📣Анонс новых дат мастер-класса по моделированию угроз

Регистрация

🗓11 и 12 ноября 2026 года
📌Начало в 19:00
📍Москва, офис наших друзей из Звука

Модель угроз не должна быть документом, который создают исключительно для выполнения формальных требований и затем откладывают до следующей проверки.

На мастер-классе мы разберём весь процесс моделирования угроз от требований методики ФСТЭК России и подготовки документа до проектирования безопасной архитектуры и внедрения моделирования угроз в реальные процессы разработки.

🟡11 ноября. День 1. Beginner: комплаенс в моделировании угроз
Пошагово разберём структуру модели угроз, научимся определять потенциальных нарушителей, рассматривать внешние угрозы и оценивать их актуальность. Все этапы будем отрабатывать на конкретных примерах.

🟡12 ноября. День 2. Advanced: практика моделирования угроз
Поговорим о проектировании безопасной архитектуры, современных подходах к защите инфраструктуры и продуктов, неизбежных компромиссах при разработке и месте моделирования угроз в процессах безопасной разработки.
Отдельно обсудим, как выстроить взаимодействие так, чтобы специалисты по ИБ, DPO, юристы, разработчики и архитекторы действительно помогали друг другу, а не превращали моделирование угроз в бесконечное согласование документов.

Мастер-класс проведут:
🔵Валентина Миронова, кандидат технических наук, доцент НИУ ВШЭ, руководитель группы методологии и защиты персональных данных Купера;
🔵Антон Жаболенко, CRO в Positive Technologies, ранее заместитель генерального директора по информационной безопасности и противодействию мошенничеству.

Регистрация

RPPAedu.pro | RPPA.pro |Cyber in privacy

😎 Логи помогают расследовать утечки. Но могут сами стать источником утечки

Когда в системе происходит инцидент, один из первых вопросов звучит так:

📎«Что записано в логах?»

Журналы позволяют восстановить последовательность событий:
🔵кто вошёл в систему;
🔵к какому объекту обращался;
🔵какую операцию выполнил;
🔵был ли запрос успешным;
🔵с какого устройства или адреса поступило обращение;
🔵как отреагировали средства защиты.

Без этих данных сложно выявить атаку, определить затронутые системы и понять масштаб инцидента.

Но разработчики иногда записывают в логи слишком много.

Например:
🟣полное тело API-запроса;
🟣пароль или код подтверждения;
🟣access- и refresh-токены;
🟣ключи шифрования и другие секреты;
🟣полные ФИО, должность, адрес электронной почты;
🟣строки подключения к базам данных.

В результате хранилище логов превращается в дополнительную базу с конфиденциальной информацией.

Причём доступ к ней нередко имеет больше сотрудников, чем к основной системе.

📌Что действительно стоит фиксировать?

Обычно для расследования нужны:
🔵время события;
🔵тип операции;
🔵результат: успешно или отказ;
🔵идентификатор пользователя или сервиса;
🔵идентификатор объекта;
🔵источник запроса;
🔵система, обработавшая событие;
🔵идентификатор сессии или корреляции.

Если сессию необходимо отслеживать, OWASP рекомендует рассмотреть хеширование её идентификатора вместо записи исходного значения.

📌Важно соблюдать баланс!
Если записывать слишком мало, расследовать инцидент будет невозможно. Если записывать всё подряд, сама система журналирования станет новым активом с высоким риском.

Полезные материалы:
🔗OWASP Logging Cheat Sheet
🔗 NIST SP 800-92: управление журналами безопасности

Логи: хороший пример того, почему информационная безопасность и privacy не стоит рассматривать отдельно: данные, необходимые для защиты системы, тоже нужно классифицировать, минимизировать и защищать.

Подробнее об инфраструктуре, инцидентах и технических мерах защиты поговорим на нашем продукте Cyber in Privacy

👇Регистрация

RPPAedu.pro | Level UP: IT

😎 Подготовили для тебя подборку образовательных мероприятий RPPA.pro, которые стартуют уже этой осенью и помогут углубить знания в сфере профессиональных интересов:👇

1️⃣ 152ФЗ RPPA&МГУ - для новичков в 152-ФЗ, а также для всех, кто желает улучшить свои теоретические и практические знания права по ПД и его применения
🔔 Старт: 7 сентября 2026

2️⃣ Data Protection Officers предназначен для профессионалов, желающих углубить свои знания в управлении функцией приватности на роли DPO
🔔 Старт: 7 сентября 2026

3️⃣ Мастер-класс «Real World Data: от персональных данных к управлению данными в проектах» - мастер-класс для тех, кто работает в фарме и(или) медицине для отработки проектных навыков работы с ПД реальной клинической практики
🔔Старт: 1 день - 08 сентября, 2 день - 15 сентября

4️⃣ ИИ регулирование. Intensive - практическое знакомство с использованием ИИ и с функцией AI Governance в формате интенсива
🔔 Старт: 1 октября 2026

5️⃣ Cyber in Privacy - уникальный продукт по информационной безопасности в сфере приватности, доступный даже новичку
🔔 Старт: 5 октября 2026

6️⃣ Privacy Engineering - для тех, кому необходимо внедрить контроли приватности в современную архитектуру бизнеса и IT
🔔 Старт: 29 октября 2026

7️⃣Level UP: IT - для погружения в IT: поможет разобраться в базовых терминах и определениях из мира IT, а также сформирует общее представление об этой области
🔔 Старт: 5 ноября 2026

8️⃣ Мастер-класс «Теория и практика моделирования угроз безопасности персональных данных» - уникальный мастер-класс по отработке конкретных шагов по созданию документа по структуре МУ ФСТЭК России, а также отработке практических прикладных навыков проектирования безопасной архитектуры и моделирования угроз
🔔Старт: 1 день - 11 ноября, 2 день - 12 ноября

9️⃣ Мастер-класс «Поручение на обработку ПД: теория и практика» - для тех, кто хочет фундаментально разобраться в поручении, а также получить презентации на 80+ слайдов и шаблоны по работе с поручением
🔔Старт: 1 день - 16 ноября, 2 день - 19 ноября

Желаем увлекательного образовательного путешествия и будем рады вновь встретиться !😊

RPPA.pro | RPPAedu.pro

😎Файл или база данных - какая вообще разница?

Кажется, что хранение информации устроено довольно просто: есть данные - значит, где-то есть файл, в котором они лежат.

И действительно, для небольшого объёма информации этого может быть достаточно.

Но представим, что у нас уже не список из десяти клиентов, а сотни тысяч пользователей, заказов или операций. Данные постоянно меняются, к ним обращаются не только сотрудники, но и информационные системы.
Обычных файлов для этого становится недостаточно.

Здесь и появляются базы данных.

Они позволяют:
🔵структурированно хранить большие объёмы информации;
🔵быстро находить нужные записи;
🔵изменять данные без необходимости каждый раз переписывать весь файл;
🔵одновременно работать с информацией множеству пользователей и систем;
🔵устанавливать связи между разными наборами данных.

При этом база данных - это не просто «очень большой Excel».

За ней стоит отдельная система управления базами данных - СУБД, которая отвечает за то, как данные записываются, ищутся, изменяются и выдаются приложениям.

А чем это принципиально отличается от обычного файлового хранения - разбираем в видео 👆

Регистрация

RPPAedu.pro | Cyber in Privacy

⚡По следам Дня открытых дверей РКН 2026: итоги

Запись ВК и YouTube, итоги с тезисами

💬 Прокомментировали итоги Дня открытых дверей:

🟡 Кирилл Зюбанов, CDPO, соучредитель ПРОПД и ПЕРСОНЕМЫ, создатель игр Privacy Strikes и Privacy Sprint

🟡 Денис Лукаш, управляющий партнёр Lukash & Partners, юрист в области информационного права, профессиональный DPO

🟡 Герман Сабиров, руководитель направления правовой защиты данных и интеллектуальной собственности экосистемной финансовой организации,
глава RPPA.pro FinTech Club

🟡 Алексей Мунтян, основатель Privacy-Advocates.ru, соучредитель RPPA.pro, участник центра компетенций Роскомнадзор

🟡 Кристина Боровикова, просто зашла на мит

🔥 На мероприятии обсудили ключевые тезисы Дня открытых дверей Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций в 2026 году!

Спасибо, что были с нами! Ждём всех на новых мероприятиях от RPPA.pro. и партнёров.

Благодарности ПЕРСОНЕМАМ за бинго!

RPPA.pro | RPPAedu.pro | CC

😎Файл или база данных - какая вообще разница?

Кажется, что хранение информации устроено довольно просто: есть данные - значит, где-то есть файл, в котором они лежат.

И действительно, для небольшого объёма информации этого может быть достаточно.

Но представим, что у нас уже не список из десяти клиентов, а сотни тысяч пользователей, заказов или операций. Данные постоянно меняются, к ним обращаются не только сотрудники, но и информационные системы.
Обычных файлов для этого становится недостаточно.

Здесь и появляются базы данных.

Они позволяют:
🔵структурированно хранить большие объёмы информации;
🔵быстро находить нужные записи;
🔵изменять данные без необходимости каждый раз переписывать весь файл;
🔵одновременно работать с информацией множеству пользователей и систем;
🔵устанавливать связи между разными наборами данных.

При этом база данных - это не просто «очень большой Excel».

За ней стоит отдельная система управления базами данных - СУБД, которая отвечает за то, как данные записываются, ищутся, изменяются и выдаются приложениям.

А чем это принципиально отличается от обычного файлового хранения - разбираем в видео 👆

RPPAedu.pro | RPPA.pro | Levei UP | Сyber

Готовьте календари: через месяц, 8-9 сентября в Москве пройдёт Международный ПЛАС-Форум «Платёжный бизнес и денежное обращение». Ключевые участники, острые темы, живой диалог

🔥 Горячие темы — только то, что реально волнует рынок:
• Цифровой рубль, криптовалюты и CBDC
• Импортозамещение и технологический суверенитет
• Безопасность платёжного бизнеса и НДО
• СБП, универсальный QR, трансграничные платежи
• AI, биометрия и удалённая идентификация
И другие, не менее важные, темы

Международный масштаб: уже подтверждены участники из Узбекистана, Казахстана, Китая, Южной Кореи, Беларуси, Армении, Испании и других стран.

На сцену выйдут топ-менеджеры ключевых игроков рынка, а параллельно развернётся масштабная выставка передовых технологий. Вас ждут эксклюзивная аналитика, живые кейсы, мощный нетворкинг и инсайты.

Среди прочих сессий вас ждёт объединённая сессия: Безопасность Платёжного бизнеса и Наличного обращения. Усилия регулятора по борьбе с мошенничеством

🎬 Всё самое интересное — уже в проморолике

Повлияйте на профессиональную дискуссию, которая определяет завтрашний день финансов.

Регистрируйтесь прямо сейчас. Места ограничены.

📌8–9 сентября, Москва, отель «Рэдиссон Славянская», площадь Евразии, д. 2.

У наших партнеров ивент, вот рассказываем тут

😎📱Первые отзывы по окончании нашего 1-ого потока Level UP: IT уже на сайте!

📌10 насыщенных занятий, 3 крутых преподавателя и 1 месяц плотного погружения в основы, это был настоящий интеллектуальный марафон. И судя по твоим словам (смотри на сайте), он прошел не зря!

Спасибо каждому, кто был с нами на этом потоке!

⬇️Наш следующий поток стартует уже в начале ноября. Присоединяйся!🙂

Регистрация

RPPAedu.pro | RPPA.pro | Levei UP | Сyber

😎 SMS-код включён. Значит ли это, что аккаунт надёжно защищён?

Многофакторная аутентификация предполагает использование факторов разных типов:

🔵то, что пользователь знает = пароль или PIN-код;
🔵то, чем пользователь владеет = телефон, приложение или аппаратный ключ;
🔵то, чем пользователь является = биометрические характеристики.
Пароль и второй пароль — это не MFA: оба относятся к одному фактору знания.
Но и наличие двух разных факторов ещё не означает одинаковый уровень защиты.

Какие варианты используются чаще всего?
1️⃣Код из SMS
Лучше, чем один пароль, но зависит от телефонного номера и мобильной сети. Риски включают перевыпуск SIM-карты, перенос номера и социальную инженерию.
NIST относит аутентификацию через телефонную сеть к ограниченным методам и рекомендует учитывать смену SIM-карты, перенос номера и другое аномальное поведение.

2️⃣Код из приложения-аутентификатора
Не зависит от доставки SMS, но пользователь всё ещё может ввести код на фишинговом сайте. Злоумышленник способен перехватить его и сразу использовать на настоящем ресурсе.

3️⃣Push-уведомление
Удобно, но возникает риск MFA fatigue: злоумышленник многократно отправляет запросы, пока пользователь случайно или из-за раздражения не нажмёт «Подтвердить».
Более безопасный вариант — сопоставление чисел, когда код на экране входа необходимо выбрать или ввести в приложении.

4️⃣Passkey или аппаратный ключ
Такие методы привязывают аутентификацию к конкретному сайту. Поддельная страница не сможет использовать подтверждение для входа на настоящий домен, поэтому этот подход считается устойчивым к фишингу.

Практический ориентир:
SMS лучше, чем отсутствие второго фактора. Приложение и number matching надёжнее против части атак. Для критичных доступов приоритетом должна быть устойчивая к фишингу MFA.

Выбор способа аутентификации — это не галочка в политике, а решение, которое должно учитывать ценность данных, роль пользователя и реальные сценарии атак.

Подробнее уже на Cyber in Privacy.

RPPAedu.pro | RPPA.pro | Levei UP | Сyber

😎🫶152-ФЗ: обращение партнера и соавтора курса 152ФЗ, соучредителя RPPA.PRO и партнера Privacy Advocates по итогам окончания весеннего 3-го потока перед стартом сентябрьского обучения!

Привет! Это Александр, партнер курса 152-ФЗ. В продолжение поста от Ильи Афанасьева тоже желаю сказать несколько слов о завершившемся потоке и курсе, в целом.

Я благодарен нашим выпускникам за активность на лекциях, семинарах и в чатах, а особенно - за споры по отдельным вопросам. На этом и предыдущем потоках было несколько таких запоминающихся слушателей:) При том, что для любого юриста несогласие с его точкой зрения - это вызов, именно в таких спорах появляются вопросы, которые заставляют задуматься и наводят на новые мысли и идеи.

На наших курсах я всегда говорю, что важны не решения судов и письма от регуляторов, а собственная правовая позиция. Именно она позволит вам уверенно отстаивать свои интересы при проверке, профилактическом визите или споре в суде. И только она позволит обеспечить нужную предсказуемость для вашего бизнеса и последовательность в своих действиях.

Если бы не было людей, готовых оспаривать сложившийся статус-кво, не появилось бы "дела Аэрофлота" и иных значимых дел. Поэтому я рад, что на каждом нашем потоке встречаются люди, готовые аргументированно не согласиться с преподавателем или другими слушателями и отстоять свою точку зрения. Надеюсь, что это же я смогу повторить и про наши будущие потоки курса.

🟠А здесь можно посмотреть рассказ о продукте от Александра Партина

Начинаем уже 3-его сентября (постараемся без шуток про календарь), будем ждать :)

RPPA.pro | 152ФЗ | RPPAedu.pro