Все компании условно делятся на две категории: продуктоцентричные 🎁 и клиентоцентричные 🤩 Первые, как следует из названия, сосредоточены на создании лучшего на рынке продукта, а клиентоцентричные — на создании лучшего на рынке клиентского опыта. Информационная безопасность в них тоже разная.
 
В продуктоцентричной компании главная цель – защита продукта, и ключевой показатель ИБ в конечном счете сводится к «0 проблем у бизнеса из-за ИБ». В клиентоцентричной компании все несколько сложнее: здесь ключевой показатель «0 проблем клиента, повлиявших на бизнес, из-за ИБ». Поэтому и цели ИБ выглядят иначе.
 
Если перелопатить основные материалы, которые когда-то писали именитые и ныне покинувшие рынок РФ консалтинговые агентства, про People-Centric/Client-Centric Security, то получится такая вот диаграмма. Когда-то я это сделал, и картинка с тех пор нисколько не утратила актуальности.
 
Как оценивать клиентоцентричную безопасность? Всего двумя метриками: длительностью простоя сервисов из-за киберинцидентов (практическая безопасность) и оценкой удовлетворенности клиентов безопасностью сервисов компании (воспринимаемая безопасность)👍

На недавно прошедшем фестивале PHD2 в “Школе CISO” я упоминал про курс по управлению ИБ, который читаю для слушателей программы MBA в Президентской Академии. После мероприятия некоторые участники интересовались, можно ли ознакомиться с ним отдельно от MBA, и я обещал подумать 🧐

Основная фишка курса в том, что я даю минимум теории и максимум практики, основанной на личном опыте, и каждый модуль сопровождается практическим упражнением в группах с его последующим разбором. Поэтому “вытащить” курс из общей программы обучения MBA в привычный для большинства слушателей формат непросто, но я, кажется, придумал как это сделать 👍

Пробный шар вместе с Академией информационных систем мы откатаем на конференции ИнфоБЕРЕГ в Сочи (точнее, аккурат перед ней), ну а дальше будет больше 😉 Буду рад видеть читателей на Академии ИнфоБЕРЕГа со 2 по 3 сентября в Сочи. Подробности по ссылке ниже

https://security.infosystems.ru/ib_practice

Сложные системы не всегда лучше простых, но чрезмерное упрощение часто приводит к катастрофическим последствиям. Так утверждает в своих работах Нассим Николас Талеб, и автор этого канала с ним полностью согласен 🤝 Но именно «чрезмерное упрощение» происходит сегодня в информационной безопасности.

Достаточно посмотреть на тезисы последних пары лет: людей перевоспитать невозможно 🙈 процессы перестраивать долго 🤯 риски оценивать бессмысленно 🤥 стратегии никому не нужны 🤪 комплаенс не работает 👮да и вообще все это «бумажная безопасность» 🤬 Что остается? Только технологии, бюджетами на которые менеджмент пытается сегодня заливать все проблемы ИБ в организациях 🎁

Не без подачи вендоров, конечно. Вот, например, карточки с простыми рецептами от компании PT (ссылка ниже). Внедрить ИБ просто. Начинать внедрение ИБ нужно с того, что включить все, что не было включено, выключить все, что не было выключено и купить все, что не было куплено. Бинго – защита повышена, результат достигнут 🥳 Только какой именно и какими средствами?

Я уверен, что ЦИСО, «нагибающий» ИТ на безусловное выполнение всех «карточных» требований в первые 100 дней своего пребывания в должности, долго в компании не проживет 😵

Следует как минимум поинтересоваться, почему эти меры не были реализованы ранее, и в ходе непростого диалога (а это работа с людьми) с ИТ определить необходимость (а это риск-менеджмент) и очередность (а это проект) внедрения. И сделать так, чтобы меры эти никуда не исчезали при изменениях в ИТ инфраструктуре (а это процесс).

Бездумное заливание деньгами, софтом и железками проблем с процессами, культурой и корпоративным управлением в ИБ если и приведет, то к короткому и посредственному результату 😵‍💫 Потому что культура и корпоративное управление съедают любые технологии на завтрак. Помните об этом, внедряя у себя простые рецепты.

https://t.me/Positive_Technologies/2768

Дал интервью кафедре "Защита информации" МГТУ имени Баумана, на которой я преподаю 👍 Видео на час, как раз для выходного дня 🤩 Приятного просмотра! https://youtu.be/_OHkcgKcyCc

Американская консалтинговая компания IANS Research, специализирующаяся на поддержке принятия решений CISO и их команд, выпускает отчет “State of the CISO Benchmark Summary Report”. Я глянул в последний, за 2023–2024 годы. Что внутри 🧐

Состояние CISO в 2024 году характеризуется как “тревожное” 🫣 Это связано с волатильностью финансовых рынков (видимо, многие опрошенные CISO, а всего было опрошено 663 человека из различных индустрий, работают в околофинансовой сфере и беспокоятся за свои рабочие места), ростом инфляции (кибербезопасность становится дороже) и увеличением числа кибератак (работы становится больше). С другой стороны, перед CISO открываются и новые возможности 😎

Появление генеративного ИИ предоставляет новые инструменты для обнаружения угроз и автоматизации, но также увеличивает риск новых видов атак. Новые правила SEC (комиссия США по ценным бумагам и биржам, регулятор ИБ в финансовой сфере) и других регуляторов требуют большей прозрачности от CISO, что увеличивает их юридическую ответственность 👮 Уровень удовлетворенности CISO своей работой снизился, и 75% из них рассматривают возможность смены работы 😟

Большинство опрошенных CISO имеют технический бэкграунд, но их позиция требует от них развития управленческих навыков. Только 20% CISO занимают позиции уровня C-suite (высший уровень руководства), остальные работают на уровне операционного менеджмента. 90% CISO находятся на два (и более) уровня ниже CEO, что ограничивает их доступ к высшему руководству 🤐

Половина CISO регулярно встречаются с советом директоров, что помогает им лучше выполнять свои обязанности и получать поддержку. Регулярные встречи с советом директоров улучшают удовлетворенность CISO бюджетом и соответствием задач безопасности 🤩

В IANS отмечают, что CISO нужно развивать бизнес-навыки, умение взаимодействовать с руководством и вести переговоры. И я с ними полностью согласен. Управление технологиями и управление людьми – два разных навыка. Практическое отсутствие второго заставляет большинство CISO с глубоким техническим бэкграундом идти по классическому пути: добавить больше «умных железок». Но, в отличие от железок c ИИ, обладающих огромными вычислительными мощностями и объемом данных, подкрепленных математическими алгоритмами, люди обладают IQ, EQ, FQ и кто еще знает, какими видами интеллекта 🤯

Видимо поэтому те из опрошенных CISO, кто проходил тренинги по лидерству, получают более высокую зарплату 🤑

Лето - лучшее время для реализации новых идей, подумали мы с кафедрой “Защита информации” МГТУ им. Баумана, и запустили крутой совместный проект 🥳

“Стратегический менеджмент ИБ” - курс для тех, кто хочет научиться создавать стратегию информационной безопасности, подходящую и практически полезную для конкретной организации. Основной акцент программы направлен на бизнес-составляющую: связь целей и задач ИБ с целями организации, управление рисками при ограниченных ресурсах, долгосрочное планирование в условиях непрерывных изменений в бизнесе, технологиях и киберугрозах 🧐

Продолжительность программы 30 часов, из которых около 60% времени займут видео-лекции, а остальное - живое общение и очный практический интенсив на целый день в Бауманке 🤩

Буду рад видеть читателей!

https://t.me/infobez_bmstu/11

Более 75% компаний, внедряющих технологии искусственного интеллекта, не имеют четкой стратегии управления данными и качеством данных. К такому выводу пришли исследователи из компании F5, составившие отчет 2024 State of AI Application Strategy Report 👍

Согласно отчету, в 2024 году 75% организаций рассматривают ИИ как ключевой элемент своей бизнес-стратегии, по сравнению с 17% в 2020 году. На ИИ планируется выделить 18% IT-бюджетов, и 94% организаций ожидают увеличения этих затрат в ближайшие два года 🤑

Автоматизация рабочих процессов занимает первое место среди приоритетов использования ИИ в 2024 году. Основные направления в применении ИИ включают обеспечение безопасности, оптимизацию операций (AIOps), и улучшение бизнес-процессов. Наиболее быстро внедряются решения для генерации контента, чат-боты и помощники 🤖

Высокие затраты на вычислительные ресурсы, качество данных и масштабируемость остаются основными препятствиями для внедрения ИИ. Вопросы безопасности, такие как защита от утечек данных и атак на модели ИИ, остаются в центре внимания. Организациям необходимо применять различные меры безопасности, включая защиту API, предотвращение DDoS-атак и защиту от ботов, однако далеко не все готовы тратить на это деньги 🙁

В целом, отчет не открыл ничего удивительного. В системах ИИ есть хороший принцип: garbage in – garbage out. Другие открытые исследования показывают, что почти четверть опрошенных компаний отмечают до 50% неудач в проектах ИИ. Аналитики утверждают, что почти 78% проектов ИИ или ML застопорились на определенном этапе до развертывания, а 81% столкнулись с тем, что процесс обучения ИИ с помощью данных оказался сложнее, чем они ожидали 🤔

Объясняется это просто. Отсутствие системы управления данными в компании, рассчитывающей получить выгоду от ИИ – ключевая причина неуспеха. А использование ИИ в системах ИБ в таких компаниях неизбежно приведет их к катастрофе ☠️

Экселя, опексы-капексы, компреды, вечерние посиделки и красные от компов глаза. Бюджетное планирование в самом разгаре. Ловите 7 советов, как получить пусть и не совсем желаемый, но все же бюджет на «это ваше ИБэ», и при этом не рассориться с коллегами 🤑

1. Изучите финансовое положение компании и прогноз финансовых показателей на будущий год. Просить 500 млн на ИБ при прогнозе выручки в 1 млрд – заранее проигрышный ход 🤥

2. Свяжите каждую статью затрат с результатом. Отлично, если свяжете инициативы ИБ с бизнес-показателями (сокращение времени простоев, повышение удовлетворенности клиентов). Хорошо, если покажете влияние на технологические метрики (скорость устранения уязвимостей, покрытие средствами мониторинга). Использовать комплаенс и «у других лучше, чем у нас» следует в качестве вишенки на торте, но никак не в качестве основного аргумента 🫢

3. Расставьте приоритеты. Все и сразу сделать - хорошо, но практически невозможно. Продумайте заранее, от чего вы сами можете отказаться без ущерба для основных результатов вашей работы 🧐

4. Подготовьте бюджетную презентацию. Финансисты – обычные люди, и очень любят простые и понятные истории. Расскажите свою историю, докажите смысл ИБ в организации, покажите простые и понятные картинки – графики, динамику, светофоры. А скучные стандартные финансовые формы уберите в приложение к материалу 🥱

5. Найдите союзников. Перед бюджетным комитетом устройте турне с бюджетной презентацией по руководителям смежных функций. Во-первых, руководители вспомнят о вашем существовании. Во-вторых, будут знакомы с материалом и приблизительно поймут, что вы собираетесь делать и зачем. Ну и конечно, уж они-то вам точно расскажут ожидания от вашей работы на следующий год – и это даст возможность связать ваши инициативы с их ожиданиями 🫡

6. Секвестируйте результат, а не деньги. Готовиться к вопросу «что будет, если этого не делать?» нужно заранее. Вынесите на отдельный слайд самые крупные затраты и ответьте на него, оперируя результатом из пункта 2 и ожиданиями из пункта 5. И тогда бизнесу придется решать, что НЕ ожидать от ИБ в качестве результата за ту сумму, которую он готов потратить, вместо того чтобы просто урезать запрос бюджета в Х раз 😬

7. Отстаивайте позицию. Восприятие угроз индивидуально для каждого человека, но вы отвечаете за результат для всей компании. Объективность и настойчивость – ваш главный инструмент 😵‍💫

Организация даст вам ровно столько, сколько она может, должна и готова выделить на ИБ. И хотя ваш бюджет находится на пересечении этих сущностей на диаграмме Венна, в конечном счете все решает именно готовность. Желаю всем нам удачи в этом непростом деле 👍

Умеют, все-таки, наши бывшие партнеры готовить качественные аналитические документы. Многостраничный (756 страниц) отчет Национальной комиссии по безопасности ИИ содержит рекомендации правительству США и Конгрессу для продвижения ИИ, машинного обучения и связанных технологий в интересах национальной безопасности 👮

«Америка не готова к обороне или конкуренции в эру ИИ» — ключевое утверждение, подчеркивающее необходимость активных действий. Вокруг этого выстраивается убедительная логика, призванная существенно увеличить инвестиции в ИИ и развивать собственную микропроцессорную индустрию 🤑

Помимо недостатка инвестиций, авторы отмечают нехватку квалифицированных специалистов в области ИИ, что делает вопрос привлечения и удержания талантов ключевым для успешной стратегии. Создание внутренних академий, привлечение зарубежных специалистов и переквалификация сотрудников — эффективные инструменты для закрытия кадрового дефицита 🧐

Потоптались авторы и по конкурентам – России и Китаю. И мы, и наш партнер являемся ключевыми соперниками США в гонке за лидерство в области ИИ. Китай в отчете представлен как серьезный соперник, который имеет четкую стратегию и значительные ресурсы для достижения мирового лидерства в ИИ 🥳

Россия в документе изображена как страна, активно развивающая военные технологии, основанные на ИИ, но имеющая определенные ограничения, поскольку наши разработки не всегда показывают высокую эффективность. Авторы также опасаются, что Россия может не соблюдать строгие стандарты тестирования и применения ИИ в военных операциях, и это вызывает у них обеспокоенность относительно рисков неконтролируемого военного конфликта или ошибок в использовании ИИ-систем 😳

Много есть про ИБэ, нового мало. Угрозы кибератак с использованием ИИ будут становиться все более сложными. Нам надо обращать внимание на новые формы атак с использованием ИИ и способам защиты от них. Особое внимание следует уделять защите данных и обеспечению безопасности баз данных, так как злоумышленники могут использовать ИИ для анализа и манипулирования данными 🤔

В целом, это настолько увлекательное, грамотно поданное и красиво оформленное чтиво, что я не пожалел времени, потраченное на его изучение. Некоторые тезисы и картинки настолько хороши, что практически без доработки годятся для подготовки стратегии и защиты бюджета на ИИ в любой функции любой организации 👍

24 октября в конгресс-центре SOLUXE Hall во второй раз в истории пройдет конференция «Сохранить все: безопасность информации».

Я участвую в "закрывашке" на тему "Бизнес и безопасность - ключевые вопросы ТОП-менеджеров". Вместе с уважаемыми экспертами мы (в который раз) поговорим об отношениях между CEO, CxO и CISO, попробуем найти точки соприкосновения и основу для конструктивного диалога, ведущего CISO к результату.

Буду рад видеть читателей! Ссылка на программу и регистрация: https://saveall.garda.ai/

Не любят у нас стратегический менеджмент. Во-первых, планирование, особенно стратегическое, обязывает, а во-вторых - просто «не умеют его готовить». В отличие от наших бывших западных партнеров, у которых с рецептами и практикой все уже хорошо, так они еще и стараются развивать методологию 👍

Вот господин Кристофер М. Шнобельт, декан NATO Defense College (ключевой образовательный и исследовательский центр, созданный НАТО в 1951 году) собрал команду ведущих экспертов, которая разработала документ под названием “Как писать стратегию” 🧐

Документ просто и доходчиво объясняет, как грамотно составить стратегию практически в любой сфере. Стратегия рассматривается как формула, включающая цели (что нужно достичь), методы (как этого достичь), ресурсы (что нужно для выполнения) и риски (насколько эти цели достижимы при текущих ресурсах и методах) 💪

Сам процесс является цикличным и итеративным, и состоит из следующих шагов:

1. Оценка сроков разработки. Определите временные рамки для создания стратегии
2. Определение контекста. Соберите полную информацию о текущей ситуации и причинах ее возникновения
3. Формулирование проблем и возможностей. Определите основную задачу или проблему, которую нужно решить
4. Определение целей (Ends). Сформулируйте конкретные цели, которые должны быть достигнуты
5. Определение методов (Ways) и ресурсов (Means). Определите способы достижения целей, учитывая имеющиеся ресурсы. Важно понять, какие ресурсы доступны, и как их можно эффективно использовать для достижения поставленных целей
6. Оценка рисков. Проанализируйте баланс между целями, методами и ресурсами. Риск возникает, когда цели превышают доступные методы и ресурсы, поэтому важно обеспечить их устойчивый баланс
7. Итеративное переосмысление проблемы. На основе анализа возможных последствий от предложенных действий нужно периодически пересматривать начальную задачу. Ситуация может изменяться, и стратегия должна адаптироваться к этим изменениям
8. Финализация стратегии. Составьте окончательный документ, включающий цели, методы и ресурсы, а также учёт рисков
9. Мониторинг и корректировка. Важно отслеживать выполнение стратегии и её результаты. Если стратегия не даёт ожидаемых эффектов, её необходимо пересматривать и корректировать

По мнению авторов, с которым трудно не согласиться, разработка стратегии требует регулярного анализа и адаптации в зависимости от изменения условий или обнаруженных проблем. Чем выше уровень неопределенности, тем чаще и тщательнее следует пересматривать и адаптировать стратегию 🤔

В этом и состоит ключевая разница в подходах: в отличие от западного, отечественный менеджмент склонен полностью отказаться от стратегий, формально ссылаясь на «высокую неопределенность». 🙈 Как следствие, в условиях все более ограниченных ресурсов в «не эффективном, но результативном» российском стиле управления результат становится все менее очевиден. Особенно в «контрольных» функциях вроде ИБ ☹️

Не забывайте про вашу стратегию: составьте и управляйте ею, даже если таковая отсутствует на уровне организации в целом. И тогда ваша деятельность станет более осмысленной, а результат – более очевидным не только для вас, но и для окружающих 🤩

Для тех, кто не успел на вебинар - запись подоспела. А еще мы с АИС решили повторить успех сочинского дебюта, так что буду рад видеть читателей 28-29.11 на втором (но не последнем) треке "Практика управления ИБ"! https://security.infosystems.ru/ib_practice?utm_source=tg_ais_post&utm_medium=courseIB&utm_campaign=landingacademyaugust&erid=2SDnjeQjhUe

Уже завтра стартует десятый SOC Forum, и в четвертый раз я принимаю в нем участие. О чем будет говорить 7 ноября с 16:00 до 17:30 в зале 4 компания опытных экспертов? Во-первых, о взаимных ожиданиях заказчиков и поставщиков. Во-вторых, об опыте управления этими ожиданиями с той и другой стороны. Наконец, в третьих - о результате реализации этого опыта и динамике изменения результата с течением времени. Компания экспертов подобралась душевная, но не душная - поэтому разговор пойдет с юмором, самоиронией и легкой ноткой цинизма. Буду рад всех видеть!

https://forumsoc.ru/program/

Уххх, и удалась вчера дискуссия! Для тех, кто не попал очно - запись уже доступна https://broadcast.comdi.com/watch/r4zyaetd

В иные времена так делать не очень - но сейчас, думаю, можно🫣 Тем, кто просил в личке и вам, дорогие читатели - та самая книга, про которую я говорил в ролике выше😉