Наш новый выпуск новостей по информационной безопасности.
Смотрите, что произошло за последнюю неделю:

https://youtu.be/7o6SRKOZ-S0?si=gOsCrgEertATIDrF

#новости #иб #новости_иб #рад_коп #информационнаябезопасность

Как не упустить момент? Экспресс-аудит по ИБ

GAP-анализ, он же экспресс-аудит информационной безопасности является ценным инструментом, позволяющим решить следующие задачи:

1. Руководитель ИБ или совет директоров, сталкиваются с необходимостью разобраться в приоритетах и оценить общее состояние системы защиты. Понять её согласованность с интересами бизнеса или целями учреждения. Провести полную оценку соответствия всем применимым нормативам времени нет, но с помощью внешних экспертов можно достаточно быстро собрать адекватный контексту организации «профиль защиты», по которому оценить и технические, и организационные меры защиты с необходимой степенью детализации. В основе такой оценки будет качественная или количественная модель, которая позволит расставить приоритеты и сформировать стратегию ИБ, которая по мере необходимости будет детализироваться и уточняться, в том числе по результатам детальных оценок соответствия конкретным нормативам, анализов защищенности и всяческих аудитов.

2. С приближением внеплановой проверки регуляторов, в рамках due diligence со стороны партнеров, в ходе процедур внутреннего контроля бывает необходимо в кратчайшие сроки подготовиться к этому мероприятию и реализовать все, что только возможно. Учитывая операционную нагрузку на внутренних специалистов и срочность задачи, внешние эксперты могут помочь сфокусироваться на конкретной области, дать рекомендации по ее улучшению, а формат экспресс-аудита может плавно перерасти в аутсорсинг информационной безопасности с целью дополнить компетенции штатных специалистов внештатной экспертизой консалтинговой фирмы, которая может превратиться в постоянное дополнение штатного функционала службы информационной безопасности.

По формату экспресс-аудит укладывается в лучшие практики ISO 19011 и состоит из серии встреч и интервью, на которых сначала уточняются границы проведения экспресс-аудита и набор проверяемых требований, выбирается система оценки результатов и степень детализации рекомендаций, согласуются дополнительные технические исследования (в рамках экспресс-аудита мы любим проводить пентесты, дополняя чисто консалтинговую часть «инвазивными инструментами»), и по окончании всех соответствующих работ формируется подробный отчет для ответственных за ИБ с кратким заключением для топ-руководства организации.

Проконсультироваться о необходимости GAP-анализа или заказать его вы можете:
◦ оставив заявку на нашем сайте
◦ написав на почту inbox@radcop.online
◦ позвонив по телефону 8(804)700-79-96

Мы поможем вам с выбором подходящего формата экспресс-аудита в конкретной ситуациии, при необходимости будем рады предложить постоянное сопровождение аутсорсинга ИБ по «подписочной модели».

#иб #аудит #анализ #gapанализ #gap #информационнаябезопасность

Вчера в Forbes вышло интервью с сооснователем компании Positive Technologies Юрием Максимовым, в котором поднимаются вопросы "цифрового суверенитета", будущего ИБ и затрагивается философия героя. С точки зрения Максимова "построить новый безопасный мир возможно", а ключевой проблемой для его построения является "давление и контроль со стороны государства" (в частности правительства недружественных США). Но так ли это на самом деле? По нашему мнению скорее нет, чем да.

Из общих архитектурных соображений и примеров устойчивых саморазвивающихся систем (по ссылке смотрите замечательный ликбез по Кибернетике от нашего друга и товарища - Жени Парфенова), которые нельзя упрекнуть в наличии государственного регулирования и корыстных интересов "недружественных субъектов", мы четко видим в чем могут заключаться проблемы позиции Юрия Максимова. Возьмем, например, биологические экосистемы или всю биосферу Земли. И зададимся вопросом: а можно ли создать идеальный и неуязвимый живой организм? И шире: возможно ли создание идеальной экосистемы?

...на минутку задумаемся прежде, чем смотреть "правильный" ответ.

На наш взгляд - нельзя. Потому что в мире не существует "вечных систем" и "все течет и меняется". А любые объекты являются частью какого-то контекста, включены в какие-то процессы и состоят из каких-то элементов. Таким образом, в непрерывно изменяющемся мире то, что хорошо и работает сегодня - завтра может оказаться критически уязвимым и нуждающимся в переустройстве или замене. А ключевой защитой от любых проблем являются не попытки достичь "технического совершенства", "преодолеть зависимость от какого-то враждебного субъекта" или "выработать одно универсальное решение на всех", но создать максимально разнообразные и дифференцированные саморазвивающиеся системы, основанные на взаимозависимых отношениях субъектов, доступности альтернатив и различных стратегиях решения возникающих проблем. Примерно также, как это происходит у живых организмов в лесу, где бактерии, черви, растения и высшие животные не спорят друг с другом о "правильном решении вопросов выживания", но эволюционно конструируют сложнейшие взаимозависимости в духе supply chain, соревнуются и кооперируются в непрерывном поиске "ускользающего оптимума".

И в этом смысле, с точки зрения достижения реальной безопасности, представляется куда более разумным возрождение интереса к космосу и выходу за рамки "колыбели человечества" с целью создания "резервных копий" нашей культуры и цивилизации на других планетах или космических кораблях. А в краткосрочной перспективе, пока мы не бороздим просторы Вселенной и остаемся на Земле, разумным представляется инвестирование в появление большого количества альтернативных инструментов и подходов, дополненных парадигмами в духе open source, community first и web-3, как это сформулировано в "Социальной архитектуре" Хинченса. Что, кстати, нисколько не умаляет роли проприетарного ПО, крупных вендоров и интеграторов, государственного регулирования и прочих привычных нам элементов - в этом и заключается прелесть концепции "живой самоорганизующейся системы" - мы не знаем, как делать правильно, потому что контекст непрерывно меняется. Но мы знаем, что избыточное разнообразие и взаимозависимость исторически порождает наиболее устойчивые экосистемы, чему примером являемся мы сами - люди - как маленькая часть биосферы Земли.

P.S. Заметим, что во второй половине интервью Максимов начинает рассказывать о проекте Cyberus - фонде компаний-партнеров, которые будут совместно развивать индустрию кибербезопасности в духе разнообразия и win-win. Но не дает конкретных деталей и практики реализации. Поэтому пока неясно, чем это будет принципиально отличаться от уже существующих холдингов, особенно если мы говорим о международной экспансии отечественной кибербезопасности и экспорте наших продуктов и услуг на внешние рынки. Ведь с точки зрения других стран и их резидентов зависимость от Российских поставщиков может быть таким же "недопустимым риском", как и зависимость от США, Китая или Израиля.

#иб #футурология #будущее #интересное #философия

В рамках роста популярности тематики безопасности облаков и аутсорсинга, и ярких новостей из мира международного Cloud Security и историй в духе Crowd Strike, публикуем старый, но не утративший принципиальной актуальности доклад сделанный нами в феврале 2023 от имени Ассоциации Российских Банков на конференции iFin.

#доклад #конференция #вба #облака #аутсорсинг

Выпустили на Хабр статью уровня "хард" про решение задач в рамках justCTF 2024 от нашего товарища Ратмира Карабута (с его регалиями можно ознакомиться, кликнув по имени), который тренирует команду РАД КОП в рамках развивающейся CTF практики.

Также в статье затронута тема мышления хакера, насколько оно схоже с мышлением математика, с ссылкой на замечательную книгу Дьердя Пойя «Как решать задачу».

https://habr.com/ru/companies/radcop/articles/831560/

#хабр #justctf #ctf #иб #информационнаябезопасность

Вышел новый выпуск новостей из сферы информационной безопасности на YouTube:

https://www.youtube.com/watch?v=GJLtJBM-y7k

#новости #иб #новости_иб #рад_коп #информационнаябезопасность

Аналитический центр TAdviser представил новую версию Карты российского рынка информационной безопасности, актуальную на 2024 год.

На карте отмечено свыше 250 отечественных компаний-разработчиков продуктов и сервисов в сфере ИБ, а также поставщиков таких услуг.

RAD COP размещен в категории «Тестирование на проникновение и имитация кибератак (Pentesting, Red Teaming)».

Карта является ценным инструментом для заказчиков, поставщиков и аналитиков, предоставляя всесторонний обзор отечественного рынка ИБ.

Мы рады оказаться в числе ведущих производителей и поставщиков услуг рынка информационной безопасности. 
Это стало возможно благодаря нашим компетенциям, опыту и высоким стандартам качества, которыми мы руководствуемся в работе.

#иб #картаИБ #пентест #информационнаябезопасность #tadviser #RADCOP #Кибербезопасность #CyberSecurity #Pentesting #RedTeaming

Как защитить Цифровой рубль?

В России в пилотном проекте запущена платформа цифрового рубля.

Оператором является Банк России, он же организует и обеспечивает бесперебойность функционирования и устанавливает её правила.

Александр Осипов, наш аудитор-консультант по ИБ, рассказал о требованиях к защите платформы цифрового рубля и реализации дальнейших необходимых решений.

Читать статью на сайте BIS Journal

#цифровойрубль #финтех #информационнаябезопасность #BISJournal #ИБ

Новости ИБ за прошедшую неделю - уже на нашем YouTube-канале:
https://www.youtube.com/watch?v=sQc37AAx2g8

#новости #иб #новости_иб #рад_коп #информационнаябезопасность

Наш пентестер CuriV (Кирилл Филимонов), автор канала Path Secure, вошел в список финалистов премии для этичных хакеров Pentest award 2024!

Среди 6 номинаций Кирилл участвовал в двух: «За самый красивый обход средств защиты информации» и «За находку самых топовых логических баг».

Один из трех направленных кейсов позволил выйти в финал.

История о том, как можно обойти Port Security через принтеры:

В проекте по внутренней безопасности MedTech, я столкнулся с задачей обхода Port Security и получением доступа к внутренней сети. Оттуда, я обнаружил возможность видеть L2 трафик и с помощью ARP-scan получил список валидных MAC-адресов. Далее, мне удалось эксплуатировать уязвимость в принтере Kyocera, в обход парольной защиты, позволившую получить доступ к доменной учетке. Это дало мне возможность отключить антивирус и сдампить память процесса LSASS, получив креды других локальных админов. Несмотря на то, что я не смог выполнить PassTheHash атаку из-за защиты ProtectedUsers, я смог контролировать 80% всей инфраструктуры. К сожалению, я не смог применить найденный Kerberos билет.
В итоге, мне удалось обойти Port Security и скомпрометировать большую часть инфраструктуры.

#pentestaward #пентест #pentest #ИБ #информационнаябезопасность

Новое видео с новостями ИБ уже на наших площадках.

В связи с замедлением YouTube, новости также загружены в ВК видео.

YouTube: https://youtu.be/5R35IXq0zt4
ВКонтакте: https://vk.com/video-215498883_456239071?list=ln-JWBk7rullDeCudVVpJ

#новостиИБ #информационнаябезопасность #кибербезопасность #новости #защитаинформации

Продолжаем серию экспериментальных хардкорных публикаций на Хабр о решении задач на CTF-турнирах.
Вторая статья посвящена участию нашего товарища Ратмира Карабута, в DownUnderCTF 2024.
На этом турнире он выполнял задания по эксплуатация PKI.js.
Также поговорили о том, какие методы использовать, если задача кажется огромной и не решаемой, или «как съесть слона по кусочкам».

Ссылка на статью.

#хабр #ductf2024 #ductf #ctf #иб #информационнаябезопасность

ПК РАД КОП получил благодарственное письмо от ООО «Ф.А.К.К.Т.», в котором от лица генерального директора Баулина В.В. коллективу кооператива выражена глубокая признательность за плодотворное и эффективное взаимодействие в течение 2023-2024гг.

Мы также благодарны коллективу ООО "Ф.А.К.К.Т" и надеемся на дальнейшее сотрудничество.

#информационнаябезопасть #иб #благодарность #сотрудничество #партнерство

Новости информационной безопасности за прошедшую неделю уже на наших ресурсах:

YouTube: https://youtu.be/0pe52VeHaYY
ВКонтакте: https://vk.com/video-215498883_456239075

#новостиИБ #информационнаябезопасность #кибербезопасность #новости #защитаинформации

После недавнего проекта изменений в 821-П и в 757-П от Банка России (опубликовано 12.08.2024) у многих возник вопрос, а какова схема аккредитации аудиторских компаний (оценщиков соответствия), на которую ссылается проект НПА (предполагается вступление в силу с 01.10.2025 года). Мы подготовили небольшие разъяснения на эту тему.

Исходная формулировка изменений звучит как:

"...Оценка соответствия защиты информации должна осуществляться с привлечением организаций {...} имеющих подтверждение соответствия требованиям национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 17021-1-2017..."*

!Обращаем внимание, что старые требования к наличии лицензии ФСТЭК на ТЗКИ и буквы "б", "д" или "е" по-прежнему в силе)

Указанное соответствие получается в формате аккредитации, согласно стандарту ГОСТ Р ИСО/МЭК 17021-1-2017

Для получения аккредитации необходимо подать в Росаккредитацию заявление с приложением документов, подтверждающих соответствие заявителя критериям аккредитации.

Данные критерии закреплены в Приказе Министерства экономического развития РФ от 26 октября 2020 г. № 707.

Согласно п. 11 Критериев, органы по сертификации систем менеджмента должны соответствовать требованиям, установленным положениями ГОСТ Р ИСО/МЭК 17021-1-2017 "Оценка соответствия. Требования к органам, проводящим аудит и сертификацию систем менеджмента. Часть 1. Требования".

В этом ГОСТе требования к организации изложены в разделах 6-8, а также приложение А (требования к навыкам персонала).

Кроме того, согласно п. 13 Критериев, дополнительным требованием является выполнение требований, установленных положениями ГОСТ Р ИСО/МЭК 17021-3-2021 "Оценка соответствия. Требования к органам, проводящим аудит и сертификацию систем менеджмента. Часть 3. Требования к компетентности для проведения аудита и сертификации систем менеджмента качества".

В п. 19 Критериев приведен перечень необходимых документов:

- документы, содержащие требования системы менеджмента качества организации;

- документы, подтверждающие соблюдение установленных к работникам требований: трудовые договоры, документы, подтверждающие наличие у работников опыта работы, документы об образовании, сведения о трудовой деятельности;

- документы, подтверждающие наличие на праве собственности или ином законном основании, помещений, оборудования, технических средств и иных материальных ресурсов, необходимых для выполнения работ.

Порядок аккредитации:

1 этап: проверка Росаккредитацией заявления об аккредитации и прилагаемых документов.
2 этап: формирование состава экспертной группы.
3 этап: заключение заявителем договора с экспертной организацией. За проведение экспертизы взимается плата.
4 этап: проведение документарной оценки соответствия заявителя критериям аккредитации.
5 этап: проведение выездной оценки соответствия заявителя критериям аккредитации.
6 этап: принятие Росаккредитацией решения об аккредитации.

Общий срок аккредитации составляет 54 рабочих дня.

Такие дела!

#ликбез #ИБ #информационнаябезопасность #ЦБ #БанкРоссии #аккредитация #821П #ИСО17021

Вышла новая хард статья на Хабр!

Последняя задача решена на недавнем мероприятии Google нашим товарищем Ратмиром Карабутом.

Ей мы завершаем экспериментальный цикл материалов по CTF, и уже готовим для Вас кое-что новое.

#хабр #googlectf2024 #googlectf #ctf #иб #информационнаябезопасность

Проведение ежегодной конференции Coop Days 4 было перенесено с ноября 2024 года на февраль 2025 года, точная дата проведения мероприятия пока не определена, но вероятны праздники около 23 февраля.

Конференция организовывается силами кооператива с 2021 года и посвящена синтезу тематик кооперации и самоуправления с информационными технологиями и безопасностью.

Подробности причины переноса:

Прошлая конференция оставила колоссальное наследие, которое мы до сих пор не успеваем проработать. Протоколы заседаний Team Syntegrity до сих пор не разобраны, а замыслы экосистемы самоуправляемых компаний, формируемых вокруг блога Рустама Гусейнова на boosty все ещё находятся в состоянии концептуализации, о чем можно подробно послушать здесь. И сегодня, когда у нас есть "хвост задач" с Coop Days 3, а стремительное развитие кооператива как бизнеса отвлекает дефицитные ресурсы, мы вынуждены выбирать приоритеты.

Сегодня получается, что в теоретическом плане у нас ворох неразобранных задач. И их решение сильно продвинет кооперативное сообщество и всех сочувствующих в понимании моделей и практик самоуправления. В практическом же плане нам в первую очередь нужны бизнес-успехи кооператива. Потому что именно наша успешность как коммерческой организации наилучшим способом популяризует те идеи, на которые мы опираемся, в широких кругах.

Поэтому перенос конференции на 2025 год выглядит вполне оправданным, тем более оправданным, что исторически Coop Days всегда был гибким. Гибким как и наша организация. Первая конференция состоялась в ноябре 2021 года. Вторая в июне 2022. Третья прошла спустя больше года в ноябре 2023. И видимо четвертая продолжит традицию отсутствия традиций и станет таким же полем экспериментов и творчества, каким является весь РАД КОП с момента своего зачинания на рубеже 2019-2020 года, когда практики фриланса и борьба с отчуждением в найме только формировались в то, что превратилось в идею предприятия-сообщества.

Итак, до встречи на Coop Days в 2025 году!

Посмотреть полные материалы прошедших конференций можно на сайте Центра Архэ.

#coopdays #самоуправление #иб #кооперация #коопдейс #мероприятия #объявление

АО «ПФ «СКБ Контур» направило в адрес ПК «РАД КОП» письмо с благодарностью за качественное и квалифицированное оказание услуг!

Мы очень рады получить такую высокую оценку от наших клиентов за работу по приведению в соответствие требованиям ОУД 4 автоматизированной системы ДБО «Контур.Банк».

Наша команда давно занимается ОУД и умеет не только проводить работы оценщика, в соответствии с ГОСТ Р ИСО/МЭК 18045- 2013, но и выстраивать процессы безопасной разработки на практике. В проекте Контура мы особенно гордимся уровнем консультационной поддержки на протяжении всего проекта и после его завершения. В условиях рынка и изменчивой проектной нагрузки бывает сложно обеспечивать постоянный уровень качества коммуникаций на протяжении всей длительности работ, и тем приятнее осознавать, что у нас получается все больше "историй успеха".

АО «ПФ «СКБ Контур» — отличный партнер, и мы очень ценим их доверие. Мы с нетерпением ждем дальнейшего сотрудничества с ними. А если вы прочитали этот пост до этих строк, и вам хочется получить поддержку в области безопасной разработки от кооператива (не важно: по требованиям ли профиля защиты ЦБ или ФСТЭК России; на основании лучших мировых практик типа BSIMM или в рамках ваших внутренних нормативов), мы будем рады помочь. Контакты для связи в шапке профиля.

P.S. Кстати, помимо консалтингово-аудиторских работ мы начинаем развивать направление поставок и внедрений. Но это совсем другая история...

Ссылка на благодарность

#информационнаябезопасть #иб #благодарность #сотрудничество #партнерство

В России серьезно выросло количество киберпреступлений, и это провело к активному совершенствованию мер защиты и развитию российского рынка средств защиты информации и криптографии.

Однако, в данный момент наблюдается серьёзный дефицит ИБ-специалистов, он насчитывает порядка 50 тысяч человек, и по данным исследований вырастет к 2027 году до 52-65 тысяч.

Почему так происходит?

Во-первых: отток ИБ-специалистов за рубеж а также сохранение риска оттока в будущем.
Во-вторых: подготовка новых специалистов затруднена, так как материал в ВУЗах всегда отстает от реалий рынка, а также отмечается низкая заинтересованность практиков в передаче знаний будущим специалистам.
В-третьих: с развитием СЗИ возникает необходимость в очень большом количестве узконаправленных ИБ-специалистов, которые поддерживают определенные, востребованные на рынке СЗИ, такие как SIEM, DLP, PAM и другие.

Идет повышение цен, так как работодатель вынужден повышать зарплатные ожидания как кандидатам узкого профиля, так и имеющим ИБ-образование, из-за конкуренции на рынке.

Крупные организации могут себе это позволить, а небольшие компании нет. Особенно страдает финансовый сектор: там ИБ-специалисты востребованы независимо от размера компании, так как общий объем работ в организациях примерно одинаковый.

Наблюдается достаточно большой переход ИБ-специалистов либо в более крупные организации на большие деньги, либо уход в узкую область, чтобы заниматься чем-то одним.

Отсюда тенденция к прохождению курсов повышения квалификации, для переобучения специалистов других областей и повышения ликвидности специалистов с ИБ-образованием. ВУЗы в плане подготовки и переподготовки кадров не успевают за потребностями рынка.

По прогнозам, дефицит кадров на горизонте 5-10 лет еще больше увеличится, но это возможно скорректировать, если:
1. Привлекать и переквалифицировать специалистов из смежных областей.
2. Увеличивать долю специалистов 50+ в отрасли.
3. Быстро выращивать студентов и джун-специалистов внутри организации.

#иб #информационнаябезопасность #дефициткадров #обучение #повышениеквалификации