Как обезопасить IT-аутсортинг?

Об этом рассказал председатель ПК РАД КОП Рустам Гусейнов, в рубрике #НеБумажный_ИБ для проекта Кибердом.

Для тех, кто пропустил конференцию «Войти в IT», делимся записью выступления нашего спикера!
Посмотреть на YouTube-канале кооператива: https://www.youtube.com/watch?v=zYwMxfs8uoc

Кирилл Филимонов (CuriV) - пентестер RAD COP.

Тезисы выступления:
➕ Активная и пассивная энумерация.
➕ Эксплуатация на уровне сети.
➕ Эксплуатация инфраструктуры.
➕ Эксплуатация Active Directory.
➕ Действия после эксплуатации.

Новости ИБ за прошедшую неделю уже на нашем YouTube-канале.
Все актуальные новости в одном выпуске:
https://youtu.be/kU8IThm1028?si=7GVxOD9V78s_qhnQ

#новости #иб #новости_иб #рад_коп #информационнаябезопасность

ФСТЭК России совместно с Центром исследования безопасности системного ПО и критичных компонентов на конференции Certification Day 2024 объявили о том, что до 1 января 2025 года ожидают получить от разработчиков отечественного ПО список заимствованных opensource-компонентов, входящих в состав разрабатываемых продуктов для оценки на предмет наличия уязвимостей и для составления плана поддержки сертифицированных продуктов. Также предполагается, что этот перечень должен попасть в эксплуатационную документацию на продукт.

В дальнейшем такой перечень позволит быстрее и проще проходить сертификацию в отношении тех продуктов, которые используют только проверенные Центром заимствованные компоненты, а кроме того, Центр с учётом этой информации сможет централизованно и адресно предупреждать разработчиков об уязвимостях сторонник компонентов.

В ближайшее время ожидается официальное письмо «О порядке взаимодействия участников сертификации с Центром исследования безопасности системного ПО и критичных компонентов».

Для разработчиков это означает, что очень важно заранее подготовить полный перечень заимствованных компонентов в продуктах, чтобы "не тушить пожары" перед НГ. Этот перечень и ранее требовался при анализе уязвимостей и в рамках различных оценок соответствия, но сейчас составить его особенно критично.

#комплаенс #фстэк #todo #sdlc #безопаснаяразработка

28 июня 2024г. ПК РАД КОП расширил лицензию ФСТЭК России на техническую защиту конфиденциальной информации (№ Л024-00107-77/00642453 от 02 марта 2023).

К старым видам работ б; д; е4; е5; е6 добавились а; г; е.

Ключевое отличие в том, что теперь, помимо оценок соответствия, внедрений средств защиты информации, пентестов и безопасной разработки, мы можем проводить аттестации информационных систем на соответствие с различными требованиями.

Ознакомиться с нашими услугами.

Ознакомиться с нашими лицензиями и сертификатами.

#иб #оргвопрос #лицензия #кооперация #фстэк #информационнаябезопасность

Для тех, кто пропустил конференцию «Войти в IT», делимся записью выступления Рустама Гусейнова - председателя кооператива РАД КОП.

Посмотреть на YouTube-канале кооператива: https://youtu.be/3mRpr1nHl4g

Тезисы выступления:
➕ О кадровом голоде в РФ и откуда берется дефицит людей и квалификации;
➕ Конкуренция за специалистов и тенденция “летунов” (смена работы каждые 1-2 года);
➕ О важности корпоративной культуры и нефинансовойксте ИТ/ИБ существуют;
➕ Почему все это долгосрочный тренд, на который стоит сделать стратегическую ставку в рамках модели управления вашей организацией/отделом/командой?

#иб #войти_в_it #кооперация #самоуправление #информационнаябезопасность

Обновление программного обеспечения CrowdStike повлекло за собой нарушение работы операционных систем Microsoft, облачного провайдера Azure, множества аэропортов, банков, ЖД вокзалов, больниц по всему миру. Билеты в аэропортах заполняются вручную.

Аэропорт Домодедово сообщает о штатной работе всех систем.

Ситуация с Microsoft в очередной раз показывает значимость импортозамещения иностранного ПО, заявили в Минцифры РФ.
Сообщения о сбоях систем в российских аэропортах в Минцифры РФ не поступали, отметили в министерстве.

https://habr.com/ru/news/829912/

#иб #новости #microsoft #импортозамещение #информационнаябезопасность

Наш новый выпуск новостей по информационной безопасности.
Смотрите, что произошло за последнюю неделю:

https://youtu.be/7o6SRKOZ-S0?si=gOsCrgEertATIDrF

#новости #иб #новости_иб #рад_коп #информационнаябезопасность

Как не упустить момент? Экспресс-аудит по ИБ

GAP-анализ, он же экспресс-аудит информационной безопасности является ценным инструментом, позволяющим решить следующие задачи:

1. Руководитель ИБ или совет директоров, сталкиваются с необходимостью разобраться в приоритетах и оценить общее состояние системы защиты. Понять её согласованность с интересами бизнеса или целями учреждения. Провести полную оценку соответствия всем применимым нормативам времени нет, но с помощью внешних экспертов можно достаточно быстро собрать адекватный контексту организации «профиль защиты», по которому оценить и технические, и организационные меры защиты с необходимой степенью детализации. В основе такой оценки будет качественная или количественная модель, которая позволит расставить приоритеты и сформировать стратегию ИБ, которая по мере необходимости будет детализироваться и уточняться, в том числе по результатам детальных оценок соответствия конкретным нормативам, анализов защищенности и всяческих аудитов.

2. С приближением внеплановой проверки регуляторов, в рамках due diligence со стороны партнеров, в ходе процедур внутреннего контроля бывает необходимо в кратчайшие сроки подготовиться к этому мероприятию и реализовать все, что только возможно. Учитывая операционную нагрузку на внутренних специалистов и срочность задачи, внешние эксперты могут помочь сфокусироваться на конкретной области, дать рекомендации по ее улучшению, а формат экспресс-аудита может плавно перерасти в аутсорсинг информационной безопасности с целью дополнить компетенции штатных специалистов внештатной экспертизой консалтинговой фирмы, которая может превратиться в постоянное дополнение штатного функционала службы информационной безопасности.

По формату экспресс-аудит укладывается в лучшие практики ISO 19011 и состоит из серии встреч и интервью, на которых сначала уточняются границы проведения экспресс-аудита и набор проверяемых требований, выбирается система оценки результатов и степень детализации рекомендаций, согласуются дополнительные технические исследования (в рамках экспресс-аудита мы любим проводить пентесты, дополняя чисто консалтинговую часть «инвазивными инструментами»), и по окончании всех соответствующих работ формируется подробный отчет для ответственных за ИБ с кратким заключением для топ-руководства организации.

Проконсультироваться о необходимости GAP-анализа или заказать его вы можете:
◦ оставив заявку на нашем сайте
◦ написав на почту inbox@radcop.online
◦ позвонив по телефону 8(804)700-79-96

Мы поможем вам с выбором подходящего формата экспресс-аудита в конкретной ситуациии, при необходимости будем рады предложить постоянное сопровождение аутсорсинга ИБ по «подписочной модели».

#иб #аудит #анализ #gapанализ #gap #информационнаябезопасность

Вчера в Forbes вышло интервью с сооснователем компании Positive Technologies Юрием Максимовым, в котором поднимаются вопросы "цифрового суверенитета", будущего ИБ и затрагивается философия героя. С точки зрения Максимова "построить новый безопасный мир возможно", а ключевой проблемой для его построения является "давление и контроль со стороны государства" (в частности правительства недружественных США). Но так ли это на самом деле? По нашему мнению скорее нет, чем да.

Из общих архитектурных соображений и примеров устойчивых саморазвивающихся систем (по ссылке смотрите замечательный ликбез по Кибернетике от нашего друга и товарища - Жени Парфенова), которые нельзя упрекнуть в наличии государственного регулирования и корыстных интересов "недружественных субъектов", мы четко видим в чем могут заключаться проблемы позиции Юрия Максимова. Возьмем, например, биологические экосистемы или всю биосферу Земли. И зададимся вопросом: а можно ли создать идеальный и неуязвимый живой организм? И шире: возможно ли создание идеальной экосистемы?

...на минутку задумаемся прежде, чем смотреть "правильный" ответ.

На наш взгляд - нельзя. Потому что в мире не существует "вечных систем" и "все течет и меняется". А любые объекты являются частью какого-то контекста, включены в какие-то процессы и состоят из каких-то элементов. Таким образом, в непрерывно изменяющемся мире то, что хорошо и работает сегодня - завтра может оказаться критически уязвимым и нуждающимся в переустройстве или замене. А ключевой защитой от любых проблем являются не попытки достичь "технического совершенства", "преодолеть зависимость от какого-то враждебного субъекта" или "выработать одно универсальное решение на всех", но создать максимально разнообразные и дифференцированные саморазвивающиеся системы, основанные на взаимозависимых отношениях субъектов, доступности альтернатив и различных стратегиях решения возникающих проблем. Примерно также, как это происходит у живых организмов в лесу, где бактерии, черви, растения и высшие животные не спорят друг с другом о "правильном решении вопросов выживания", но эволюционно конструируют сложнейшие взаимозависимости в духе supply chain, соревнуются и кооперируются в непрерывном поиске "ускользающего оптимума".

И в этом смысле, с точки зрения достижения реальной безопасности, представляется куда более разумным возрождение интереса к космосу и выходу за рамки "колыбели человечества" с целью создания "резервных копий" нашей культуры и цивилизации на других планетах или космических кораблях. А в краткосрочной перспективе, пока мы не бороздим просторы Вселенной и остаемся на Земле, разумным представляется инвестирование в появление большого количества альтернативных инструментов и подходов, дополненных парадигмами в духе open source, community first и web-3, как это сформулировано в "Социальной архитектуре" Хинченса. Что, кстати, нисколько не умаляет роли проприетарного ПО, крупных вендоров и интеграторов, государственного регулирования и прочих привычных нам элементов - в этом и заключается прелесть концепции "живой самоорганизующейся системы" - мы не знаем, как делать правильно, потому что контекст непрерывно меняется. Но мы знаем, что избыточное разнообразие и взаимозависимость исторически порождает наиболее устойчивые экосистемы, чему примером являемся мы сами - люди - как маленькая часть биосферы Земли.

P.S. Заметим, что во второй половине интервью Максимов начинает рассказывать о проекте Cyberus - фонде компаний-партнеров, которые будут совместно развивать индустрию кибербезопасности в духе разнообразия и win-win. Но не дает конкретных деталей и практики реализации. Поэтому пока неясно, чем это будет принципиально отличаться от уже существующих холдингов, особенно если мы говорим о международной экспансии отечественной кибербезопасности и экспорте наших продуктов и услуг на внешние рынки. Ведь с точки зрения других стран и их резидентов зависимость от Российских поставщиков может быть таким же "недопустимым риском", как и зависимость от США, Китая или Израиля.

#иб #футурология #будущее #интересное #философия

В рамках роста популярности тематики безопасности облаков и аутсорсинга, и ярких новостей из мира международного Cloud Security и историй в духе Crowd Strike, публикуем старый, но не утративший принципиальной актуальности доклад сделанный нами в феврале 2023 от имени Ассоциации Российских Банков на конференции iFin.

#доклад #конференция #вба #облака #аутсорсинг

Выпустили на Хабр статью уровня "хард" про решение задач в рамках justCTF 2024 от нашего товарища Ратмира Карабута (с его регалиями можно ознакомиться, кликнув по имени), который тренирует команду РАД КОП в рамках развивающейся CTF практики.

Также в статье затронута тема мышления хакера, насколько оно схоже с мышлением математика, с ссылкой на замечательную книгу Дьердя Пойя «Как решать задачу».

https://habr.com/ru/companies/radcop/articles/831560/

#хабр #justctf #ctf #иб #информационнаябезопасность