Подход Flipster Exchange к безопасности: вопросы и ответы о сертификатах безопасности, программах вознаграждения за уязвимости и защите пользователей

На фоне волатильного и развивающегося крипто-рынка криптобирки сталкиваются с более серьезным противником, стремящимся скомпрометировать пользовательские данные и средства. На этой неделе мы побеседовали с главным офицером по информационной безопасности (CISO) Flipster, Джастином Хонгом, в эксклюзивном интервью. Хонг рассказал о том, как крипто-торговая платформа укрепляет себя с помощью сертификаций, инноваций в продуктах и реагирования на угрозы в реальном времени.

Согласно словам Хонга, Flipster выпустил более 15 обновлений безопасности на уровне продуктов только в этом году. Эти обновления, в сочетании с их сертификацией ISO/IEC 27001 и рейтингом «AA» от CER.live, гарантируют пользователям безопасную и защищенную торговую среду.

Работа в Flipster

В: Привет, Джастин, пожалуйста, начни рассказывать нам немного о себе, твоей роли главного офицера по информационной безопасности и почему это важно для компаний Web3. 

О: Я провел последние 16 лет в кибербезопасности, имея опыт работы в банковском секторе, финтехе и блокчейне. Каждое пространство приносит свои вызовы, и вместе они сформировали мой подход к безопасности, особенно в Web3, где ставки уникально высоки. Уровень воздействия здесь не имеет ничего общего с традиционными финансами. Здесь больше контроля пользователей, больше инноваций и, к сожалению, больше внимания со стороны злоумышленников.

В Flipster я руковожу глобальной функцией безопасности, которая охватывает все — от управления рисками и соответствия требованиям до реагирования на инциденты и внедрения международных рамок, таких как ISO/IEC 27001, в нашу деятельность. Крипто движется быстро, и угрозы эволюционируют так же быстро. Мы строим с учетом этого — всегда думая наперед, а не просто реагируя.

В: Каково это — работать в Flipster в быстро меняющемся, высоко рискованном мире платформ крипто-трейдинга?

О: На кону стоит много, что именно делает работу такой вознаграждающей. Безопасность в этом пространстве не пассивна. Вы сражаетесь с некоторыми из самых креативных и целеустремленных противников в технологиях. Это держит вас в тонусе и заставляет постоянно развиваться.

Что выделяется в Flipster, так это то, насколько все согласованы. Миссия ясна: мы здесь, чтобы создать безопасную, надежную торговую платформу, на которую люди могут положиться. Вы видите эту фокусировку в том, как мы работаем — тесное сотрудничество, быстрые циклы обратной связи и постоянное тестирование. 

В: Как вы определяете доверие в Flipster и как ваша команда работает над его созданием и поддержанием?

О: Доверие строится со временем через последовательность — быть прозрачным, ясным и подотчетным. Мы сообщаем о том, как мы управляем рисками, защищаем средства пользователей и реагируем на инциденты. Если что-то идет не так, пользователи заслуживают знать, что произошло и как это решается.

На бэкенде мы используем модель нулевого доверия. Каждая система и пользователь рассматриваются с тем же вниманием, внутренним или внешним. Этот подход помогает нам оставаться на шаг впереди фишинговых угроз и других внутренних рисков. Но безопасность не может достигаться за счет пользовательского опыта. Мы постоянно совершенствуем функции, чтобы сделать вещи более безопасными и более интуитивными. Когда эти две вещи работают в гармонии, пользователям не приходится выбирать между безопасностью и удобством.

Сертификация ISO/IEC 27001 и CER.live в Flipster

В: Крипто-платформы становятся «горячей точкой» инцидентов безопасности, которые в большинстве случаев приводят к потере значительных сумм денег. Работая в Flipster, сталкивались ли вы с такой попыткой и как вы справились с ее сдерживанием?

О: Мы видели свою долю инцидентов — DDoS-атаки, фишинговые кампании и попытки имперсонации, чтобы назвать лишь некоторые. Эти угрозы реальны и постоянны.

Возьмем, к примеру, DDoS. Атакующие пытались нарушить работу нашей платформы и даже пытались тактики вымогательства. Но у нас есть встроенные элементы обнаружения и смягчения на каждом уровне, и наши команды реагирования обучены действовать быстро. В сценариях фишинга злоумышленники выдавали себя за соискателей работы или партнеров, чтобы попытаться обмануть нашу команду и заставить открыть вредоносные файлы. Наши системы разработаны так, чтобы быстро обнаруживать эти угрозы, и мы проводим глубокий пост-инцидентный анализ, чтобы еще больше укрепить нашу защиту.

В: Flipster недавно получил сертификацию AA от CER.live. Что включает в себя эта сертификация и что она означает для пользователей?

О: С 2018 года, CER.live оценивает сотни бирж, используя строгую методологию, основанную на 18+ индикаторах безопасности. Это один из самых надежных независимых ориентиров в пространстве.

Для пользователей такая сертификация является четким сигналом. Она говорит вам, что третья сторона проверила нашу платформу и подтвердила качество нашей безопасности. В сочетании с нашей сертификацией ISO/IEC 27001 вы начинаете видеть картину компании, которая серьезно относится к доверию, не только в том, что мы говорим, но и в том, как мы работаем.

В: Помимо сертификации CER.live, какие ключевые практики или протоколы безопасности недавно внедрил Flipster, о которых должны знать пользователи?

О: Мы выпустили более 15 функций безопасности на уровне продуктов в этом году. Некоторые ключевые обновления включают поддержку ключей доступа (passkeys), блокировки вывода и белые списки адресов. Каждая из них дает пользователям больше контроля и добавляет еще один уровень защиты.

Я всегда рекомендую включать как ключи доступа, так и адресную книгу для вывода. Эти простые шаги имеют реальное значение. Мы также разрабатываем новые инструменты управления устройствами, которые позволят пользователям отслеживать и управлять устройствами, получающими доступ к их аккаунтам — еще один способ помочь им сохранить контроль.

В: Некоторые платформы достигли рейтинга AAA от CER.live. Является ли это целью для Flipster? Какие меры безопасности вы разрабатываете, чтобы достичь этого?

О: Это в нашем поле зрения, и мы добиваемся стабильного прогресса. Сейчас мы сосредоточены на усилении защиты серверов, внедрении инструментов против фишинга и предоставлении пользователям большего контроля через улучшенные функции управления устройствами.

В конечном счете, мы не гонимся за значками, а гонимся за тем, что действительно улучшает платформу для наших пользователей. Если что-то добавляет реальную ценность и укрепляет нашу защиту, мы это строим. Рейтинг AAA — это веха, а не финишная черта.

Программа вознаграждения за уязвимости и другие функции безопасности

В: Как Flipster гарантирует, что белые хакеры мотивированы таким образом, который соответствует долгосрочным целям доверия и прозрачности биржи?

О: Мы работаем с Hackenproof над публичной программой вознаграждения за уязвимости, предоставляя исследователям четкий, доверенный путь для обмена своими находками с нами. Их команда проверяет представленные материалы на влияние и качество, а мы предоставляем справедливые вознаграждения в зависимости от серьезности.

Помимо поиска ошибок, речь идет о вовлечении глобального сообщества безопасности в нашу миссию. Когда исследователи знают, что их работа ценится и по ней принимаются меры, они с большей вероятностью помогут сделать экосистему сильнее. Это победа для всех.

В: Как CISO и лидер мнений в пространстве, какой совет вы бы дали другим компаниям, работающим над улучшением своих стандартов безопасности?

О: Сначала доведите до совершенства основы. Большинство взломов происходят из-за базовых упущений — отсутствующих патчей, открытых разрешений, слабого контроля доступа. Сделайте это правильно, и вы устраните огромную часть своих рисков.

Помимо этого, инвестируйте в своих сотрудников и процессы. У вас могут быть все инструменты в мире, но если ваши команды не обучены, а сценарии реагирования на инциденты не протестированы, вы уязвимы. Создайте культуру, в которой безопасность — это обязанность каждого, а не только CISO. Этот сдвиг в мышлении может занять время, но оно того стоит.

В: Наконец, атаки социальной инженерии также широко распространены в этой сфере. Какие меры вы внедрили, чтобы обеспечить защиту пользователей или, по крайней мере, информировать их о попытках компрометации их учетных записей?

О: Мы рассматриваем социальную инженерию в двух категориях: захват учетных записей и мошеннические переводы. Во-первых, мы внедрили надежные средства защиты, такие как passkeys, двухфакторная аутентификация (2FA), оповещения о входе в реальном времени и белый список адресов. Вскоре мы также добавим управление устройствами.

Обучение пользователей играет большую роль в предотвращении мошенничества. Мы регулярно публикуем обновления по безопасности и разрабатываем инструменты, которые отмечают подозрительные или известные адреса мошенников. Цель состоит в том, чтобы дать пользователям как знания, так и инструменты для обеспечения безопасности. Хорошо информированный пользователь — одна из лучших линий обороны.