Местами какая-то чушь написана. Какой специалист по ИБ соцсетей? Это не стоит того, чтобы учиться даже 4 года, не говоря уже о шести. А специалист по СКЗИ, анализу защищенности, КИИ и АСУ ТП - это будущее? Из 15 профессий, только 6 к будущему относится; остальное - настоящее. Даже у АСИ несколько лет назад вышло лучше. В общем вопросы-вопросы-вопросы к УМО, которое готовит 4-й ФГОС сейчас
Читать полностью…Вот любят у нас писать концепции и стратегии, оценка которых проходит не по сути документа, а по его толщине. А консультанты, зная эту особенность, часто специально добавляют воды в текст, чтобы он выглядел солидным.
Есть те, кто пишет два документа - для сдачи и для работы. Но это если CISO, принимающий работу, понимает, что ему нужно, но над ним стоят начальники, для которых толщина важнее умения действовать правильно.
И только в редких случаях все стороны понимают, что краткость - сестра таланта!
👨💻 Багхантеры проверят Госуслуги на прочность
Минцифры запускает проект по поиску уязвимостей в Госуслугах и других ресурсах электронного правительства. Программа пройдёт в несколько этапов. На первом — независимые исследователи проверят портал Госуслуг и Единую систему идентификации и аутентификации (ЕСИА). На следующих этапах список ресурсов будет расширен, а условия — обновлены.
За успешную работу багхантеры могут получить до миллиона рублей. Программу спонсирует Ростелеком.
Вознаграждение зависит от степени уязвимости
🟦 низкая — подарки с символикой проекта
🟦 средняя — до 50 тыс. ₽
🟦 высокая — от 50 до 200 тыс. ₽
◼ критическая — до 1 млн ₽ и благодарность от команды Минцифры
Тестирование доступно на платформах:
➖ BI.ZONE
➖ Positive Technologies
Чтобы принять участие в багбаунти, нужно:
1. Зарегистрироваться на выбранной платформе
2. Ознакомиться и согласиться с условиями программы
3. Найти уязвимость, не нарушая правил
4. Отправить информацию об уязвимости через платформу
5. Дождаться подтверждения уязвимости от Минцифры
Исследователи будут действовать по установленным правилам. Работа на платформе позволит определить логику потенциальных хакеров, эти данные будут использованы для дополнительной защиты информационных систем.
➡ Принять участие в багбаунти
@mintsifry
Полгода назад я должен был читать курс по ИБ на совместной программе ВШЭ и Нетологии, но не срослось. Но в видео «10 глупых вопросов по кибербезопасности» я успел сняться. Как оказалось ряд моих коллег отправили это видео своим родителям и тем прям зашло. Поэтому подумалось, что можно выложить его и в канале. Что и делаю…
Читать полностью…Карта санкционных рисков устрашающа. Предложение по управлению рисками бесспорны, хотя и однобоки. Шел 2015-й год…
Читать полностью…Сначала в канале ЦБ кто-то публикует нечто, похожее на пароль. Потом ЦБ красиво выкручивается из ситуации, проведя квиз на тему «а шо это было?» (надеюсь пароль, если это он, все-таки сменили). Так креативно ЦБ еще тему ИБ не преподносил - обычно нормативка регулятора гораздо скучнее 🧐
Читать полностью…Вот интересно, если на улицах города начинают рекламировать Darknet-площадки для торговли наркотиками, то скоро стоит ожидать рекламу по продажу фишинговых китов, вредоносного кода, заказы на взлом и т.п.?
Читать полностью…Странные выводы, особенно второй…
ЗЫ. На этом книжные обзоры пока приостановлю - надо все-таки и что-то более позитивное читать 😊
Финализирована программа конференции ФСТЭК. Жаль, что в этот день я буду в командировке за Уралом (сослали). С другой стороны, всего два выступления регулятора (как и в прошлом году) и, судя по всему, - достаточно высокоуровневые.
Читать полностью…"Сколько человек нужно в SOCе?" Этот вопрос я услышал на этой неделе трижды (а ведь сегодня только среда). Поэтому я подумал, что это знак и на этот вопрос надо ответить. Итак, есть ли какое-то магическое число, на которое надо ориентироваться, строя свой центр мониторинга ИБ? Сразу отвечу: «Нет!» И вот почему.
Читать полностью…Оценка себестоимости и рентабельности Petya и его успешности во время атак на Украину в 2017-м году… Расчет делается из предположения, что за атакой стоят финансово мотивированные, а не государственные хакеры
Читать полностью…🔥 В этом году у нас большие планы по развитию Standoff, и сегодня мы начинаем кастинг на роль контент-мейкера для наших мероприятий и соцсетей 📸
Нам нужен человек, который станет образом и голосом Standoff, и будет вносить свой творческий вклад в разработку и запуск видео разных форматов. Так что, если тебе интересна сфера ИБ, ты не боишься камеры, а ещё и умеешь пилить тиктоки, – ты наш кандидат. Понимание специфики ИБ будет плюсом, но не станет решающим критерием при выборе победителя.
Чтобы поучаствовать в кастинге, до 21 февраля заполни короткую гугл-форму.
Авторы десяти лучших видео будут приглашены на финальный этап в Москву. Победитель получит постоянную работу в команде, максимальный простор для творческой самореализации и поддержку самых смелых идей 🥊
Мы в Standoff за равные возможности, поэтому никаких ограничений по полу, возрасту, ориентации и музыкальным предпочтениям кандидатов у нас нет.
Учет уголовного наказания в формуле прогнозирования кибератак может и имеет смысл, но как быть с теми нападающими, кто делает это из-за рубежа и кому никакая статья 272-274 не страшна? А таких сейчас большинство.
Читать полностью…Интересно, когда хакеры выбирают свои жертвы, они тоже оценивают функцию полезности? Но я бы посмотрел, как хактивизм и атаки с 24-го февраля укладываются в эту формулу… 3 из 6 параметров не имеют смысла, а один не применим.
Сегодня у нас будет опять книжный день... И несколько последующих скриншотов будут показывать вычисление элементов функции полезности при реализации кибератак.
Компании все чаще указывают хакеров и кибератаки в качестве причины неработоспособности своих услуг. Сегодня уже и не поймешь - они так скрывают иные причины своего головотяпства или и правда столкнулись с недопустимыми событиями виртуального мира.
Читать полностью…Я знаю, почему запретили одну американскую соцсеть. Она регулярно напоминает о всех данных обещаниях 😎
Читать полностью…Представьте, что вы ищете людей к себе в службу ИБ и в описание вакансии включаете стандартные хотелки, описывающие, что человек должен уже уметь, чтобы претендовать на работу у вас. Почему бы не указывать в вакансиях совсем другое - то, чему человек научится, если он придет к вам на эту должность? В этом случае вы убиваете сразу трех зайцев:
1⃣ Вы выделяетесь на фоне остальных работодателей
2⃣ Вы получаете не "роботов", а тех, кто реально хочет расти, развиваться и учиться чему-то новому
3⃣ Ваша служба ИБ действительно будет развиваться!
Презентация руководству о состоянии дел в ИБ должна быть короткой, как выстрел, но при этом попадающей в цель! Это вам не 200 слайдов рисовать - в 3-5 слайдов надо уложить самую мякотку!
Аккурат сейчас начну читать свои 4 слайда ;-)
Водопадная (waterfall) разработка? В среде разработчиков этот термин может и не вызывает вопросов. Но вот для топов и непогруженных в тему людей, этот термин может вызвать иную реакцию. Ассоциации с водопадом могут связаны с чем-то негативным (я на байдарке в водопад небольшой входил, кильнулся, чуть не утонул и матроса чуть не потерял). Жаргонизмы и сленг оставляйте за дверьми профессиональных тусовок.
ЗЫ. Вы знаете смысл термина «кильнуться»? Воооот…
А у вас в модель угроз включена утечка модели угроз?..
ЗЫ. Этот документ опубликовали хакеры сопредельного государства.
ЗЗЫ. Поэтому бессмысленно секретить все, что ни попадя. Одни неудобства…
Даже рассказывая об инцидентах ИБ, штрафах от регуляторов и иных нерадостных вестях, старайтесь вносить нотку позитива. Вы знаете, что начальство делает обычно с гонцами плохих новостей? Добавляйте к любой проблеме способы ее решения.
Во Второй книге Царств (Библия), главе 18-й, стихе 20-м говорится: «Но Иоав сказал ему: не будешь ты сегодня добрым вестником; известишь в другой день, а не сегодня, ибо умер сын царя»! Иоав не хотел отпускать Ахимааса к Давиду, опасаясь за судьбу гонца. Потом уже этот обычай перекочевал в Грецию, откуда и стал нам известен. Не будьте Ахимаасами!
Один раз выступить перед советом директоров или генеральным, презентуя им свое видение ИБ в компании, - это еще не победа. Победой будет добиться понимания услышанного и реализации запрошенного.
Выступать, не мешки ворочать! Поверьте, я знаю 😂
Под эфир по удаленному доступу, который я недавно вел, у меня и презентация имеется. Без деталей, высокоуровневая, но подсказывает некоторые направления для внимания
Читать полностью…Еще один взгляд на эволюцию SIEM. Вроде как от конкретной компании, но с другой стороны об этом же пишет и Гартнер, собирая роадмапы от основных игроков.
Раньше я думал, что разделение управления событиями и реагирование - это тренд, но нет, все консолидируется. Тут это называют NG SIEM, Гартнер- TDIR. Интересно, это временная консолидация технологий или устоявшийся тренд?
Результат прогнозирования кибератак на кредитно-финансовые организации России, опираясь на формулы, которые авторы книги разработали в рамках своей методики. Все хорошо, но попытка применить все тоже самое, но для других отраслей, разбивается об отсутствие исходных данных (для финансовой отрасли данные брались от ФинЦЕРТа). И используемые данные Генпрокуратуры не настолько репрезентативны даже для КИИ, не говоря уже о других отраслях
Читать полностью…Оценка полезности инноваций… Авторы предлагают таким образом оценивать покупку хакерами в Даркнете новых вредоносных утилит и инструментов. Не исключаю, что оценка полезности проводится, но вряд ли она так формализована...
Читать полностью…За то, что я репостнул эту вакансию, меня обещали пригласить на кастинг! Шутка. Наверное. Или нет?..
Читать полностью…Что курил автор, который сравнил криптографический хэш с американским блюдом хашбраун?
Читать полностью…Лучшие практики ИБ - это такая засада. Все на них пытаются ориентироваться, все их упоминают, но когда начинают реализовывать, оказывается, что это либо "мировые рекорды", которые или нужны не всем или требуют неимоверных усилий для достижения. А потом выходит Тинькофф, Яндекс, Киви и рассказывают, что у них вообще все не так...
Читать полностью…