Пост Лукацкого

15 октября 2023 08:40

В октябре в США и других странах уже много лет проходит Cybersecurity Awareness Month. Вот так повышают осведомлённость в одной из городских библиотек Вашингтона.

Пост Лукацкого

14 октября 2023 16:28

CIO Джонсон & Джонсон как-то сказал: "Нет такой вещи как ИТ-проект. Есть бизнес-инициатива с ИТ-компонентой". Если применить это к ИБ, то сразу станет понятно, что на «проекты», не имеющие отношения к бизнесу, последний ресурсов не выделит 🤑, так как не понимает, зачем.

Выполнение ФЗ? Зачем это бизнесу!? Закупка NGFW? Зачем это бизнесу? Заказ пентеста? Зачем это бизнесу? 🤔 Есть эта связка? Бизнес готов разговаривать. Нет ее, бизнес будет относиться к ИБ по остаточному принципу. Даже на compliance бизнес смотрит с точки зрения выгод/потерь. Тратить бабки только потому, что где-то написано, что надо вести журнал учета СКЗИ? 😂 Ну такое себе.

Пост Лукацкого

14 октября 2023 12:39

🤔В Кемерове преподаватель по кибербезопасности одного из технических вузов города перевел мошенникам около 4 млн рублей

🚨В отдел полиции «Южный» УМВД России по г. Кемерово обратился 51-летний местный житель, работающий преподавателем по кибербезопасности одного из технических вузов. Он сообщил, что неизвестные обманным способом похитили у него крупную сумму денежных средств.

📱Полицейские выяснили, что потерпевшему позвонил мужчина, который представился сотрудником правоохранительных органов. Он сообщил, будто в учебном заведении, работником которого тот является, злоумышленники продают мошенникам персональные данные преподавателей.

👩‍💻Вскоре горожанину позвонила якобы специалист банка, которая пояснила, что кемеровчанину следует «понизить кредитный потенциал», чтобы информацией не могли воспользоваться злоумышленники - для этого нужно взять несколько займов в различных банках, после чего перевести денежные средства на «безопасный» счет.

💳В течение четырех дней потерпевший оформил 4 кредита, а также продал свой автомобиль «Рено Логан». Собранные денежные средства в размере около 4 млн рублей он 20 переводами перечислил на указанные счета. Только после этого потерпевший осознал, что стал жертвой аферистов, и обратился в полицию.

❗Сейчас сотрудники уголовного розыска устанавливают подозреваемых. Следователем отдела полиции «Южный» УМВД России по г. Кемерово возбуждено уголовное дело по признакам преступления, предусмотренного ч. 4 ст. 159 УК РФ «Мошенничество», которая предусматривает до 10 лет лишения свободы.

Пост Лукацкого

14 октября 2023 08:40

23-го октября на конференции "Защита данных" буду модерировать секцию "То, о чем никто не хочет думать, занимаясь защитой данных", на которой не хочется говорить о всяких DLP, DCAP, DAG и тому подобных аббревиатурах, а поговорить об опыте заказчиков в иных областях, имеющих отношение к защите данных. Будем говорить про незакрытые порты на периметре, выставленные базы данных, защиту подрядчиков, классификацию данных, мониторинг DNS для контроля утечек, privacy bug bounty и т.п. От коллег будет два выступления:
🔤"Про что могут забыть даже самые внимательные котики". Анастасия Гайнетдинова, IT Secutity Analyst, Whoosh 🛴
🔤"То, чем стоило заняться вчера: защита данных, когда их стало слишком много". Глеб Марченко, Руководитель направления DataSecurity, Тинькофф 🏦

Ну и на правах ведущего секции тоже расскажу что-нибудь интересное. Уже и название придумал - "Биздата. О защите бизнес-данных нетрадиционными мерами, которые реализованы у всех" 👨‍💻.

Пост Лукацкого

13 октября 2023 17:01

Лучшие практики ИБ, на которые отдельные депутаты Госдумы советуют равняться. Рекомендуют ДСПшные отчеты губернатору отправлять по внутреннему электронному документообороту или через более удобные, ну и что, что иностранные, мессенджеры!

ЗЫ. Всегда так делаю!

Пост Лукацкого

13 октября 2023 06:40

🤖 Насколько киберустойчива ваша цифровая трансформация?

В качестве одного из параметров рейтинга руководителей цифровой трансформации (РЦТ), или оперативного рейтинга, был добавлен показатель «информационная безопасность». Он в том числе позволяет оценить исполнение Указа №250.

Мы создали калькулятор для расчета показателя ИБ. С его помощью вы сможете понять, насколько ваша компания соответствует требованиям к необходимому уровню кибербезопасности, а также узнать, сколько баллов приносит соответствие каждому критерию.

🧮 Рассчитать показатель

Пост Лукацкого

12 октября 2023 19:27

К разговору о численной оценке рисков. Сегодня выступал на конференции Beeline Cloud в секции про искусственный интеллект, а до нее слушал секцию про облака, в конце которой один из слушателей спросил, какие методы численной оценки рисков используют участники сессии. И чтобы вы думали? 🤔 Никто не ответил на этот вопрос. Все ссылались либо на то, что и так все понятно, либо на то, что облака - это уже давно commodity и нет там никаких особых рисков (странно вообще сопоставлять commodity и отсутствие рисков, ну да ладно), либо на SLA по надежности.

Но про обычную оценку рисков, о которой в теории знают все, никто так и не сказал. И я буду в Дубае в том числе про это говорить - одно дело теоретизировать про расчеты вероятности и ущерба и совсем другое - пытаться на практике найти данные для расчета и не утонуть в этих самых расчетах; да еще и так посчитать, чтобы тебе поверили и не ставили под сомнение. Одно дело - говорить про метод светофора 🚦и совсем другое - идти с ним к клиентам или бизнесу. В итоге дискуссия закончилась классикой - вы либо доверяете людям, работающим в облаке, либо нет 😊

ЗЫ. Я прям хотел вырваться на сцену и закричать: "Парни, ну вы что, есть же недопустимые события и они прекрасно понятны лицам, принимающим решения", но я сдержал себя 😊

Пост Лукацкого

12 октября 2023 12:10

5 миллионов атак за 10 дней 😮 Все-таки, мне кажется, мы еще настрадаемся с разницей в терминах «компьютерная атака», «событие безопасности», «инцидент ИБ» и т.п. у НКЦКИ, ФСТЭК, ЦБ. Ну и отображать на дашбордах, особенно руководителя, все-таки лучше что-то влияющее на бизнес-показатели или показатели госуправления - инциденты с катастрофическими последствиями (недопустимые события). Просто показывать миллионы атак изо дня в день - глаз замылится и мы перестанем замечать «атаки» вообще. Ну и мне не хватило на этом дашборде подсвечивания динамики (цветом или направленной вверх/вниз стрелкой).

Пост Лукацкого

11 октября 2023 20:09

Вообще бомбические intro-видео были в этот раз на Positive Security Day. Не устаю пересматривать 😊 Не только свое, но и у коллег, представленных в форме героев "Хоббита", "Людей Икс", "Интерстеллар", "Агента 007" и т.д.

ЗЫ. Кстати, уже и сами презентации выложили на сайте, в разделе "Программа".

Пост Лукацкого

11 октября 2023 13:39

Что делать, чтобы ИБшники перестали, встретив препятствия, бежать к регулятору и требовать от него ответа? На месте регулятора я бы делал следующее:
1️⃣ Пропасть на время. Если человек понимает, что его кинули все, в кого он верил и на кого он надеялся, ему остается только полагаться на свои силы и поверить в себя.
2️⃣ Не надо обсуждать с ИБшниками проблемы - надо стимулировать ИБшника предлагать способы их решений и обсуждать именно их. Нет решения, пусть идут и думают, пока не предложат хоть что-то, что и можно будет обсуждать.
3️⃣ Не давать правильных ответов. В ИБ вообще не бывает единственного верного решения. Пусть ИБшники фокусируются на способах решениях проблемы, а не ждут, когда регулятор им спустит сверху "правильный ответ", за который "никто не накажет". Неограниченный заранее предопределенными ответами, ИБшник может найти нестандартное решение своей задачи.

Больше говорить, какого результата надо достичь. Меньше говорить, что это надо делать. Молчать о том, как это надо делать. И совсем перестать при проверках говорить, что правильно, а что нет, если достигается определенный результат. Задача регуляторов воспитывать в ИБшниках инициативу и критическое мышление, быть гибкими и способными брать на себя ответственность, умеющими учиться, а тупо выполняющими сотни страниц мало кому понятных требований.

Пост Лукацкого

11 октября 2023 06:40

В 1985-м году Лиза Белкина опубликовала в The New York Times занятную статью о том, как Procter & Gambles боролась с инцидентом ИБ с негативом в отношении себя. В 1982-году в США кто-то стал распространять слухи о том, что в шоу то ли Мерва Гриффина, то ли Фила Донахью, P&G признала, что поддерживает организацию "Церковь Сатаны". И листовки об этом были разосланы по многим американцам, 15 тысяч из которых позвонили в P&G с гневными заявлениями.

В 1985-м году история повторилась. Кто-то стал распространять слухи о том, что P&G не только скрыто поддерживает сатанистов, но и открыто пропагандирует свою связь с дьяволом. Логотип содержит перевернутое число 666, на нем изображены рога Сатаны и присутствует 13 звезд, складывающихся в тоже число 666. Компания также стала получать звонки тысячами, что привело к принятию целого ряда экстренных решений:
🧻 Был организован бесплатный телефонный номер, чтобы перенаправить на него звонки вместо основного номера компании
🧻 Наняла два детективных агентства, которые провели расследование инцидента и попытались найти источник распространения слухов
🧻 Созвала пресс-конференцию, на которой было рассказано, что логотип известен еще с 1882 года, что 13 звезд - это 13 колоний и т.п.
🧻 Призвала на помощь религиозных лидеров, которые в своих проповедях утверждали, что это все слухи и неправда.

После этого несколько виновников распространения слухов были задержаны и переданы правоохранительным органам, которые и возбудили дела против них. Но только после того, как были реализованы первые экстренные шаги, снявшие первую негативную реакцию и позволившие взять ситуацию под контроль.

К чему эта долгая прелюдия и причем тут кибербез? Все просто. Замените "слухи о поддержке сатанистов" на "сведения об утечке ПДн клиентов" и вы поймете, как вам надо выстраивать антикризисный PR в такой же ситуации:
🔤 Первая реакция должна быть незамедлительной, в течение 2-4 часов после публикации данных об инциденте. Необязательно говорить/писать что-то очень много и детально. Достаточно просто показать, что в курсе и что вы начали разбираться в ситуации. Лучше аудитория ждет вашего следующего шага, чем верит анонимным Telegram-каналам и СМИ, использующим непроверенные "факты".
🔤 Второй контакт с внешним миром должен быть более развернутым. В нем надо показать, что вы отнеслись к фактам, пусть и пока непроверенным, серьезно. Что топ-менеджмент в курсе происходящего и вовлечен в решение проблемы. Что вы привлекли внешних экспертов, которые помогают вам в расследовании. Что мы открыты и ничего не скрываем.
🔤 Третий контакт может быть уже после проведенного вами расследования с раскрытием всех деталей, которые показывают вашу невиновность или вину. В первом случае вы делитесь деталями расследования и найденным виновником всех проблем (если он есть). Во втором случае стоит объяснить причины произошедшего, извлеченные уроки и действия по недопущению схожих инцидентов впредь.

Учите основы PR - это тоже зона внимания руководителя ИБ.

Пост Лукацкого

10 октября 2023 16:58

Когда вы отсечете все "мелкие" риски, последствия от реализации которых не являются катастрофичными для совета директоров/бизнеса, у вас и останется всего с пяток серьезных проблем, которые и называются нонче недопустимыми событиями 😊 Отличия от рисков два - озвучиваются они сверху (советом директоров / бизнесом) и нет сложных формул расчета ущерба и вероятности.

Так в рисках же часто и не считает никто по сложным формулам, ограничиваясь "светофором" 🚦, скажете вы. Да, это популярнейшая история подмены понятий. Не можем/не хотим считать, упрощаем до "светофора". Но в этом случае теряется весь смысл, так как трактовка понятий "высокий", "средний" и "низкий" 🕯 у тех, кто считает, и у тех, кому представляют результаты, могут быть совершенно разные. Когда топ-менеджер сам определяет катастрофичность последствий - это совсем не то, когда это делает человек "на зарплате", не несущий никакой ответственности за бизнес-показатели.

Поэтому термин "недопустимые события" имеет право на существование именно потому, что он не имеет ненужного флёра. Если в организации ключевые риски выбирают топы и этих рисков немного, а последствия от них очень серьезные, то можно использовать и термин "риски". Почему нет? Главное, соблюсти эти условия.

Пост Лукацкого

10 октября 2023 09:58

Минцифры планомерно расширяет scope своих систем, которые планирует выводить на bug bounty. Вкупе с методикой оценки руководителей по цифровой трансформации, которая включает в себя пункт по выводу государственных информационных систем федеральных органов исполнительной власти, у регулятора вполне серьезные планы расширить требования ФСТЭК по анализу защищенности переведя их на непрерывные рельсы. Сначала от организаций требовали устранять уязвимости, потом проводить регулярные пентесты, потом ежегодные киберучения (это уже по линии НКЦКИ), теперь и вовсе требуют непрерывной оценки через механизм Bug Bounty.

Не всем это нравится по понятным причинам. Тут уже не отмазаться аттестатом соответствия - надо реально выстраивать процесс анализа защищенности и устранения выявленных багов. Не все имеют на это ресурсы. Не у всех есть квалификация. Да и с точки зрения платформ bug bounty есть свои нюансы - не хватает хакеров, не всегда понятна юридическая составляющая процесса (вчера на Positive Security Day, на финальной сессии, даже был вопрос из зала про это). Ллиха беда начало. Ломать сложившуюся годами практику непросто (это как ломать плохо сросшиеся кости - больно, но никуда не деться, если потом хочется быть здоровым). Но и жить по старому уже нельзя. Судя по поляризации мира и росту числа геополитичексих конфликтов, которые сопровождаются конфликтами и в киберпространстве, спокойная жизнь нам теперь будет только сниться. А раз так, то и готовиться к ней надо иначе.

Пост Лукацкого

10 октября 2023 06:40

История с разработкой единого перечня защитных мер (с единым именованием, и единой нумерацией) существует не первый год. Более того скажу, что эта идея обсуждалась после выхода 31-го приказа (2014-го года), так как уже тогда появилась некоторая путаница с некоторыми из мер защиты. Так что выпуск единого перечня сильно помогло бы всем, да и регулятору было бы проще вносить правки в один документ, а не в пять приказов (17/21/31v2014/31v2017/239).

А вот документ про компенсирующие меры, как мне кажется был бы лишним. По крайней мере, я не очень понимаю, что там можно написать на целый документ. Указывать, какие компенсирующие меры можно применять, а какие нет? Ну тогда это просто расширение перечня защитных мер и не более. В том и смысл компенсирующих мер, что они не регулятором навязываются и определяются.

Идея с указанием в реестре сертифицированных СрЗИ реализуемых защитных мер тоже, на мой взгляд, скорее навредит, чем поможет. Если бы у нас ФСТЭК выпускал свой требования оперативно, а не годами тянул даже с обещанными РД, а продукты выполняли на 100% требования РД и ничего более, то тогда это и имело бы смысл. Но у нас не выполняется оба условия - многих, ранее озвученных, готовящихся документов нет до сих пор, а сами решения реализуют гораздо больший функционал, чем это прописано в РД. И в чем тогда смысл? Заказчик все равно будет смотреть на описание продукта, а не новую колонку в реестре ФСТЭК. А потом будет пилотировать решения, а не доверять опять же указаниям ФСТЭК о реализуемости той или иной меры.

Пост Лукацкого

09 октября 2023 17:04

У коллег в канале отрасль ИБ в лицах в стиле анимэ. Максимов, Касперский, Сачков, Наумова, Касперская и я 😊

Пост Лукацкого

14 октября 2023 20:12

Навеяло большим количеством мероприятий по искуственному интеллекту 🤯 за последнее время...

в условиях нехватки данных
сием придумывает сам
энэс атаки инциденты
и индикаторы врагов

ЗЫ. Хотя на этапе тестирования решения применение синтетических данных, созданных с помощью ML, вполне себе тема...

Пост Лукацкого

14 октября 2023 13:12

Подписчики пишут (спасибо им за это) про последнюю историю с попавшим на удочку преподавателем 👨🏼‍🏫 кибербеза, что высока вероятность, что перед тем, как ему позвонили сотрудники правоохранительных органов 👮🏻‍♀️, ему якобы написал его руководитель, что с ним свяжется куратор по линии МинОбрНауки из ФСБ, которому надо оказать содействие. Ну а дальше все, как в новости... Достаточно популярная схема сейчас, многоходовая, но действенная 🙏

Пост Лукацкого

14 октября 2023 12:39

С одной стороны, по опыту могу сказать, что на грамотный фишинг 🎣 (почтовый, голосовой и тд) ловятся все, даже специалисты по ИБ 🎣 Только уровень попадания ниже, чем у рядовых пользователей. А с другой стороны, это, конечно, залёт. 4 дня не понимать, что ты жертва популярной мошеннической схемы?.. Нууу, такое себе.

ЗЫ. Хотя первый шаг в этой схеме заставляет задаться вопросом - не целенаправленная ли это была атака и не знали ли мошенники, кому они звонят? Может преподаватель реально считал, что он участвовал в спецоперации по поимке торговцев живым товаром персданными?

Пост Лукацкого

13 октября 2023 20:01

​​🔊 ГОСТы по КИИ

На сайте ФСТЭК России можно ознакомиться с проектами предварительных национальных стандартов, касающихся обеспечения безопасности КИИ, разработанные техническим комитетом по стандартизации «Программно-аппаратные комплексы для критической информационной инфраструктуры» (ТК 167):

• «Инфраструктура критическая информационная. Термины и определения».

• «Инфраструктура критическая информационная. Доверенные интегральные микросхемы и модули. Общие положения».

• «Инфраструктура критическая информационная. Доверенные программно-аппаратные комплексы. Общие положения».

Пост Лукацкого

13 октября 2023 13:25

1️⃣ Российские пранкеры Вован и Лексус разыграли глав МИД Финляндии и Швеции, а также шведского министра обороны, поговорив с ними от лица представителя Африканского континента (гуталином они что ли мазались?).
2️⃣ Украинские военные позвонили на Уралвагонзавод из-за сломанного танка еще советских времен и им оказали необходимую техническую поддержку, только потом поняв, с кем поддержка имеет дело.
3️⃣ Хакеры позвонили в техподдержку сети отелей MGM Grands и, сославшись на забытый пароль, попросили прислать им его заново, что техподдержка прекрасно и сделала.
4️⃣ "Служба безопасности Сбербанка" стала мемом, имея под собой наипопулярнейший метод мошенничества по телефону путем маскировки под сотрудников банка или представителей власти.

Внимание, вопрос! На дворе 2023-й год, люди в космос летают ИИ используют и генетический код редактируют. Неужели до сих пор никто не озаботился разработкой способов аутентификации звонящих по телефону и включении этого вектора не только в модель угроз, но и в тренинги для сотрудников? Как мы COVID-19 пережили-то?

Пост Лукацкого

13 октября 2023 06:40

Пятница... Самое время расслабиться, совместив приятное с полезным. А именно оценить уровень кибербезопасности своей цифровой трансформации, а также уровень соответствия требованиям 250-го Указа Президента. Минцифры выпустило методику, где одно из приложений посвящено как раз ИБ, а мы его оцифровали. Если вы не руководитель цифровой трансформации, то для вас это методика не имеет никакого значения, но вы можете просто оценить себя.

ЗЫ. А вдруг Минцифры распространит эту методику на всех, кто попадает под 250-й Указ?

ЗЗЫ. Никакие ваши данные не собираются и не сохраняются. Это просто сервис самопроверки и не более.

Пост Лукацкого

12 октября 2023 15:44

Крепкие мужские руки все чаще стали касается моего тела - то барбер перед очередным эфиром подравнивает мою бороду, то звукорежиссер залезет мне под рубашку, чтобы навесить петличку микрофона. А все почему?

Количество выступлений в неделю стало превышать число дней в ней и это соотношение продолжает держаться последнюю пару месяцев. Так что всего парочка выступлений в Дубае 🇦🇪 - это отдых (двусмысленно как-то прозвучало) 🏝 Правда, выступать мне на языке, на котором я не говорю 😱

ЗЫ. Из-за этого пропущу Евразийский конгресс по защите данных (EDPC), на которым традиционно выступал последние годы. Ну а вы не пропускайте, если вам близка тема персданных ✊

Пост Лукацкого

12 октября 2023 08:30

🤖 Какие угрозы несут технологии искусственного интеллекта и больших данных для пользователей и компаний? А какую пользу приносят? Необходимо ли импортозамещение в этой сфере?

Об этом уже сегодня в 12:00 на конференции Deep Cloud Dive поговорит Алексей Лукацкий, бизнес-консультант по информационной безопасности Positive Technologies, вместе с другими экспертами IT-рынка.

👀 Посмотреть онлайн-трансляцию можно будет бесплатно, для этого необходимо заранее зарегистрироваться.

@Positive_Technologies
#PositiveЭксперты

Пост Лукацкого

11 октября 2023 17:05

Кто бы мог подумать, что депутаты-члены комитета ГД по ИТ так прямо воспримут идеи об использовании креста и святой воды для улучшения кибербеза в стране.

Пост Лукацкого

11 октября 2023 10:01

Если вдруг вы пропустили Positive Security Day, не имея возможности ни прийти физически, ни посмотрев его в онлайне, то это не беда, на сайте уже выложены записи всех выступлений. И да пребудет с вами Сила, Сила ИБ!

Пост Лукацкого

10 октября 2023 20:13

Авторы говорят, это все типы и подтипы киберпреступлений в мире. Однако, увы, не все. Но попытка все собрать в одной картинке похвальная.

Пост Лукацкого

10 октября 2023 13:31

В японском городе Киото начал свою работу XVIII Форум ООН по управлению Интернетом (IGF-2023). Я понимаю, что ООН всегда была за все хорошее против всего плохого, но последние годы она вообще оторвана от реалий и от жизни, не имея реальной силы на какие-либо серьезные изменения в геополитике. И проходящий IGF, как мне кажется, лишний раз это демонстрирует. Во-первых, среди семи треков программы один посвящен фрагментации Интернет, что уже маловероятно повернуть вспять. Опыт России, Китая и других стран с авторитарным руководством показывает, что балканизация Интернета не только возможна, но и вполне себе реализуется. И по мере расширения очагов напряженности в мире, число Интернет-анклавов тоже будет расти, совпадая с технологическими блоками (США, Китай, Индия, Россия, Европа и их сателлиты).

Во-вторых, на IGF ода из сессий посвящена вопросу регулирования Darknet. Регулирование! Даркнета! Ну это все равно, что регулировать развитие ИИ и грозить пальцем хакерам, чтобы они не использовать ИИ во вредоносных целях. Но на грозящий палец всегда находится палец другой, не грозящий, а торчащий. И тоже самое с Darknet. Ну какое там может быть регулирование? Смешно.

Наконец, Россия предлагает в 2025-м году провести в России 20-й, юбилейный IGF (не путать с RIGF). И, как мне кажется, надо быть совсем оптимистом в розовых очках, чтобы надеяться на то, что ООН согласится на эту авантюру и что к нам вообще кто-нибудь приедет. Это ООН может заявлять об одинаковых возможностях Интернета для всех (а это главная тема форума) и равенстве всех народов, но мы-то понимаем, что абсолютное большинство стран будет бойкотировать поездки в Россию.

В общем, ООН надо быть ближе к Земле и заниматься чем-то более полезным, а не популистскими темами...

Пост Лукацкого

10 октября 2023 06:40

📖 Единый классификатор мер защиты информации

ФСТЭК России подтверждает, что осуществляет работы по разработке единого классификатора мер защиты, призванного объединить и гармонизировать одновременно схожие и отличающиеся меры защиты (безопасности) из 4-ки своих приказов 17, 21, 31 и 239.
Кроме того, регулятор разрабатывает методический документ по реализации компенсирующих мер, если та или иная мера защиты, указанная в соответствующих требованиях по защите информации, не применима.
Также стоит ожидать, что в реестре сертифицированных СрЗИ может появится указание на то, какая мера защиты информации реализуется выбранным СрЗИ.

⭐️ Спасибо подписчику за информацию.

Пост Лукацкого

09 октября 2023 19:54

Новый метод аутентификации - LIPA (Lip Authentication) 👄

Пост Лукацкого

09 октября 2023 13:37

АНБ и CISA выпустили очередное руководство по идентификации и аутентификации, опираясь на сложности, с которыми сталкиваются разработчики и вендора. И это спустя полгода после выпуска руководства по управлению IAM для админов.