber Security Engineering екипът работи по два основни проекта в България – Управление на достъпа до ресурси на компанията по най-ефективен начин (frictionless access) и One-Touch система за управление на уязвимостите, базирана на моделите за заплаха (threat models).

Сашко Лазов има над десет години опит в сферата на киберсигурността. Той е работил за компании като Adecco, Hewlett-Packard, PPD, ActivTrades и други. Сашко оглавява Cyber Security Engineering екипа в Paysafe от почти две години

Бихте ли разказали малко повече за проектите?
Любомир: Проектът, свързан със системата за контрол на привилегирования достъп, цели да предостави решение за управление на най-рисковите и таргетирани акаунти. Нивото на тяхната сигурност се повишава чрез няколко основни функционалности, като автоматична смяна на паролите след всяко тяхно ползване от страна на потребителя; пълен запис на действията, извършени по време на привилегированата сесия и др.

Другият ни основен проект е отговорен за множество процеси и контроли, свързани с дигиталната идентичност на служителите ни, чийто цялостен цикъл целим да автоматизираме – от постъпването на работа, когато служителят трябва да придобие основни стандартни права; през евентуални промени в ролята на служителя, когато неговият достъп трябва да претърпи промени; до напускането му, когато всички негови достъпи трябва да бъдат прекратени незабавно. Системата представлява интегрирано решение, което позволява на потребителите да управляват своите права на достъп или тези на служителите си в единен портал. В момента сме в процес на внедряването му. 

Допълнителна ефективност се постига чрез  премахването на нуждата от човешка намеса при създаването на акаунт и предоставянето на самите права на достъп до желаните ресурси, автоматизирайки и тази стъпка. Концентрацията на цялата информация относно достъпа на всички служители в една база данни позволява на екипа ни да следи за наличието на неподходящ достъп.

Сашко: Frictionless access проектът подобрява процеса, по който крайните потребители преминават, за да достъпят ресурсите на компанията по най-сигурен начин, като се взема в предвид zero trust (нулево доверие) моделът.

Проектът за One-Touch системата е цялостно и автоматизирано решение за управление на уязвимостите в инфраструктурата и уеб приложенията. Той е базиран на моделите за заплаха. Идентифицира уязвимостите, прави сортиране в зависимост от критичността към ресурсите на компанията, извършва оценка на заплахата, както и работи по тяхното финално отстраняване.

Сашко: Предвид сложността и мащаба на двата проекта  по тях работят 13  киберспециалисти в екипа в България. Те са с различни профили  в зависимост от проекта и нуждите му. Имаме колеги с инженерна насоченост, такива с фокус в моделиране на заплахи, киберархитекти, оперативни аналисти от нашия киберцентър (SOC) и др.

Information Security екипът на Paysafe

Сашко: Стратегията на компанията и отдела по киберсигурност в Paysafe е да използва технологии от бъдещето и облачните технологии. В комбинация  те се превръщат в иновативно решение, което доказва своя успех. Такъв пример е zero trust моделът, който се изпълнява чрез Microsoft технологии, локални услуги в Azure и AWS (Амазон уеб услуги). Освен изброените добавяме и специални системи за автоматизация и уязвимости, които сами сме разработили, или са на наши партньори.

Как е организиран работният процес и каква е мениджмънт структурата при отделните проекти?
Любомир: Проектите се управляват съвместно от мениджъра на проекта и мениджърите на екипите, които го изпълняват. Следваме agile-waterfall хибриден подход и това ни позволява да бъдем максимално гъвкави в работния процес, но същевременно да не губим представа за крайната цел. За проследяване и организация на задачите се използват широкоразпространени решения като JIRA и Sharepoint.

Сашко: При всеки от проектите имаме проектен мениджър, който води самия проект, архитект, инженери и други членове на киберекипа. Една от задачите е да съблюдаваме развитието на всеки един проект, както и да елиминираме всякакви затруднения, които екипите могат да срещнат в процеса. Имаме регулярни срещи, на които се дискутират техническите нужди и се отчита напредъкът. Дискутираме необходимостта  от допълнителни ресурси, отстраняването на възможни препятствия, възможности за подобрения и други теми  в зависимост от етапа на проекта. 

Как се промениха проектите през годините?
Любомир: Проектите на IAM екипа са дългосрочни и промените по тях се случват на база приоритетите и развитието на компанията. Целта е да наложат ефективна контролна среда върху критичните ресурси на организацията на глобално ниво. Двата проекта, за които споменах, започнаха с фокус върху инфраструктурата и приложенията ни във физическите дата центрове, но с течение на времето фокусът се измести върху тези, които мигрираха към облачни услуги. Друга основна промяна беше свързана с изискванията за техния обхват – започнаха като проекти, продиктувани от нуждата за съответствие с конкретни стандарти за сигурност. В момента, в който доказаха добавената си стойност, те еволюираха в продукти, целящи покритието на всички бизнес звена в компанията.

Information Security екипът на Paysafe

Сашко: Най-осезаемата промяна, която наблюдаваме, е разрастването на екипа. Преди няколко години отделът по киберсигурност е бил доста малък и в сравнение с днес в глобален мащаб той наброява 116 души. Това се случи и заради развитието на самите проекти. Целите, които сме си поставили и за двата проекта, са изключително предизвикателни. Те са разделени в различни фази и с напредването им, в по-късните етапи, нараснаха и нуждите от допълнителни специалисти със специфични познания както в облачните технологии, така и в автоматизацията. 

Днес мога да кажа, че в моя и други киберотдели работят страхотни колеги – специалисти в най-различни сфери от киберсигурността. Един от стимулите за работа, които наблюдаваме при тях, е естеството на самата работа да бъде интересно, както и технологиите, с които се сблъскват в ежедневието.

Кои са най-големите предизвикателства при всеки от ключовите проекти, по които работите?
Любомир: Основните предизвикателства са свързани най-вече с мащабите и обхвата на проектите. Като се опитваме да предоставим консистентни IAM решения за всякакъв тип системи, доста често се сблъскваме с трудности при интеграциите с тях и/или изпълнението на всички потребителски изисквания. Това обаче е както предизвикателство, така и едно от нещата, които правят тези проекти безкрайно интересни и разнообразни. Работата никога не е скучна и с всеки изминал ден екипът научава нещо ново. Това неминуемо подпомага развитието ни като професионалисти в сферата. Удовлетворението от разрешаването на някой по-сложен казус напълно оправдава усилията ни.

Сашко: В голяма организация  като Paysafe едно от предизвикателствата е мащабът на самата компания, както и особеностите на най-различните звена в нея. В проектите трябва да се вземат предвид не само комплексната бизнес структура, но и отделите и техните системи, които са от съществено значение. Имаме набор от проекти, които се движат паралелно. При тях е важно да имаме синхрон между отделите, които работят съвместно и споделят необходимите ресурси.

Кои са най-големите постижения, които можете да отбележите за всеки от ключовите проекти, по които работите?
Любомир: В последните години успяхме да наложим революционни промени в начина, по който се извършват множество процеси, свързани с управлението на дигиталната идентичност и контрола на достъпа в Paysafe.  От близо 2 години успешно функционира напълно автоматизираната система за периодични прегледи на достъпа до ключови системи. Чрез тази автоматизация успяхме да сведем времето, прекарвано от служителите, които обработват резултатите от тези проверки, от дни до броени часове, дори минути, както и да предоставим на мениджърите в компанията лесен и удобен начин да се уверят, че техните екипи имат правилното ниво на достъп, нужно за изпълнение на задълженията им. Пълна трансформация претърпяха и процесите, свързани с управлението на жизнения цикъл на временни външни подизпълнители и консултанти, улеснявайки и унифицирайки начина, по който се дава и отнема техният стандартен достъп. Като друго отчетливо постижение мога да спомена и изцяло новата система за засичане на възможни пропуски в разделението на задълженията на служителите (Segregation of Duties) с оглед избягване на риск от конфликт на интереси и засилен риск мениджмънт, която помогна за тяхното намаляване с 85% в рамките на една година.

Сашко: Целта на нашия отдел и на повечето киберотдели в компанията, а особено с тези два проекта, е да поддържаме висок стандарт на киберсигурност. Стремим се крайните клиенти да не са натоварени с усложненията, които носят техническите контроли за сигурност, и винаги да правим оценка на киберзаплахите като неизменна част от ежедневието ни във всеки един аспект. Тези проекти допринасят и за професионалното развитие на специалистите в екипа, което е от голямо значение за нас

Какво предстои при отделните проекти?
Любомир: Проектите, за които разказах, поетапно прерастват в стандартна услуга. През 2022 г. очакваме завършване на последната фаза от имплементацията на основните функционалности, свързани със системата за управление на дигиталната идентичност и правата на достъп. От своя страна, системата за контрол на привилегирования достъп също търпи обновяване до най-новата си версия и миграция от физическия ни дата център към облачна среда.