ИИ уже стал частью рабочих процессов. Вместе с ним появились новые задачи для службы ИБ: Shadow AI, защита ML-моделей, безопасность AI-агентов, требования ФСТЭК, мониторинг атак на LLM.

Если вы хотите разобраться в этих вопросах системно, обратите внимание на модуль «Кибербезопасность в эпоху ИИ» программы «Директор по кибербезопасности 8.0».

За четыре занятия эксперты Норникеля, Домклик, СберЗдоровья и Академии Батранкова разбирают:

— Как меняется профиль рисков для ML и GenAI
— Почему запреты не решают проблему Shadow AI и какие подходы работают на практике
— Как выстроить безопасную разработку с использованием ИИ и защитить ML-пайплайны
— Как подготовиться к требованиям ФСТЭК, построить архитектуру контроля и организовать мониторинг атак на ИИ

Вместе с записью вы получите удостоверение о повышении квалификации и практические материалы: шаблон AI-BOM, чек-лист аудита ФСТЭК, рекомендации по политике использования ИИ, план мониторинга Shadow AI, SOC-плейбук и другие документы, которые можно использовать в работе.

Не ждите, пока вопросы по ИИ превратятся в инциденты. Присоединяйтесь к обучению и соберите собственную систему контроля AI-рисков.

Метрики здоровья OSS-проекта #опытэкспертов

В рамках курса «Директор по кибербезопасности 8.0» Виктор Бобыльков, CISO MWS Cloud, представил чек-лист, который позволяет быстро понять, стоит ли брать OSS-компонент в стек 👇🏻

1. Дата последнего релиза

Первый вопрос — когда выходило последнее обновление.
Целевое значение — не более 6 месяцев.
Красный флаг — если проект не обновлялся более года.

2. MTTR по CVE

Важно оценивать, насколько быстро команда проекта устраняет уязвимости.
Целевое значение — до 30 дней для critical CVE.
Красный флаг — более 90 дней или наличие уязвимостей без исправлений.

3. Bus factor

Необходимо понимать, сколько активных мейнтейнеров поддерживают проект.
Целевое значение — не менее трех.
Красный флаг — один мейнтейнер.

Bus factor — это реальный бизнес-риск. Если единственный сопровождающий выгорит, будет скомпрометирован, уйдет из проекта или прекратит поддержку, это может напрямую повлиять на компании, использующие данный компонент.

4. Наличие коммерческого спонсора

Желательно, чтобы за проектом стояли foundation или крупная компания.
Красный флаг — полностью hobby project.

5. Активность сообщества

Стоит обращать внимание на активность за последние 90 дней:

1. Новые issues
2. Pull request
3. Общую активность сообщества

Красный флаг — если проект фактически «замер», это повод дополнительно оценить риски.

6. OpenSSF Scorecard

OpenSSF Scorecard — инструмент Open Source Security Foundation, который автоматически оценивает безопасность OSS-проектов.

Он анализирует публичные данные GitHub и включает 18 проверок, связанных с:

— Практиками безопасности
— Рисками исходного кода
— Рисками процесса сборки

Среди проверяемых параметров:

— Защита основной ветки
— Обязательность code review
— Фиксация зависимостей
— Подпись релизов
— Использование SAST
— Наличие открытых уязвимостей

Итоговая оценка выставляется по шкале от 0 до 10.

Рекомендуется для критически важных компонентов — ориентироваться на Scorecard не ниже 7/10, т.к значение ниже 5/10 — красный флаг.

📩 На третьем модуле курса «Директор по кибербезопасности 8.0» эти критерии разбираются как практический инструмент для оценки OSS-компонентов и принятия решений о включении их в технологический стек.

Если хотите получать системные знания от действующих CISO, присоединяйтесь к обучению!

#ДиректорПоИБ

Ольга Поздняк стала звездой ИТ-Маркетинга 💫

CEO Код ИБ Ольга Поздняк победила в Marketing Battle на конференции Marketing Stars, где эксперты представили лучшие кейсы в антикризисном маркетинге.

Ольга рассказала, как в Код ИБ искусственный интеллект помогает автоматизировать рабочие процессы и делать маркетинг эффективнее в эпоху кризиса.

По итогам зрительского голосования Ольга стала победителем баттла и получила награду — звезду Marketing Battle ⭐️

Поздравляем с заслуженной победой!

💥 OpenSSF Scorecard — инструмент здоровья OSS-проектов #опытэкспертов

Материалом поделился Виктор Бобыльков, директор по кибербезопасности MWS Cloud, в рамках образовательного курса «Директор по кибербезопасности 8.0».

При выборе Open Source-компонента многие команды смотрят на популярность проекта, количество звезд на GitHub или активность сообщества. Но этих критериев недостаточно для оценки рисков.

OpenSSF Scorecard — инструмент, который позволяет автоматически оценить безопасность Open Source-проекта и получить его «балл здоровья». Он автоматически анализирует проект через GitHub API и оценивает его по 18 проверкам в трех категориях:

1. Практики безопасности проекта (Holistic Security Practices)
2. Риски исходного кода (Source Code Risk)
3. Риски процесса сборки (Build Process Risk)

Среди критериев оценки:

1. Защищена ли основная ветка (Branch Protection)
2. Проводится ли обязательное code review
3. Зафиксированы ли зависимости (Pinned Dependencies)
4. Подписываются ли релизы (Signed Releases)
5. Используется ли статический анализ кода (SAST)
6. Есть ли открытые и неустраненные CVE

По результатам формируется итоговый балл от 0 до 10.

💥 Как использовать OpenSSF Scorecard в работе CISO?

1. Включать минимальный порог Scorecard в политику использования Open Source
2. Проверять новые зависимости перед включением в стек
3. Регулярно отслеживать изменение баллов у уже используемых компонентов
4. Использовать публичные дашборды Scorecard для быстрой проверки
5. Для внутренних OSS-проектов компании — внедрить Scorecard как KPI команд разработки
6. Для критичных вендоров — запрашивать Scorecard в RFI/RFP

Многие команды разработки сами публикуют бейджи OpenSSF Scorecard для своих проектов и используют их как показатель зрелости процессов безопасности.

Важно понимать не только какие инструменты использовать, но и как принимать решения с учетом требований регуляторов и собственной ответственности.

Именно этим вопросам посвящен третий модуль программы «Директор по кибербезопасности 8.0».

Программа модуля доступна в записи. Изучайте её на сайте и присоединяйтесь к обучению 🙌🏻

#ДиректорПоИБ

Мы продолжаем полным ходом готовить интенсив Код ИБ ПРОФИ в Сочи и внимательно следим за ситуацией в регионе.

Чтобы получить актуальную информацию от местных жителей, мы связались с принимающей стороной — отелем на курорте Роза Хутор, где пройдет интенсив.

Дарья Подкорытова, менеджер отеля «Эрбелия от Васта»:

По состоянию на сегодня в горном кластере спокойно и хорошо. В нашем районе только курортные объекты, ничего стратегического, последняя крупная группа на 120 номеров заехала вовремя и "без приключений" на прошлой неделе.

Мы остаемся на связи с местными партнерами и внимательно следим за развитием ситуации. Программа интенсива остается без изменений.

Очень ждем встречи с вами в Сочи и уверены, что юбилейный ПРОФИ пройдет лучшим образом и, как и всегда, станет местом сильных профессиональных дискуссий, новых знакомств и ярких впечатлений.

Спасибо за ваше доверие. Будем держать вас в курсе!

Запускаем новую рубрику #работа. Будем публиковать вакансии, а также рассказывать о сильных специалистах, которые открыты к новым предложениям.

Следите за постами по хэштегу. А вот и первый кандидат 👇🏻

🔥 В поиске сильный CISO / Руководитель по информационной безопасности (Москва).

За плечами 20+ лет опыта, из них более 6 лет — руководство ИБ. Построил функцию информационной безопасности с нуля, управлял бюджетом свыше 100 млн ₽, сократил время реагирования на инциденты с 8 часов до 45 минут. Эксперт по построению ИБ, управлению рисками, внедрению SIEM, DLP, PAM, EDR, автоматизации процессов с использованием LLM и развитию команд.

Сейчас ищет компанию, где можно развивать и масштабировать функцию информационной безопасности, а не просто поддерживать существующие процессы.

💬 Если вы ищете сильного руководителя по ИБ или знаете компанию, которой такой специалист будет интересен, напишите руководителю проекта Татьяне в Telegram @codeib_ru — организует встречу.

📍 9–13 сентября встречаемся в Сочи на интенсиве Код ИБ ПРОФИ. Если хотите провести четыре дня в кругу сильного ИБ-сообщества и увезти с собой не только новые знания, но и новые профессиональные связи — присоединяйтесь.

#ИБнужныПРОФИ

Уважаемые коллеги и друзья!

12 сентября 2026 года, г. Санкт-Петербург. Старт нового потока Образовательной программы «ПрофесCIOнал» для ИТ-директоров и ИТ-руководителей!

«ПрофесCIOнал» — это совместная программа профессиональной переподготовки Санкт-Петербургского Клуба ИТ-директоров и бизнес-школы ИМИСП. Программа разработана для действующих ИТ-директоров, руководителей ИТ-направлений и их команд, с акцентом на систематизацию управленческих знаний, обмен практическим опытом и развитие профессионального сообщества.

Кому подойдет программа:

• ИТ-директорам малых и средних предприятий — для структурирования опыта и расширения управленческого инструментария;
• Опытным ИТ-руководителям — для повышения квалификации и освоения новых подходов в управлении проектами, продуктами и сервисами;
• Начинающим ИТ-руководителям — как практико-ориентированная основа для уверенного карьерного роста;
• ИТ-директорам для развития команды — как готовое решение для развития управленческих навыков ключевых сотрудников ИТ-службы.

Формат и место проведения:
Оффлайн
Место проведения: г. Санкт-Петербург, 9-я лин. B.O., 50

Программа включает 5 модулей:

• 12 - 13 сентября Модуль «Роль и функции CIO»
• 26 - 27 сентября Модуль «Основы менеджмента»
• 10 - 11 октября Модуль «Управление продуктами»
• 24 - 25 октября Модуль «ITSM и Service desk»
• 07 - 08 ноября Модуль «Управление проектами»

Преимущества:

• Обучение ведут действующие ИТ-директора и преподаватели ИМИСП;
• Практическая направленность — все темы разбираются на реальных кейсах;
• Удостоверение о повышении квалификации государственного образца;
• Обучение в сильной профессиональной группе, обмен опытом;
• Программа получает высокие оценки и положительные отзывы от наших слушателей.

❗️Количество мест ограничено

Подробная программа и регистрация

Если у Вас есть запрос на проведение индивидуального обучения для вашей компании, просьба обращаться в Управляющий офис Клуба

member@spbcioclub.ru
+7 (921) 954-37-67
Екатерина Шубодерова

Генеративный ИИ, киберразведка и утренний кофе: я иду на закрытый бизнес-бранч

Пока одни штурмуют открытые конференции, другие получают реальный опыт, передающийся только кругу посвящённых. Именно поэтому я выбрал непубличный формат — ежемесячные деловые завтраки с гуру киберразведки Андреем Масаловичем, более известным как «Кибердед». В меню: как не утонуть в дипфейках ИИ, как перехватить инфокризис в первые часы и как применять OSINT без нарушений.

Три кита цифровой самообороны на стартовом бранче: риски генеративного AI, система раннего предупреждения репутационных атак и юридически чистые методы разведки. Никакой воды — только прикладные кейсы и рабочие связки, которые реально внедрить.

Формат камерный, для своих. Подписчикам — эксклюзивная скидка 15% по промокоду. Присоединяйтесь и пишите в комментарии/личные сообщения отправим промокод!
https://bestconf.pro/cyberbranch

Реклама. ООО «Агентство Медиа-Программы». ИНН 7706211990. erid:2W5zFHHpCzu

Мастер-классы от CISO крупнейших компаний, общение без формальностей и яркое путешествие в одной из самых красивых локаций страны — все это Код ИБ ПРОФИ💥

Следующий интенсив пройдет 9–13 сентября в Сочи. Присоединяйтесь!

#ИБнужныПРОФИ