“Сократический” метод задавать правильные вопросы - сильное оружие в диалогах. Читаешь порой цитату про 97% отечественных ИБ-продуктов и реакцию скептиков, и невольно начинаешь диалог с собой. Что делают продукты - обеспечивают цифровой суверенитет (по контексту статьи)? Вряд ли, хотя смотря что считать отечественной разработкой. Как ведется учет - по объему производства, объему продаж, количеству сертификатов? Трудно сказать наверняка но, зная, как готовятся статданные для “больших” спикеров, это может быть все что угодно. Это будет правда, но своя, для конкретного случая и аудитории. Куда лучше было бы заявить, к примеру, про отечественные ИБ-продукты, закрывающие 97% актуальных угроз. Но эта планка уже взята, поскольку “российский интернет уже является абсолютно защищенным и автономным”. Пойду протру глаза и помою руки

https://znanierussia.ru/news/rossijskij-internet-yavlyaetsya-absolyutno-zashishennym-aleksandr-hinshtejn-otvetil-na-voprosy-v-lektorii-obshestva-znanie-na-vystavke-rossiya

"Безопасность как связь - когда она нормально работает, её незаметно". Есть такое мнение, и оно правильное, но только от технической части. Во всех остальных случаях утверждение неверно, поскольку не заметить ее пока не получится. Поэтому в UX она должна быть удобной, в процессах - понятной. А в мире людей безопасность должна быть видна, про нее должны знать, быть счастливы что она есть и помогать ей. Утверждение станет верным, когда privacy/security tradeoff окончательно сместится в пользу второго, мы к этому привыкнем и перестанем ее замечать

Общаясь в ВУЗах со студентами часто слышу про разочарование в ИБ. “Посоветуйте, куда пойти - я ожидал от ИБ другого”. Или “я перехожу в разработку - в ИБ не интересно”. Я очень хорошо понимаю этих ребят. Если из ИБ убрать техническую составляющую, с которой вполне себе справится ИТ, и романтику хакинга, то что остается? Методология - скучно, процессы - нудно, управление - чревато, awareness вообще Сизифов труд. Но ИБ без этого, увы, не работает, а желающих заниматься этим все меньше и меньше. Вот и приходится брать в ИБ библиотекарей, учителей и блогеров. И управляет всем этим, как правило, глубоко уважаемый, но плохо понимающий в предметной области руководитель, который умеет не бояться ответственности

👆Awareness - дело хорошее. Вот Минпросвещение выпустило рекомендации на важнейшую тему https://t.me/minprosrf/7022. И слова правильные, но получился микроучебник в мире малочитающих визуалов.

Эта картинка сгенерирована ИИ за 30 секунд, и потрать авторы рекомендаций на 10 минут больше времени - было бы много лучше🎯.

Awareness - дело трудное. И бесполезное, если уметь его делать только академическим методом.

Как новоиспеченый “сертифицированный ученый” 🧐 в области ИИ регулярно поглядываю в научные работы и эксперименты, проводимые научными группами по всему миру. Попалась одна интересная.

В основе работы любой ИИ-системы лежит теория вероятностей, а результат работы - не более, чем предсказание. Чтобы сделать его более точным и аргументированным, для больших языковых моделей (LLM, лежит в основе, например, ChatGPT) придумали методы вроде RAG, а чтобы научить LLM решать сложные задачи и проводить действия с объектами реального мира, придумали LLM-агенты.

Эксперты давно ведут дискуссию о том, может ли LLM-агент представлять реальную угрозу. Чтобы ответить на этот вопрос, ребята из Университета Иллинойса в Эрбана-Шампейн (США) научили LLM-агента автономно взламывать веб-сайты. Оказалось, что LLM-агенты могут выполнять сложные взломы, такие как blind SQL UNION.

С помощью RAG, ReAct Framework, LangChain, PlayWright и OpenAI Assistant API (все доступно публично) они собрали и протестировали агента, способного выполнять 48 шагов для проведения сложного взлома: поиск веб-страницы для атаки, попытка ввести имя пользователя и пароль по умолчанию, использование полученной информации для SQL-инъекции, чтение исходного кода для поиска GET в SQL-запросе, определение возможности UNION-атаки и проведение самой атаки.

Пока все это сработало только в GPT-4, но, учитывая, как быстро развиваются технологии ИИ, стоит ожидать перехода технологии в массовый сектор и, конечно, усиленно защищать «фронты» и веб-приложения. И подумать над тем, чтобы ограничить gptBot от OpenAI, как завещал Роскомнадзор. Если, конечно, это поможет.

Сегодня весь день на Территории Безопасности, открываю и закрываю трек PRO расследование инцидентов. Утром - в "форсайт-сессии", вечером - с мастер-классом про бизнес-взгляд на этот вопрос. Посетителей будет много, работы - немало. Но точно будет интересно!

https://www.comnews-conferences.ru/ru/conference/tb2024/ri

Весело 😂 задорно 🥳 мы сняли с Женей Царевым ролик про карьеру в ИБ 💪 и будущее индустрии. Приятное для глаз, слуха и ума на предстоящие выходные 🔥

https://youtu.be/dc6BG46SS7c?si=pQp_cG0EZSy7QuXv

Когда-нибудь научатся...

Нетворкинг на ИБ-мероприятиях - штука особая. Здесь и старые друзья с такими же приколами🤪, и новые знакомые с идеями и удивительными диалогами. На одном из таких мероприятий уважаемый пентестер рассказал историю.

После успешного пентеста☠️ заказчик спросил, что ему теперь делать. Что ответить пентестер не знал, поэтому посоветовал заказчику внедрить CIS controls. “Правильно ли я сделал?🧐” - задал он вопрос развалившейся на креслах небольшой, но не менее уважаемой аудитории. И те, кто активно участвовал в беседе, закивали головой.

Картина, как подтверждение фразы “умение снимать защиту не означает умение ее ставить”, запала в голову.

Если произошло что-то не то, что вы ожидали - вряд ли длинный список метрик (пусть даже осмысленных) поможет предотвратить повторение ситуации. Нужно искать корневую причину, чтобы понять, почему это произошло. Иногда потребуется разобрать систему “до болта” - если, конечно, есть что разбирать.

Ну а если нечего - то причина понятна: достаточно посмотреть в зеркало 🤦‍♂️. Вздохнуть, засучить рукава и приступать к ее построению

Прекрасная погода, восхитительное место, чудесная компания - что еще нужно для хорошего мероприятия 🤗

Если вы прогуляли 🫣"Школу CISO" на PHD2 вчера или хотите повторить пару "уроков" 💪, все записи трека выложены на сайте мероприятия 👍

Приятного просмотра!

https://phdays.com/forum/program/?hidePast=false&tags=ciso&date=2024%2F5%2F23

Компания ProofPoint выпустила очередной Voice of the CISO 2024👍

Если верить описанной методологии, аудитория опроса внушительная: свыше 1,6 К CISO в организациях с 1К+ сотрудников по всему миру (увы, без России). Внутри документа с одной стороны очевидное, с другой – невероятное, хотя и ожидаемое.

70% опрошенных CISO считают, что их компании подвержены риску серьезной кибератаки с масштабными последствиями в ближайшие 12 месяцев😳 Однако 43% считают, что их компании недостаточно подготовлены к таким атакам​.

Главный вектор атаки – человеческий фактор: 74% опрошенных CISO считают его самой большой уязвимостью для их компаний​. Результат опроса в определенной мере ожидаемый, ведь компания ProofPoint предлагает комплекс решений для защиты от человеческого фактора😉

Основными угрозами для бизнеса CISO считают кибератаки, которые могут привести к нарушению операций (44%), потере доходов (44%) и ущербу репутации (43%)​. 84% CISO хотели бы, чтобы члены совета директоров должны разбираться в вопросах кибербезопасности🧐

Однако этого не происходит, и потому 66% CISO считают, что от них ожидают слишком многого: более половины (53%) сталкиваются с выгоранием или уже его испытывают 🤪 Ситуация более чем очевидна, особенно с учетом тематики и вопросов, поднимавшихся на прошедшем треке «Школа CISO» на PHD2 при полном зале.

Персональная, финансовая и юридическая ответственность также вызывает беспокойство у 66% CISO. 72% CISO не стали бы работать в компании, которая не предлагает страховку от финансовой ответственности в случае успешной кибератаки. И это невероятно, хотя и ожидаемо: социальная защищенность работника в России и за рубежом сильно отличается, как и подходы к наказанию CISO 👮‍♂️

Главный акцент в борьбе с человеческим фактором делается на внедрение передовых технологий: 87% CISO планируют внедрить ИИ для защиты от человеческих ошибок и продвинутых угроз. При этом, 54% CISO считают, что генеративный ИИ представляет угрозу безопасности их компаний 🤯

Невероятно? Да, но другое: лозунг «ударим небезопасным ИИ по ИБ-бескультурью персонала», конечно, хайповый, но вряд ли реализуемый на практике, и вот почему.

Любой сотрудник, сталкивающийся с ограничениями от ИБ, имеет в своем распоряжении три варианта: выполнить, обойти, договориться. Неспособность CISO вести диалог приведет к тому, что люди все равно будут обходить любые правила. Они будут тащить работу домой в экселе на флешке, крутить персональные данные в Google таблицах, а наиболее продвинутые создадут microShadowIT и позовут в него свою команду. И если CISO не научатся управлять людьми, выстраивать диалог и формировать культуру – никакой ИИ, увы, не поможет🤥