🤝 Конференция АБИСС началась. Прямо сейчас идет пленарная сессия "тяжеловесов" - ЦБ, ФСТЭК, НКЦКИ и другие чуть больше часа будут обсуждать "вечные вопросы кибербезопасности в мире после КИИ". Ниже некоторые тезисы (почти прямые цитаты):

⚪ НКЦКИ:

- что касается 250 Указа, то ответственные за ИБ в организациях благодарят создателей указа за повышенное внимание к ИБ со стороны своего руководства.

- 213 Приказ НКЦКИ, устанавливающий порядок мониторинга указа, носит не только удалённый характер, но подразумевает и выездные проверки, и планы мониторинга защищенности всех субъектов согласно плану (включая аналог ASM - сбор информации о периметре организаций).

- из нашей выборки организаций больше 50% организаций подвержены уязвимостям, позволяющим осуществить проникновение внешнего злоумышленников (80% случаев).

- организациям не хватает компетенций, но это длинный процесс и мы рассчитываем на улучшения в будущем.

- нужно корректировать НПА в части ответственности за недостаточную подготовленность безопасности внешнего периметра...

⚪ ФСБ:

- встраивание это лицензионный вид деятельности, в документации на СКЗИ описано надо ли встраивать или нет, если надо - нужно провести оценку влияния и т.д. и т.п.

- для разработки СКЗИ лицензия и требования к СКЗИ не нужна в ситуации условного "студента, который для личных нужд шифрования диплома делает ПО, которое не продаётся, не распространяется, не влияет на других людей". Обычно же, тем более в сферах финорганизаций и КИИ все хорошо зарегулировано, и разработка СКЗИ для соотв. бизнес и тех. процессов подпадает под лицензируемую деятельность в 99% случаев.

- помимо ФСБ консультации по вопросам лицензируемой деятельности можно обращаться в испытательные лаборатории, работающие по направлению СКЗИ.

- уже около года согласованы решения по встраиванию СКЗИ в мобильные приложения финорганизаций, работающих с цифровым рублём. Дальше идёт полный курс работы аналогичный сертификации средств защиты. Но есть облегчение: при первой проходке испытательной лаборатории можно выделить функции связанные с криптографией, и если в будущих изменениях они не затрагиваются, то за несколько дней испытательная лаборатория даёт подтверждение, что все ок, и "раз в полгода" отправляет статистику в ФСБ. Наконец сейчас вступят в силу новые поправки, которые позволят не ждать фидбэка испытательной лаборатории и выпускать релиз, принимая риски на себя, а потом постфактум получать обратную связь.

⚪ ЦБ:

- 25.07.2024 вступили в силу изменения в законодательстве по операциям без согласия клиентов, и теперь злоумышленникам можно блокировать электронные средства платежа на основании информации от ЦБ (фактически любые банки, куда пойдёт злоумышленник, могут превентивно блокировать его ДБО).

- 22.10.2024 вступили в силу изменения, согласно которым крупные банки в течении двух часов должны информировать ЦБ о злоумышленниках (обычные в течении трех часов).

- ЦБ установил порядок перехода на импортозамещенное ПО и оборудование, ведёт мониторинг перехода.

- в части гост 57580.3 и .4 в начале 2024 года были выпущены методические рекомендации по внедрению ГОСТов (самый близкий срок для крупных организаций 31.12.2025; самый дальний для небольших 31.12.2027). Интеграция требований в НПА ЦБ и превращение их в обязательные планируется в дальнейшем.

- выпущены рекомендации по унификации форматов описания объектов информационной инфраструктуры (прежде всего в части ежеквартальных отчётов финорганизаций по опернадежности).

- наработанный опыт анализа показателей опернадежности, в том числе деградации тех. процессов, показывает злоупотребления со стороны части организаций и ЦБ планирует скорректировать НПА.

#абисс #конференция

К нашей команде присоединился специалист по тестированию на проникновение, Александр Анашин.

В рамках академии пентестеров при кооперативе RAD COP им был развёрнут проект Vampi для исследования безопасности API.

В рамках данной статьи разбираем:

⚪️ Какие API уязвимости есть в VAmPI?
⚪️ Из-за чего эти уязвимости существуют и эксплуатируются?
⚪️ Какие есть способы защитить веб-приложение?
⚪️ Какой есть дополнительный материал для самостоятельного изучения?

Настоятельно рекомендуем сначала попробовать самим провести пентест данного веб-приложения!

По ссылке разбор и решение: https://habr.com/ru/companies/radcop/articles/853660/

#Хабр #Пентест #Статья #GitHub #VAmPI

🤝 Приветствуем, друзья!

«Диалектика — это собирательное название процедур Открытия, дремлющих в сознании каждого человека». Отто Ласке

Сегодня хотим чуть больше углубиться в эту тему.

📺 Если вы давно подписаны на канал, то уже знакомы с концепциями «вертикального развития» или «стратификационной теорией Джекса». Если нет, то даже с позиции здравого смысла мы часто сталкиваемся с различием логики людей и сложности их мышления. Особенно актуальными эти проблемы становятся в рамках самоуправления на предприятии: действительно, необученные и невоспитанные люди могут быть склонны к оппортунистическому поведению, буквально «рубить сук, на котором сидят». Верно и обратное — по мере усложнения мышления, люди могут повышать сложность своих действий и воспринимать более сложные системы, аспекты, роли, контексты, осознавая «свободу» не как «делаю что хочу», а как «осознанную необходимость, ограниченную свободами других людей».

🖋 Оказывается, что этой сложности можно и нужно учиться даже во взрослом возрасте (во всяком случае, если самоуправление является нашей ценностью и мы хотим, чтобы «гармонически развитых личностей с высокой субъектностью» становилось больше). И мы решили создать такую возможность для вас

‼️ RAD COP организует тренировки по изучению диалектического мышления и приглашает желающих в набор группы, которая предварительно стартует с января-февраля, и в течение 40 недель (т.е. почти год), будет учиться у непосредственного ученика и соратника Роберта Кигана и Майкла Бассечеса — Отто Ласке (в вики о нем можно прочитать тут, а здесь его персональная страничка).

⚪ Конечная цель тренировок: прокачать ум и рациональность мышления на максимум, осваивая диалектическое мышление у живого классика (сейчас Отто 88 лет, и возможно мы будем одним из последних потоков, кто вообще пройдет обучение).

✅ Стоимость за участие в группе 20-25 человек — около 1000 долларов с участника. Занятия онлайн, примерно 1 раз в 2 недели, по 1,5-2 часа. Все средства пойдут на оплату услуг Ласке и организацию синхронного перевода

Подробности и детали проекта

🤝 Сейчас нас 13 человек, есть минимум 7 мест, аудитория очень разнообразная: ученые, собственники бизнесов, управленцы, ведущие эксперты, сторонники самоуправления, и просто желающие расширить возможности своего ума и повысить сложность мышления.

🕸 Если кому-то интересно присоединиться к группе — пишите, пожалуйста, в личку @SurmatMG

#Объявление #Мышление #Ласке #Курс

Скептики скажут: «Зачем столь молодой и маленькой компании стратегия?». Рынок растет, размеры организации таковы, что пайщики и старожилы могут «дотянуться» до кого угодно в одно касание. Масса зрелых фирм живут без какой-либо стратегии вообще. А эти непонятные кооператоры что-то стратегируют на «ровном месте»…

🤝На наш взгляд, в условиях реальной задачи проращивания в организации самоуправления и субъект-субъектных отношений между сотрудниками у организаций возникает масса проблем синхронизации взглядов, отношений, ценностей и задач. В случае RAD COP эти отношения осложняются отсутствием классического офиса и полностью удаленной работой, которая ещё и проектна по своей природе. А значит устойчивый производственный коллектив сам по себе не образуется (например, в отличие от промышленного производства на конвейере: рабочие цеха волей-неволей интегрируются в единый организм).

И получается, что стратегия, как смычка между операционным уровнем и глобальным видением (или эволюционной целью) организации, является для нас не блажью, а единственным способом нормировать организацию и создать фундамент конструктивного сотрудничества всех участников на основе выработанных смыслов и договоренностей.

В противном случае возникают непрерывные коллизии, которые решаются либо директивно, силой авторитета и доверия, либо не решаются и порождают различные трактовки, недопонимания и расслоение в практиках.

Т.е. если не стратегировать вместе и не вовлекать в коллективное творчество широкие группы участников коопа, не делать это на постоянной основе, то фактически происходит расщепление культуры организации. И внутри одной компании вырастает несколько разных организаций, со своими системами управления и подходами к работе.

В этом смысле подходы форума перекликаются с используемой в RAD COP моделью социократии 3.0, внедрение которой начинается с описания доменов, во многом похожего на фреймворк стратегирования продвигаемого Форумом. И точно так же, как и с социократией, в стратегии самое важное начинается после её создания.

Без ритма внутренних встреч, без механизмов трансляции информации между сотрудниками, без способов получения обратной связи и внесения корректировок хороших результатов не будет. Здесь, как нигде, важен отлаженный процесс, в основе которого регулярность, чуткость и внимание всех участников не только к отдельным деталям, но и к картине в целом. Это означает отношение к Стратегии, как к отдельному внутреннему проекту, с применением к ней всех фишек PDCA и осознанием смычки людей-процессов-технологий в рамках «задачи по стратегированию».

P.S. Расскажите, а что вы думаете о стратегиях? Насколько они нужны организациям? Каковы факторы успешных стратегий? И можно ли совместить бизнес задачи, с задачами развития сообщества и культуры, или что-то одно будет непременно угнетать и доминировать над другим?

#Кооператив #Команда #Стратегия

А мы говорили!

🎙 Вместе с командой RAD COP решили вспомнить, какие фразы в 2024 году звучали у нас чаще всего.

Представляем вам наш топ-3:

3 место:

«Коллеги, нашел сленг в отчете»

В этом году у RAD COP было много клиентов и, соответственно, отчетов. Мы стремимся, чтобы каждый заказчик понимал наши документы, поэтому избавляемся от сложных сокращений и профессионального сленга.

2 место:

«Всем спасибо, хорошо пообщались»

Каждый созвон, колл или зум завершался благодарностью и позитивом. Коммуникация — это ключ к успеху!

1 место:

«У меня всё хорошо»

Эта фраза стала самой популярной на наших сонастройках. Даже в самые загруженные моменты наши специалисты находят время для внутреннего спокойствия.

Рады, что лидером стала такая позитивная фраза!

Желаем, чтобы в наступающем году у всех всё было хорошо ❤️

Теперь ваша очередь: делитесь в комментариях своими любимыми словами и фразами 2024 года 👇🏻