22 января 2025 года Банком России были утверждены «Методические рекомендации Банка России по проведению тестирования на проникновение и анализа уязвимостей информационной безопасности объектов информационной инфраструктуры организаций финансового рынка» (2-МР)

🖋 С документом важно ознакомиться организациям финансового рынка, находящимся под надзором Банка России:
- кредитным организациям
- некредитным финансовым организациям
- субъектам национальной платежной системы
- бюро кредитных историй

В Положениях Банка России 683-П, 757-П, 821-П для них установлены требования по регулярному тестированию на проникновение и анализу уязвимостей информационной безопасности объектов их инфраструктуры.

📄 Глобально новых требований в 2-МР, изучив документ, мы не обнаружили.

Собрали обратную связь от наших специалистов из Круга Offensive Security и из Круга методологии и комплаенса. Узнали, какие новые важные пункты из методических рекомендаций стоит отметить, какие сложности могут возникнуть, как изменится взаимодействие с клиентами.

Тезисно:

↕️В документе явно указывается методика, по которой должна проводиться оценка уязвимостей.

Есть требования к стилю описания уязвимостей в соответствии с ГОСТ Р 58143-2018 «Информационная технология. Методы и средства обеспечения безопасности. Детализация анализа уязвимостей программного обеспечения в соответствии с ГОСТ Р ИСО/МЭК 15408 и ГОСТ Р ИСО/МЭК 18045. Часть 2. Тестирование проникновения»; ГОСТ Р 56545-2015 «Защита информации. Уязвимости информационных систем. Правила описания уязвимостей».

Этот стиль в некотором виде отличается от того, который мы используем в данный момент.

↕️Строгий формат отчета. В 2-МР. В Приложении к документу приводится типовая структура отчета. В сравнении со структурой, которую мы сейчас используем, в новой немного изменен порядок описания.

↕️Также в методических рекомендациях указаны требования о нахождении специалистов на территории России.

На текущий момент это только рекомендации, но заказчики уже сейчас начинают интересоваться, а кто-то даже закладывает требования наличия 2-МР в проекте договора.

Для нас как для специалистов есть сложности в том, что нужно переработать отчет для соответствия 2MР в контексте структуры. Необходимо переработать наши типовые таблицы, с помощью которых мы описываем уязвимости, чтобы удовлетворять запросы клиентов. Обновленная форма описания уязвимости кажется довольно объемной. Она включает около 15 полей вместо наших четырех. Сейчас активно занимаемся преобразованием наших шаблонов отчета. В какой-то степени зона комфорта меняется :) По нашим прогнозам: к этому скоро все придут. А мы всегда стремимся быть проактивными в нашей работе — отметил тимлид Круга Offensive Security, Филимонов Кирилл.

В настоящее время мы готовы приступить к выполнению необходимых работ и оформлению отчетов в соответствии с 2-МР.

Прикрепляем ссылку на сам документ: https://www.cbr.ru/crosscut/lawacts/file/9945

#Экспертно_РАДКОП #2MP

RAD COP и Живая Компания

С 6 по 8 февраля наша команда принимала участие в уникальной конференции «Живая Компания», которая уже на протяжении 7 лет объединяет лидеров и новаторов в области самоуправления и человекоцентричных организаций. Это мероприятие — пространство для обмена опытом, знаниями и практиками, которые помогают компаниям оставаться адаптивными в быстро меняющемся мире.

🎙 Рустам Гусейнов, председатель кооператива, выступил с темой, актуальной как для предпринимателей, так и для наемных сотрудников, и рассказал про институты самоуправления: без чего оно невозможно в принципе или обречено на провал.

В докладе было выделено 7 основных институтов:

⚪Институт № 1. Система кругов и развитие обратной связи «снизу-вверх»
⚪Институт № 2. Информационно-знаниевая модель организации и соглашения
⚪Институт № 3. Финансовая прозрачность и реализация принципа «все в доле»
⚪Институт № 4. Культурные практики, HR-процессы и развитие зрелости личности
⚪Институт № 5. Выборность руководства и работа коллегиальных органов
⚪Институт № 6. Учет заслуг или «социальный рейтинг»
⚪Институт № 7. Мультистейкхолдерная модель

Подробнее об Институтах самоуправления смотрите в презентации и по ссылке

Такие конференции для нас — это не только обсуждение опыта с другими практиками и теоретиками самоуправления, но и инструмент сплачивания собственной команды. Работая на удаленке с тех времен, когда это ещё не стало мейнстримом, мы стараемся собираться на подобные «пиковые события» раз в 3-4 месяца. И конференция в нашем случае плавно перетекла в корпоратив, с разговорами о смыслах, ценностях, с разрешением рабочих вопросов и стратегированием.

Благодарим организаторов и всех участников за вдохновляющее время и плодотворные обсуждения!

Презентация
Запись выступления

#Живая_компания #Кооперация #Институты_самоуправления

2-МР: о чем нужно помнить Заказчику 🕵‍♂️

Неделю назад мы рассказали о важных для специалистов пунктах из новых методических рекомендаций (2-МР), утвержденных Банком России 22 января 2025 года. Рекомендуем ознакомиться с предыдущим постом.

Углубившись в тему, мы выделили новые рекомендации уже для Заказчиков, а не Исполнителей. Что нельзя упустить из виду представителям организаций финансового рынка:

↕️Модель угроз информационной безопасности

У заказчика должна быть сформированная модель угроз информационной безопасности для объектов информационной инфраструктуры. Эта модель должна основываться на методическом документе «Методика оценки угроз безопасности информации», утвержденном ФСТЭК России 5 февраля 2021 года (Пункт 1.7. рекомендаций).

Почему это важно: Модель угроз помогает выявить потенциальные риски и разработать эффективные меры защиты.

↕️Техническое задание (ТЗ) на пентест

Необходимо наличие технического задания на проведение тестирования на проникновение и анализ уязвимостей информационной безопасности.

Рекомендуется включать в ТЗ:

- Описание классов атак.
- Описание среды проведения пентестов.
- Схему сетевых подключений (карта сети).
- Описание факторов риска, реализуемых в рамках пентеста (угрозы, шантаж работников, воздействие на личные социальные сети).
- События, при наступлении которых незамедлительно прекращается пентест.

↕️Планы восстановления операционной надежности

Организация должна иметь планы восстановления операционной надежности в случае возникновения нештатных ситуаций в ходе проведения тестирования на проникновение.

Почему это важно: Планы восстановления помогают минимизировать ущерб и быстро восстановить работу в случае инцидента.

↕️Рекомендуется обязательная перепроверка уязвимостей после их выявления

↕️Обеспечьте регистрацию инцидентов защиты информации, связанных с пентестом
Для этого должен быть функционирующий SOC (Security Operations Center).

Команда RAD COP уже перешла на работу в соответствии с 2-МР. Если у вас есть вопросы — задавайте их в комментариях или по ссылкам в шапке профиля.

Отправляйте пост коллегам и представителям организаций финансового рынка, чтобы и они были в курсе 🤝

#2MP #Экспертно_РАДКОП

За сетевую травлю хотят ужесточить ответственность 🖇

Татьяна Москалькова, уполномоченный по правам человека в РФ, предложила рассмотреть запрет доступа в интернет как наказание за буллинг.

Идея заключается в том, чтобы призывать физических лиц к административной ответственности за буллинг и сталкинг в сети.

«Технологии всегда опережают регуляторику, а она, в свою очередь, пытается «догнать» их, когда они становятся массовыми» — комментирует новость для Кибердома Рустам Гусейнов, председатель нашего кооператива. Подробнее с мнением эксперта можно ознакомиться по ссылке.

Развиваются технологии — растет количество случаев абьюза в сети. Правовое регулирование кибербуллинга в России остается пока в подвешенном состоянии. На данный момент существуют некоторые законодательные нормы, позволяющие привлечь виновных к ответственности за оскорбления, клевету и нарушение неприкосновенности частной жизни.

Оставляем небольшую памятку о том, как базово обезопасить себя от агрессии в сети:

⚪

Блокируйте агрессора в социальных сетях для предотвращения дальнейших агрессивных действий

⚪

Обращайтесь к администрации социальных сетей для блокировки страниц с агрессивным контентом

⚪

Игнорируйте нападки, чтобы не усугублять ситуацию. Так вы не позволите злодею добиться желаемого

⚪

Настройте приватность, чтобы ограничить доступ к личной информации в социальных сетях

⚪

Обращайтесь за помощью в правоохранительные органы, если буллер переходит все возможные границы (оскорбления, клевета, нарушение неприкосновенности частной жизни)

Мы надеемся, что в интеренет-мире будет преобладать не только техническая безопасность, но и психологическое благополучие пользователей 🌐

#Кибербуллинг #Экспертно_РАДКОП

14 марта пентестер Александр Анашин (DAFFIER) выступил на студенческой конференции ISCRA Talks с темой «API пентест в веб-приложении VAmPI» 🕵‍♂️

Это событие собрало активных студентов, желающих углубить свои знания в области кибербезопасности.

⚪Почему тему выступления можно назвать аткуальной для студентов?

«Выбранная мной тема подсветила студентам, что ИБ — это не абстрактная теория, а критически важная часть разработки. Например, я разобрал кейс, где неправильная обработка API-запросов привела к полной компрометации базы данных. Это показало, что даже базовые ошибки (вроде отсутствия перепроверок) могут иметь катастрофические последствия. Я надеюсь, это вдохновило студентов углубиться в кибербезопасность и они получили ценную информацию для дальнейшего применения» — комментирует DAFFIER.

⚪Какие еще вопросы интересовали слушателей?

«Один из вопросов был про SQL-инъекции. Меня спросили, сталкивался ли я с ними на практике. Я честно ответил, что пока нет. Но это не делает данную тему менее важной. Я объяснил, что такие уязвимости до сих пор встречаются в реальности, и привел примеры, как их можно обнаружить и предотвратить. Думаю, аудитория ушла с четким пониманием, что безопасность — это не про абстрактные угрозы, а про реальные риски, которые можно и нужно контролировать» —

ответил Александр.

⚪Как ты думаешь, почему важно выступать на подобных студенческих конференциях?

«Делясь знаниями, ИБ-компании расширяют нетворкинг, участвуют в развитии отрасли и помогает молодым специалистам развивать важные навыки. Также это про инвестиции в репутацию и рост компании» —

отметил пентестер.

Презентацию вы найдете в комментариях 💻

Поздравляем Александра с дебютом и желаем дальнейших успехов!

#Делясь_знаниями_получаешь_больше

Утечка данных в Keenetic: как защитить корпоративные сети от атак с использованием утекших данных 🕵‍♂️

Несколько дней назад миру стало известно, что крупнейший производитель сетевого оборудования Keenetic был подвержен хакерской атаке, это повлекло за собой утечку личных данных пользователей.

Компания подтвердила факт утечки. Под угрозой находятся пользователи, зарегистрированные до 16 марта 2023 года.

О возможном взломе компанию предупреждали еще в марте 2023 года. Тогда Keenetic утилизировали уязвимость, однако какие-то данные уже успели попасть в руки хакеров.

Пострадавшая компания заявила, что финансовые данные пользователей в безопасности. Но это не значит, что ситуация безобидна: утечка учетных данных администраторов, обширных пользовательских данных, информации о Wi-Fi, специфических настройках устройств и сведений о сетях несет большой риск для конфиденциальности.

🤝 Новость вдохновила нашу команду рассказать о важных шагах, которым стоит следовать, если ваша компания столкнулась с компрометацией ценных данных.

Краткий чек-лист для руководителей отделов ИБ и ИТ

⚪Создайте план действий заранее
Это нужно, даже если утечек никогда не случалось. Опишите шаги подробно, включая процедуры уведомления, сдерживания и восстановления. Хорошо работают тренировки по реагированию на инциденты. Так сотрудники будут быстрее ориентироваться и с большей вероятностью эффективно отреагируют.

⚪Как база: смените пароли и конфигурации
Обновите все пароли, особенно те, которые могли быть скомпрометированы. Используйте сильные и уникальные пароли для каждой учетной записи. Проверьте и обновите конфигурации сетевых устройств, включая маршрутизаторы и серверы.

⚪Усильте аутентификацию
Внедрите 2FA для всех пользователей (если вы еще этого не сделали), чтобы предотвратить несанкционированный доступ даже при наличии украденных паролей. Если возможно, используйте MFA для повышения безопасности доступа к критическим системам.

⚪Обновите и проведите патчинг ПО
Регулярно обновляйте программное обеспечение и операционные системы, чтобы закрыть известные уязвимости. Применяйте патчи безопасности для устранения обнаруженных уязвимостей в ПО.

⚪Проводите мониторинг инцидентов
Установите IDS/IPS для мониторинга и блокировки подозрительной активности в сети.

⚪Обучайте сотрудников
Проводите регулярные тренинги для сотрудников по вопросам безопасности и правильному реагированию на инциденты. Например, организуйте поквартальные курсы повышения осведомленности всех сотрудников. Анализируйте аналитику по каждому сотруднику и его степень риска стать жертвой мошенников.

⚪Разграничьте доступ
Лучше предоставлять сотрудникам доступ только к тем данным и системам, которые необходимы для выполнения их рабочих обязанностей. Периодически пересматривайте права доступа пользователей. Это ограничивает масштаб ущерба в случае компрометации учетной записи.

⚪Регулярно проводите тестирование на проникновение и аудит безопасности
Пентест поможет действовать проактивно и выявит уязвимости в системах до того, как ими воспользуются злоумышленники. Комплексные аудиты безопасности необходимы для соответствия требованиям регуляторов и для выявления, устранения слабых мест в защите.

«Помните, что критические ситуации случаются

всегда не вовремя

, поэтому важно иметь

план действий

, который в случае проблемы поможет сохранять спокойствие и действовать эффективно» — РАД КОП.

#Делясь_знаниями_получаешь_больше

🕵‍♂️ РАД КОП открывает вакансию руководителя финансового направления.

Мы — это производственный кооператив, в сфере информационной безопасности. У нас нет традиционной иерархии, отрытая товарищеская среда и атмосфера бурлящего стартапа 🪨

Сейчас мы ищем человека, который:

⚪ Понимает финансы как инструмент развития организаций на благо людей, а не контроля ради контроля и регламентов;

⚪ Имеет опыт работы в неформальных коллективах или осознает, что подготовлен к ним и мечтает в такой попасть (а-ля «Педагогическая поэма» Макаренко, «Открывая организации будущего» Лалу или «Понедельник начинается в субботу» Стругацких);

⚪ Готов работать в условиях динамичного самоуправления (где важны инициатива и личная ответственность перед товарищами и клиентами) и умеет балансировать между креативностью и административной рутиной, направлен на эффективные процессы и результат.

✅ Ожидания от кандидата по знаниям и компетенциям:

1. Развитие методологии, внедрение и сопровождение управленческого учета в кооперативе;

2. Курирование проектов по автоматизации систем бюджетирования, бюджетного и казначейского контроля;

3. Проектирование и наполнение нормативно-справочной информации: планы счетов, статьи доходов/расходов, МВЗ, центры прибыли;

4. Реализация схем закрытия затрат, расчеты ФОТ, налогов, стыковка данных план/факт;

5. Ведение отчетности (БДР, БДДС, баланс), факторного и ABC-анализом;

6. Уверенный пользователь Excel, 1С, CorPlan (OptiMacros) — тут могут быть нюансы, но в конечном итоге надо уметь «работать руками с компьютерными системами и приложениями», чтобы быть способным самостоятельно делать п. 1 - 5 (у нас небольшая компания, с оборотом 100 млн рублей в год и парой десятков сотрудников, а функции бухгалтерии, налогового учета, юриспруденции уже делигированы другим товарищам 🤝).

Зарплата и иные элементы мотивации зависят от ваших навыков, компетенций, опыта и наших договоренностей. Ключевая задача может быть сформулирована как проект развития управленческого учета в коопе, но важно быть способным не только создавать новое, но и поддерживать старое.

🖋 Как устроено наше сотрудничество?

Сейчас мы формируем пулл желающих участвовать в конкурсе. Алгоритм такой:

1. Вы откликаетесь на вакансию и высылаете нам резюме;

2. Мы проводим предварительный отбор резюме;

3. Отобранные кандидаты приглашаются на неформальное онлайн-знакомство (обсуждаем соответствие по ценностям и играем в бизнес-игры для синхронизации, решаем тестовые задания)

4. По итогам тестируем подошедших кандидатов с помощью психометрического теста (аналитические способности, открытость изменениям, напористость и способность доводить дело до конца, лидерские качества);

5. Принимаем окончательное решение по предложению наиболее подходящему, на наш взгляд, кандидату и синхронизируемся с ним по договоренностям.

Важно: Нам не нужно «идеальное» резюме. Ценим искренность, стремление доводить проекты до результата, реальные компетенции и готовность к диалогу и ответственности за взятые на себя обязательства⏳

‼️ Заинтересованным участникам писать в Телеграм: @marina_du

Отправляйте пост тому, для кого вакансия может быть актуальна.

Банк России обновил требования по информационной безопасности: Положение № 851-П

Положение вступило в силу 29 марта 2025.

Новые требования заменяют Положение 683-П и усиливают защиту банковской информации от мошеннических действий.

✅ Положение № 851-П обязывает филиалы иностранных банков в России использовать проверенное ПО, регистрировать действия при аутентификации и предотвращать вовлечение несовершеннолетних в финансовые преступления, усиливает контроль за электронными сообщениями и телефонными номерами клиентов.

🤝 Команда РАД КОП изучила новые требования и выделила основные изменения, о них рассказали в мини-статье.

⚪Новые требования расширяют круг регулируемых организаций и включают филиалы иностранных банков, что особенно важно в условиях санкций в рамках единообразного подхода к защите информации в финансовом секторе. Например, применение электронной подписи и отечественных СКЗИ без исключений говорит о продолжающемся тренде импортозамещения. Контроль смены sim-карт является логичным в условиях периодически появляющихся сообщений о перехвате управлением интернет-банкингом с использованием дублей сим, а оповещение о действиях несовершеннолетних должно как снизить риски мошенничества с участием таковых, так и закрепить ответственность за их действия и действия совершенные от их имени за их законными представителями. Установленные сроки предоставления информации об инцидентах защиты информации позволят Банку России держать «руку на пульсе» и видеть масштабы киберугроз в реальном времени.

— комментирует выход Положения № 851-П руководитель круга комплаенса и методологии Александр Осипов 🤝

Переходите по ссылке, чтобы узнать подробности, и отправляйте коллегам из ИБ.

#Экспертно_РАДКОП #851П

Новый Приказ ФСБ №117: что изменилось и как это повлияет на государственный сектор?

6 апреля 2025 года вступил в силу Приказ ФСБ №117, Приказ №524 отменен.

Ключевое изменение: увеличилось количество организаций и информационных систем государственного сектора, в которых класс СКЗИ необходимо выбирать, следуя строгим правилам, установленным Приказом №117.

⚪Для кого важно?

Это важно для органов государственной власти, государственных унитарных предприятий и государственных учреждений, в информационных системах которых применяются средства криптографической защиты информации.

⚪Почему это важно?

Перечисленным выше организациям надо пересмотреть свой подход к определению класса СКЗИ, который на данный момент используется в их информационных системах, и проверить его на соответствие требованиям и процедуре определения класса СКЗИ, установленных Приказом №117.

⚪Есть риски?

Если не привести свои информационные системы в соответствие с требованиями Приказа №117, то возникают риски использования СКЗИ неверно определённого класса, что в свою очередь

влияет как на уровень защищенности информационных систем указанных организаций, так и создаёт для них регуляторные риски

.

Эксперты РАД КОП подготовили подробный разбор документа. Узнайте, какие изменения вас касаются и как адаптироваться к новым условиям в мини-статье.

Отправляйте статью коллегам и проводите аудиты своевременно 🤝

#Экспертно_РАДКОП #Приказ117

Информационная безопасность в сфере микрофинансирования

25 апреля состоится онлайн-встреча, посвященная актуальным вопросам кибербезопасности в области микрофинансирования.

🎙 В числе спикеров — Александр Осипов, эксперт РАД КОП, который поделится своим опытом и разъяснит особенности формирования минимального ИБ-контурa для организаций финансового сектора. В рамках встречи эксперты обсудят ключевые риски, требования регуляторов и практические подходы к обеспечению защиты данных в МФО, КПК и ломбардах.

Мероприятие будет полезно руководителям, ИТ- и ИБ-специалистам, внутренним контролёрам и сотрудникам по комплаенсу. Участники получат чек-листы и рекомендации по актуальным нормативным требованиям.

⚪Дата и время: 25 апреля, 10:00–11:00 (МСК).
⚪Регистрация открыта до 24 апреля, 14:00 МСК.

Регистрация по ссылкам:
Юр. лица | Физ. лица

#Делясь_знаниями_получаешь_больше #Вебинар