Циничная кибербезопасность АСУ ТП

    Еще на заре своей карьеры, когда я трубил в департаменте Global Research iSIGHT Partners я заметил у киберпреступников желание "не палиться". Они не очень-то любили хакать и ддосить госорганы (что бы не привлекать внимание правоохранителей), грузить ПК жертв ботнетом (что бы повысить выживаемость бот-сети) и вообще держались подальше от всякой немонетизируемой или плохомонетизируемой фигни (у людей серьезный бизнес). 

Кейс против количественной оценки рисков ИБ

    Так сложилось, что мои личные финансовые планирование и учет стартовали с первой зарплаты. Уже первая зарплата стала учитываться, и хотя с той поры учетная политика менялась не раз - я продолжаю вести учет. Несмотря на мою приверженность учету финансовых активов (я даже пробовал вести учет ценного имущества, но потом все таки отказался от этой идеи) я противник идеи количественной оценки рисков ИБ.

GDPR создает риск многомиллиардных штрафов для российского бизнеса

Источник: http://www.pcweek.ru/security/article/detail.php?ID=186667

Весной 2016 Еврокомиссия приняла новый регулирующий акт Global Data Protection Regulation. Акт регулирует защиту персональных граждан стран-членов Европейского Союза. Ключевая для российского бизнеса особенность акта в его экстратерриториальности. А значит к любому российскому бизнесу, собирающему и обрабатывающему персональные данные хотя бы одного гражданина страны-члена ЕС могут быть применены GDPR-штрафы.

Security Jam 2016: правительства только 1% стран готовы к кибератакам

Источник: http://www.pcweek.ru/security/article/detail.php?ID=186658   

    30 июня ассоциацией Friends of Europe был презентован отчет о вызовах безопасности для Европы 2016 года. Отчет стал результатом краудсорсингового мозгового штурма 2, 500 участников из 131 стран, в том числе 48 VIP персон (десяток-другой министров и т.п.). Из России в отчете было указано 3 человека - представителя МИДа Марию Захарову, Директора Института изучения Европы РАН Алексея Громыко и вашего покорного слугу (всех трех процитировали в отчете).

Много ли Сбербанк инвестирует в кибербезопасность? Сбербанк VS JPMorgan

    В начале июня СМИ рассказали о размере инвестиций Сбербанка в кибербезопасность. Зампред по безопасности Станислав Кузнецов озвучил цифру в 1,5 миллиарда рублей инвестированных в "программы по кибербезопасности".

    Из практики работы PR-служб могу сказать, что если бы банк не считал данную цифру позитивной - вряд ли она была бы озвучена. Но действительно ли она однозначно позитивна? Достаточно ли инвестирует банк в кибербезопасность? Проверим, использовав старый как мир подход сравнения компаний одной индустрии (benchmarking).

McKinsey: 81% топ-менеджеров считают кибербезопасность важной

    В ноябре 2015 McKinsey провела он-лайн опрос по глобализации (Global Survey on globalization). Данные от 1316 респондентов репрезентующих полный спектр индустрий, регионов и специализаций были поправлены с учетом вклада нации в мировой ВВП
    Частью опроса было определение основных влияющих на бизнес глобальных трендов, среди которых нашлось место и кибербезопасности. Рост вызовов кибербезопасности стал трендом №4 по влиянию на бизнес в следующие 5 лет (81% респондентов посчитали этот тренд важным). Забавно, что только 50% респондентов отметили, что предприняли шаги по ответу на тренд кибербезопасности, т.е. 31% не имеют ресурсов либо надеются на извечный "авось".
    Но хитом опроса стало мнение индийских компаний, 31% из которых считают, что на тренде кибербезопасности они заработают. Желающие заработать нашлись и в индустрии высоких технологий и телекома, а так же в финансовом секторе:

    Все как обычно - кому война, а кому мать родная;)

Будни информационной войны: Доброволец из московского инвестбанка

    Последние пару лет превратили русскоязычное информационное поле в поле боя. Я как-то остался в сторонке, мне было с потоком информации по профессии полноценно совладать, а вот много моих знакомых - нет.

Кейс против классической оценки рисков ИБ

    Моя аудитория знает, что я люблю сравнивать информационную безопасность с рынками капитала. И там и там мы имеем дело в первую очередь с риском, и там и там риски быстро появляются, видоизменяются и исчезают, и для меня рынки капитала довольно прозрачны - я был и клиентом и консультантом инвестиционных структур, и в принципе на рынках капитала довольно много открытой информации (в отличие, например, от FMCG, где много частных компаний не раскрывающих вообще никакой информации).

Особенности национальной киберпреступности

Источник: http://www.pcweek.ru/security/article/detail.php?ID=184704

В 2010 году я начал профессионально заниматься киберпреступностью региона СНГ. Нет, не воровать и отмывать средства с кредитных карт, а систематически отслеживать основные схемы, тактики и инструменты поиска, эксплуатации и монетизации уязвимостей, с последующим выводом и отмыванием денежных средств. Мониторинг щедро оплачивался европейскими заказчиками из финансовой и ИТ сфер, и не один десяток исследователей анализировало киберпреступность по всему земному шару только в рамках управления Global Intelligence моего тогдашнего работодателя. Основными отслеживаемыми хабами киберпреступности были Россия\СНГ, Бразилия\Латинская Америка, Китай, США\Англосаксонские страны и Ближний Восток\Индия.

Отчет о глобальных рисках ВЭФ 2016: Беженцы нокаутируют ИБ везде кроме США

    В этом году отчет Всемирного экономического форума был субьективно скучнее чем в прошлом, поэтому я написал о нем попозже. Он все так же упоминает 3 ИБ-риска (сбои критических инфраструктур, кибератаки, утечки данных и мошенничество) среди 29 упомянутых.

Простой бизнес-кейс для проверки кода и бекап-систем

    25 марта US-СERT опубликовал уязвимость в менеджере пакетов npm, не ограничивающем действия злонамеренных npm-пакетов, или на простом языке nmp manager позволял обновлять ПО без согласования автора. Вот просто обновляя модули (зависимости), на которые это ПО ссылается.

Как Илья Сачков оставил меня без ужина :( @Sachkov_GIB @3dwave @GroupIB

    Намедни у меня в Twitter вышла горячая дискуссия с Ильей насчет рутинности деятельности аналитика киберразведки и форензик-специалиста. Я высказал мнение что это рутинная деятельность, Илья усомнился что я имел реальный опыт работы в упомянутых сферах, зачем-то приплел уголовные дела (хотя я не говорил что поддерживал уголовные дела), и в итоге разгорячился, призвав на помощь мифических коллег из iSIGHT:

Программно-определяемые риски

    В последнее время все громче звучит рой голосов о внедрении "программно-определяемых" сетей и датацентров (SDN\SDDC). Черт бы с голосами, но не одна организация стала клиентом "облачных" инфраструктурных сервисов (например, AWS), основанных именно на такой идеологии.

Стратегия победы больших ИБ вендоров - горизонтальная интеграция и "нефть угроз"

    Определенные классиками факторы производства - Труд, Земля и Капитал в последнее время дополняются Талантом. Талант неудобен для капиталистов - его еще сложнее масштабировать чем Труд, он дороже Капитала, и ограничен как Земля. Существует целый набор стратегий управления Талантом и его наличием (весь ИТ-аутсорсинг вырост из этой проблемы), но для ИБ профи Талант интересен в разрезе противодействия другому Таланту - а именно злоумышленникам.

Стоматология, профаны от ИБ и протухший SOC

    Намедне занялся зубами. И перед каждой операцией, будь это кариес или посложнее, подписываю отказ от ответственности - и бур у меня в зубе может остаться, и осложнения могут быть.. А что делать? Вменяемому человеку понятно - А) в любом деле есть операционный риск Б) доктор не отвечает за мои действия, и я могу торпедировать  его усилия не придерживаясь его рекомендаций.

5 скомпрометировавших себя терминов в ИБ

    Информационная безопасность долгие годы являлась закрытой темой военных и ученых, и не сказать что бы для обычного человека ситуация поменялась. Производители решений культивируют свою "избранность", запугивают неспециалистов растущими неотразимыми постоянными угрозами. Но даже в такой "мутной" теме есть свои чемпионы по "мутности". Целый ряд терминов из-за своей размытости, неопределенности и спорной полезности себя скомпрометировал, в том числе и 5 следующих:

СтрашноФСТЭК и добрый CISO

    Жил-был CISO в госкомпании ТОП-50. Был он вьедлив, умен и системен, запугивал финдира описаниями рисков на десятках страниц, и несколько лет назад для обоснования программы ИБ сделал Страшное - пригласил проверку ФСТЭК.

10 выводов из рейтинга ИБ-блогов 2015

     В рейтинге-2015 были исключены 7 блогов, появились 10 новых блогов, применены новые аналитические формулы и сделаны новые выводы:

Схемы мошенничества: Природа не терпит пустоты в отделениях

    Было это в борющемся за свою эффективность региональном банке. В отделениях славного сибирского города Н-ска типовой набор касир-операционист-начальник сократили до одного человека.
    Бонусов не платили, и природа заполнила вакуум. Служащие выпускали дополнительные карты к счетам клиентов, и воровали деньги. Воровали Х миллионов рублей. Конечно, клиенты жаловались, но служащие просто успевали убежать. Благо, клиенты привыкли ждать реакции банка неделями.
    Интересно, что месячные бюджеты контрольных служб банка составляли цифры недалекие от Х. А департамент антифрода боролся с такого рода мошенничеством, вручную просматривая выгрузку с БД - кому выпустили дополнительную карту. В дальнейшем расследуя каждый "подозрительный" случай.
    Мораль - природа не терпит пустоты, и бездумное сокращение финансирования контрольных процедур обойдется еще дороже чем их финансирование на прежнем уровне.

Экономика потребления: Как защититься от прослушки и фальшивых сот (кроме информации о ядерных зарядах и т.п.)

    С 2010 года я работаю уже в третьей компании по счету, радикально сменил фокус от threat intelligence до security management, но все это время меня преследует один и тот же вопрос.