Листаешь до самого низа сайт TradingView, и прямо под строчкой «© 2026 TradingView, Inc.» в глаза бросаются две огромные кнопки в строгих рамках: SOC 2 Compliant с круглой печатью и GDPR Compliant в окружении звёздочек Евросоюза. Выглядит монументально — сразу проникаешься уважением к суровым безопасникам платформы. Кликаешь по этим плашкам чисто из любопытства, чтобы посмотреть, как именно там ковалась эта неприступная броня, и попадаешь на страницу trust.tradingview.com.
И вот тут, если начать разбираться, открывается такой абсурд, что хоть стой, хоть падай.
На витрине красуются значки SOC 2, PCI DSS 4.0.1, GDPR и DORA, а рядом бодро тикает зелёный индикатор: «Updated 4 minutes ago» — мол, четыре минуты назад проверили все замки, граница на запоре. Ниже выстроены двадцать солидных пунктов инфраструктурной защиты: доступ к серверам строго по криптоключам, сети разделены, шифрование работает, система обнаружения вторжений не спит.
Начинаешь вглядываться в детали — а колонка с реальными статусами проверок просто пустая. Сами отчёты спрятаны за кнопкой «Запросить доступ», куда человека с улицы никто не пустит. Но самое смешное даже не это: все двадцать грозных пунктов на странице написаны вообще не инженерами TradingView. Вся эта «крепость» целиком сгенерирована по готовому шаблону сторонней американской конторой под названием Vanta.
Чтобы доказать, что в доме нет воров, пустите чужих людей в каждую спальню
Как устроен этот бизнес? В корпоративном мире от сервисов требуют бумажку от аудитора — тот самый сертификат SOC 2. Раньше ради неё приходилось месяцами терпеть в офисе живых проверяющих, которые нудно копались в настройках серверов. Но тут появилась Vanta и предложила индустрии гениальный чит-код: «Не надо ничего собирать руками. Подключите нашу софтину к своей компании, мы сами в фоновом режиме проставим галочки для аудитора, а заодно нарисуем вам на сайте красивую витрину с бейджиками».
А теперь следите за руками. Чтобы повесить в подвал сайта гордую кнопку «Мы никого не пускаем к вашим данным», компания добровольно запускает левую фирму к себе под капот. Она выдаёт серверам Vanta доступ к своей облачной инфраструктуре (AWS, Google Cloud), к исходному коду на GitHub, к корпоративной почте и к кадровой базе со списками всех сотрудников. Мало того: на рабочий ноутбук каждого программиста и админа принудительно ставится программа-шпион от Vanta, которая круглосуточно проверяет, включён ли на компьютере пароль, работает ли антивирус и скачано ли обновление.
Формально доступ даётся «только на чтение» — чужой скрипт сам не сотрёт вашу базу. Зато на серверах сторонней конторы бережно складывается полная рентгеновская карта компании: чертежи всей сети, имена и почты всех инженеров, модели их ноутбуков и живой список всех незакрытых уязвимостей.
Формошлёпы у руля мировой безопасности
Казалось бы, кто те суровые гении криптографии и ветераны кибервойск, которым тысячи компаний по всему миру доверяют ключи от своей внутренней кухни?
Открываем биографии руководства Vanta и достаём попкорн.
Основательница и бессменная глава компании — Кристина Качоппо. Где она ковала свой легендарный опыт информационной защиты? В секретных лабораториях Пентагона? В разработке защиты для банковских ядер? Нет. Девушка пошла учиться программировать, пару лет пилила какие-то мелкие проекты, которые никуда не взлетели, после чего устроилась продакт-менеджером в Dropbox. Причём отвечала она там даже не за хранение файлов и не за шифрование дисков. Вершиной её карьеры был Dropbox Paper — второстепенный онлайн-блокнотик для совместного написания заметок внутри файлообменника, о существовании которого девять из десяти пользователей Dropbox даже не подозревали. Пока она клепала этот блокнотик, её заставили заполнять скучные таблички для аудиторов — и она решила, что гораздо выгоднее продавать другим компаниям веб-формочки для автоматического сбора таких же табличек.
Смотрим дальше: кто вторая главная женщина на этом корабле? Директор по маркетингу Сара Шарф. Эта дама пришла из Google, где семь лет занималась «маркетингом приватности, безопасности и Android». Вдумайтесь в саму должность: человек не писал код и не ловил хакеров, а семь лет сочинял рекламные сказки о том, как корпорация Google заботится о вашей приватности, пока та собирала досье на каждого жителя планеты.
Остальная команда под стать: технический директор по продукту раньше заведовал второстепенными обвязками и витринами в GitHub, а финансовый директор пришёл из сервиса Calendly — сайта, который делает формочки для записи на созвон в календаре.
Вот этот дрим-тим — создательница облачного блокнотика, гугловская пиарщица «приватности» и счетовод из онлайн-календаря — сегодня раздаёт стандарты безопасности мировому финтеху.
Сторож в тапочках и парадокс офисных продажников
Но настоящая комедия начинается, когда смотришь, как устроена внутренняя кухня самих «проверяющих». Компания, которая держит у себя слепки уязвимостей тысяч чужих бизнесов, официально работает в режиме «remote-first». Ещё весной 2022 года они радостно писали на сайте: «Мы успешно работаем откуда угодно».
Если зайти на их доску вакансий прямо сейчас, из 83 позиций 52 — чистая удалёнка по США, Канаде, Британии и Ирландии. И с дивана у них работают вовсе не дизайнеры иконок:
- Sr. Manager, Security Operations (Удалённо). Этот человек настраивает собственную защиту Vanta и командует разбором хакерских атак. В описании вакансии ему заботливо обещают «компенсацию за обустройство домашнего рабочего места, домашний интернет и мобильник». Главный по отражению кибератак рулит обороной через домашний роутер за счёт заведения.
- Инженер правительственного облака GovCloud (Удалённо, с дежурствами по авариям). Единственное требование безопасности для работы с госсектором — логиниться в систему «физически с территории США». Из какого именно придорожного кафе или съёмной квартиры — никого не волнует.
- Senior Engineer, Enterprise Resilience и Senior Security Engineer (Удалённо). Люди, которые отвечают за живучесть продакшена и в тексте вакансии клянутся быть «надёжными хранителями чувствительных данных», тоже сидят по домам.
- Staff Engineer, Program Structure & Trust (Удалённо). А вот эту позицию запомните отдельно: этот удалённый специалист отвечает за то, чтобы секретные данные разных клиентов не перемешивались между собой.
Знаете, в чём здесь главный абсурд? Обычных менеджеров по продажам в Лондоне и Дублине начальство Vanta заставляет ходить в офис три дня в неделю. То есть люди, которые просто звонят клиентам по телефону и показывают презентации, обязаны сидеть под присмотром в бизнес-центре. А инженеры, у которых лежат ключи от продакшена и карт инфраструктуры тысяч компаний, сидят в тапочках на домашних кухнях в окружении родственников, соседей, курьеров и сантехников. И это во времена, когда американские IT-компании пачками ловят фейковых удалёнщиков — когда собеседование по видеосвязи проходит подставной актёр, а рабочий ноутбук по почте уезжает прямиком на ферму северокорейских хакеров.
Четыре дня с распахнутой ширинкой
К чему приводит безопасность от создательниц блокнотиков и удалёнщиков на домашнем Wi-Fi, долго гадать не пришлось.
Помните вакансию удалённого инженера, который должен следить, чтобы базы разных компаний не перемешивались? В мае 2025 года формошлёпы из Vanta выкатили кривое обновление, и секретные данные одних клиентов тупо записались в личные кабинеты других (отчёт об инциденте INC-868).
Секреты сотен компаний просто вывалились на чужие экраны. Посторонним людям утекли списки чужих сотрудников, их должности и — вишенка на торте — настройки их двухфакторной аутентификации (MFA). То есть готовая шпаргалка для взлома: кто кем работает и у кого не прикручена защита аккаунта.
Но весь масштаб этой клоунады раскрывают две детали:
- Дыра висела открытой четыре дня. Хвалёный автоматический мониторинг Vanta, который каждые четыре минуты рисует зелёные галочки на сайтах клиентов, четыре дня в упор не замечал, что раздаёт чужие базы случайным соседям. Ошибку нашли только тогда, когда один из обалдевших клиентов сам увидел у себя в кабинете чужую внутреннюю кухню и написал в техподдержку.
- Эталонная хуцпа. Когда позор вылез наружу, маркетологи Vanta выпустили отчёт и на голубом глазу назвали слив данных сотен компаний в чужие руки инцидентом, «не связанным с безопасностью» (non-security related). Ну подумаешь, базы перепутали — главное, что галочки в отчётах зелёные!
Бумажный щит
Вот и вся цена грозным кнопкам SOC 2 Compliant и GDPR Compliant в подвале сайта.
Обычный человек смотрит на эти значки и думает, что его сервис защищён как ядерный чемоданчик. А в реальности компании ради бюрократической бумажки сами прорубают в своей стене дыру, сливают всю схему своей защиты в одно общее корыто бывшим менеджерам по заметкам и рекламе, а охранять это корыто сажают людей на домашнем роутере, чей софт даже не способен заметить, как четыре дня подряд раздаёт чужие секреты направо и налево.
Уроки безопасности без безопасности усвоены отлично: бейджик на сайте блестит, а что там за дверью — лучше никому не знать.
Вместо эпилога: кто такой «удалённый безопасник» в реальной жизни
Когда корпорации рисуют в презентациях словосочетание Remote Security Engineer, в голове у клиента возникает образ сосредоточенного профи в залитом солнцем кабинете, который через защищённый спутниковый канал стережёт чужие секреты.
В реальности удалёнщик — это чёрный ящик, содержимое которого работодатель не контролирует вообще никак. Компании понятия не имеют, что происходит по ту сторону веб-камеры, как только заканчивается пятнадцатиминутный утренний созвон. А происходит там настоящая жизнь во всей её красе.
1. Психика в тумане, СИОЗС и грибной микродозинг В офисе ты хотя бы видишь человека вживую: трясутся ли у него руки, адекватный ли у него взгляд, мылся ли он на этой неделе и не разговаривает ли со стенами. На удалёнке весь контакт с человеком, у которого в руках лежат рут-доступы к серверам тысяч компаний, сводится к квадратику в Zoom с размытым фоном.
Пятнадцать минут в день на стендапе этот парень через силу выдавливает из себя дежурную улыбку и бодро рапортует: «Блокеров нет, качу обнову в продакшен». После чего выключает камеру — и никто в штаб-квартире понятия не имеет, в каком он состоянии. Может, он третий месяц сидит на конских дозировках тяжёлых антидепрессантов (СИОЗС), от которых у него полностью атрофировалось чувство опасности и ему вообще плевать, куда и какие базы он сейчас сольёт. Может, он, по моде Кремниевой долины, с утра закинулся микродозингом псилоцибиновых грибов или сидит на аддералле вперемешку с кетаминовой терапией, пытаясь вывезти депрессию после развода. Для компании он — зелёный кружочек в Slack. А по факту за пультом ядерного реактора сидит человек в глубоком когнитивном расфокусе.
2. Гоп-стоп в кофейне и открытый макбук Американские технохабы вроде того же Сан-Франциско, Сиэтла или Остина давно превратились в криминальные аттракционы. В том же Сан-Франциско есть целый уличный промысел — laptop snatching: грабители залетают в модные кофейни, вырывают прямо из рук айтишников открытые, разблокированные макбуки с уже поднятыми VPN-сессиями и открытыми терминалами и уносят их в ожидающую у входа машину.
Или ещё проще: вечером после работы этот «хранитель чувствительных данных» выходит на улицу за буррито с рабочим телефоном и ноутбуком в рюкзаке. В паре кварталов от дома к нему подходят двое ребят с пистолетом, бьют по голове и популярно объясняют, что прямо сейчас он не только отдаст им всю технику, но и приложит палец к Touch ID и продиктует пин-код. Никакие облачные фаерволы и плашки SOC 2 Compliant от трубы в тёмном переулке ещё никого не спасали.
3. Жёны, любовники и украденные доступы прямо с подушки Даже если инженер вообще не выходит из дома, его квартира — это проходной двор. У него за спиной ходят жёны, бывшие и нынешние подруги, сожители по съёмному жилью, клининг, курьеры и гости на пятничных вечеринках.
В США это уже не теория, а материалы судебных дел. В 2024 году Комиссия по ценным бумагам (SEC) накрыла прекрасную семейную схему: муж удалённой сотрудницы нефтегиганта BP просто ходил по дому и сидел с ней в одном номере во время поездок, пока она из дома работала над закрытыми сделками по слиянию компаний. Он подслушивал её звонки, заглядывал в открытый экран рабочего ноутбука, пока она отходила на кухню, скупил акции нужной сети и поднял на инсайде почти два миллиона долларов.
А теперь представьте более приземлённый сценарий: удалённый безопасник в процессе тяжёлого развода или ссоры со второй половинкой. Обиженная жена или предприимчивый сосед по съёмной квартире просто ждут, пока «страж инфраструктуры» уйдёт в душ или уснёт, фотографируют на телефон открытый экран с ключами доступа, токенами и перепиской в Slack — или тупо вставляют флешку в хозяйский ноутбук, пароль от которого давно подсмотрели через плечо.
4. Усталость в три часа ночи И наконец, классика, на которой в последние годы погорели гиганты от Uber до сервиса аутентификации Okta. Когда взломщики покупают украденный пароль удалённого сотрудника, им остаётся обойти двухфакторку (MFA). Что они делают? Они ждут, пока удалёнщик ляжет спать у себя дома, и в три часа ночи начинают бомбить его телефон десятками пуш-уведомлений: «Подтвердите вход». А следом пишут ему в личный мессенджер от лица «техподдержки компании»: мол, это глюк системы, нажми «Подтвердить», чтобы уведомления перестали звенеть. И сонный человек в трусах, лишь бы телефон наконец заткнулся и дал поспать, собственным пальцем впускает хакеров в святая святых.
Вот из этого человеческого хаоса — таблеток, семейных драм, уличной преступности и ночной лени — на самом деле состоит фундамент, на котором держится вся современная индустрия «облачного доверия». И в следующий раз, когда увидите внизу красивого финансового сайта строгие значки SOC 2 Compliant и GDPR Compliant, просто вспомните, что где-то за океаном прямо сейчас уставший человек на антидепрессантах отошёл от открытого ноутбука налить себе кофе, пока его подруга задумчиво листает на его мониторе списки чужих серверов.