Pavel Krátký (Safetica): Vývojáři z VUT v Brně jsou jedni z nejlepších na světě

Za vývoj a za technologii Safeticy, softwaru především na předcházení únikům dat (DLP), vyvíjeného brněnskou společností Safetica Technologies, je zodpovědný Pavel Krátký. Zakladatel firmy Jakub Mahdal říká, že nebýt Pavla, nebylo by Safeticy, a Pavel říká, že nebýt Jakuba, pracoval by dnes v Symantecu…

V čem je podle vás Safetica 5 přelomová?

V tom, jak přistupuje k celkovému zabezpečení dat. Neřeší bezpečnost podle toho, na jaký typ zařízení chcete zastavit únik dat, nebo na kterou cloudovou službu, nebo ve které aplikaci. Zaměřuje se na data sama — ta chrání, aby neunikla z toho místa, kde mají zůstat. Je to něco jako „sandbox“. „Obalíme“ přímo ta data — a kterýkoli proces, který s nimi pracuje — a hlídáme všechny vstupy a výstupy: na disk, na síť, do schránky, ale i na obrazovku (aby nešel pořídit snímek obrazovky).

Pavel Krátký představuje Safeticu 5

Nemusíte tedy nastavovat nějaké protokoly a služby. Namísto toho určíte, že ta a ta data mají zůstat třeba v kanceláři 404 anebo na tom a tom serveru.

Konkurenční DLP mají většinou naprogramovánu podporu pro Outlook, pro Microsoft Office, dokážou rozpoznat přístup třeba na Dropbox, ale před únikem skrze „80 %“ dalších aplikací a webových služeb a různých zařízení už neochrání.

Zejména v českých firmách má přitom spousta lidí plný, správcovský přístup k počítači. (To na Západě anebo ve větších, zejména mezinárodních společnostech běžné není.) Ti lidé jsou pak zvyklí, že počítač je jakoby jejich, že si na něm mohou dělat, co chtějí. Pak je těžké zavést systém, který na to není připraven.

Technologická jedinečnost Safeticy spočívá právě v tom, že zachytí v podstatě jakýkoli proces. Když jsme si zkoušeli konkurenční produkty od známých jmen, jako jsou McAfee nebo Symantec, zjistili jsme, že stačí použít jinou aplikaci, než kterou podporují, a lze je snadno obejít.

Jaká byla předchozí verze Safeticy oproti pětce?

Safetica Endpoint Security 4 uměla vlastně totéž, ale potřebovali jsme ten systém více zefektivnit. Konkurence podporuje jen některé aplikace i proto, že univerzální ochrana spotřebovává spoustu výkonu počítače. V systému běží třeba čtyřicet procesů a musíte je hlídat všechny.

Safeticu 5 jsme oproti čtyřce odlehčili, aby běžela lépe. I ty DLP systémy, které podporují jen několik aplikací, systém zatěžují. Naši konkurenti museli v České republice několikrát odejít ze zakázky jen proto, že jejich ochrana koncových stanic ty počítače neúměrně zatěžovala. A to přitom ani neumí to, co Safetica.

Safetica 5 je oproti čtyřce druhou generací naší technologie sandboxu: vzali jsme to „inovativní děťátko“ a odladili je na „dospělý produkt“.

Máte změřeno, nakolik zatěžuje počítače Safetica 5?

DLP systémy si obecně berou od nějakých 15 %, jsou‑li jen síťové, až po 50 % u systémů pro koncové stanice. Safetica 5 si vezme kolem 20 % systémových prostředků — na běžném kancelářském PC — a to pokud máte aktivovány všechny funkce, jako monitorování souborů a ochranu ve všech aplikacích.

Je z hlediska bezpečnosti lepší, když uživatelům řeknete, že je sledujete, anebo když jim to neřeknete?

Už jen když nasadíte DLP, vždy to lidé zjistí, protože jim tam někdy něco vyskočí, že to a to nemohou. A najde se určité procento těch šikovných, kteří začnou zkoušet, co to pustí nebo nepustí. Zjistí, že systém něco hlídá, tak to zkusí v jiné aplikaci. Zkoušejí to přes schránku, nebo soubor do něčeho zabalit, zašifrovat ho…

Že to vůbec zkoušejí, když vědí, že jsou sledovaní?

Máme zkušenost, že když se software nasadí, tak i když o něm lidé vědí, zaznamenáváme, že „tu novou věc“ zkoušejí obejít. Často možná nerozumějí tomu, že se to jejich nadřízený dozví. Někdy si možná myslí, že to, že jen něco někam nakopírují, přece nemůže nikdo vidět. Nebo když zkusí schránku, nebo zabalení do zipu, nebo soubor přejmenovat… Někdy ani jejich ajťáci nevědí, že tohle vše dokáže DLP sledovat.

Náš systém však není jen nějaká náplast, kterou lze snadno strhnout. Možná nám proto vývoj trval déle než konkurenci, ale my jsme Safeticu udělali tak, že technologicky a z pohledu bezpečnosti je opravdu na vysoké úrovni — jak co se týče cest, které dokáže ochránit před únikem dat, tak toho, jak chrání sama sebe proti těm, kdo se ji budou snažit vypnout, smazat, odinstalovat nebo obcházet jakýmkoli způsobem.

Kam chcete Safeticu vyvíjet dále?

Pavel Krátký na představení Safeticy 5

Největším současným bezpečnostním problémem je outsourcing IT, a nevěřím, že jej naši konkurenti budou umět v nejbližších letech vyřešit.

Jakmile máte data na nějaké cloudové službě, přístupná z telefonu, z tabletu a ze všeho možného, tak DLP systém není schopen je nějak rozumně chránit. Dnes jsou dostupná nanejvýš taková řešení, že pro tablet nebo telefon dostanete zvláštní aplikaci a jen v ní můžete s daty pracovat. Jenže to pak toho tabletu nebo smartphonu moc nevyužijete.

Mezi dostupností IT a bezpečností IT je dlouhodobý rozpor — dnes můžete mít buďto dostupnější IT, nebo bezpečnější. Cloud, tablety a telefony bezpečné nejsou — jen poskytují dostupnost.

V mobilních systémech přitom nemůžete udělat něco podobného jako na koncové stanici s Windows nebo s Linuxem — nejde na ně nainstalovat aplikaci, která bude řídit, co se může nebo nemůže, protože už samy instalované aplikace běží na těchto systémech v sandboxu.

A data jsou někde na cloudovém serveru, kam nemůžeme nainstalovat software, který by k nim řídil přístup, a cloudové služby dnes neumějí nastavit, že ten a ten uživatel si nebude moci ta a ta data na koncovém zařízení stáhnout, uložit stránku nebo si udělat snímek obrazovky.

Tušíte, jak to řešit?

Pokud nejsme schopni vytvořit software pro mobilní koncová zařízení, chceme vytvořit cloudovou službu, která bude podporovat cloudové poskytovatele.

Nějakých 80 až 90 procent všech dnešních cloudových služeb běží na některé ze čtyř velkých platforem: buď na Amazonu, nebo na Google Cloudu, na Salesforce, anebo na Windows Azure.

Uděláme jakousi mezivrstvu, aby cloudové služby mohly jít skrze náš cloud, který bude schopen díky znalosti toho, jak fungují, řídit práci s daty. To vidíme jako jediný schůdný směr. Technologicky je to však řešení dlouhodobě dost náročné.

Jak dlouho jste v Safetice?

Pavel Krátký

Od roku 2008. Ne od úplných začátků. Když jsem přišel, měl Jakub se dvěma dalšími kluky už šifrovací software, jenže to tou dobou řešila už spousta firem.

Kluci sice chtěli udělat šifrování více uživatelsky přívětivě, přiblížit ho i „masám“, jenže jste‑li startup, pak není jednoduché začít prodávat něco, co už všichni mají, jen s tím, že to uděláte lépe. Je mnohem zajímavější přijít s něčím úplně novým, co nikdo jiný moc neumí. Nějaké moje nápady a návrhy do budoucna se Jakubovi líbily a dávalo mu to smysl, a tak začala vznikat dnešní Safetica. Její vývoj jsem od šifrování odvedl k obecnému zabezpečení dat.

Měl jste před Safeticou jinou pracovní zkušenost?

Studoval jsem IT a mířil k tomu, že budu programátorem. Začaly mě zajímat projekty a programoval jsem HR systémy v ABB, a tam jsem poznal, jak to chodí v IT velkých firem — že kdybych si chtěl cokoli vzít a odnést, prostě mohu. Jako vývojář jsem tam měl přístup takřka ke všemu.

Ale svou budoucnost jsem si nepředstavoval tak, že někde budu sedět a kódovat od šesti do tří. Hrozně mě zajímaly a fascinovaly příběhy lidí, jako byl Steve Jobs, anebo založení Googlu. Na nich se mi líbí, že ti lidé se vykašlali na to, co jim říkali všichni ostatní.

Z velkých poradenských společností nám dnes říkají, že jejich představa o DLP je jiná, než jak to řešíme my — důkladně a poctivě. Ale my si to děláme, jak chceme, a já chci ve svém životě dělat to, co chci, a nenechat se ovlivňovat názory jiných; samozřejmě jim naslouchám, ale děláte‑li něco opravdu tak, jak chcete, a máte možnost to uskutečnit, může z toho vzejít jedině něco pozitivního. A díky tomu, že jsem v Safetice začínal jako v malém startupu, mohl jsem to někam směrovat.

Kdežto kdybych byl dodnes programátorem SAP HR, budu čekat na povýšení ještě další tři roky, a ta práce by mě vůbec nebavila.

Vést vývoj mě baví, ale dnes se už ani necítím úplně jako ajťák. Díky tomu, že jsme se tenkrát snažili prodat firmám to šifrování a já při tom hrál i roli obchodníka, pochopil jsem, jak to opravdu chodí, na čem zákazníkům záleží — ani ne tak na tom, jak je produkt úžasný, ale že vyřeší jejich problém.

Velké firmy reagují většinou se zpožděním tak dva roky na to, co chtějí zákazníci, zato já měl možnost vytvářet něco, co jim opravdu vyhoví — jelikož jsem řídil vývoj, a zároveň se s nimi bavil.

Nemůže se takový přístup z firmy vytratit při jejím růstu?

Může. Proto je důležité už v začátcích nastavit firemní kulturu tak, aby se neztratil. Inspirovali jsme se právě firmami, jako je Apple nebo Google, nebo Zappos. Tony Hsieh, CEO Zappos, napsal úžasnou knížku „Štěstí doručeno“. Popisuje v ní, jak začínali, jak to v té firmě chodilo.

Když nás v Safetice bylo z pěti lidí už padesát, prošli jsme si údobím, kdy jsme začali bobtnat a korporátnět — mysleli jsme si, že čím víc procesů a nařízení, tím bude vše víc pod kontrolou. Ale zhruba před půlrokem jsme se vrátili k tomu, jak jsme to dělali v začátcích. A ta zkušenost nás nakopla uvědomit si, že ducha startupu si musíme udržet, ať už budeme velcí jakkoli.

Teď ve firmě děláme všechno tak, abychom si ho uchovali. Já jsem přenechal docela velkou důvěru celému vývojovému týmu proto, abych se právě mohl věnovat zákazníkům. Jako technologický ředitel se věnuju většinu času hlavně obchodu. Ale jedině tak se dá udělat produkt, který bude opravdu odpovídat potřebám lidí. Když si jako člověk, který produkt tvoří, můžu promluvit s lidmi, kteří ho používají. Vidět, jak to u nich chodí, možná ještě předtím, než produkt koupí; slyšet, proč jej chtějí pořídit, co je trápí. To se ve větších firmách už takhle většinou nedělá, ale my si to chceme udržet.

Jsou čeští vývojáři něčím zvláštní?

Řekl bych, že čeští vývojáři jsou jedni z nejlepších vůbec na světě, a že v Brně je na VUT fakulta informačních technologií, která produkuje nejlepší vývojáře v celé České republice.

Říkám to ne proto, že jsem tam sám studoval. Do Safeticy jsme nabírali desítky vývojářů, a to ze všech různých míst České republiky, většinou lidi čerstvě z fakult, protože jsme startup, ale nakonec nám zůstali jen ti z Brna. Na FIT v Brně lidé od prvního až do posledního roku kódují, kódují a kódují — ve všech možných jazycích, na všech možných projektech.

Dnes u nás dělají i lidé, kteří k nám přešli ze Zoneru, z Red Hatu, dělají u nás hackeři, kteří dřív pracovali pro antivirové společnosti jako AVG.

V Brně neoficiálně pořádáme „Security Session“ — měli jsme ji zrovna před několika týdny — a na ní se scházejí ti opravdu nejlepší inženýři‑vývojáři, a většina z nich je z FIT v Brně. Díky tomu, že v Safetice převažují absolventi této školy, ani se nemusíme moc snažit přetahovat do firmy takové lidi, protože se u nás cítí dobře — už tu pracují jejich kamarádi ze školy.