😯 Встречайте новостной выпуск №7

В свежем выпуске подкаста «Безопасный выход. Новости» эксперты AKTIV.CONSULTING — Владислав Крылов и Ольга Копейкина — обсудили, почему ИБ-рынок в России продолжает расти, кто стал жертвой громких атак и почему именно ИИ оказался в фокусе CFO.

В этом выпуске:
🟠Объем российского ИБ-рынка составил 339,1 млрд руб. в 2024 году
🟠Хакерские атаки на ИТ-инфраструктуру «Аэрофлота», Винлаб и 12Storeez
🟠Инвестиции в ИИ — главный приоритет для финансовых директоров
🟠Киберпреступники стали в 1,5 раза чаще атаковать детей

Смотреть на удобной платформе:

📺 VK Видео

📺 Rutube

📺 YouTube

🎵 Яндекс.Музыка

🎼 Podster

#подкаст #Безопасныйвыход #новости


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🔔 Новостной дайджест прошедшей недели

🔸 Минцифры разработало второй пакет мер по противодействию мошенникам
В министерстве сообщили, что предложенные меры создадут многоуровневую систему защиты граждан в цифровой среде, а также подчеркнули, что все инициативы разрабатываются с учётом баланса безопасности и прав пользователей.

🔸 ИБ-компании опасаются, что новый правительственный пакет антифрод-мер может серьезно ограничить работу белых хакеров
Дело в том, что одна из мер предполагает запрет на распространение информации о методах проведения кибератак наравне с экстремистским контентом.

🔸 На «Госуслугах» появится реестр согласий на обработку персональных данных
Он позволит россиянам управлять информацией о себе: видеть, кому они дали разрешение на ее использование, и при необходимости легко его отзывать.

🔸 Топ-5 ИТ-компаний России обеспечили 95% выручки на рынке ИИ
Рынок технологий искусственного интеллекта в 2025 году может вырасти на 25–30%, до 1,9 трлн рублей.

🔸 МВД задержало создателей крупнейшего ресурса с украденными личными данными
Сервис собирал массивы информации из утечек различных структур и предоставлял клиентам детальные досье на граждан — от паспортных и адресных сведений до данных о доходах, кредитной истории и месте работы.

🔸 Поиск уязвимостей в программных продуктах принес белым хакерам почти 270 млн рублей за год
Наиболее востребованы их услуги были у финтеха, госсектора и ИТ-компаний.

🔸 В России начнут проверять сотовые номера, привязанные к ИС госорганов и организаций, оказывающих социально значимые цифровые услуги
Власти ожидают, что это поможет бороться с получением злоумышленниками доступа к чужим аккаунтам.


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

✈️ Вступайте в нашу общую папку Инфобез

В ней уже собраны каналы игроков ИБ-рынка: ИнфоТеКС, Астрал.Безопасность, Axoft, РЕД СОФТ, RuSIEM, Echelon Eyes, Ideco, а также наш канал.

🔥 Что внутри?
Актуальные новости ИБ – важные события отрасли, разборы атак и нововведений.
Практика и кейсы – проверенные методики защиты, обзоры инструментов и лайфхаки.
Обучение – статьи, вебинары и курсы для постоянного прокачивания знаний.

📌 Мы планируем развивать подборку и постепенно добавлять больше полезных каналов, чтобы она стала действительно ценным инструментом для всех, кто в теме ИБ.

Добавить папку Инфобез!


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

📚 1 сентября — символ того, что учёба никогда не заканчивается. В ИБ это правило работает на 100%

Ведь киберугрозы меняются быстрее, чем мы успеваем привыкнуть. Поэтому постоянное обучение в этой сфере стало необходимостью.

Компании всё активнее внедряют курсы, симуляции и вебинары, чтобы сотрудники могли развиваться и быть в курсе актуальных практик. Мы тоже делимся опытом на конференциях АБИСС, Сеймартек, АСУ ТП КВО и других отраслевых площадках.

А чтобы повышение квалификации сотрудников приносило реальную пользу, наш эксперт Евгения Горюнова выделяет пять ключевых направлений:

🔸 Актуализация знаний
Базовых курсов уже мало. Нужны современные форматы: интерактивные тренинги, фишинг симуляции, вебинары экспертов. В фокусе актуальные угрозы: ransomware, атаки на цепочку поставок, социальная инженерия.

🔸 Практическое применение
Теорию нужно закреплять опытом: участие во внедрении инструментов безопасности, учениях по реагированию на инциденты, анализе систем. Важно обмениваться знаниями на конференциях, в сообществах и на встречах с экспертами. Расширить кругозор помогает работа с менторами и консалтинговыми компаниями по ИБ.

🔸 Персонализация обучения
Важно учитывать уровень знаний сотрудников. Техническим специалистам нужны углубленные курсы по пентесту, анализу кода и управлению инцидентами. Сотрудникам вне ИТ — тренинги по основам безопасности, распознаванию фишинга и работе с конфиденциальной информацией.

🔸 Постоянное обучение
Киберугрозы растут, а методы реализации атак развиваются, поэтому обучение должно быть непрерывным. Эффективна система с короткими модулями, рассылками и доступом к актуальным ресурсам, которые помогают оставаться в курсе новых атак.

🔸 Оценка эффективности
Важно проверять, как обучение влияет на сотрудников. Для этого используют тесты, опросы, киберобучения и анализ поведения, чтобы видеть изменения в осведомленности, навыках при соблюдении правил информационной безопасности.

Рекомендации
🟠Создайте программу обучения по ИБ, которая учитывает разные группы сотрудников.
🟠Используйте современные и интерактивные форматы.
🟠Давайте возможность применять знания на практике.
🟠Сделайте обучение постоянным процессом.
🟠Заложите его в стратегию и бюджет компании.
🟠Регулярно проверяйте результаты и обновляйте программу.
🟠Общайтесь с экспертами отрасли и перенимайте лучшие практики.

В следующем посте мы расскажем, как сотрудники нашей компании развивают экспертизу и передают практический опыт внутри и за ее пределами.

#Евгения_Горюнова


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🎓 Зачем киберпреступникам данные образовательных учреждений

В I полугодии 2025 года в России зафиксировали 18 утечек данных из образовательных учреждений. Это на 20% больше, чем за тот же период 2024 года.

Персональные данные учеников и сотрудников ценятся у злоумышленников. Их используют для оформления кредитов на «чистое имя» ребёнка, для шантажа родителей, а ещё для создания правдоподобных фишинговых атак. Например, письмо «от классного руководителя» с просьбой перевести деньги или дать доступ. Ну и, конечно, такие базы просто продают на чёрном рынке.

⚡️ Что могут сделать сами ученики и учителя
Учреждение должно строить основную защиту, но и пользователи могут помочь. Простая цифровая гигиена работает:
🛑 Использовать сложные (и уникальные) пароли,
🛑 Не переходить по подозрительным ссылкам в письмах и сообщениях WhatsApp, Telegram и Max,
🛑 Не передавать свои логины, пароли и другие чувствительные данные,
🛑 Устанавливать и обновлять средства защиты,
🛑 Быть бдительными и и помнить про фишинговые сайты.

🔍 Рост утечек в образовании: Россия и мир
Во многих странах утечек становится меньше, но в России их количество растёт. Причина — массовая цифровизация образования: электронные дневники, журналы, проекты вроде «Цифровой образовательной среды». Новые системы и точки входа стали привлекательной целью, но их защита во многих случаях осталась на базовом уровне.

#Дмитрий_Башков

👉 Подробный разбор с комментариями экспертов в материале ComNews


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

💬 Зачем подсчитывать ущерб от инцидента информационной безопасности?

Для успешного управления и минимизации количества потенциальных инцидентов ИБ важно уметь определять недопустимые события для организации. Недопустимыми считаются события (либо их цепочка), которые:
🛑 происходят в результате кибератаки и делают невозможным достижение организационных или стратегических целей компании;
🛑 приводят к значительному нарушению основной деятельности организации.

К таким событиям можно отнести, например, остановку производства, подмену контента («дефейс»), полную или частичную потерю данных и т.д.

👉 6 мая 2025 года Минцифры России выпустило методические рекомендации по формированию перечня недопустимых событий для обеспечения непрерывности операционной деятельности организаций.

Переходя к финансовой оценке последствий от инцидента ИБ, важно понимать основные цели для расчета такого ущерба. Для чего необходимо считать ущерб:
🟠для выполнения регуляторных требований, которым должна соответствовать организация в рамках обязательной финансовой отчетности;
🟠для расчета страхового возмещения (киберстрахование в России набирает все большую популярность);
🟠для оценки затрат на деятельность в области ИБ;
🟠для выплат компенсации клиентам и партнерам;
🟠для сравнения с организациями по отрасли.

Ущерб от инцидента может и должен быть рассчитан. Его реальный размер обычно выше первичных оценок. Грамотное управление рисками, декомпозиция ущерба и моделирование сценариев помогут существенно минимизировать последствия от инцидентов ИБ, а также не допустить их повторного возникновения.

💡Напомним, что мы проводили вебинар: «Как оценить финансовый ущерб от инцидента». Посмотреть можно по ссылке.

#Сергей_Шлёнский


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

⏩ Уже завтра состоится вебинар: «Защита КИИ. Практика»

⭐️Вебинар №11 «Защита КИИ. Практика»⭐️

4 сентября в 11:00 состоится вебинар «Защита КИИ. Практика», организованный ассоциацией АБИСС.
На вебинаре эксперты АБИСС обсудят практические аспекты защиты КИИ. Разберут ключевые шаги по защите ЗО КИИ (оценка текущего состояния, разработка защитных мер и их реализация), а также расскажут с какими проблемными вопросами при реализации системы обеспечения ИБ ЗО КИИ придется столкнуться на практике (несертифицированные средства защиты информации, встроенные меры защиты и безопасная разработка ПО).

ПРОГРАММА ВЕБИНАРА:

🎤Владислав Крылов, консультант по информационной безопасности AKTIV.CONSULTING
Тема: «Что делать, если ваша АСУ ТП является ЗО КИИ»:
➖Оценка ситуации и первые шаги
➖Разработка документации и организационных мер
➖Техническая реализация защиты

🎤Илья Воложанин , руководитель группы аудита соответствия требованиям КИИ, Инфосистемы Джет
Тема: «Проблематика реализации требований по защите КИИ»
➖Почему оценка соответствия для СЗИ в виде сертификации все же единственный вариант?
➖Оценка соответствия в форме испытаний для встроенных функций общесистемного и прикладного ПО -почему нужно реализовывать, как на практике выполнять?
➖Безопасная разработка ПО как камень преткновения в реализации требований по защите для внедряемых ИС.

ДЛЯ КОГО ВЕБИНАР:
✔️Руководители и специалисты по информационной безопасности и управлению рисками
✔️Ответственные лица за КИИ в организациях различных отраслей

РЕГИСТРАЦИЯ
✨Зарегистрироваться можно по ссылке https://abisswebinar.ru/✨

👍 Информационные партнеры:
Листок бюрократической защиты информации, АИС

⚙️ Про железки пентестера

Сегодня поговорим об основных физических инструментах для работ по физическому пентесту, как части работ по RedTeam. И нет, затрагивать Flipper Zero мы не будем, а рассмотрим устройства, которые действительно используют этичные хакеры.

1️⃣ HackRF One – это программно-определяемый радиочастотный трансcивер (SDR), который позволяет работать с частотами от 1 МГц до 6 ГГц и тестировать защищённость радиочастотных протоколов и радиоустройств. По сути, это универсальный радиочастотный анализатор с открытым исходным кодом.
Что он позволяет делать:
🟠Перехватывать и анализировать радиочастотные сигналы;
🟠Дублировать, а также генерировать собственные сигналы;
🟠Анализировать работу различных радиоустройств, в том числе IoT-устройств;
🟠Анализировать работу систем GSM и LTE;
🟠Исследовать различные протоколы связи, например, Bluetooth, Wi-Fi, Zigbee и пр.;
🟠Эмулировать базовые станции;
🟠Помогает в обнаружении скрытых устройств и камер.

2️⃣ Proxmark3 – это многофункциональный инструмент для анализа безопасности RFID-систем. Разработанный в 2007 году, как проект с открытым исходным кодом, и активно развивающийся сообществом по сей день. Имеет два независимых антенных контура для низких частот (LF) 125/134 кГц и высоких частотн (HF) 13.56 МГц.
Что он позволяет делать:
🟠Считывать и записывать RFID-метки;
🟠Анализировать протоколы и безопасность RFID-карт;
🟠Эмулировать RFID-карты и метки;
🟠Проводить анализ защищенности NFC-систем;
🟠Тестировать системы контроля доступа (СКУД);
🟠Осуществлять Brute-force атаки на ключи доступа.

3️⃣ Digispark – это плата с микроконтроллером на базе ATtiny85, похожий на Arduino, но в компактном формате. Работает с Arduino IDE, но требует предварительной установки специальной библиотеки. Идеально подойдёт для проектов, где важен размер, а не мощность.
Что он позволяет делать:
🟠Имитировать клавиатурный ввод;
🟠Эмулировать различные USB-устройства;
🟠Использовать как USB-ключ для автоматизации;
🟠Создавать кастомные скрипты под конкретные задачи и автоматически выполнять их при подключении;
🟠Внедрять удалённые сессий и скрипты без обнаружения антивирусами;
🟠Проводить атаки социальной инженерии через Bad-USB.

4️⃣Raspberry Pi – это компактный одноплатный компьютер с низким энергопотреблением и множеством портов для подключения (USB, HDMI, Ethernet), который можно использовать как для простых, так и для сложных проектов в сфере информационной безопасности. Также он поодерживает различные ОС, например, Raspbian, Kali Linux, Ubuntu и другие.
Что он позволяет делать:
🟠Создать портативную и даже автономную лабораторию пентестера;
🟠Реализовать или эмулировать различные сетевые сервисы, как honeypot-система;
🟠Создать Wi-Fi сканер через USB-адаптер;
🟠Реализовать систему мониторинга трафика;
🟠Реализовать IDS/IPS системы;
🟠Реализовать прокси-сервер;
🟠Настроить TOR-узел или VPN-сервер.

Вот мы и познакомились с основными физическими инструментами этичных хакеров. Конечно, это далеко не весь список из арсенала специалистов, существуют ещё направленные антены для тестирования Wi-Fi сетей, платы с микроконтройлерами со съёмной памятью и собственными антенами, а их формфактор может быть замаскирован даже под самый обычный USB-кабель, и прочие автономные устройства.

Помните, что все эти инструменты сами по себе не несут угрозы – всё зависит от целей их использования. Поэтому мы настоятельно рекомендуем учитывать законодательство при их использовании, а также не забывать про защиту самих устройств. А лучше, доверить работы по физическому пентесту экспертам.

#Артем_Храмых #пентест #анализ_защищенности #OSINT


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🔔 Новостной дайджест прошедшей недели

🔸 Требования к операторам связи по ограничению спам-звонков привели к массовой блокировке всех звонков от коммерческих организаций
Эксперты объясняют, что закон не разделяет звонки на типы, поэтому блокируются все обзвоны, которые идентифицируются как массовые.

🔸 С 1 сентября анонимные данные можно обрабатывать без согласия человека
Важно, что при этом информация должна исключить возможность прямой идентификации.

🔸 В Госдуме сформулировали определение искусственного интеллекта, которое будет закреплено в федеральном законе
Под ИИ предложили понимать любую систему данных или софт, который сможет обрабатывать информацию способом, напоминающим разумное поведение.

🔸 Более 600 преступлений было выявлено в I половине 2025 года по новой статье УК о незаконной обработке персональных данных
Кроме того, Роскомнадзор с начала года заблокировал 1,7 тыс. интернет-ресурсов, которые использовались для неправомерного сбора, хранения и распространения ПДн.

🔸 В 2025 году зафиксировано более 105 млн атак на российские облачные сервисы
Более чем в половине случаев атаки начинались с техники подбора или подстановки уже украденных логинов и паролей.

🔸 Правительство поддержало исключение из общедоступной части реестра операторов персданных адреса физлиц и ИП
Эксперты отмечают, что исключение адресов таких операторов из общедоступных сведений реестра затруднит или сделает невозможным направление им обращений и запросов.

🔸 Сбер: число звонков мошенников через мессенджеры снизилось в 15 раз
При этом почти в два раза выросло количество мошеннических звонков с международных номеров по сотовой связи.

🔸 Исследование: e-mail сотрудников почти всех крупных компаний есть в утечках
Утечка корпоративных адресов электронной почты, которые работники часто используют для регистрации на личных и сторонних сервисах, может привести к взлому внутренних ИТ-систем бизнеса.


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🎉 Поздравляем с Днём финансиста и делимся аналитикой

Работа в финансовом секторе — это не только про цифры и ответственность за деньги, но и про защиту репутации, данных и клиентов.

Сегодняшние угрозы становятся всё сложнее, и именно CISO, ИБ-специалисты и команды ИТ вместе с финансистами стоят на страже устойчивости бизнеса.

На основе данных Банка России и анализа текущего ландшафта угроз мы выделили основные тренды, которые определяют потребности финансового сектора в консалтинговых услугах по информационной безопасности.

1️⃣Атаки через цепочку поставок (подрядные организации)

По данным ЦБ: в 2024 году было выявлено 17 инцидентов у ИТ-подрядчиков, которые затронули более 70 финансовых организаций. Основные векторы проникновения — компрометация учетных записей подрядчиков и эксплуатация уязвимостей в их инфраструктуре.
Консалтинговый запрос: аудит процессов управления доступом сторонних организаций, разработка регламентов и методологии оценки рисков для подрядчиков.

2️⃣Организация скрытых каналов передачи данных

По данным ЦБ: злоумышленники массово перешли на использование легитимных инструментов для туннелирования трафика — Ngrok, Cloudflare Tunnel, GSocket, Microsoft Dev Tunnels. Это делает их активность практически неотличимой от обычного служебного трафика.
Консалтинговый запрос: аудит сетевой архитектуры на предмет рисков организации скрытых каналов, разработка сценариев обнаружения аномальной сетевой активности.

3️⃣Эксплуатация уязвимостей и скорость реагирования

По данным ЦБ: в среднем между публикацией PoC-эксплойта и первой атакой проходит менее 22 минут. При этом фиксируются случаи, когда системы были скомпрометированы за месяцы до начала активных действий злоумышленников (dwell time).
Консалтинговый запрос: внедрение процессов оперативного управления уязвимостями, приоритизация угроз, обязательный постинцидентный анализ.

4️⃣Использование российской инфраструктуры для атак

По данным ЦБ: наблюдается рост атак с IP-адресов российских хостинг-провайдеров и мобильных операторов. Такой трафик часто воспринимается как легитимный.
Консалтинговый запрос: аудит и пересмотр правил безопасности периметра, сценарии поведенческого анализа внутреннего трафика.

5️⃣Усиление фишинга и социальной инженерии

По данным ЦБ: после блокировок телефонных мошенников злоумышленники перешли на звонки через мессенджеры. Актуальные сценарии — полисы, запись в поликлинику, «служба безопасности банка», вредоносные документы.
Консалтинговый запрос: обучение сотрудников и клиентов, моделирование целевых фишинговых атак.

6️⃣Проактивное выявление следов компрометации и долгосрочного присутствия (dwell time)

По данным ЦБ: специалисты ФинЦЕРТ в ходе расследований выявляли, что информационные системы были скомпрометированы за несколько месяцев до начала активных действий. Злоумышленники оставляют в системах backdoor и веб-оболочки (Web shell) для сохранения доступа даже после устранения уязвимости. Устранение уязвимости не гарантирует безопасности системы, если не проведен тщательный постинцидентный анализ на наличие этих следов.
Консалтинговый запрос: проактивные расследования, ретроспективный анализ систем, поиск признаков скрытых каналов и незамеченных векторов доступа.

⚡️Прогноз на 2025–2026:
🟠Рост атак через поставщиков без единых требований к их защищенности
🟠Смещение фокуса на малые и средние организации
🟠Усиление деструктивных атак: шифровальщики, удаление данных
🟠Усложнение атрибуции из-за цепочек прокси и VPN
🟠Рост dwell time для сбора информации

💡Так, финансовым организациям необходим не просто набор защитных средств, а комплексный консалтинг: управление рисками, аудит архитектуры, повышение осведомленности. В фокусе — безопасность цепочек поставок, скорость управления уязвимостями и противодействие скрытым атакам.

#Дмитрий_Башков


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

💻 Java без рисков: импортозамещение в ТЭК

В условиях санкций и запрета иностранного ПО на объектах критической инфраструктуры (КИИ) компании топливно-энергетического комплекса (ТЭК) решают задачу не только соответствия требованиям, но и сохранения устойчивости своих промышленных ИС.

Многие системы в ТЭК десятилетиями разрабатывались на Java. После ухода Oracle и обострения рисков (блокировка обновлений, утечки, отключения) выбор пал на российские дистрибутивы Java, в первую очередь — Axiom JDK. Он включён в реестр Минцифры и сертифицирован ФСТЭК. Это позволило компаниям не переписывать код с нуля, сохранить производительность и соответствовать требованиям.

📊 Что требует регулятор:
В России зарегистрировано более 50 000 объектов КИИ, из них более 70% — в ТЭК (по оценке Центра компетенций по цифровой экономике).

В августе 2023 года Минэнерго РФ утвердило перечень из 30 типовых отраслевых объектов КИИ — от систем управления скважинами и нефтебазами до установок крекинга и газораспределительных систем.

Согласно указу Президента РФ №250 от 01.05.2022, с 1 января 2025 года запрещено использовать иностранное ПО на объектах КИИ, если существует российский аналог, включённый в реестр Минцифры. Запрет распространяется и на open source, если он не зарегистрирован в реестре.

Федеральный закон 187-ФЗ требует обеспечить устойчивость и защищённость значимых объектов КИИ, исключив неконтролируемое воздействие на технические средства, которое может нарушить или остановить работу таких объектов.

✔️ Почему Java остаётся в фокусе:
Большинство ИС в ТЭК исторически создавались на Java (языке, обеспечивающем кроссплатформенность, масштабируемость и гибкость). Переход на российские JDK из реестра Минцифры позволяет:
🟠сохранить текущую архитектуру;
🟠избежать полной переработки бизнес-логики;
🟠соответствовать требованиям ИБ и нормативным актам.

Так, Java по-прежнему остаётся зрелой, производительной технологией с широкой экспертизой и поддержкой на российском рынке.

Источник: ComNews


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

✈️ Практика, менеджмент, безопасность — всё в одном канале

В одном из недавних выпусков подкаста мы говорили о том, кто такой современный CISO, какую роль он играет в компании и с какими вызовами сталкивается. Гостем выпуска стал Георгий Руденко (ex.Сбер, ex.Альфа-Банк), а сейчас директор по информационной безопасности в одном из крупнейших банков и номинант рейтинга Forbes «30 до 30».

🔗 Выпуск подкаста «Кто такой современный CISO и какую роль он играет в компании». Смотреть.

👉 За пределами подкаста Георгий делится своими мыслями и опытом в личном Telegram-блоге — Георгий Руденко | Кибербез & Бизнес.

В канале можно найти:
🟠советы для начинающих и опытных руководителей ИБ;
🟠инсайты из личных встреч с экспертами;
🟠материалы для топ-менеджеров и предпринимателей.

Подписывайтесь и загляните в архив, там много полезного ⭐️


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🆙 Карта роста зрелости информационной безопасности

Продолжаем разбираться, как оценить финансовый ущерб от инцидента ИБ в организации.

Что будет, если завтра случится серьёзный инцидент ИБ? Сможете ли вы точно оценить ущерб или понять, сколько это будет стоить бизнесу. Чтобы не гадать, нужно понимать: где вы находитесь на шкале зрелости информационной безопасности.

Выделяется пять ключевых уровней зрелости:
🛑 организация затрудняется оценить ущерб от инцидента (в том числе потенциального);
🛑 организация использует количественную интерпретацию качественной оценки (метод светофора);
🛑 организация может оценить ущерб количественными методами (в рублях);
🛑 организация оценивает риск-аппетит в повседневной операционной деятельности;
🛑 организация моделирует сценарии и определяет недопустимые события.

Для повышения уровня зрелости необходимо опираться на накопленный опыт и использовать международную и отечественную правовую базу.

В этом помогут проверенные фреймворки и методологии:

💱Фреймворк «NIST Risk Management Framework»
💱Стандарт ISO/IEC 27005 (менеджмент риска ИБ)
💱Серия стандартов ISO/IEC31000
💱ГОСТ Р ИСО/МЭК 31010
💱ГОСТ Р 57580.3
💱Методологии (Монте-Карло, FAIR, FRAP, BIA, FMEA, CRAMM).

#Сергей_Шлёнский


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

⭐️ Доступна запись Вебинара №11 "Защита КИИ. Практика"

В записи вебинара, где спикером выступил наш эксперт Владислав Крылов — конкретные кейсы, разбор ошибок и чек-листы для внедрения. Не теория, а только то, что работает здесь и сейчас.

И вот несколько моментов, на которые мы хотим обратить ваше внимание по итогам вебинара:

📃 58-ФЗ, отраслевые нюансы: категорирование стало проще или усложнилось?
Категорирование АСУ ТП как объектов КИИ — это не шаблонная задача. Энергетика, нефтегаз, металлургия — в каждой отрасли свои риски и индивидуальные системы, под каждую необходим свой расчет критериев значимости. Да и ко всему, появился ряд документов (пусть отчасти и проектов), меняющих уже устоявшуюся годами процедуру категорирования. Голова идет кругом, не так ли?

🔓 RBAC в АСУ ТП: не «можно», а «обязательно»
Минимальные привилегии, блокировка неактивных учёток, динамическое изменение прав — это не обязательные требования, закреплённые в отраслевых стандартах и регуляторных документах, а "правила хорошего тона" при реализации СОИБ АСУ ТП. Например, модель RBAC исключает ситуации, когда инженер-наладчик получает несанкционированный доступ к настройкам критических параметров ПЛК из-за избыточных прав.
Игнорирование этих мер — прямая дорога к инцидентам, где человеческая ошибка или злой умысел могут остановить производство на часы или даже дни.

⚠️ Двухфакторка на АСУ ТП: не паранойя, а стандарт
Токен + пароль — это минимум, который отсекает 90% атак брутфорсом. Локальный вход в HMI-панель требует смарт-карты и PIN-кода, чтобы даже физический доступ злоумышленника к оборудованию не гарантировал ему контроль. Реализация 2FA в АСУ ТП — это не «гипертрофированная осторожность», а базовый уровень защиты, который уже внедряют лидеры промышленности, от нефтеперерабатывающих заводов до атомных станций.

Готовы разобрать всё по шагам? Переходите по ссылке ниже:
📺 VK Видео

#Владислав_Крылов


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

⭐️ Недавно познакомились с ребятами из REDTalk.

Они публикуют практические кейсы, делают интересные ресёрчи и умеют просто объяснять сложные темы. Иногда добавляют иронии, но ровно столько, чтобы материал оставался профессиональным и полезным.

Если хотите расширить свой кругозор в области ИБ — рекомендуем обратить внимание.

👇 Ниже один из их свежих разборов. На этот раз по пентесту Wi-Fi сетей (WPA2 Personal).


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст

🔔 Новостной дайджест прошедшей недели

🔸 В Совбезе начали готовить новую редакцию Доктрины информационной безопасности России
Актуальная редакция Доктрины была утверждена указом президента в декабре 2016 года.

🔸 Минцифры представили «белый список» интернет-ресурсов, которые будут работать во время отключения мобильного интернета
В перечень планируют включить 57 сервисов, среди которых крупнейшие банки, портал «Госуслуг», поисковые системы и т.д.

🔸 Правительство внедрило искусственный интеллект в систему управления нацпроектами
ИИ анализирует запланированные мероприятия, процессы их выполнения и прогнозирует риски (точность такого прогноза уже достигает 96%).

🔸 МегаФон: лишь 4% российских компаний не имеют серьезных уязвимостей в системах информационной безопасности
Согласно результатам пентестов, проведённых сотовым оператором в 2025 году, уязвимостям высокого и критического уровней в защите своих информационных систем подвержено 60% компаний.

🔸 Исследование: доля российских ИТ-компаний, использующих генеративный ИИ в разработке ПО, увеличилась за год почти в 2 раза
При этом расчётное число сотрудников, которых понадобилось бы привлечь для тех же проектов или задач, возросло более чем в 10 раз.

🔸 При большом количестве соискателей ИТ-компании по-прежнему испытывают дефицит квалифицированных кадров
Основные причины дисбаланса: трансформация бизнес-потребностей в сторону дефицитных навыков, необходимость работы с российскими технологическими стеками и недостаток квалифицированных инженеров.

🔸 Внедрение нейросетей может принести банкам почти 2 трлн рублей на горизонте пяти лет
Уже 48% финансовых организаций начали внедрять ИИ-решения, однако 70% неудач связаны с фундаментальной неготовностью бизнеса к изменениям и подходом к ИИ как к ИТ-инструменту.


💬Telegram | 💙VK | 🌐Сайт | 📹Подкаст