Что говорят люди

Вацлав консультировал нас по безопасности нашей iGaming-платформы. Он один из немногих экспертов по безопасности, кого я встречал, кто может глубоко погрузиться в технические детали, а затем подняться на уровень проектирования процессов для инженерной организации из 500 человек. Что сделало его особенно эффективным в нашем случае — это сочетание экспертизы в безопасности и реального опыта борьбы с мошенничеством. В iGaming это пересечение критически важно и редко встречается. Он понял наш ландшафт угроз без длительных объяснений и дал нам чёткий и реалистичный план.

Вацлав помог xAID в качестве независимого консультанта сразу после нашего пивота — нам нужна была готовность к ISO 27001 и прохождение KYC для расширения бизнеса. Он взял на себя ответственность за проект по комплаенсу, двигался быстро и провёл наше руководство через каждое ключевое решение. Для стартапа без собственной команды безопасности иметь человека, который сочетает глубокую экспертизу с практичным подходом без лишних накладных расходов — это именно то, что нам было нужно. Рад рекомендовать.

Сертификация ISO 27001 была для нашей компании важной вехой — её требовали несколько ключевых клиентов. Вацлав провёл инициативу от начала до конца: помог определить прагматичный скоуп с учётом того, что наш бизнес построен на данных, приоритизировал контроли исходя из нашего реального профиля рисков и спокойно провёл нас через аудит. Аудит мы прошли с первой попытки, а выстроенный им фреймворк до сих пор остаётся практичным и поддерживаемым для нашей команды.

Вацлав провёл аудит безопасности наших онлайн-сервисов — и действительно выложился на полную. Он нашёл уязвимости, всё понятно объяснил, и после его рекомендаций мы смогли быстро всё исправить. Общение было простым и по делу: любой вопрос решался быстро, без лишних формальностей и задержек. С ним приятно работать — и профессионально, и лично. Мы обязательно обратимся снова и уверенно рекомендуем его.

Хочу поблагодарить Вацлава за помощь в повышении практической информационной безопасности цифровых сервисов Билайн.

Настоятельно рекомендую Вацлава для консультаций по кибербезопасности — понятно, практично и исключительно полезно.

Как CTO, я работал с Вацлавом, когда он возглавлял направление безопасности. Он крайне проактивен: замечает проблемы на ранней стадии, приносит конкретные варианты решений и двигает дело вперёд без необходимости постоянного контроля. Вацлав также полностью автономен в построении процессов безопасности с нуля — он умеет согласовывать стейкхолдеров, принимать прагматичные компромиссы и добиваться реальных улучшений во взаимодействии безопасности и разработки. На личном уровне, работать с ним было искренне приятно — чётко, надёжно и легко.

Работать с Вацлавом — значит работать с высокомотивированным человеком, полным идей для улучшений. Его проактивность и готовность взаимодействовать с любыми стейкхолдерами далеко за пределами привычного круга технических специалистов позволяет информационной безопасности функционировать как полноценный бизнес-партнёр, который предвосхищает и реагирует на реальные бизнес-вызовы. Вацлав способен учитывать зрелость компании, доступные ресурсы и ключевые изменения, что позволяет ему быть реальным драйвером улучшений, а не абстрактным экспертом.

Я руководил командой AppSec в inDrive, отчитываясь перед Вацлавом как CISO более двух лет. Он изменил моё представление о том, как вести безопасность — не только что делать, но и как это организовать. Использование Team Topologies и Kanban STATIK для команд безопасности, внедрение Security Error Budget, чтобы инженеры перестали гоняться за разработчиками с ежедневными «когда исправите?», масштабирование команды без потери скорости — всему этому я научился у него. Мы вместе построили процесс Security Architecture Review, и именно экспертиза Вацлава сделала его достаточно качественным, чтобы инженеры ему действительно доверяли. Команда не достигла бы того, чего достигла, без его лидерства — это один из редких случаев, когда направление одного человека действительно определяет результат. Помимо нашей совместной работы, я наблюдал, как практики Вацлава — особенно Security Error Budget и его подход к централизованному управлению жизненным циклом уязвимостей — распространились по индустрии после его доклада на HighLoad++. Я сам применял их в Яндексе. Его подход к AppSec опережает то, где сейчас находится большинство рынка, и то, что эти методы распространяются на другие компании, делает всю отрасль сильнее. Буду рад работать с ним снова и надеюсь, что такая возможность представится.

Вацлав был ключевым партнёром по безопасности и архитектуре. Он активно помогал создать и поддерживать наш архитектурный комитет, добавляя структуру, консистентность и практичный вклад по безопасности, который вписывался в то, как реально работает инжиниринг. Вацлав также создал процесс Security Architecture Review. Он заметно повысил качество наших решений и помог избежать дорогой переделки позже, потому что архитектурные проблемы безопасности находились рано. Иногда он выходил за рамки чистой безопасности и помогал командам с вопросами доступности прямо на SecArchReview — редко, но всегда ценно и прагматично. Отдельно стоит отметить его глубину в проектировании «security-in-depth» для проактивного соответствия GDPR, включая crypto-shredding. В нашей multi-region active-active архитектуре на AWS Вацлав обеспечил правильный подход к выдаче и валидации пользовательских JWT между регионами — так, чтобы решение было и безопасным, и практичным в реальной эксплуатации.

Мне довелось работать рядом с Вацлавом несколько лет в inDrive. В период быстрого роста я выстраивала процессы поставки и операционной работы в продукте и инжиниринге, а Вацлав строил функцию безопасности с нуля. Что меня особенно впечатлило — его умение проектировать практики безопасности так, чтобы они работали вместе с организацией, а не против неё. Вацлав постоянно находил баланс между строгими требованиями и скоростью, которая нужна бизнесу в гиперросте. Его подход был основан на том, как команды работают на самом деле. В результате безопасность стала частью операционной модели, а не внешней контролирующей функцией: её приняли через понимание и доверие, а не через принуждение. Вацлав понимает, что эффективная безопасность — это не только контроли и политики, но и процессы, мотивация и сотрудничество. Это позволило ему построить функцию, которая масштабировалась вместе с компанией и сохраняла доверие продуктовых и инженерных команд. Горячо рекомендую Вацлава любой организации, которой нужен руководитель безопасности, сочетающий техническую глубину с прагматичным подходом к исполнению и организационным изменениям.

Вацлав изменил то, как моя R&D-организация думает о безопасности. Вместо того чтобы навешивать её как отдельный шлюз, он встроил AppSec и Pentest прямо в ритм разработки — лёгкие архитектурные ревью, действенная обратная связь, ноль бюрократии. Побывав в enterprise-средах с тяжеловесными процессами безопасности, могу сказать, что подход Вацлава освежающе отличается. Команды реально доверяют ему и используют его, потому что он соответствует их контексту и скорости. Его метрика Security Error Budget стала для меня реальным инструментом принятия решений — одна панель, чтобы видеть состояние безопасности по всем командам и распределять ресурсы туда, где они важнее всего. Что отличает Вацлава — это его дальновидность. Он постоянно исследует, как ИИ может усилить безопасность, и, что не менее важно, как рост AI-агентов создаёт совершенно новые поверхности атак. Он не ждёт инцидентов — он уже работает над тем, что будет дальше.

Вацлав обладает исключительной экспертизой в расследовании инцидентов и проектировании процессов реагирования. Его непосредственный технический вклад в работу SOC — не просто контроль, а реальная глубина расследований — помог нашей команде пройти через серьёзные вызовы и выдавать результаты быстрее и качественнее. Он строит процессы без бессмысленной работы. Каждый workflow существует не просто так, а ресурсы направляются туда, где они создают наибольшую бизнес-ценность. Вацлав привнёс экспертизу и обосновал бизнес-кейс для миграции на Splunk — что напрямую улучшило скорость аналитиков и качество алертов. Как руководитель, Вацлав выделяется тем, как справляется со стрессом и неопределённостью, свойственными работе в безопасности. Даже во время самых тяжёлых инцидентов он задаёт правильный тон для команды и не даёт людям выгорать. Его управленческий подход структурирован и последователен: регулярные 1-on-1 по всей иерархии, OKR и KPI для команд, чёткая персональная ответственность за результаты. Именно этот фреймворк позволяет команде безопасности достигать большего теми же ресурсами.

В City-Mobil Вацлав был одним из ключевых людей, стоявших за нашей функцией безопасности в период стремительного роста в 60+ городов. Что я заметил как CEO — безопасность работала: у нас не было крупных инцидентов, команда эффективно работала при скромном бюджете, и это никогда не становилось блокером для бизнеса. Такое сочетание сложнее достичь, чем кажется, особенно при нашем темпе. Вацлав — человек, который делает дело тихо и надёжно, а это именно то, что нужно от безопасности.

Я работал с Вацлавом в Citymobil, где его Common Security Pipeline был основой нашего shift-left в безопасности. Архитектура делала своё дело: надёжные инструменты, простая интеграция и централизованные находки в DefectDojo вместо погони за результатами по репозиториям. Когда я перешёл в VK, тот же подход позволил мне быстро запустить сканирование безопасности на более чем 1000 репозиториев и рано получить доказательство, что модель работает и приносит пользу. По мере дальнейшего масштабирования мы упёрлись в ограничения DefectDojo и в итоге пересобрали всё с нуля — так появился VK Security Gate. Но в этом и суть: Common Pipeline никогда не был финальным продуктом. Это была правильная основа, чтобы быстро начать, проверить концепцию и понять, что важно, прежде чем вкладываться в собственную платформу.

Я работал с Вацлавом в нескольких плоскостях — как член программного комитета, как гость подкаста и как коллега по индустрии, с которым я регулярно обмениваюсь идеями по сложным техническим и вопросам безопасности. Что его отличает — это умение рассуждать о безопасности как о практической инженерной и бизнес-задаче, быстро переходя от абстрактного обсуждения к конкретным решениям, компромиссам и реализации. Я очень ценю эти разговоры и считаю его сильным и надёжным коллегой.

Вацлав — один из лучших экспертов в своей области, он следит за трендами и обладает глубоким пониманием современных практик и процессов. Он — лидер мнений, который регулярно делится своими знаниями и опытом, внося значительный вклад в сообщество DevSecOps. Его экспертиза и приверженность развитию практик безопасности делают его ценным активом для любой организации. С более чем десятилетним опытом в AppSec, InfraSec и DevSecOps он подходит к задачам безопасности с целостной перспективой.

В Security Code мне нужно было построить DevSecOps-процессы, которые масштабировались бы на тысячи репозиториев без утопания в MR и согласованиях по каждому репозиторию. Common Security Pipeline Вацлава стал правильной основой: простая архитектура parent-child, проверенные open-source инструменты, лёгкая интеграция в CI/CD и — что критично — централизованный подход, где все находки попадают в DefectDojo, а не разбросаны по отдельным репозиториям. Мы адаптировали это под наш стек и быстро получили реальное покрытие безопасности. Спустя годы после его доклада на ZeroNights 2021 базовая архитектура по-прежнему работает — я продолжил развивать подход и представил свои результаты на HighLoad++ 2024. Его работа помогла нам достичь ощутимых результатов в безопасности за короткое время. Спасибо за вклад в индустрию.

Я работал с Вацлавом в нескольких компаниях как внешний партнёр по безопасности. Каждый раз его команды выделялись: организованные, быстрые и сфокусированные на том, что действительно важно. В этой индустрии такое встречается нечасто. Речь не про комплаенс и не про подписанные для галочки отчёты — его подход практичный и нацелен на реальные риски и влияние на безопасность при разумном расходе ресурсов. Вацлав строит зрелые функции безопасности, не заливая проблему деньгами. За повторные проекты и непрерывные процессы я своими глазами видел, как быстро растёт зрелость безопасности под его руководством: прогресс между циклами ощутимый. Его экспертиза и выстроенные процессы видны даже снаружи — понятная коммуникация, ноль лишней работы.

С Вацлавом я могу обсуждать организационные проблемы безопасности, которые большинство либо чрезмерно упрощает, либо чрезмерно усложняет: как структурировать AppSec в компании, которая каждый год удваивает штат инженеров; где Team Topologies действительно работает для безопасности, а где нет; как построить архитектурное ревью, чтобы оно не стало бутылочным горлышком. Он думает операционными моделями, а не чеклистами, и подкрепляет это реальными результатами построения программ безопасности в масштабе. Наши разговоры напрямую повлияли на то, как я строю свою команду.

Вацлав дважды выступал на DevOops — конференции, где я работаю в программном комитете. Мне довелось курировать его доклады: помогать с подготовкой и поддерживать во время конференции. В оба раза он показал выдающуюся техническую экспертизу в сочетании с очень высоким уровнем подачи. Это позволило ему привлечь и дать пользу очень требовательной аудитории конференции. Его доклады всегда попадали в топ по оценкам слушателей. Всем, кто ищет эксперта, способного объяснять сложное просто, — дальше искать не нужно, Вацлав именно такой.