Ну и еще один отчет от RecordedFuture. На этот раз более приземленный, про действия группировки 🧑‍💻 TAG-70 (ну хоть не "Спортлото-80"), которая у других TI-компаний проходит под кодовыми названиями Winter Vivern, TA473 и UAC 0114.

Атрибуция достаточно традиционная - в стиле:

"жертвы кампании указывают, что за атакой стоит Россия и Беларусь"

Читаешь название и думаешь: "Ну вот, опять европейцы возбудились, что их Батька 🇧🇾 атакует". Смотришь список стран, которые приписаны к "европейским" - Грузия 🇬🇪, Украина, Иран 🇮🇷 (их посольства в России и Голландии). Худо бедно, но Польша 🇵🇱 хоть как-то похожа на европейскую страну. Остальные относить к Европе?... Ну такое себе. С тем же успехом и атаки на Россию 👨‍💻 можно относить к Европе.

Среди жертв есть еще Бельгия, Франция, Чехия, Германия и др., но судя по количеству жертв в них, можно спокойно отнести их к статистической погрешности. Больше 55% жертв приходится всего на 3 страны - Украину, Грузию и Польшу 💻

Читать полностью…

А RecordedFuture новый отчет выпустило; на этот раз про "линии разлома" 🌋 геополитики, которые будут влиять на 2024-й год, в том числе и в части кибербеза. Эксперты выделяют следующие негативные сценарии:
1️⃣ Конфликт России и Украины и возможное вовлечение в него НАТО
2️⃣ Конфликт Израиля 🇮🇱 и Хамас 🇵🇸 и вовлечение в него Ливана 🇱🇧
3️⃣ Военные действия хуситов 🇾🇪 против коалиции во главе с США и потенциальное развязывание наземной войны на арабском полуострове
4️⃣ Конфликт Китая 🇨🇳 и Тайваня 🇹🇼
5️⃣ Координация Ирана, Китая и России 🇷🇺
6️⃣ Конфликт на корейском полуострове
7️⃣ Вовлечение в ближневосточный конфликт Ирака 🇮🇶 и Сирии 🇸🇾
8️⃣ Конфликт в Южнокитайском море между Китаем и Филиппинами 🇵🇭
9️⃣ Эскалация конфликта вокруг штата Джамму и Кашмир, права на который оспаривают Индия 🇮🇳, Пакистан 🇵🇰 и Китай.

По каждому конфликту дан прогноз, краткий анализ по методике DIME и индикаторы, свидетельствующие о том, что описанный сценарий начинает развиваться по худшему варианту.

Читать полностью…

Сижу, читаю проект 🤓 стандарта ФСТЭК по security by design. Прилетает сообщение: "Леха, Минцифры тебя хантит и публично про это написало на 200 тысяч человек!" Я, немного фрустрированный, захожу по ссылке и вижу слово "вакансия" и чувака в шляпе 🤠 Вчитываюсь... Министерство ищет директора департамента по кибербезу. Читаю задачи и правда я ☺️

Создание новой регуляторики, евангелизация кибербеза, борьба с мировыми вызовами, возможность вызывать на ковер всех, кто тебя обкладывал нефритовыми жезлами и отказывал в выступлениях на мероприятии и т.п. Думаю, ну наконец-то, признали, оценили, но почему-то постеснялись пригласить напрямую 🥴

Потом дошел до раздела основные требования.
1️⃣ Высшее образование? Ну вроде есть, но не по ИБ и на 512 часов не учился. Минус.
2️⃣ Глубокое знание индустрии? Да, но американской, европейской, немного ближневосточной. А в учебном заведении и вовсе был спецкурс по техническим разведкам, но иностранным.
3️⃣ Опыт реализации крупных федеральных проектов в сфере ИБ? Помню, участвовал в проектировании SOC в компании из Forbes 100 и в аудите SOCов компаний на 200 и 300 тысяч человек. Но это все частные компании, не федеральные.
4️⃣ Понимание регулирования ФСБ? Увы, не понимаю.
5️⃣ Знание 44/223-ФЗ? Я их вообще путаю, что и про что 🤠 Опять минус!

А тут на фоне вдруг запел Вадим Егоров свою "Фотографию наркома", а там есть строки:

"резидент пяти разведок
и агент шести держав"

Это ж почти про меня. Я в американском посольстве последний раз не прошел спецпроверки и мне не дали визу в США в 2018-м. А уж у нас я тем более проверку на должность госслужащего не пройду - мне то в блоге, то в личку регулярно прилетает про предательство Родины, продажность Америке, работу на Госдеп и вот это вот все. Видимо, не моя вакансия, хоть и мужик в шляпе на картинке.

Но! Теперь самое главное! Как по мне, так это пипец как круто 👍 Много ли вы видели ИБ-регуляторов, которые настолько открыты, что публикуют такие истории в паблике? Я такое только у американских АНБ да CISA видел, а тут в России, в традиционной закрытой отрасли. Респект 🫡

На данную должность возлагается очень непростая задача - объединить 🤝 бизнес, отрасль инфобеза и государство, попутно занимаясь ИБ цифровой трансформации страны и межведомственного взаимодействия, а также повышением осведомленности граждан в деле борьбы с угрозами 🛡 Это очень амбициозная задача, которая под силу только смелым духом и желающим изменить мир.

Вы считаете себя таким кандидатом? Хотите влиять на будущее страны? Хотите реально изменить 🛠 ситуацию с ИБ в государстве? Хотите не критиковать, а реализовывать свои идеи? Хотите сидеть в здании, с крыши которого 🔝 открывается фантастический вид на столицу? А может быть вы хотите "вызывать меня на ковер" и смело критиковать за мои публикации? Тогда вам самый путь в Департамент кибербезопасности Минцифры! По ссылке есть все явки и пароли, куда писать 🧑‍💻 и что, чтобы вас взяли!

Читать полностью…

Вообще продвигаемая история с гибридными SOCами, как по мне, так выглядит как способ уйти от решения проблемы и отказ от ответственности SOCа на аутсорсинге. А как еще рассматривать идею, что помимо внешнего центра мониторинга надо строить 🏗 еще и свой собственный? Я понимаю, когда речь идет о иерархической схеме SOCов в рамках одной компании или группы компаний. Тогда у нас есть головной центр и некоторое количество в разных локациях, в разных часовых поясах.

Но когда вы покупаете услугу, которая не хочет нести ответственность за результат 🔓, и ее продавцы говорят, что для лучшего покрытия и большего контроля вам нужно создать еще и собственный центр, который и будет знать ваши приоритеты, ваши ключевые системы, вашу приоритизацию инцидентов, а мы вам только "температуру по больнице" будет говорить, то это такое себе... А зачем мне тогда внешний SOC? Чтобы получать только TI? Ну так я ее могу купить как отдельный сервис и подключить непосредственно к своему SOCу.

Читать полностью…

3 ночи... Распита не одна бутылка португальского портвейна, вина, водки... Продолжается дискуссия, в которой самым распространенным словом является "assurance". Иногда проскальзывает "insurance", "недопустимые события" 💥, "результативная кибербезопасность", "гарантии", ISO 270xx и вот это вот все.

Поэтому не могу не выложить свою презентацию на тему колоссальных сложностей количественного расчета киберрисков, о которой уже говорил. И эту тему мы тоже в ночи обсуждали, но меня так никто и не смог переубедить, что вероятность и ущерб от реализации киберрисков 🔓 можно заранее просчитать. Постфактум, да, можно, но только ущерб. Вероятность - только для независимых, истинно случайных, репрезентативных и равномерно распределенных событий, что в ИБ почти что нонсенс. Но попытки продолжаются... 🤕

Читать полностью…

А если посмотреть чуть дальше, то и проблем будет чуть больше 👨‍💻 А вы говорите невозможно, некритично, допустимо... А вот и фиг 🛰

ЗЫ. К этим прогнозам нужно относиться критически, но всегда помнить о взаимозависимости множества систем и отраслей между собой. Помнится, на одной ж/д решили провести пентест и пригласили хакеров, чтобы они "погасили" определенный участок дороги. Задача была - остановить движение поездов. Заказчик думал, что хакеры будут пытаться ломиться в центр управления, пытаться "управлять стрелками и семафорами" и вот это вот все, но нет... Хакеры просто вывели из строя подстанцию, обеспечивающую электричеством нужный участок железной дороги. При разборе полетов заказчик пытался доказать, что хакеры его обманули и нарушили правила игры, но в ТЗ про это не было ни слова, а задача была решена. Не в лоб, но не менее элегантно.

Отсюда можно сделать несколько выводов:
1️⃣ Не всегда надо атаковать в лоб - можно пойти обходным путем или атаковать и вовсе зависимые системы, находящиеся в чужом владении (подрядчики, ау).
2️⃣ Не так важен сценарий реализации атаки, сколько ее конечная цель (реализация недопустимого события).
3️⃣ При составлении ТЗ на пентесты или Bug Bounty чётче описывайтся их область и ограничения, но помните, что "плохие парни" не работают по ТЗ
4️⃣ Киберучения - полезная штука, позволяет выявить то, до чего сам бы не допер. А тебе это показали до того, как это могло бы произойти в реальности и с худшими последствиями

Читать полностью…

Бывает проснешься в 10 утра в понедельник, идешь в туалет, потом гантельку тягаешь; параллельно Телегу глазами пробегаешь. А тебе в личку кто-то смешной мем 😂 присылает. И ты понимаешь, что ты этот мем уже года 3 назад у себя в канале постил 💻 А то и вовсе это ты его и сделал 🖕 и тоже в канале запостил. И с новостями также бывает 😱 А никто, видимо, не читает ☹️ И для кого я это все пишу?.. 🙏

ЗЫ. Но я все равно ценю подписчиков, которые регулярно присылают что-то интересное. Я же не бог, я не могу за всем уследить 😄 По крайней мере пока я не написал глаз бога мета-бота, который видит все в ИБ!

ЗЗЫ. Раньше слагали легенды, что те, кто прочитает весь мой блог целиком, тот обретёт мудрость вселенскую и защищенность абсолютную. Теперь впору такое же про Телеграм-канал говорить 🛡

Читать полностью…

Помните, что в аббревиатуре CERT последние три буквы означают Emergency Response Team, то есть команда по реагированию на чрезвычайные ситуации. В 1988-м году к этим трем буквам добавили еще одну - C (Computer), создав первый CERT, который должен был реагировать на инциденты ИБ 👨‍💻

И вот Тинькофф объединил эти два направления - запустив выездные бригады "скорой помощи" по вопросам ИБ. Пишут, что банк ежемесячно проводит до 3000 выездов к зомбированным 🧟‍♂️ мошенниками клиентам!

Читать полностью…

А вот еще прекрасное от подписчика прилетело, за что ему спасибо!🔤🔤🔤🔤🔤🔤🔤🔤🔤🔤, мля, 😦 шифрование. Хотя на фоне отнесения ЛГБТ к экстремистской организации и гонениях на сексуальные меньшинства, рушащие устои и все такое, почему бы и шифрованию не быть гомофобным? А за его использование представителями ЛГБТ-сообщества надо требовать с них наличие лицензии ФСБ на деятельность в области шифрования 😮 А у кого нет, того не допускать к выборам! 😲

ЗЫ. Гомофо́бия (от др.-греч. ὁμός «подобный, одинаковый» φόβος «страх, боязнь») — ряд негативных установок и чувств по отношению к гомосексуальности или людям, которые идентифицируются или воспринимаются как ЛГБТ+ (лесбиянки, геи, бисексуалы и трансгендерные люди).

Читать полностью…

Будьте осторожны 🔞, покупая секс-игрушки, - от них тоже можно подцепить вирус, компьютерный вирус 😎

История с небезопасностью вибраторов далеко не первая - взломы уже были раньше. Теперь вот заражение вредоносом 🦠

В свое время, в подзабытом уже немного Cisco SAFE, была сформулирована одна из аксиом, вляющих на архитектуру ИБ, - «любое устройство с IP-адресом может стать мишенью» 🤕 Сегодня впору поменять ее на «любое устройство с компьютером внутри может стать мишенью и плацдармом для атаки» 🤒

Вряд ли вы используете секс-игрушки в корпоративной или ведомственной сети, но вот если у вас есть в ней какие-то IoT-устройства (термостаты, умные лампочки, камеры, СмартТВ и т.п.), то подумайте о том, как вы будете:
1️⃣ их мониторить
2️⃣ их защищать
3️⃣ реагировать на атаки на них
4️⃣ проводить расследование (жду книгу «Forensics for Vibrators»
5️⃣ проводить обучение пользователей!

Предохраняйтесь 😷

Читать полностью…

Мне нравится, когда Сергей комментирует мои выступления, презентации, статьи и вебинары. Вот и в этот раз он решил прокомментировать вебинар по расчету стоимости инцидента, что приятно. Но мне не очень нравится авторский прием, когда кто-то за меня додумывает, что я вроде как имел ввиду.

Так вот вот скажу, что я не имел ввиду ничего связанного с обоснованием инвестиций в ИБ и не говорил ничего про вероятность инцидента. Я рассказывал о том, из чего складывается стоимость инцидента, которая оценивается постфактум, и не более того.

А вот то, что я хотел бы сказать по поводу количественной оценки вероятности риска ИБ и предсказания его стоимости (если не брать Монте-Карло, но там есть нюансы), я прямо сказал вчера, когда по приглашению клуба рисковиков выступал с темой "Почему я не люблю количественную оценку рисков" на площадке VK.

В своем коротком выступлении я делился мыслями о том, почему очень сложно считать 🧮 вероятность наступления риска ИБ (и инцидента тоже) и ущерб от него не методом светофора🚦, а количественно. Времени было немного, поэтому и презентация короткая. Полная версия у меня на 2-3 часа где-то.

ЗЫ. Вообще странно слышать в одном посте, что оценка рисков - это хороший метод, лучше которого еще не придумали, и тут же говорить, что вероятность реализации риска посчитать нельзя. В чем тогда смысл оценки рисков, если один из двух ключевых параметров риска (вероятность наступления негативного события) мы не можем посчитать?

ЗЗЫ. Презентацию своего выступления выложу в понедельник.

Читать полностью…

Уж не знаю, как они в реальности воюют на информационном фронте, но в слове "искусство" два "с" ставится в другом месте. А вот логотипы 🐲 у всех вновь создаваемых хакерских группировок, не только российских, но и вообще, действительно красивые и устрашающие. Напомнило дракона Смауга из трилогии "Хоббит" 🐉

Читать полностью…

На фоне новостей про разделение Яндекса я зашел поглядеть свой портфель акций, чтобы решить, что делать с ценными бумагами автора российского поисковика. А у меня они были прикуплены во время COVID-19, незадолго до 24 февраля 2022 года 😲 Помимо этого у меня были и другие акции, в том числе и фонда CyberSecurity, в который входили акции Splunk, Broadcom, Crowdstrike, Palo Alto, Cisco, Okta, Fortinet, Cloudflare и др. С этим фондом у меня, конечно, вышла засада, - его курс упал в цене, а сейчас и вовсе эти акции продать затруднительно по причине того, что все участники этого фонда из недружественной страны, акциями которых торговать сейчас низзя ☹️

Но в моем портфеле были и позитивные истории, а именно акции 🟥 Я их прикупил еще будучи в Cisco, когда Позитив только-только вышел на биржу (🔤🔤🔤🔤). И вот сейчас могу сказать, что за 2+ года из всего моего портфеля самыми доходными бумагами оказался именно ⬜️ - 99,95% роста. Больше у меня ни одна бумага не дает таких цифр - даже сберовские с их 50% роста за все время инвестирования и даже золото с его 72%.

Не могу сказать, что этих акций много и что я вообще профессиональный инвестор, но на долгой дистанции интересно наблюдать за этой историей. Остается только жалеть, что не купил в свое время больше этих акций. Но кто ж знал, что оно все так обернется, что я покину Cisco и выйду в Positive Technologies, что мир разделится на "до" и "после". Но зато кибербез сейчас на коне 📈 и будет оставаться там еще долго. Если роботы и AGI нас не грохнут, конечно...

Читать полностью…

Помню, как на одном из Уральских форумов, когда он еще проходил на Магнитке (и эти два мероприятия не были разделены) Рустэм Марданов, Председатель Правительства Башкортостана, привел очень интересный алгоритм финансирования проектов (любых) в республике:
🔤 если инициатор может показать вклад проекта в цели республики и готов показать достигаемый результат количественно, то финансирование составляет 💯 от запрошенного
🔤 если инициатор говорит, что проект важный, и руководитель понимает, что важный, но посчитать количественно результат от него они не могут, то финансирование составляет 50% от запрошенного 🤑
🔤 если инициатор говорит, что проект важный, но не может объяснить важность и тупо ссылается на то, что проект предусмотрен какой-то нормативкой, то финансирование составляет 10% от запрошенного 👛

Очень интересный способ бюджетирования ИБ 🤑

К слову: на направление ИБ в рамках «Цифровой экономики» на 2018-й год бюджетом было выделено всего 10% от запрошенных 🥴

Читать полностью…

В интересное время живем. Nginx умер, да здравствует FreeNginx. Интересно, как это повлияет на ИБ обеих платформ, одна из которых является очень популярной при построении сайтов и проксей

Читать полностью…

Интересный проект (спасибо подписчику за ссылку) - https://digital-defense.io, в котором любой желающий может ответив на ряд вопросов "да" или "нет", а также исключив ряд вопросов из итоговой оценки исходя из собственной паранойи, получить уровень своего персонального кибербеза 🛡

Я для себя эту радарную диаграмму построил и не могу сказать, что я прям идеален с точки зрения ИБ. Но надо сказать, что уровень паранойи у автор(а|ки) чеклиста достаточно высокий 🔝. Ну а как еще трактовать вопросы про использование анонимных способов проведения платежей, защиту собственной ДНК 🧬, ношение одежды, скрывающей вас от распознавания лиц, использование децентрализованных платформ для коммуникаций, а также включение таймера автоудаления сообщений в мессенджерах?.. 🔄

Читать полностью…

Видео с конференции ФСТЭК, а также все презентации

Читать полностью…

У правоохранителей, перехвативших часть инфраструктуры Lockbit, неплохое чувство юмора 😈, раз они так тонко дефейснули сайт, на котором выкладывались имена жертв!

Читать полностью…

Если не знать, что это рассылал Lockbit по своим афилированным структурам, то выглядит прям как пример, как надо реагировать на инциденты ИБ. И ведь не скрывают факта своего взлома 😱

Читать полностью…

Инфраструктура Lockbit перешла под контроль ФБР и других правоохранительных органов ряда стран. Но не вся, а та, которая на базе PHP и была уязвима к CVE-2023-3824. Интересно, насколько взлом инфраструктуры хакеров, которых никто в суде еще не назвал хакерами, законен? Вопрос философский и вряд ли волнует ФБР и другие спецслужбы. Не знаю также, насколько это эффективно; посмотрим на результаты такой активности. Есть подозрение, что бэкапы будут подняты очень быстро и Lockbit быстро вернется в строй.

Читать полностью…

Помните прогнозы на 2024 год, в которых говорится о росте числа атак на спутниковые группировки 🛰? Обычно мало кто всерьез воспринимает эту проблему. Ну атаки и атаки. Спутники где-то там в космосе и их вообще не видно. Что может случиться с нами, если вдруг спутников не будет? 😮 Жили же сотни лет без них и ничего. Но времена меняются... Тут в одном проекте решили оценить последствия от отказа спутниковых систем в результате кибератаки и вот что получилось - полная неразбериха 📡

Читать полностью…

Прошлая неделя прошла у меня под знаком Уральского форума, а так как я давно что-то не делился впечатлениями от мероприятий, в которых поучаствовал, то я решил стряхнуть пыль с этой темой и написал ✍️. А начав, уже не смог остановиться и чуть-чуть порассуждал о мероприятиях по ИБ, которые... ну это вы уже в блоге прочитаете 🫵

Читать полностью…

Гомофобное шифрование — новый термин от члена ЦИК Антона Лопатина. «Можно быть профессором и разбираться в блокчейне, криптографии, гомофобном шифровании и в чем-либо еще», — заявил Лопатин на круглом столе в Общественной палате, посвященный наблюдению за ДЭГ. Предположим, что Лопатин имел в виду гомоморфное шифрование, которое применяется при электронном голосовании. @cikrf

Читать полностью…

🎭 Венецианские маски – символ стремления к приватности (privacy) и сохранению тайны
🔸Венецианские маски (машкары) традиционно ассоциируются с карнавалом в Венеции, но они использовались и в повседневной жизни с целью скрыть лицо и максимально затруднить установление личности носителя макси. Это служило самым разнообразным целям: романтических свиданий, деловых или политических переговоров, совершения преступлений.
🔸Некоторые макси помогали искажать голос их носителей, а также к максам добавлялись различные накидки и плащи, скрывавшие фигуру и вводившие в заблуждение окружающих о социальном/профессиональном статусе конкретного человека.
🔸И приходит в оперы множество людей в машкарах, по-словенски в харях, чтоб никто никого не познавал, кто в тех операх бывает, для того что многие ходят з женами, также и приезжие иноземцы ходят з девицами; и для того надевают мущины и женщины машкары и платья странное, чтоб друг друга не познавали. Так и все время каранавала ходят все в машкарах: мущины, и жены, и девицы; и гуляют все невозбранно, кто где хочет; и никто никого не знает. (с) стольник П. А. Толстой, 1697
🔸В связи с популярностью масок в Венецианской республике, их использование начиная с 17 века ограничивалось сложной системой законов:
– благородным гражданам, уличённым в использовании масок, запрещалось появление в Большом совете в течение двух лет, на них также налагался штраф в сто дукатов, простолюдинам грозило тюремное заключение до пяти лет;
– в 1615 году вышел закон, запрещающий проституткам ношение масок во время поездок в гондолах;
– людям в масках не разрешалось заходить в церкви, закон 1718 года запретил им даже приближаться к соборам;
– в 1703 году для борьбы с азартными играми запретили ношение масок в казино.

Читать полностью…

❣️Самые загадочные любовные письма в истории❣️

Среди неразгаданных тайн и секретных документов, которые хранят многие архивы мира, есть и любовные письма.

О самых известных и загадочных письмах, хранящих чьи-то сердечные тайны, рассказала Анастасия Ашаева, старший научный сотрудник Музея криптографии, в Дзене Музея криптографии.

Читаем и радуемся, что сегодня можем просто признаться в любви, написав сообщение в Telegram 😎

Читать полностью…

Интересно, согласно исследованию в Топ10 кириллических паролей за 2023-й год не вошла "наташа", которая в прошлом году была на 5-м месте 😲 Да и "марина" опустилась на одну позицию - с 7-й на 8-ю. А вот Топ10 всех вариантов паролей в мире и в России почти не отличаются - только по одной позиции (у нас есть 12345zz, а у "них" - 123123qwe). Этот мир не исправим 🤓

Читать полностью…

Если посмотреть цифры по непрерывности для платформы "Гостех", у меня как-то не бьется история с тремя девятками, то есть 525 минут (почти 9 часов) допустимого простоя в год, и 15 минутами на восстановления для типовых систем и 0 минут - для критичных ГИС. Технологические окна 🪟? И все-таки SLA в 99,9% для широко распиаренного Гостеха - это маловато.

Читать полностью…

Во время проведения операции по удалению раковой опухоли толстой кишки у хирургического робота Da Vinci 🤖 произошел сбой, что привело к повреждению и сожжению толстой кишки. Больной пришлось срочно проводить повторную операцию, которая, к сожалению, в итоге не помогла. Спустя несколько месяцев пациентка скончалась. И как оказалось, у компании Intuitive Surgical, производителе робота Da Vinci, это уже не первый кейс такого рода 🤖

"Ну и что", - спросите вы. "Это же не про ИБ. Неприятный сбой, с софтом/железом такое бывает". Да, соглашусь с этим, но... В данной истории надо смотреть чуть шире и задаться простым вопросом - а могла ли причиной данного сбоя 😵 стать компьютерная атака? И если вы не можете ответить однозначно отрицательно, то стоит задуматься о защите такого объекта как хирургический робот. Ну и про модель угроз не забыть, конечно. 🛡

На видео совсем другой робот, но оно показывает, что роботы в отличие от людей пока не умеют оценивать последствия своих действий. "Сказали" вырвать провод, он вырвал, и не важно, что в результате он сам себя обесточил. Негативные последствия и недопустимые события роботы 🤖 пока не просчитывают, следуя заданным командам, которые могут быть и модифицированы.

Я, когда учился в середине 2010-х годов на курсах SANS по АСУ ТП, экспериментировал ровно таким же образом с мини-светофором. Ты ему отправляешь неожиданные команды или явно враждебные 🤕 и он их прекрасно "кушает", переключаясь на зеленый, когда должен гореть красный. Более красочно это обычно показывается в голливудских боевиках типа "Ограбление по-итальянски" или "Крепкий орешек 4.0" ⚔️

Читать полностью…

Итого, ФСТЭК сейчас создает/разрабатывает (из публично озвученного на конференции в день Трифона-Мышегона):
1️⃣ Требования по обеспечению защищенности государственных информационных систем и значимых объектов критической информационной инфраструктуры Российской Федерации от несанкционированных воздействий типа «отказ в обслуживании»
2️⃣ Типовая программа и методики аттестационных испытаний
3️⃣ Методика анализа уязвимостей
4️⃣ Методика тестирования функций безопасности
5️⃣ Методика испытания системы защиты информации с использованием средств тестирования
6️⃣ Методика тестирования производительности NGFW
7️⃣ Центр компетенций по тестированию производительности, устойчивости функционирования и функциональных возможностей МЭ и иных сетевых устройств
8️⃣ Полигон для тестирования СрЗИ путем эмуляции действий нарушителей
9️⃣ Центр исследований в области обеспечения информационной безопасности при использовании технологий искусственного интеллекта
1️⃣0️⃣ Методика выявления уязвимостей и НДВ в ПО
1️⃣1️⃣ 5 ГОСТов по безопасной разработке, из которых парочка уже принята, но на слайдах не было отражено (руководство по оценке безопасности разработки, руководство по проведению статического анализа, руководство по разработке безопасного ПО, доверенный компилятор C/C++ и управление безопасностью ПО при использовании заимствованных и привлеченных компонентов)
1️⃣2️⃣ Показатель (и методика его определения) состояния защиты информации и обеспечения безопасности объектов КИИ в ОГВ и(или) организации
1️⃣3️⃣ Показатель (и методика его определения) зрелости деятельности ОГВ и организаций по защите информации и обеспечению безопасности объектов КИИ
1️⃣4️⃣ Требования о защите информации, содержащейся в государственных и иных информационных системах, обладателями которых являются РФ, субъект РФ, муниципальное образование

Читать полностью…

Несколько цитат ✍️, которые мне запомнились на Уральском форуме в Екатеринбурге. Вообще их было больше, но это прямо зацепили:

Тот бизнес, который не понимает важность кибербеза, не должен существовать

(с) Дмитрий Гусев

Требования регуляторов - это фанера под пятую точку

(с) Дмитрий Гусев

Договориться с нами легко, если делаете то, что мы [ИБ] сказали

(с) Александр Егоркин

Читать полностью…