⚙️Согласно исследованию команды «Экспресс 42» больше четверти опрошенных компаний в России отмечают нехватку знаний в области выстраивания процессов DevSecOps.

В отчете «Исследование состояния DevOps в России» приняли участие более 2000 специалистов и руководителей из организаций различных сфер деятельности. Лидирующими отраслями по количеству опрошенных стали информационные технологии, финансы и банковское дело, а также ритейл.

Исходя из результатов опроса, эксперты обнаружили рост интереса к DevSecOps (выстраиванию процессов безопасности разработки ПО), как к отдельному направлению деятельности в организациях. Респонденты стали обособлять DevSecOps от работы основных core-команд ИБ (сетевой безопасности, администрирования СЗИ, комплаенса, и т.п.).

❗Согласно отчету 27% респондентов признаются в недостатке знаний и опыта в области DevSecOps. При этом 42% опрошенных ставят перед своими командами цели по повышению безопасности разрабатываемых ими продуктов.

Эксперт AKTIV.CОNSULTING Александр Моисеев отмечает, что причинами этого могут быть:

▶️появление большого числа регуляторных требований за последнее время (ЦБ РФ, ФСТЭК России, Минцифры);

▶️обострившиеся атаки на инфраструктуру отечественных компаний (в т.ч. при помощи эксплуатации уязвимостей заимствованных компонент и библиотек);

▶️повышение инженерной культуры и внедрение лучших практик разработки (особенно это касается IT-вендоров и тех IT-команд, которые занимаются поддержкой высоконагруженных проектов);

▶️повышение зрелости бизнеса в этом направлении (многие компании поняли ценность DevSecOps для своей деятельности).

Подробнее ознакомиться с исследованием вы можете по ссылке.

💬tg_AC

🗣Компания Qualys представила рейтинг из 20 самых эксплуатируемых уязвимостей, которые используются для совершения атак и распространения вредоносного или вымогательского ПО. Что интересно, 15 из представленных в рейтинге уязвимостей затрагивают продукты Microsoft.

❗️Так, например, первое место занимает уязвимость CVE-2017-11882: повреждение памяти в Microsoft Office, позволяющее выполнить код при открытии специально оформленного документа. Уязвимость использовалась для компрометации систем в 467 вредоносных ПО, атаках 53 злоумышленников и 14 вымогательских программах.

Ознакомиться с рейтингом уязвимостей

💬tg_AC

🗣Представлено обновление инструмента Caldera. Новый модуль будет использоваться в промышленных системах для тестирования защиты критически важных объектов.

Caldera — программа открытого типа, которая позволяет имитировать действия потенциального атакующего. Основой для этого процесса служит известный фреймворк MITRE ATT&CK — своего рода справочник для понимания и реагирования на киберугрозы.

⚔️Обновление будет поддерживать ключевые промышленные протоколы: BACnet, Modbus и DNP3. Программа поможет моделировать сценарии, которые представляют угрозу конкретно для производственных механизмов. На GitHub уже доступны подробные инструкции по установке.

💬tg_AC

📣Новостной дайджест прошедшей недели

🗣Подготовлены поправки в законопроект о порядке обезличивания персональных данных
Поправки предусматривают установление порядка того, как будут обезличиваться ПДн, а также механизм получения согласия на их обработку.

🗣Начал работу первый Межвузовский SOC в нашей стране
Главная задача нового Центра – повысить уровень информационной безопасности в российских вузах и готовить практикующих ИБ-специалистов со студенческой скамьи.

🗣Минцифры пересмотрит стандарты подготовки специалистов в сфере кибербезопасности
Ведомство готовит обновление с учетом текущего уровня угроз, заявил глава министерства.

🗣В России предложили создавать «школы киберразведки» для студентов
Их выпускники должны будут иметь возможность претендовать на гарантированное трудоустройство в области кибербезопасности в крупнейших компаниях страны.

🗣Сбер предлагает применять оборотные штрафы в отношении оператора персональных данных только в исключительных случаях
В письме правительству банк уточнил, что основным критерием для квалификации нарушения и назначения наказания за утечку ПДн должно стать их неправомерное распространение неограниченному кругу лиц.

🗣В Telegram наблюдается существенный рост объёма фишинга
По экспертным оценкам, количество фишинговых ресурсов в мессенджере выросло в пять раз за первую половину этого года.

🗣В Томском университете открыли лабораторию по кибербезопасности КИИ
Новый центр поможет студентам получить комплексное представление о процессе управления инцидентами в безопасности компьютерных систем.

💬tg_AC

⚡️Сегодня хотим поделиться списком интересных отраслевых мероприятий, которые пройдут в октябре.

🌐 Конференция АБИСС по вопросам регуляторики в сфере ИБ
10 октября, Москва
Мероприятие призвано объединить специалистов, деятельность которых сопряжена с обеспечением соответствия ИБ-требованиям.

🌐 Конференция TAdviser «IT Government Day»
3 октября, Москва
Представители госструктур и поставщики ИТ-продуктов, решений и услуг рассмотрят проблемы информатизации госсектора.

🌐 Инфофорум-Центр
3-6 октября, Тула
Целью мероприятия является развитие деловых контактов между специалистами ИБ-отрасли.

🌐 Конференция TAdviser «Banks IT Day»
4 октября, Москва
Участники обсудят актуальные вопросы цифровизации финансовой отрасли.

🌐 МедИнфоБез — Всероссийская конференция «Информационная безопасность в сфере здравоохранения»
5 октября, Москва
Главными темами мероприятия станут вопросы импортозамещения и обеспечения ИБ организаций сферы здравоохранения.

🌐 БИТ Санкт-Петербург
5-6 октября, Санкт-Петербург
Конференция «Безопасность информационных технологий» будет посвящена факторам обеспечения киберустойчивости.

🌐 GITEX Global 2023
16-20 октября, Дубай
Самая значимая выставка в сфере информационных технологий и потребительской компьютерной техники на Ближнем Востоке.

🌐 Конференция TAdviser SummIT Кибербезопасность
18 октября, Москва
Мероприятие посвящено обсуждению основных аспектов практической информационной безопасности.

🌐 ИНФОТЕХ 2023
18-19 октября, Тюмень
В программе этого года – NGFW-битва, обзор актуальных кейсов, ИБ StandUp, презентация решений по защите данных и многое другое.

🌐 Международный форум ВБА
24-25 октября, Москва
Выставка и деловая программа охватят практически все важнейшие направления использования информационных технологий в финансах.

💬tg_AC

⚡️Напоминаем, что уже послезавтра, 13 сентября, состоится вебинар «Практические вопросы проведения категорирования КИИ».

Эксперты Ассоциации АБИСС поделятся практическими советами по реализации требований законодательства в области защиты КИИ. Особое внимание будет уделено такому важному этапу как «категорирование».

В рамках вебинара эксперты обсудят:

✅ особенности расчета финансовых показателей при категорировании;

✅ на что стоит обратить внимание при категорировании объектов КИИ;

✅ практику расчета показателя №9;

✅ последние изменения в правилах категорирования;

✅ исполнение 250 Приказа.

Ведущие вебинара:
• Федор Музалевский, RTM Group
• Александр Иванцов, Deiteriy Compliance
• Александр Хонин, Angara Security
• Александр Моисеев, AKTIV.CОNSULTING

Участие в вебинаре бесплатное.
Необходима предварительная регистрация.

13 сентября, 11:00
Не пропустите!


▶️▶️Зарегистрироваться◀️◀️


💬tg_AC

🗣Исследователи обнаружили новую хакерскую кампанию, в ходе которой с марта 2021 по июнь 2022 года было атаковано 34 организации в различных странах.

Хакеры использовали ранее неизвестное вредоносное ПО под названием «Sponsor». Одной из заметных особенностей является способность Sponsor скрывать свои конфигурационные файлы на диске жертвы, что позволяет ему успешно уклоняться от обнаружения.

❗️Основными целями атак стали организации в сферах госуправления, здравоохранения, финансовых услуг, инжиниринга, производства, технологий, юриспруденции и телекоммуникаций.

Для первоначального доступа к сетям целей хакеры эксплуатировали уязвимость CVE-2021-26855 в Microsoft Exchange. Затем для дальнейшего проникновения и эксфильтрации данных использовались различные открытые инструменты, которые облегчают кражу данных, мониторинг системы и проникновение в сеть, а также помогают злоумышленникам поддерживать доступ к взломанным компьютерам.

Подробнее

💬tg_AC

⚡️Новый выпуск видеоподкаста «Безопасный выход» уже на YouTube!

Ведущие Александр Сухарев, Анастасия Харыбина и Тимофей Матреницкий обсудили вопросы безопасности ИТ- и ИБ-аутсорсинга в разрезе облаков: SaaS, PaaS и IaaS.

Вы узнаете:

⏩как выбрать провайдера, и на какие ключевые моменты стоит обратить внимание;

⏩как грамотно распределить риски между организацией и провайдером;

⏩почему важно до передачи функции на аутсорсинг подготовить «план Б», который предусматривает отказ от услуг облачного провайдера;

⏩какие требования предъявляет регуляторика к аутсорсингу.


◀️ Видео

🎧 Аудио


Ждём ваших комментариев!
Пишите свои впечатления, предлагайте темы и героев для следующих выпусков. И не забудьте поделиться подкастом с друзьями и коллегами. #подкаст

Приятного просмотра!

💬tg_AC

Мы начинаем цикл постов по

💛💛💛💛💛💛💛💛💛💛

💛💛💛💛💛💛💛 в проектах

по информационной безопасности.

Сергей Сугоняев, эксперт AKTIV.CОNSULTING, расскажет, какие типовые риски на старте проекта рекомендуется учесть с целью их минимизации. Все посты можно будет найти по тегу #практика_РП.

В рамках цикла постов рассмотрим:
• какие риски свойственны проектам по ИБ;
• как провести классификацию и оценку риска;
• как выработать правильные мероприятия по работе с риском;
• как управлять рисками по ходу реализации проекта;
• почему важно назначать ответственного за риск;
• чем отличаются консалтинговые проекты от всех остальных.


Также эксперт детализирует наиболее существенные риски в консалтинговых проектах по ИБ, с которыми на практике сталкиваются руководители проектов:

▶️Непредоставление заказчиком всей полноты данных — этот пункт мы рассмотрим подробнее уже завтра!

▶️Недостаток специфических компетенций исполнителей проекта или представителей заказчика.

▶️Отсутствие тестовых данных в системах для испытаний.

▶️Неготовность к изменениям в устоявшихся процессах со стороны команды заказчика.

▶️Несвоевременное предоставление доступов и документов со стороны заказчика.

▶️Недостаток ресурсов для реализации проекта или пересечение с другими проектами.

▶️Выбывание на время ключевых исполнителей проекта.

▶️Увольнение или болезнь сотрудников.

▶️Привлечение подрядчиков и управление риском невыполнения ими обязательств.


Поделитесь в комментариях, с какими рисками в проектах по ИБ сталкивались вы? О каких рисках хотели бы прочитать подробнее?

💬tg_AC

🗣На платформе GitHub была обнаружена новая уязвимость, которая может подвергнуть риску тысячи репозиториев. Уязвимость позволяет злоумышленникам эксплуатировать так называемое «состояние гонки» («Race Condition») в процессе создания репозитория и смены имени пользователя.

❗Эксперты обратили внимание, что успешная эксплуатация данной уязвимости затрагивает открытое ПО, позволяя захватить более 4000 пакетов кода на языках Go, PHPи Swift, а также GitHub Actions.

💬tg_AC

🫥Вчера мы анонсировали цикл постов по управлению рисками в проектах по информационной безопасности.

Давайте разберем один из самых серьезных рисков — непредоставление заказчиком всей полноты данных.

Любой консалтинговый проект начинается с изучения состояния ИБ в компании заказчика. Обследование проводится путем анкетирования, интервьюирования, наблюдений и других инструментов. При предоставлении информации заказчик может случайно или намеренно не указать некоторые данные, к примеру, сведения по филиальной сети. В дальнейшем это способно привести к риску срыва сроков проекта, ведь работа с новыми вводными может занять дополнительное время.

💡Если в ходе реализации проекта вы столкнулись с данным риском, необходимо оперативно проинформировать заказчика о новых условиях, а также запросить недостающие данные.

На основе полученных уточнений следует оценить трудозатраты и принять решение:

▶️можно ли без значительных потерь включить эти данные в план?

▶️потребуется ли уплотнять другие задачи?

▶️получится ли сделать проект в срок?

▶️или же нужно подписать дополнительное соглашение с заказчиком на работы по существенно изменившимся условиям?

На стартовых этапах проекта можно минимизировать данный риск на вводных совещаниях. Необходимо разъяснить заказчику, что чем полнее и достовернее сведения, тем лучше будет результат в соответствии с требованиями заказчика. #практика_РП


❓А вы сталкивались с непредоставлением заказчиком всей полноты данных? Поделитесь в комментариях своим кейсом, давайте обмениваться опытом.

💬tg_AC

🗣Компания Airbus столкнулась с высокотехнологичной кибератакой, в ходе которой была скомпрометирована ценная информация, включая данные более чем 3200 поставщиков — имена, контактные номера и электронные адреса.

Так как Airbus производит оборонное и гражданское авиационное оборудование, потенциальные последствия утечки могут оказать влияние не только на одну компанию, но и представлять угрозу национальной безопасности.

Подробнее

💬tg_AC

🔥Напоминаем, что на YouTube уже доступен второй выпуск нашего подкаста «Безопасный выход», в котором обсуждались вопросы безопасности ИТ- и ИБ-аутсорсинга в разрезе облаков: SaaS, PaaS и IaaS.

Одним из приглашенных ведущих выпуска стал Александр Сухарев, который в настоящий момент отвечает за развитие бизнеса ИБ в Beeline Сloud.

Вот несколько интересных фактов об эксперте нашего подкаста:

✅работает в сфере информационной безопасности уже более 12 лет;

✅6 лет занимался ИТ-журналистикой, является автором по меньшей мере 400 публикаций;

✅в прошлом году благодаря Александру на российский рынок вышел крупный поставщик межсетевых экранов из юго-восточной Азии;

✅преподает на курсе «Информационная безопасность» на образовательной платформе «Нетология»: рассказывает про особенности сетевых атак и делится практическими примерами;

✅получил награды за развитие бизнеса от Palo Alto Networks в 2018 и от Check Point Software в 2021.


💡В свежем выпуске подкаста Александр Сухарев рассказал о важных критериях выбора внешнего провайдера, а также поделился, что необходимо предусмотреть до подписания договора и SLA, какие риски могут возникнуть в ходе сотрудничества и почему нужно быть готовым к «серой зоне», где что-то может пойти не так. #подкаст


◀️ Видео 🎧 Аудио


💬tg_AC

🗣Выявлена сложная фишинговая кампания, которая использует документ-приманку Microsoft Word для распространения трех различных типов вредоносного ПО.

Фишинговое письмо приходит с вложением в виде документа Word, в котором специально размыто изображение и интегрирован поддельный reCAPTCHA, чтобы спровоцировать пользователя на взаимодействие. При клике на изображение загрузчик доставляется с удаленного сервера.

↔️Затем последовательно устанавливаются OriginBotnet для мониторинга нажатий клавиш (кейлоггинг) и кражи паролей, RedLine Clipper для кражи криптовалют и Agent Tesla для извлечения конфиденциальной информации.

Подробнее

💬tg_AC

📣Новостной дайджест прошедшей недели

🗣Бизнес выступил против сбора персональных данных в одной госсистеме
Сбербанк, МТС, «Вымпелком», «Мегафон», «Яндекс» и Avito считают, что крайне небезопасно хранить все данные в одном месте.

🗣Государство вводит новые правила кибербезопасности для хостинг-провайдеров
Они будут обязаны подключиться к системе ГосСОПКА, самостоятельно блокировать ресурсы, через которые ведутся кибератаки, и передавать данные о вредоносном трафике в систему.

🗣Все российские операторы связи получили уведомление о необходимости подключения к системе «Антифрод»
Если этого не сделать в установленные сроки, будут применены административные штрафы согласно КоАП 13.2.1.

🗣Сбер: ежедневно совершается более 8,5 млн попыток мошеннических звонков
В топе схем: звонки от имени сотрудников правоохранительных органов, ЦБ РФ и службы безопасности банков.

🗣В России хотят внедрить национальную систему сертификации IT-специалистов
В правительстве уже обсуждают данную инициативу, но единых подходов к ней рынок пока не выработал.

🗣В Роскомнадзоре рассказали, что делать, если ваши личные данные незаконно распространяются в сети
Один из шагов — потребовать от администратора сайта прекратить обработку данных и удалить их.

🗣Вузы России включили в свои учебные программы лекции о «ГосТехе»
Эксперты отмечают, что обучение цифровой трансформации, ИИ и оцифровке данных делает выпускников университетов конкурентоспособными и успешными на рынке труда.

💬tg_AC

🗣В Москве по подозрению в распространении сведений конфиденциального характера задержали сотрудника компании "Кронштадт", которая занимается производством беспилотников.

Сетевой инженер выкладывал на портал Github составляющие коммерческую тайну персональные и технические учетные записи, а также действующие пароли к ним.

❗️По словам источников, служба безопасности "Кронштадта" своевременно выявила правонарушение и предотвратила утечку сведений, составляющих коммерческую тайну.

💬tg_AC

💠Эксперты по информационной безопасности компании IRONSCALES заявили, что свыше 74% организаций по всему миру регистрируют рост использования искусственного интеллекта киберпреступниками.

В отчете указано, что угроза создаваемых ИИ атак по электронной почте растет из года в год, причем в геометрической прогрессии.

Основные результаты исследования:

⏩85% респондентов убеждены, что генеративный ИИ будет применяться хакерами и мошенниками в будущем для обхода существующих технологий обеспечения безопасности электронной почты;

⏩свыше 74% опрошенных специалистов из различных отраслей деятельности уже фиксируют рост использования искусственного интеллекта киберпреступниками в последний год;

⏩77% опрошенных организаций убеждены, что защита электронной почты является одним из трёх ключевых приоритетов их компании в сфере информационной безопасности;

⏩90% компаний внедряют специализированные решения для защиты электронной почты, в которых применяются технологии искусственного интеллекта;

⏩42% компаний заявили, что придерживаются привычных и традиционных стандартов обнаружения мошеннической и хакерской активности в облачных сервисах электронной почты.

Подробнее ознакомиться с исследованием вы можете по ссылке.

Источник: Cisoclub


💬tg_AC

🗣Крупная сеть казино Caesars Entertainment пострадала от кибератаки и в итоге заплатила хакерам выкуп, чтобы избежать утечки данных клиентов.

В ходе расследования инцидента выяснилось, что злоумышленники успешно украли базу данных программы лояльности компании, которая, в числе прочего, содержала данные водительских прав и номера социального страхования клиентов.

🎯Также, чтобы не допустить утечки похищенных данных, казино заплатило злоумышленникам выкуп — примерно $15 млн. При этом в Caesars Entertainment признают, что не могут предоставить никаких гарантий относительно дальнейших действий злоумышленников, и не исключают возможности того, что хакеры все равно могут продать или опубликовать в сети похищенную информацию о клиентах.

💬tg_AC