#КиберМем

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Есть ли смысл в своем VPN?

Недавно в инфобез-сообществе неожиданно задумались, насколько безопасен личный VPN. Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) прямо говорит то, о чем многие предпочитали не думать: это не всегда защита, а иногда просто перенос точки риска. Когда вы включаете VPN, вы не исчезаете из интернета, вы просто начинаете доверять другому посреднику. И если с провайдером у вас хотя бы есть контракт и понятные правила в рамках вашей юрисдикции, то с VPN-сервисом часто есть только красивый сайт и громкие обещания.

Главная проблема личных VPN в том, что они концентрируют слишком много доверия в одной точке. Все думают, что познали дзен и мастерство хакерских техник, подняв свой VPS, накатив туда сервер, но есть нюанс. Весь ваш трафик – сайты, приложения, запросы, иногда и учетные данные – проходит через чужую инфраструктуру. Если этот сервис живёт в серой зоне, собирает логи, перепродаёт данные или просто плохо защищён, VPN превращается в идеальный наблюдательный пост. В худшем случае – в троян, который официально сидит у вас в системе и имеет доступ ко всему сетевому трафику.

Ситуацию усугубляет массовость. VPN ставят «на всякий случай»: чтобы открыть заблокированный сайт, обойти географические ограничения или закрыть вопрос приватности одним кликом. В такой логике редко читают политики конфиденциальности и почти никогда не проверяют, кто стоит за сервисом. Этим пользуются злоумышленники, маскируя вредоносные приложения под VPN-клиенты и получая постоянный канал доступа к тому же смартфону – без взломов и эксплойтов.

Но сказать, что личный VPN – это абсолютное зло, тоже было бы нечестно. В определённых сценариях он действительно может быть полезен: при работе в публичных Wi-Fi (хотя тут есть вопросики), для защиты от банального перехвата трафика или когда нужно скрыть IP от сайтов, которым вы не доверяете. Хорошо настроенный VPN с прозрачной репутацией, современными протоколами и реальной политикой «no logs» может снизить часть рисков, особенно если пользователь понимает, зачем и когда он его включает.

Проблема начинается там, где пользователь не понимает, как работает VPN и считает его таблеткой от всего. Он не защищает от фишинга, не делает вас анонимным, не спасает от утечек данных и не отменяет сбор информации приложениями и операционными системами. Более того, плохой VPN может дать ложное чувство безопасности, из-за которого человек становится менее осторожным и начинает делать то, на что без «защиты» не решился бы.

Поэтому вопрос сегодня звучит не «нужен ли VPN», а «кому и зачем вы доверяете свой трафик». Личный VPN – это инструмент, а не решение всех проблем приватности. Он может быть полезен в узких сценариях и опасен при слепом использовании. И чем громче сервис кричит о тотальной анонимности и бесплатности, тем выше шанс, что платите вы там вовсе не деньгами.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

#КиберМем

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Бой с тенью

Иногда более серьезный ущерб компании приносят не злоумышленники, а собственные сотрудники, которые не соблюдают внутренние правила. И ведь они не хотят навредить, а просто считают, что так работать быстрее, удобнее или привычнее.

Сегодня поговорим о Shadow IT (с английского “теневые информационные технологии”). Простыми словами – это когда сотрудники на работе используют программы, сервисы или устройства, о которых IT-отдел либо не знает, либо официально не разрешал.

Когда корпоративные системы медленные, неудобные или требуют трёх согласований на каждую мелочь, человек идёт самым коротким путём: открывает знакомый облачный сервис, кидает туда файл, заводит чат в “удобном” мессенджере и продолжает жить. В этот момент он думает не о безопасности, а о дедлайне и о себе любимом.

Проблема в том, что бизнес часто видит только результат – “как-то всё работает” – и не замечает, что у него растёт целый зоопарк сервисов, аккаунтов и подписок, о которых никто не знает. Документы лежат в личных облаках, клиентские базы гуляют по сторонним CRM, а доступы к сервисам остаются у людей, которые уволились год назад.

При этом Shadow IT не всегда зло. Очень часто именно так в компании появляются действительно полезные инструменты – кто-то нашёл сервис, который ускоряет работу, кто-то автоматизировал рутину, кто-то придумал более удобный процесс. Это своего рода народная инициатива, сигнал о том, что официальные решения не успевают за реальными потребностями.

Отсутствие диалога и попытка просто всё запретить лишь ухудшит ситуацию – люди не перестанут пользоваться “теневыми” сервисами, они просто научатся лучше их прятать. Когда политика безопасности существует только в виде PDF на внутреннем портале, сотрудники не понимают, что можно, а что нельзя. В итоге безопасность превращается в формальность, а ИБ воспринимается всеми как отдел, который мешает работать.

Более взрослый подход (хоть и не самый просто) – признать, что люди всегда будут искать удобные инструменты. Вопрос не в том, как это задушить, а в том, как сделать так, чтобы взять это под контроль. В некоторых случаях можно вообще присмотреться повнимательнее – а что такого людей привлекает в новой альтернативе, и как это добавить в свои корп-сервисы. И да, когда в компании есть понятные правила, нормальные альтернативы и ощущение, что с ИБ можно разговаривать, а не прятаться, то сотрудники не пытаются спрятать от IT/ИБ-отдела свои находки и решения.

В итоге Shadow IT – это признак, что бизнес живёт быстрее своих процессов и регламентов. И чем раньше компания перестаёт воспринимать его как врага, тем больше шансов превратить хаос в управляемую систему. Потому что безопасность – это не про тотальный контроль, а про баланс между удобством, скоростью и ответственностью. И этот баланс никогда не достигается запретами.

Ах да, меня самого вымораживают корпоративные ограничения в том, какими сервисами мне можно пользоваться, а какими – нет ⌨️

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Рейтинг ИБ-каналов? Лучше – список ИБ-подкастов!

Да, мы собрались всем нашим дружным коллективом и наскребли со всех интернетов русскоязычные подкасты, посвященные или связанные с темой кибербезопасности.

Большинство из них живые и выходят регулярно, есть новички, а есть те, у которых давно не было свежих выпусков, но мы в них верим. Мы наверняка что-то упустили, поэтому если не найдете своего любимчика – кидайте ссылку в комменты к этому или оригинальному посту.

И да, нумерация и порядок абсолютно ничего не значат, так как это не рейтинг, а просто список. Так что фаворита своего вам придется найти самому. Ну а вот и сам список, приятного просмотра прослушивания – ссылка

С вас, по традиции – лайк, репост и комментарий.

P.S. Аж немного стыдно стало за свой старый список подкастов, который я решил с вами поделиться 3 года назад.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT