🌟 До ПРОФИ в Сочи — 19 дней

📚 Самые сильные кейсы не публикуют. Их рассказывают лично. На ПРОФИ вы услышите их из первых уст.

🌟 До ПРОФИ в Сочи — 18 дней

💡 Один неформальный разговор может изменить взгляд на привычную задачу. ПРОФИ — лучшее место для таких бесед.

🌟 До ПРОФИ в Сочи — 17 дней

Если хотите провести четыре дня в кругу сильного ИБ-сообщества и увезти с собой не только новые знания, но и новые профессиональные связи — присоединяйтесь.

🌟 До ПРОФИ в Сочи — 16 дней

☀️ Что остается после четырех дней на интенсиве? Новые идеи, яркие впечатления, профессиональные знакомства и желание приехать снова. Не пропустите.

У вас может быть идеальная защита. Но вас всё равно взломают через подрядчика.

Звучит неприятно. Но современная компания — уже давно не крепость с высоким забором.
Мы доверяем внешним людям и компаниям всё больше: облака, разработку, поддержку, интеграцию, бухгалтерию, SaaS, подрядчиков с удалённым доступом.
И вот здесь возникает неудобный вопрос:
А вы вообще знаете, кто из них способен стать самой опасной точкой входа в вашу компанию?

Не просто «у нас есть список поставщиков».
А кто имеет доступ к критичным данным?
Кто может повлиять на непрерывность бизнеса?
Кого достаточно проверить один раз, а за кем нужно следить постоянно?
И главное — как не утонуть в сотнях анкет и согласований?

🔥 27 августа в 10:00 МСК уже второе занятие модуля «Риски третьих сторон и цепочки поставок».
Разберём реестр третьих сторон и классификацию критичности — с позиции реальной работы бизнеса и ИБ.

Это занятие — хороший способ понять, насколько вообще ваша компания готова управлять рисками тех, кому вы уже доверяете.

А для тех, кто понимает, что одной лекцией проблему не решить, мы собрали целый Модуль 5: поставщики, договоры, ИБ-анкеты, Software Supply Chain, инциденты у контрагентов и практическая сборка собственной программы TPRM.

Потому что поставщика недостаточно один раз проверить. Риском нужно управлять.

➡️ Присоединиться к модулю

📩 Архитектура защиты агентов: Zero
Standing Privileges #опытэкспертов

Материал подготовлен на основе выступления Дениса Батранкова в рамках образовательного курса «Директор по кибербезопасности 8.0»

Одна из ключевых проблем безопасности ИИ-агентов — постоянные права доступа к корпоративным ресурсам. Если такой доступ сохраняется после завершения задачи, это создает предпосылки для атак класса Excessive Agency

Рекомендуется использовать архитектурный принцип Zero Standing Privileges (ZSP).

1️⃣ У агента нет постоянных прав

Агент не имеет никаких прав по умолчанию в состоянии ожидания. Zero Standing Privileges — базовый принцип архитектуры безопасных
агентных систем.

2️⃣ Доступ предоставляется только по необходимости

Агент получает доступ исключительно к тем ресурсам, которые нужны для выполнения конкретной задачи.

Используется подход Just-in-Time: права выдаются только на время выполнения операции — не дольше.

3️⃣ Автоматический отзыв

После завершения задачи все права автоматически отзываются. Это исключает накопление привилегий, не оставляет "забытых" прав и сокращает окно для эксплуатации Excessive Agency.

💥 Если вы внедряете или планируете использовать корпоративный ИИ, то на четвёртом модуле курса «Директор по кибербезопасности 8.0», эксперты подробно разбирают требования ФСТЭК №117, AI-BOM, AI Gateway, SOC для ИИ, ML Red Teaming, архитектурные подходы к защите ИИ-систем и многое другое.

#ДиректорПоИБ

ПРОФИ в Сочи 2025: как это было 🌄

Мастер-классы от CISO ведущих компаний, киберучения в штабе и на полигоне, горы, море, песни под гитару у костра и много общения с единомышленниками.

Собрали в одном видео самые яркие моменты прошлого ПРОФИ — смотрите в группе ВК или на YouTube.

А уже 9 сентября стартует следующий интенсив в Сочи — не пропустите!

Если давно собирались на ПРОФИ — сейчас самое время присоединиться.

➡️ Подробнее об интенсиве

#ИБнужныПРОФИ

📌 Как защитить уровень данных в ИИ?
#опытэкспертов

Материал предоставил Денис Батранков в рамках образовательного курса «Директор по кибербезопасности 8.0»

Данные — это конкурентное преимущество компании, встроенное в ИИ-систему. Именно здесь сосредоточены корпоративные знания, которые делают внутреннюю модель уникальной.

Утечка RAG-базы равносильна утечке всей корпоративной документации одновременно. Злоумышленник получает не файлы — он получает структурированные знания.

Поэтому важно понимать, как же всё таки защитить важные данные при работе ИИ.

⭐️ Обнаружение и маскировка данных
Автоматическое обнаружение, маскирование, демаскирование
и блокировка чувствительных данных во входящих и исходящих
сообщениях. Сегодня для этого используется AI Firewall

⭐️ Предотвращение утечки в ответах
Обнаружение и блокировка чувствительных данных, которые
модель может воспроизвести в своих ответах из обучающих
данных или RAG-базы.

⭐️ Запрет отправки в публичные LLM
Политика запрета на передачу конфиденциальных данных в
публичные модели (ChatGPT, Gemini, Claude) без предварительной анонимизации.

⭐️ Контроль экспорта данных
Мониторинг и ограничение объёма данных, покидающих
периметр через ИИ-интерфейсы. Алерты при аномальных
объёмах.

⭐️ Поиск и блокировка секретов
Автоматическое обнаружение API-ключей, токенов, паролей и
сертификатов в промптах и ответах до их передачи.

⭐️ Ролевой доступ к RAG-базам (RBAC/ABAC)
Разграничение прав на уровне векторного хранилища:
сотрудник получает через ИИ только те документы, к которым
у него есть прямой доступ. Без этого ИИ-интерфейс становится
обходом корпоративных ACL.

Сегодня недостаточно понимать, какие угрозы существуют для ИИ. Важно знать, как выстроить защиту так, чтобы она соответствовала новым требованиям регуляторов и реальным атакам. Именно этому посвящен четвёртый модуль курса «Директор по кибербезопасности 8.0».

Изучайте информацию на сайте и присоединяйтесь к просмотру четвёртого модуля!

#ДиректорПоИБ

Ток-шоу «Безопасная среда»
CIO vs CISO: где граница функции ИБ?

🗓 2 сентября в 12:00 (МСК)
➡️ Регистрация

В одних компаниях есть отдельный CISO, в других информационная безопасность находится в зоне ответственности ИТ-директора. Но в обоих случаях остаётся один вопрос: где проходит граница функции ИБ и какую часть ответственности нельзя делегировать ИТ-директору?

В эфире ток-шоу разберём две модели:

*️⃣ CIO + CISO — когда в компании есть отдельный руководитель по информационной безопасности. Где проходит водораздел между ИТ и ИБ? Кто отвечает за зону пересечения? Какие решения CIO не может просто передать CISO?

*️⃣ CIO без CISO — когда отдельной функции ИБ нет. Какие задачи в этом случае оказываются у ИТ-директора? Где заканчивается его ответственность и когда собственных компетенций ИТ-команды уже недостаточно?

Поговорим о том:
— Какие функции ИБ находятся в зоне ответственности CIO независимо от наличия CISO
— Где проходит граница между управлением ИТ и управлением информационной безопасностью
— Кто должен управлять рисками ИБ, определять приоритеты и формировать программу повышения защищённости
— Почему наличие средств защиты и выполнение формальных требований ещё не означают зрелую систему ИБ
— Как ИТ-директору оценить текущий уровень зрелости информационной безопасности
— С чего начать и в какой последовательности повышать уровень защищённости компании

Эксперты:
— Роман Жарков, директор департамента программного обеспечения, процессинга и поддержки пользователей, Абсолют Банк
— Алексей Ахмеев, руководитель информационной безопасности, Группа Компаний СВОЙ
— Владимир Бондарев, директор департамента по ИТ, Интеррос
— Дмитрий Шарапов, управляющий директор, ДОМ.РФ

1 сентября — хороший повод продолжить учиться 🍂📚

В информационной безопасности знания быстро устаревают: меняются требования регуляторов, подходы к управлению рисками, технологии и сами угрозы.

Поэтому важно регулярно обновлять инструментарий и сверять свои подходы с теми, кто решает похожие задачи каждый день.

Именно для этого мы создали программу «Директор по кибербезопасности 8.0» — 8 образовательных модулей, которые можно проходить вместе или выбирать отдельные темы под свои задачи.

Пять модулей уже доступны в записи:
🟡Стратегия ИБ под новую реальность
🟡Работа с регуляторами и юридические аспекты
🟡Технологический стек: выбор и интеграция
🟡Кибербезопасность в эпоху ИИ
🟡Риски третьих сторон и цепочки поставок

Впереди еще три:
*️⃣ Управление доступом и идентификацией в эпоху ИИ-агентов
17–18 сентября | 24–25 сентября
*️⃣ Кризисный менеджмент и восстановление
22–23 октября | 29–30 октября
*️⃣ От технического эксперта к стратегическому партнёру бизнеса
19–20 ноября | 26–27 ноября

Программа построена вокруг практики. Занятия ведут действующие руководители по ИБ и CISO крупных компаний. Они разбирают реальные рабочие ситуации, делятся подходами и инструментами, которые используют сами.

За каждый пройденный модуль можно получить удостоверение о повышении квалификации установленного образца.

💡 Хотите понять, какой формат участия подойдет именно вам?

Заполните короткую форму — мы подготовим персональное предложение по программе и расскажем, как можно оформить обучение за счет компании.

🎁 А в подарок отправим полезный материал «План мониторинга Shadow AI» от Андрея Лагоденко, директора по кибербезопасности Домклик.

#ДиректорПоИБ

Требования к ИБ есть. А где хранится практика их применения?

РАД КОП перезапускает ВИКИ ГОСТ Р 57580 — некоммерческий проект, который превращает разрозненный опыт специалистов в коллективную профессиональную экспертизу 🤝

ВИКИ 57580 несколько лет назад создали аудиторы и консультанты РАД КОП вместе с коллегами и партнёрами. Идея простая: собрать в одном месте не только требования ГОСТ Р 57580, но и практику их применения.

Как это работает:

Можно открыть конкретную защитную меру и посмотреть не только её формулировку, но и пояснения, варианты реализации, типовые недостатки и свидетельства, которые могут понадобиться при оценке соответствия.

При этом ВИКИ не должна оставаться статичной базой. Специалисты-практики могут дополнять и уточнять материалы через комментарии, чтобы постепенно накапливать и проверять общий опыт сообщества.

🖇 В результате специалист получает возможность не только найти нормативное требование, но и быстро свериться с тем, как его реализуют и оценивают на практике другие специалисты.

Вокруг ВИКИ собирается сообщество практиков. Любой участник может предложить дополнение или уточнение. А стать редактором ВИКИ можно по запросу, вступив и написав в чате. Там же участники обсуждают вопросы и обмениваются практическим опытом.

ГОСТ Р 57580 — только первая область. Аудиторы из РАД КОП хотят масштабировать модель коллективного накопления и актуализации практики на другие нормативные направления ИБ: ПДн, КИИ, PCI DSS, ИИ, РБПО и т.д.

🔗 ВИКИ ГОСТ Р 57580

Присоединяйтесь к ВИКИ и комьюнити, чтобы не только пользоваться накопленным опытом, но и добавлять в него свой ❤️

Реклама. ПК «РАД КОП». ИНН 5024223968. erid:2W5zFG9PFMs

Делимся подробностям деловой программы Код ИБ ПРОФИ в Сочи

Георгий Руденко, CISO & CTO в «Райффайзенбанке», проведет в рамках интенсива Код ИБ ПРОФИ в Сочи доклад — про эволюцию функции бизнес-партнеров в Райфе за 5 лет.

Мы много говорим про трансформацию ИБ из «контролирующей» в «бизнес-ориентированную» функцию. А как это сделать на практике (а не просто услышать общие красивые слова)?

Эксперт расскажет:

🔘Про эволюцию функции бизнес-партнеров в Райфе за 5 лет. С чего начинали, какую проблему решали, какие этапы прошли (как проверяли большое кол-во гипотез, поняли что работает, а что нет).

🔘Поделимся нашим опытом и к чему в итоге пришли сейчас и какой наш дальнейший шаг в развитии бизнес-ориентированной функции ИБ.

Участники ПРОФИ, посетившие все мероприятия деловой программы, получат удостоверение установленного образца о повышении квалификации в объеме 16 академических часов.

Смотрите полную программу и присоединяйтесь к активному ИБ-сообществу уже сейчас!
#ИБнужныПРОФИ