#Аналитика по DevSecOps

Агентство TelecomDaily и ИТ-экосистема «Ростелекома» «Лукоморье» выпустили исследование, посвященное зрелости разработки ПО в российских компаниях. Руководитель департамента развития и архитектуры «Кросс технолоджис» Евгений Балк обратил внимание на следующий факт:

Исследование показало, что 66% компаний уже используют в разработке конвейер CI/CD (непрерывную интеграцию и развертывание), но только 38% интегрировали в него практики безопасной разработки - DevSecOps.

🌟 CI/CD без DevSecOps создает три опасности

— Нарушение требований регуляторов (для некоторых отраслей).
— Быстро созданный продукт «зависнет» на этапе согласования ИБ.
— Если же он выйдет, то будет содержать критические уязвимости, и по-хорошему, его придется «выключать» сразу после релиза.

🌟 Почему буксует внедрение DevSecOps?

Как правило, этот подход внедряют в уже функционирующий CI/CD. Типичная ситуация: сначала внедряется конвейер, задачи которого — автоматизировать процессы и повысить скорость вывода продукта на рынок (Time to Market), на это завязаны метрики и KPI команды разработки.

Когда возникает идея добавить в конвейер CI/CD процессы DevSecOps, разработчики, DevOps-инженеры и SRE опасаются, что:
❌ Возникнут сложности при интеграции инструментов.
❌ Скорость вывода новых версий продукта замедлится.
❌ KPI окажутся невыполнимыми.
❌ Функционирование инфраструктуры, в которой развернуто разрабатываемое приложение, окажется невыполнимым.

🌟 Что делать?

✅ Подбирать инструменты DevSecOps именно под ваш продукт и технологический стек — тогда, по нашей практике, влияние на скорость релизов будет нулевым или минимальным.

✅ Если ситуация позволяет, то внедрять DevSecOps на этапе построения CI/CD-конвейера, тогда это становится общей задачей разработчиков и ИБ, они формируют общий KPI, направленный на стабильность продукта, но с учетом требований безопасности.

✅ Привлечь проверенного подрядчика с опытом построения DevSecOps: он поможет подобрать инструменты, определить метрики и KPI, сформировать карту процессов и обучить команду работе в новом подходе.

Для дальнейшей поддержки процесса DevSecOps можно также привлечь подрядчика как сервис, поскольку сейчас на рынке дефицит кадров, и нанимать профильных специалистов в штат может быть невыгодно.

Начинаем неделю с видеопривета из Челябинска! В пятницу мы были на мероприятии МТС «Отраслевые импортонезависимые решения для бизнеса в 2025 году», оно открывает серию встреч для регионального бизнеса. В кадре — руководитель направления развития услуг 🌟"Кросс технолоджис" Ильдар Галиев 🌟

Продолжаем путешествие по стране 🛫

#кросс_новости

Новое в работе с персданными

С 27 августа изменился порядок контроля в сфере обработки персональных данных:
🌟 Возросла вероятность получить от Роскомнадзора предписание, которое может привести к штрафу (а с мая, как все мы помним, штрафы заметно выросли).
🌟 РКН пересмотрел подход к отнесению операторов ПДн к различным категориям риска, что напрямую повлияло на периодичность и формат плановых проверок.

Эксперт департамента аудита, консалтинга и оценки соответствия 🌟«Кросс технолоджис» Александра Давыдова подготовила справочные материалы, которые помогут разобраться в изменениях и оценить риски🌟

• В аналитической записке вы найдете перечень изменений, разбор, что они значат для бизнеса, а также информацию о штрафах.
• В памятке собрана информация о проверках: сроки проведения, описание действий РКН.

Приложили объединенный документ к посту 🌟

🌟Материалы будут полезны:
• специалистам по ИБ,
• юристам,
• тем, кто отвечает за обработку ПДн в компании,
• директорам.

Скачивайте и используйте в работе!

#ИБ_и_закон

Еще один сигнал, что пора уже импортозаместиться

В конце сентября в фаерволе Cisco ASA/FTD была обнаружена критическая уязвимость, из-за которой злоумышленники могут перехватить управление устройствами. В зоне повышенного риска — крупные компании и КИИ, поскольку уязвимость уже эксплуатируется APT-группировками. В российском сегменте под угрозой 30 000 устройств. Комментирует руководитель департамента развития и архитектуры 🌟«Кросс технолоджис» Евгений Балк.

Компании не торопились замещать Cisco ASA/FTD, поскольку решения отличались стабильностью работы, гибкостью настроек и были удобны как для администраторов, так и для пользователей связанного с ним VPN-клиента AnyConnect.

Ситуация с Cisco снова подсветила 2 характерные истории🌟

1️⃣ От импортозамещения не уйти.

Многие компании не переходят на российские решения, поскольку ждут доработок продуктов. Но в реальности чем дольше мы ждем, тем опаснее становится работа с западными продуктами: их либо крайне сложно обновить, либо, как в истории с Cisco, жизненный цикл устаревающих продуктов подходит к концу, они снимаются с поддержки, и выпуск обновлений остается на усмотрение производителя.

По мере устаревания зарубежного оборудования, подобные ситуации будут происходить все чаще и чаще, поэтому придется придумывать контрмеры, которые в итоге ограничат функциональность продуктов.

Импортозамещение в большой инфраструктуре длится до года, порой даже дольше, поэтому о нем пора задуматься уже сейчас.

2️⃣ В стратегии ИБ важно учитывать сроки окончания поддержки СЗИ.

Классический «хоррор», когда головной офис узнает, что в одном из удаленных филиалов используется неподдерживаемое оборудование, только во время взлома через это оборудование.

Важный элемент стратегии ИБ — знать свою инфраструктуру вплоть до моделей и серий моделей. В этом поможет ПО, которое производит учет и контроль версий, например, решения класса CMDB (Configuration Management Database).

#ИБ_новости

Рынок труда в ИБ — океан возможностей.
Рейтинг лучших работодателей России от 🥰 — компас, который помогает соискателям найти своих.

Чтобы еще больше талантливых экспертов по ИБ выбирали нашу компанию и вместе с нами создавали безопасное и технологичное будущее, проголосуйте за «Кросс технолоджис» в рейтинге до 31 октября:
1. Откройте рейтинг на hh.ru
2. Вбейте в поиске «Кросс технолоджис»
3. Оставьте 🌟 рядом с нами (и в нашей команде😉)

Спасибо за ваше время и мнение!

#кросс_новости

Как оценить эффективность ИБ в DevSecOps

Недавно мы писали о трудностях внедрения DevSecOps — безопасной разработки. Один из барьеров — неясные KPI для команд ИТ и ИБ, участвующих в работе над продуктом.

Руководитель департамента развития и архитектуры 🌟«Кросс технолоджис» Евгений Балк предлагает топ метрик, которые позволят службам информационной безопасности корректно оценить свое влияние на разработку. Детали в нашем блоге на CISOCLUB: https://cisoclub.ru/kak-ocenit-jeffektivnost-ib-v-devsecops/

С какими метриками вы согласны и чем бы дополнили наш список?

#экспертиза

🌟 Зафиксировали в даркнете ранние признаки готовящихся массовых фишинговых и SMS-атак: рост спроса на решения для HLR-проверок и массового «пробива» контактов через СБП. С их помощью злоумышленники фильтруют контакты, которые получили в результате утечек, и прорабатывают точечные сценарии атаки.

🌟 Наша команда предлагает подход, который помог бы банкам и телеком-операторам на ранних этапах выявлять и блокировать подобные атаки, а также предупреждать клиентов. С деталями — Диана Селехина, руководитель направления противодействия фишингу и цифровым угрозам компании «ЕСА Про» (входит в ГК «Кросс технолоджис») 🌟 https://safe.cnews.ru/news/line/2025-10-24_v_darknete_zafiksirovany

#ИБ_новости

🌟 "Кросс технолоджис" — среди лидеров обзора CNews "Информационная безопасность 2025"

Опубликован профильный обзор и рейтинги CNews в сфере ИБ. По итогам 2024 года мы вошли в топ-10 крупнейших поставщиков решений для защиты информации, а также укрепили позиции в ключевых рейтингах:
● 4 место — Крупнейшие отечественные поставщики решений для защиты приложений
● 7 место — Крупнейшие отечественные поставщики средств сетевой защиты
● 9 место — Крупнейшие отечественные поставщики решений для защиты данных
● 9 место — Крупнейшие поставщики средств аутентификации, идентификации и управления доступом
● 13 место — Крупнейшие поставщики решений для защиты инфраструктуры
● 15 место — Крупнейшие поставщики ИБ-услуг

Поздравляем команду и стремимся к новым вершинам! 🌟

#Кросс_новости