Государственная аттестационная комиссия📕
На этой неделе сижу в дипломной комиссии у специалитета двух направлений подготовки спецов по ИБ. Заявлено достаточно много дипломов из категории "повышение эффективности того и этого". На предзащитах, к сожалению, заявленные цели дипломных работ не совпадали с конечным результатом. Эффективность ни в чем не измерялась. Посмотрим, как будет в итоговых работах.
Неделя будет интересной))

p.s. сам я заканчиваю магистратуру по направлению "менеджмент - развитие бизнеса: стратегии, проекты, финансы". На скриншоте диплом с научной конференции (не быстро их делают). Что ключевого я получил от магистратуры - взгляд опытных менеджеров на управление ИБ, незамутненный профдеформацией ИБшников)) ну и всевозможные способы подсчета 38 попугаев, от чего страдают теперь мои студенты))

#Apple начала рассылать iPhone 16 для исследований безопасности по программе Apple Security Research Device 🍏

Устройства для исследования получают специалисты, которые прошли отбор на портале программы Apple Security Research. Они работают на модифицированной версии ОС, их нельзя передавать третьим лицам, за утерю такого айфона грозит серьёзный штраф по соглашению с Apple

🆕Применение ИИ в ТЭК

АНО "Цифровая экономика" представила отчет об эффективных практиках применения ИИ в ТЭК🕯

В ходе исследования проанализированы более 300 кейсов внедрения отечественных ИИ-решений в ключевых направлениях ТЭК, таких как нефтегазовая и угольная промышленность, электроэнергетика и теплоснабжение. Из них 63 кейса представлены в отчете. Результаты анализа показывают, что в 69% рассмотренных случаев использование ИИ-технологий привело к положительному бизнес-эффекту.
Среди ключевых эффектов также следует отметить: повышение скорости и оптимизация процессов (59% рассмотренных кейсов), улучшение качества продукции и услуг (24%), а также повышение безопасности (21%). Наиболее активно развиваются решения на основе интеллектуальной поддержки принятия решений и технологий компьютерного зрения.

🛡В том числе раздел 4.5 посвящен безопасности ИИ, а именно #MLSecOps, в котором раскрыты основные риски при использовании ML в приложениях, а также как #AppSec позволяет обрабатывать эти риски

#AI #ИИ #ТЭК #отчет

Дипломы специалитета📕

Защиты прошли. Что сказать. В общем и целом неплохо, даже хорошо.

Очень понравилось, что большинство студентов сильно поработали над обратной связью, которую мы им дали в рамках предзащиты. Честно, не ожидал.

Работы, которые больше всего понравились:
1⃣ Разработка алгоритма определения хакерских группировок на основе MITRE ATT&CK. Помимо самого алгоритма, вторая фокус-цель по обмену опытом выявления группировок, что очень радует.
2⃣ Автоматизация работы аналитика L1 SOC, в том числе фокус на времени с ключевой целью достижения Time-to-Attack (TTA) > Time-to-Detect (TTD) & Time-to-Response (TTR)
3⃣ Несколько работ по криминалистике по сбору с устройств важной для расследования информации, в том числе из секретных чатов telegram. Здесь смутило только несвежие версии ОС Android и самого исследуемого ПО на стендах, но «в полях» все норм)

Что не понравилось?
1⃣ Заметное число работ с размытым фокусом и слабой защитой новизны. Т.е. цель не очень коррелирует с полученным результатом, это раз. Второе - темы по построению систем защиты ПДн, где основной результат - модель угроз и ОРД, и совсем ничего про архитектуру самой организации и ее ИСПДн, а также используемых решений
2⃣ Над навыками самой презентации нужно работать со студентами. Я не про сами слайды, а про структурированность и логичность изложения, а также выделение важного. Плюс очень много было отсылок из категории «читайте диплом». ИМХО, защита должна быть исчерпывающей, членам комиссии за 2-3 дня не прочесть 40-50 дипломов

p.s. Студентов поздравляю, добро пожаловать в наши стройные ряды. Придерживаетесь светлой стороны!🎉
p.p.s. ждем лета и защит бакалавров))

#образование

BESSEC

📣 Обзор законодательства ИТ&ИБ. Декабрь 2024

Аналитики УЦСБ подготовили очередной обзор изменений законодательства.
Основные темы:
📑 Новые требования по защите ГИС и ИС госорганов
📑 Новые формы документов ФСБ по лицензированию
📑 ГОСТ Р 56939-2024 Разработка безопасного ПО. Общие требования
📑 Планы ФСТЭК по НПА на 2025 год
📑 И другое :)

🔄 судебная практика за 4 квартал 2024

Приятного чтения! 🥸

Предыдущие обзоры по хэштегу #обзорзаконодательства@bessec

📣 Jet Security Team опубликовали новый фреймворк JCSF по аудиту и защите контейнерной инфраструктуры!

Фреймворк позволяет провести аудит собственной контейнерной инфраструктуры и сформировать дорожную карту и конкретные действия по защите контейнеров.

В фреймворке 5 доменов:
📍безопасность узлов (nodes)
📍безопасность оркестратора (orchestrator)
📍безопасность образов (images)
📍безопасность манифестов (manifest)
📍безопасность контейнеров в runtime (container)

Фрейворк предлагает 5 уровней зрелости (от uninitiated до experts), а также "розу ветров" для визуализации текущего и целевого уровня по каждому из доменов

Мы считаем, что основная часть фреймворка JCSF должна быть публичным достоянием: общее описание абстракций, список контролей и их расположение на уровнях зрелости навсегда останутся общедоступными

#devsecops

🛡RuSCADASec Conf 2025 пройдет 3 апреля 2025

Ключевые темы:
⚙️ Secure by Desing
⚙️ Практика реализации требований ⚙️ законодательства для ИБ АСУТП
⚙️ Безопасная разработка. Практика производителей АСУТП
⚙️ Управление и эксплуатация системы ИБ АСУТП, а также управление рисками на практике
⚙️ Продукты (решения) для защиты промышленных систем

🎤Заявки на доклад до 1 марта

🚩РГУ нефти и газа (НИУ) имени И.М.Губкина

#асутп

⭐️Zero Trust

В феврале должен был выступать с докладом по теме Zero Trust на конференции INFOSTART TEAMLEAD&CIO EVENT. К сожалению, не получится, накладка выходит, но пусть презентация увидит свет💡

В презентации:
1️⃣ Смысл и принципы ZT и почему стандарт на самом деле совсем не новый
2️⃣ Элементы воздействия
3️⃣ Преимущества применения ZT
4️⃣ Шаги для внедрения
5️⃣ Плюсы и минусы самостоятельного внедрения и с привлечением партнера
6️⃣ Технические решения для реализации
7️⃣ Прогнозы будущего и вызовов ZT

BESSEC
#zerotrust

📣 Интервью для Код ИБ

Гостем сто шестого выпуска проекта #разговорыНЕпроИБ стал Евгений Баклушин, автор блога BESSEC, заместитель технического директора Positive Technologies и ex-заместитель директора аналитического центра УЦСБ

🕗Таймкоды выпуска:
00:00 Введение
01:39 Путь в ИБ
06:26 Опыт и навыки
10:28 Советы начинающим специалистам
13:06 Интегратор и блог
20:42 Аналитика в кибербезе
23:54 Будущее кибербеза
24:31 Тренды и импортозамещение
25:54 Кибербезопасность и нормативное поле
26:43 Размещение на облачных платформах
27:21 Решения для безопасной разработки
30:08 Искусственный интеллект в кибербезопасности
31:55 Личные увлечения и университет
35:08 Дефицит кадров и наставничество
36:53 Переключение и хобби
40:02 Влияние спорта на работу
42:40 Стиль руководства
43:55 Чтение и отдых
46:26 Активный отдых
52:41 Мечты и цели
55:31 Напутствия молодым специалистам
57:16 Заключение


📺 VK Видео
📺 Rutube
📺 YouTube

#Дайджест за месяц📌
Подсмотрел у коллег по опасному бизнесу))
За месяц было много постов, возможно, товарищ, ты пропустил что-то полезное и интересное для себя

✅ замечательный мем про первый рабочий день 2025 года

✅ применение ИИ в ТЭК, в том числе кибербезопасность этого самого ИИ

✅ хорошее и не очень у дипломников специалитета в ИБ

✅ обзор законодательства ИТ&ИБ от УЦСБ за декабрь 2024

✅ фреймворк по безопасности контейнерной инфраструктуры от Jet

✅ старт регистрации докладов на RuSCADASec Conf 2025

✅ моя презентация про концепцию Zero Trust

p.s. если полезно или нет - ставь соответствующую реакцию))

💸Технологическая независимость российского финтех-рынка

Исследование предназначено для участников российского финтех-рынка, включая банки, страховые организации, ИТ-компании, разработчиков финансовых технологий, а также регуляторов и государственных органов, заинтересованных в укреплении технологической независимости и снижении зависимости от зарубежных поставщиков. В периметр исследования вошли 24 финансовых и технологических компаний, которые так или иначе участвуют в повестке достижения технологического суверенитета

🕯Ключевые выводы:
➡️ 67% выделяют задачи технологической независимости как приоритетные
➡️ 54% считают ключевым фактором успеха замещения поддержку руководства
➡️ 56% организовали собственную разработку, в т.ч. ИТ-компании
➡️ 65% нацелены на развитие собственных кадров, чем на найм
➡️ 80% положительно оценивают реинжиниринг внутренних процессов из-за замещения
➡️ 82% выделяют надежность и безопасность наиболее значимым при выборе российских решений
➡️ 69% в целом удовлетворены отечественными аппаратными решениями
➡️ 41% уже испльзуют ПАК
➡️ 47% выделяют высокий уровень защиты данных как наиболее важное преимущество российских решений в области кибербеза

94% опрошенных считают, что сроки импортозамещения потребуют дополнительного времени

Подробнее #кибербезопасность рассмотрена в разделе 10

#исследования #импортозамещение #отчет

🚫Проект изменений в КоАП РФ за использование несертифицированных СрЗИ в ГИС:
➡️для граждан — от 5 000 до 10 000 рублей (вместо 1 500 – 2 500 рублей)

➡️для должностных лиц — от 10 000 до 50 000 рублей (вместо 2 500 – 3 000 рублей)

➡️для юридических лиц — от 50 000 до 100 000 рублей (вместо 20 000 – 25 000 рублей)

Яндекс встроил в свой корпоративный браузер защищенное хранилище, с шифрованием файлов с конфиденциальной информацией 🫡. Вроде это первый раз, когда такие функции встроены сразу в браузер 🔵, а не через отдельные утилиты и расширения. Прикольно.

Принцип работы:
➡️файлы зашифровываются при загрузке на устройство сотрудника с защищаемого сайта (например, корпоративного хранилища данных)
➡️открыть и отредактировать их можно только в ЯБраузере и только на одном конкретном устройстве 🔥
➡️ копировать, пересылать по почте или в мессенджере такой файл, конечно, можно, но открыть не получится

Как пишут в новости, 70% россиян пользуются личными устройствами на работе. Их работодателям пригодится 👍