Когда попросил GPT-агента дать комментарий по изменениям в 719-П:

Как капитан морского судна, ведущего борьбу с бурной водной стихией, Центральный Банк России держит руль управления в непрекращающемся поединке с быстротечными информационными течениями. Положения 719-П, словно стальные щиты, крепко держатся на борту корабля, отражая шквалы волн киберугроз, но время течет, и волны становятся всё выше и коварнее.

Так же, как мастер на все руки вытащит из-под палубы современный арсенал инструментов, чтобы укрепить трюм, Центральный Банк привлекает 821-П – новый комплект требований, который является словно совершеннейшим компасом в море информационной безопасности. Этот компас не просто помогает править корабль – он указывает на тайные рифы и подводные камни, которые невозможно было заметить по старым морским картам 719-П.

Под натиском кибер-пиратов сети и даров морских информационных глубин, Центральный Банк, не желая быть пойманным в крутой вираже, с духом авантюриста и точностью ювелира меняет требования, словно перекладывает паруса. И каждый новый норматив – это свежий ветер в паруса, дарующий скорость и маневренность на пути к достижению требуемой безопасности.

Так, с каждой новой отгоняемой волной требований, наметанных рукою Центрального Банка, становится ясно: это игра в морской шахматной партии, где каждый ход точно продуман, а стратегия подстраивается под изменяющиеся ветры и течения кибер-океана. И пусть судно может иногда качать на волнах перемен, судьба его – все же оставаться на плаву, невзирая на штормы и призрачные силуэты айсбергов на горизонте.

#Юмор #Выходные

По итогам года ещё более остро встает проблема стандартизации права и нормативов в области ИБ. С учетом скорости изменений в НПА и плотности задач как никогда остро стоит проблема кодификации законодательства в области информационного права. В частности недавняя история про цифровой кодекс кажется назревшей. По существу ведь у нас в ИБ есть одна универсальная задача: защита чувствительной информации и обеспечение информационной безопасности сервисов.

И эта задача вполне универсальна для любой отрасли, для любого конкретного типа чувствительной информации. А нюансы сводимы к конкретным особенностям SLA, частным организационно-техническим мерам, степени критичности конкретных активов и систем в разрезе государства, общества, предприятия. Но независимо ни от чего, любая система с точки зрения ИБ может быть представлена через:

- активы;
- потоки данных;
- инфраструктуру и автоматизированные системы (поддерживающие активы и потоки данных);
- мониторинг состояния вышеперечисленных объектов и реагирование на инциденты;
- процессы безопасной разработки и эксплуатации ПО;
- разграничение прав и обязанностей, юридические обязательства.

И сегодня, в очередной раз в нашей истории (нашей, в смысле не только России, но и международного сообщества) мы видим очередной пример стихийного нарастания сложности регуляторики и стандартизации. Когда частично из-за желания заработать на различных стандартах*, частично из-за невысокой правовой культуры и бессмысленных KPI на скорость разработки нормативов, частично из-за непонимания ИБ как системной науки и отсутствия общей теоретической модели в головах ответственных специалистов у нас возникает все более сложная и запутанная система требований. В которой одинаково неприятно жить и регулируемым, и регуляторам; и пользователям и разработчикам нормативов. И здесь нас конечно частично спасут GPT-агенты, GRC-системы, аналитические инструменты, автоматизации в широком смысле но... это все костыли, призванные нивелировать изначально плохую архитектуру.

Что-то похожее на то, что сейчас происходит в области DevSecOps и AppSec - где размножается огромное количество решений и инструментов, и вместо того, чтобы навести фундаментальный порядок отрасль, повинуясь рыночному инстинкту, придумывает новые инструменты и новые костыли, поверх старых несовершенных решений. И все это продолжает усложняться и хаотизироваться. А отчеты и аналитика показывают все ухудшающееся состояние безопасности и все возрастающий объем технического долга.

Так что же нам делать? Для начала осознать описанное как проблему и согласиться с тем, что это нездоровая ситуация. А затем попытаться организовать то, что происходит в таких ситуациях ВСЕГДА: новое обобщение, новый синтез, на основании продуманной онтологии (модели, архитектуры, теории) ИБ. Без подобного упражнения ИБ продолжит скатываться в "алхимию" и будет "искусством" в худшем смысле этого слова. И даже GPT-помощники не помогут разобраться в нарастающей сложности, потому что никуда не исчезнут коллизии, дублирующие друг друга требования, и множество других более или менее бессмысленных в контексте обеспечения ИБ задач.

Как это может выглядеть в итоге? Например как с одной стороны хороший учебник ИБ (по аналогии с знаменитыми учебниками Колмогорова в математике, или Ландау в физике); с другой стороны кодекс цифрового права; с третьей универсальная серия стандартов и дополнительных частных руководств по реализации с учетом отраслевой специфики и размеров компании.

*Особенно характерно для проприетарных стандартов/платных систем стандартизации, где проведение соответствующих работ или получение статуса аудитора стоит денег и соответствующий держатель системы оказывается заинтересован в придумывании новых требований и стандартов, переусложняя экосистему нормативов.

#Философия #Отрасль #ИБ

В этом месяце Роскомнадзор опубликовал проект приказа о формировании «доверенной базы данных геолокации IP-адресов в России».

🗣 «Её создание позволит привести цифровую границу государства в соответствие с физическими границами Российской Федерации», - указано в представленном документе.

❗️📣 Эту новость сразу же распространили непрофильные СМИ и телеграм-каналы, намекая на некие предпосылки к созданию в России автономного закрытого интернет-пространства по аналогии с китайским.

❓Но так ли это на самом деле? Наш эксперт по наступательной безопасности Никита Котиков дал свой комментарий по этой новости для Cyber Media.

Когда шаришь геолокацию для встречи с клиентом, а GPS закидывает тебя прямо в Кремль. 🙈

#Юмор

❗️Менее года остаётся до важной даты: согласно указу президента РФ, к 1 января 2025 года органы государственной власти, госкорпорации, субъекты КИИ и системообразующие предприятия будут обязаны перейти на отечественное ПО.

🧐 Но насколько мы реально готовы к такому форсированному импортозамещению, по крайней мере по части СЗИ?

🗣 Рустам Гусейнов в своём комментарии для CISOCLUB ответил на этот насущный вопрос.

👉 https://cisoclub.ru/importozameshhenie-sredstv-zashhity-informacii-uspet-za-1-god-my-gotovy/

О пользе CTF для исследователя, мотивации в пентесте, спецификах отечественной и зарубежных отраслей ИБ и многом другом.

👍 Рекомендуем подкаст от коллег из Awillix с классным гостем - пентестером и независимым исследователем ИБ Павлом Топорковым (Paul Axe).

👉 https://youtu.be/ougLRaXhNW4?si=55r1exJR5tjQ1CKD