Латте со вкусом спокойствия: кибергигиена для работы в кофейне ☕️

Рассказываем о нескольких простых правилах информационной безопасности, которые помогут сохранить результаты трудов и не дать мошенникам похитить наработки и личные данные ☝️

🔻 Опасность первая — оставить незаблокированный ноутбук на столе и уйти в уборную или к барной стойке. У злоумышленника будет возможность скопировать данные, сфотографировать их — к примеру, конфиденциальную информацию о вашем клиенте, данные счёта, адреса.

🔹 Всегда следите за ноутбуком и блокируйте его на время перерыва.

🔻 Опасность вторая — общественный WiFi. Через незащищенную сеть они могут и украсть данные, и заразить ноутбук каким-нибудь вредным вирусом.

🔹 Сделайте точку доступа на вашем смартфоне и воспользуйтесь мобильным интернетом — так вы будете уверены в безопасности соединения. Также при работе с чувствительной информацией и внутренними документами стоит воспользоваться корпоративным VPN (уточните у вашего безопасника, есть ли такая возможность).

Угнать за 60 секунд: как уберечь свой Telegram-аккаунт от злоумышленников

С каждым месяцем популярность мессенджера только растет. В июне 2022 года аудитория Telegram достигла 700 миллионов человек — об этом рассказал основатель сети Павел Дуров. Для российских пользователей приложение является одной из самых популярных программ — более 52% аудитории рунета регулярно посылают друг другу сообщения в мессенджере. Растет и количество мошенников, которые пытаются увести у владельцев их каналы.

Спикер Слёрма Роман Панин, руководитель направления по архитектуре ИБ в МТС, и Владимир Силаев, эксперт по Telegram, админ каналов, поделились мыслями о том, как уберечь каналы и не дать злоумышленникам похитить ваш интеллектуальный труд.

Читайте в нашей статье на vc: https://slurm.club/3AVLpOZ

Актуальные типы кибератак и как они проявляются

Базово все кибератаки можно поделить на целевые и нецелевые (распределенные)

⚡Распределенные кибератаки происходят десятками тысяч каждый день. Они хаотичны и нацелены на распространенные ошибки пользователей систем или тех, кто эти системы проектирует. Они приносят злоумышленнику не так много выгоды, но, из-за того, что их много, это скорее упор на количество, а не на качество.

⚡ Целевые или таргетированные кибератаки — это уже более основательный подход ко взлому. В этом случае злоумышленник точно знает, кто его цель, что он хочет получить и на что он готов пойти. Нужно понимать, что нет ничего, что невозможно взломать, вопрос заключается лишь в том, стоит ли цель потраченных ресурсов.

Целью таких атак может быть как получение какой-то конфиденциальной и ценной информации, так и приостановка деятельности компании. Существует также более опасные злоумышленники, которые занимаются полномасштабным кибертерроризмом. Их целью может быть уже не просто компания, а ядерный реактор: если они получат к нему доступ, то смогут выдвигать любые свои требования.

Не всегда цель заключается только в сливе каких-то данных. Злоумышленник, получив доступ к информации, может не обнаруживать свое присутствие, а использовать данные в других целях. К примеру, взломает банк и присвоит себе на счет столько денег, сколько ему нужно. Само собой, в разумных количествах, чтобы система этого не обнаружила и не заподозрила его присутствие.

Какие бывают способы защиты от целевых атак:

✔️ Анализ аномалий от уровня хоста до уровня приложения и всей системы в целом
✔️ Проработка плана резервного восстановления
✔️ Контроль всех входящих и исходящих потоков данных
✔️ Обучение кибергигиене сотрудников компании

Подробнее об атаках мы будем рассказывать в следующих постах ⚡

🤔 Информация безопасность = кибербезопасность?
⠀
На сайтах-агрегаторах с вакансиями можно найти предложения и для инженера ИБ, и для специалиста по кибербезопасности. Что интересно, требования к сотруднику могут частично или полностью совпадать. Получается, что информационная безопасность и кибербезопасность — одно и то же, просто второе звучит чуть круче? Разберём подробнее ⬇️
⠀
Информационная безопасность, она же InfoSec, — это инструменты и методы, которые защищают цифровую и аналоговую информацию. Под «защиту» кибербезопасти попадают цифровые данные: их оберегают от киберугроз.
⠀
Информационная безопасность обширнее, нежели кибербезопасность, хотя они и похожи.
⠀
От специалиста по информационной безопасности работодатель может просить:
⠀
✔️ Разработать локальные нормативные акты по ИБ — внутренние требования компании к сотрудникам;
✔️ Эксплуатировать средства антивирусной защиты;
✔️ Обучить сотрудников компании кибергигиене и повысить их осведомленность;
✔️ Провести аудиты ИБ.
⠀
Вот что может делать инженер кибербезопасти:
⠀
✔️ Обеспечивать безопасную работу мобильного приложения;
✔️ Проводить технический аудит и тестирования на проникновение;
✔️ Автоматизировать процессы безопасной разработки ПО.
⠀
Довольно часто в вакансиях объединяют ИБ и кибербезопасность, а требования к специалистам совпадают — практически всегда требуется обучать коллег, к примеру. При поиске вы можете вводить оба направления и смотреть на требования к соискателю, ориентироваться на ваши навыки и ожидания от работы.
⠀
Но стоит помнить, что  кибербезопасность является всего лишь часть такого домена, как информационная безопасность. Ну а какие именно задачи на себя забирает этот поддомен, мы обсудим уже в следующих постах.

🗝 Нам нужен специалист по ИБ? 🗝
⠀
Для банков, IT-компаний, служб по доставке еды и других организаций, работающих с большим объемом конфиденциальных данных, ответ однозначный — да, конечно, безусловно, давайте ещё парочку возьмем! А для маленькой кофейни, к примеру? Или для магазина с канцелярскими товарами?
⠀
Главная цель ИБ — сохранить ключевую информацию и обеспечить:
⠀
✔️ Конфиденциальность данных
✔️ Доступность системы для лиц с правом доступа
✔️ Блокировку несанкционированного изменения данных
✔️ Её полноту, подлинность и общую точность
⠀
Возьмем для примера ту же локальную кофейню в тихом петербуржском переулке. С какими данными может работать персонал заведения:
⠀
✅ Финансовыми отчетностями, информацией о закупках, налоговыми выплатами
✅ Номерами телефонов посетителей, если они участвуют в программе лояльности
✅ Документами сотрудников: паспортами, СНИЛС. ИНН, банковскими счетами
✅ Договором с арендатором
⠀
Казалось бы, маленькое заведение, чуть ли не метр на метр, а столько данных. Любая утечка может нанести финансовый и репутационный урон заведению:
⠀
➖ Мошенники получат базу с актуальными номерами клиентов
➖ Конкуренты смогут увести выгодного поставщика
➖ Злоумышленник может начать шантажировать предпринимателя
⠀
Безопасник требуется везде, где есть место для конфиденциальных данных. Возможно, для небольшой кофейни подойдет и разработчик на аутсорсе — специалиста в штат возьмут тогда, когда заведение вырастет, а работы прибавится. Ну или владелец небольшой кофейни может воспользоваться различными сервисами для хранения и обработки той самой чувствительной информации в рамках нужд своего бизнеса. Главное – следить за тем, чтобы компании, предоставляющие эти сервисы также не забывали об информационной безопасности и несли полную ответственность за данные, которые они обрабатывают.
⠀
Иногда так случается, что сами сотрудники заведения не до конца понимают, зачем им соблюдать меры информационной безопасности. О том, как донести ценность ИБ до коллег, мы расскажем в следующих постах.

🤩 Повышаем осведомленность коллег: квиз по ИБ 🤩
⠀
Специалист по информационной безопасности проводит довольно большую часть рабочего времени за обучением коллег. Методички, памятки, буклеты, семинары — в дело идут все способы воздействия. Один из нетривиальных обучающих методов — интеллектуальная игра-квиз. Это популярный вид досуга, который будет понятен вашим коллегам.
⠀
Рассказываем, как составить квиз по ИБ ⬇️
⠀
Квизы состоят из нескольких туров, которые могут включать:
⠀
✔️ Вопросы с открытым ответом
✔️ Тест с одним или несколькими правильными ответами
✔️ Загадки с картинкой, шифрами
✔️ Музыкальный или видеовопрос
⠀
Советуем запланировать несколько разноплановых туров общей длительностью 35-40 минут. Такой квиз не утомит коллег, его можно поставить в общее расписание как обучение по ИБ.
⠀
Начинайте с простых вопросов и постепенно усложняйте туры. Вы можете использовать внутренние требования вашей организации к ИБ, взять её за основу вопросов.
⠀
В среднем в туре может быть от 5 до 10 вопросов, на каждый вопрос отводится определённое количество времени, за которое команда должна дать ответ. На простой вопрос хватит и 10 секунд, на что-то посложнее — 30 и более. Дайте в конце тура минуту, чтобы обсудить готовые ответы.
⠀
Используйте разные форматы и попытайтесь не дублировать их. Как могут быть расположены туры:
⠀
1 тур: 10 вопросов с выбором правильного ответа
2 тур: 8 видеороликов, где необходимо вспомнить реплику персонажа. Пример: фраза Остапа Бендера про квартиру, где деньги лежат
3 тур: зашифрованные пароли
4 тур: 5 вопросов с открытым ответом
⠀
В конце подарите командам приятные призы, даже тем, кто занял последнее место. Все-таки они старались и им, возможно, не хватило немного до победы.

❗ Квиз по ИБ не может заменить полноценное обучение или сертификацию. Это вспомогательный формат, он дополнит основную учебную программу, сплотит коллег и поможет им немного развеяться.

📖 Что почитать: «Ловушка для багов»
⠀
Начинаем знакомить вас с интересными книгами по теме информационной безопасности, и первая — «Ловушка для багов», Питер Яворский.
⠀
Это руководство по белому хакингу и поиску уязвимостей в системе безопасности. Книга подойдёт и для новичков в разработке, и для опытных IT-специалистов — знания универсальны и применимы ко многим областям программирования.
⠀
Автор рассматривает распространенные типы ошибок и реальные хакерские отчеты о таких компаниях, как Twitter, Google, Uber и Starbucks.
⠀
Прочитайте книгу, чтобы узнать:
⠀
✔️ об основных концепциях веб-хакинга;
✔️ как злоумышленники взламывают веб-сайты;
✔️ как подделка запросов заставляет пользователей отправлять информацию на другие веб-сайты;
✔️ как получить доступ к данным другого пользователя;
✔️ с чего начать охоту за уязвимостями.

ИБ vs ИТ?

В среде разработчиков бытует мнение, что информационная безопасность относится к IT не напрямую, а косвенно, что это вспомогательная область и даже вторичная. Но так ли это на самом деле? На этот неоднозначный вопрос серьезно и обстоятельно ответили спикер Слёрм Роман Панин и его коллега Павел Шатилов, руководители направления архитектуры ИБ в МТС. Они рассказали о:

✔️ Безопасной разработке, по-другому – SSDLS;
✔️ DevOps и DevSecOps;
✔️ Противостоянии подразделений ИТ и ИБ;
✔️ Смежных специальностях в ИТ и ИБ;
✔️ Вузовских программах по направлению «Информационная безопасность».

Читайте больше в нашей статье ➡️ ссылка

😱 Мои данные в сети: как проверить, нет ли ваших данных в сливах 😱
⠀
Как мы понимаем, что данные оказались у мошенников? Нам резко начинают поступать звонки с неизвестных номеров — прямо хоть звук на телефоне не включай 🤬 Однако есть и превентивные способы проверки данных.
⠀
в 2013 году инженер по веб-безопасности Трой Хант создал сайт Have i been pwned? Этот сервис собирает данные об утечках — некоторые из них ресурсу предоставляет правительства США, Великобритании и других стран.
⠀
На сайте вы можете проверить вашу электронную почту, не оказалась ли она в базе сливов. Сайт укажет, с какого сайта «уплыли данные», что попало в сеть. Не все русские сайты попадают в подборку, однако автор материала обнаружила свою старую почту в сливах с сайтов СДЭК, Вконтакте и LiveJornal.

Угрозы информационной безопасности повсюду. Справитесь с уловками мошенников?

Как вы поступите, когда на почту придёт письмо от адвоката принца из Нигерии? А если захотите поработать в кофейне с публичного Wi-Fi?

Мы собрали самые распространённые ситуации и сделали из них небольшой тест на знание правил ИБ. Наш герой — менеджер Василий. Ваша задача — помочь Василию преодолеть все ловушки от злоумышленников и не растерять важные данные.

Тест доступен на нашем сайте, а по итогу вы сможете получить приятный подарок — скидку на полный курс по ИБ.

😎 Ссылка на тест 😎

Сэкономить на ИБ не получится: в разработке находится законопроект о штрафах за утечку данных

О возможных изменениях в законодательстве сообщил министр цифрового развития, связи и массовых коммуникаций РФ Максут Шадаев на встрече с региональными журналистами.

Оборотный штраф будет начислятся компаниям и организациям за утечку персональных данных. «При этом мы хотим, чтобы штрафы направлялись не в бюджет, а на компенсацию пострадавшим от утечек людям. Это сложная конструкция, пытаемся сейчас эти нормы согласовать. Мы надеемся, что после принятия документа об оборотных штрафах компании задумаются о том, что вкладывать средства в безопасность для них выгоднее, чем платить штрафы», — говорит министр.

Планируется, что законопроект рассмотрят на ближайшей сессии Госдумы. Новости о законопроект и других нововведениях вы можете прочитать в Telergam-канале Минцифры России @mintsifry

Стоять на страже данных может не только инженер ИБ, но и рядовой специалист. А вклад в базовое образование окупится сторицей: сотрудник не попадётся на уловку мошенника, не перейдёт на фишинговый сайт, не откроет подозрительный документ. Основы мы даем на нашем курсе 👉 ссылка на обучение👈

А за прохождение теста на сайте мы ещё и скидку дадим 😎

Сегодня отмечается Международный День Кофе! Латте и макиато, раф и флет уайт, капучино и мокко, эспрессо и гляссе — эти слова звучат как песня в сердце кофемана 😍☕
⠀
Отметить праздник можно в вашей любимой кофейне. А чтобы посиделки не обернулась проблемами с украденными данными или заблокированными устройствами, напоминаем о базовых правилах ИБ в общественных местах:
⠀
🔻 Опасность первая — оставить незаблокированный ноутбук на столе и уйти в уборную или к барной стойке. У злоумышленника будет возможность скопировать данные, скопировать их.
⠀
🔹 Всегда следите за ноутбуком и блокируйте его на время перерыва.
⠀
🔻 Опасность вторая — общественный WiFi. Через незащищенную сеть они могут и украсть данные, и заразить ноутбук каким-нибудь вредным вирусом.
⠀
🔹 Сделайте точку доступа на вашем смартфоне и воспользуйтесь мобильным интернетом — так вы будете уверены в безопасности соединения. Также при работе с чувствительной информацией и внутренними документами стоит воспользоваться корпоративным VPN.

🐟 Фишинг и уэйлинг: охота за рыбкой покрупнее 🐳
⠀
Если слово «фишинг» в целом уже на слуху, то вот термин «уэйлинг» известен не только лишь всем. Расширяем словарик безопасника и рассказываем о ещё одном типе атак.

Уэйлинг — это разновидность фишинговой атаки, направленная на руководителей и топ-менеджеров организаций. Мошенники пытаются заполучить данные о компании, её сотрудниках и клиентах, убеждают ведущих специалистов перевести на странный счёт крупную сумму денег. Термин происходит от слова «Whale» — кит.

Злоумышленники подделывают сайты организаций, почты более высокостоящего руководства — так они применяют методы социальной инженерии. Менеджер доверяет своему руководителю и смело сообщает данные или оплачивает счета, которые могут выглядеть очень убедительно.

Способы борьбы с уэйлингом всё те же, что и с фишингом: перепроверяйте данные и узнавайте лично у руководителя информацию о тех или иных переводах.

О других базовых правилах защиты мы писали в этой статье 👉 ссылка 👈

Павел Дуров информирует: хакеры могут получить доступ к вашему телефону через WhatsApp

Сегодня Павел Дуров, основатель Telegram, рассказал об уязвимости, которая встречается в мессенджере WhatsApp (относится к запрещённой в России организации Meta).

По словам Павла, злоумышленнику легче лёгкого получить контроль над данными пользователя. Для этого достаточно отправить видео с вирусом или начать видеозвонок. Утверждение основано на заявлении, которое сама организация недавно сделала.

Любой месенджер может нести опасность для пользователя. Мошенники пересылают ссылки на фишинговые сайты, отправляют файлы с вирусами под видом изображений. Причём подобные хитрые ходы обманщики проворачивают и в Telegram, о чем Павел деликатно умолчал.

В целом правила кибербезопасности для разных мессенджеров похожи: не открывайте файлы от незнакомых людей, не принимайте звонки от тех, с кем не планировали разговаривать. Более подробно о правилах защиты в Telegram мы писали здесь 👉 https://slurm.club/3AVLpOZ 👈

Ещё пользуетесь WhatsApp? Или удалили по совету Павла?

Kubernetes и безопасность: запускаем контейнеры уверенно 😎
⠀
Ценность информационной безопасности невероятно важна. К примеру, при работе с контейнерами. Для команд, которые работают с Kubernetes, мы создали курс по безопасному использованию инструмента.

Курс пригодится инженерам по ИБ, DevOps-специалистам и разработчикам. Над приложением вы работаете вместе, понимание безопасной разработки у вас должно быть общим.
⠀
На занятиях разбираем основные модели угроз и как им противостоять, что делать, чтобы безопасность была на всех этапах — от разработки до отправки на сервер и последующего разворачивания.
⠀
Спикеры — практикующие специалисты по ИБ, DevSecOps и Kubernetes. Всю информацию можно закрепить на практике на стендах.

В дополнение вы получите курс по основам ИБ 😏 Он достанется всем, кто оплатит участие до 15 октября. Получится разобраться во всех аспектах безопасной разработки 🤓
⠀
Записаться на курс по безопасности в Kubernetes можно тут  ➡️ ссылка

Взлом Госуслуг: время для паники?

В новостных ресурсах сегодня появилась информация, что хакеры слили в свободный доступ личные данные пользователей портала Госуслуги. В доступ попали 5 тысяч строк, из них можно узнать:

🔻ФИО
🔻 Электронную почту
🔻 Телефон
🔻 Пол и дату рождения
🔻 Адрес регистрации и места жительства
🔻 Паспортные данные, СНИЛС, ИНН.

Однако Минцифры России поспешило опровергнуть эту информацию. Специалисты Министерства проверили появившиеся данные и «выяснили, что в нем нет того набора параметров, которые обязательно присутствуют в стандартных учетных записях Госуслуг. Учетные данные пользователей портала (логины и пароли) не были скомпрометированы, информация надежно защищена».

Данная база относится к одной из внешних онлайн-систем и не имеет прямого доступа к полному набору данных пользователей. Полный текст сообщения вы можете прочитать в официальном канале Минцифры России.

Не советуем скачивать архивы со слитыми данными. Во-первых, это незаконно, а во-вторых, в файлах могут быть зашитые вирусы и вредоносные ПО, а информация может быть ошибочной.

#информациябезопасность #иб

Информационная безопасность и Inktober 😈

Для художников со всего мира октябрь ассоциируется с челленджем Inktober. Задача — создать 30 рисунков по заранее известным словам и тем самым ежедневно тренировать свою творческую жилку.

Представители творческих профессий по всему миру адаптируют челлендж под себя. Музыканты, писатели, флористы... А почему бы и IT-шникам не присоединиться к общему веселью?

На протяжение октября мы будем обращаться к темам Inktober и находить в нашей работе созвучные темы и явления. Будем тренировать творческую жилку и видеть новое в обычном 🤓

Тема на 12 октября — «Забывать», и это слово подходит к направлению информационной безопасности.

Случалось ли вам забывать пароли от сайтов? Приходится комбинировать имена собачки и название любимых блюд, а то и сразу сдаться и начать процедуру восстановления паролей. Можно немного облегчить себе жизнь и воспользоваться диспетчером для хранения паролей. Делимся тремя сервисами с бесплатными версиями.

✅ Dashlane. Сервис поддерживает двухфакторную и биометрическую идентификацию, которые дополняют стандартный пароль. Dashlane имеет расширение для всех основных браузерах, также сервис запомнит заметки, адреса и другую информацию. В бесплатной версии можно хранить до 50 паролей на одном устройстве.

✅ LastPass. В этом диспетчеры вы можете сохранить данные для автозаполнения данных, информацию о платежных картах, адреса и документы. И пароли, конечно же — для них есть встроенный генератор. В бесплатной версии вы можете использовать сервис только для одного устройства или же по полной задействовать функционал, но только на 30 дней.

✅ iCloud Keychain.  Это бесплатный сервис, который доступен всем обладателям «яблочных» устройств. Он встроен и в смартфоны, и в ноутбуки, причем работает он абсолютно бесплатно, без ограничений на количество записей.

Подскажите, какими диспетчерами пользуетесь вы? Или не доверяете?

Узнать больше о безопасности данных вы можете на нашем курсе «Основы ИБ для всех». Спикер — Роман Панин, руководитель направления по архитектуре ИБ в МТС.