Интернет гиганты обращают внимание на риски нового закона Австралии заставлющего их добавлять в часты аккаунты ботов полиции.

Есть тренд по релокации компаний из Австралии для которых приватность это основное конкурентное приемущество.

Tech giants and civil liberty groups call out ghost cops and source code demands under Australian encryption laws | ZDNet
https://www.zdnet.com/article/tech-giants-and-civil-liberty-groups-call-out-ghost-cops-and-source-code-demands-under-australian-encryption-laws/

"...
NIST announces the publication of Special Publication (SP) 800-177 Rev. 1, Trustworthy Email, which describes guidelines for enhancing trust in email and recommendations for the support of core SMTP and Domain Name Systems (DNS) through the use of authentication mechanisms. The document includes newly specified email protocol additions, such as Mail Transfer Agent Strict Transport Security (MTA-STS) and Transport Layer Security (TLS) Reporting, as well as an email system FISMA overly developed to aid systems administrators in deploying email services that address relevant FISMA controls. It is intended to be a guide for enterprise email administrators, information security specialists, and network managers.
..."

SP 800-177 Rev. 1, Trustworthy Email | CSRC
https://csrc.nist.gov/publications/detail/sp/800-177/rev-1/final

Хороший индикатор импортозамещения.

http://www.cnews.ru/news/top/2019-02-28_sap_pokazala_chetyrehkratnyj_rost_pribyli_v_rossii

Посмотрите, о чем твитнул(а) @RusRIM: https://twitter.com/RusRIM/status/1100310276795174917?s=09

Важный шаг в распространении российской криптографии и усиления возможностей цифрового суверенитета

https://www.cryptopro.ru/news/2019/02/uspeshno-zaversheno-testirovanie-dostupa-k-nashemu-saitu-po-tls-s-odnovremennym-ispolzo

Cisco опубликовала результаты опроса более 3000 CISO.

https://blogs.cisco.com/security/anticipating-the-unknowns-2019-cisco-ciso-benchmark-study

Бесплатный вебинар ISACA на тему privacy.

http://m.isaca.org/Education/Online-Learning/Pages/virtual-summit-the-future-of-data-protection-and-privacy.aspx

Nist начал разработку privacy framework.

Working Drafts | NIST
https://www.nist.gov/privacy-framework/working-drafts

Хороший обзор по безопасности Linux обсуждают в одном из дружественных чатов.

Доброе утро.

Тут у нас любят обсуждать дистрибутивы.

Так вот крутой сравнительный анализ безопасности дистрибутивов!

https://capsule8.com/blog/millions-of-binaries-later-a-look-into-linux-hardening-in-the-wild/

В этом обзоре детальная статистика по:
- CVE за год по дистру,
- CVE за год по типу,
- фичам безопасности userspace,
- опциям безопасности ядра.

Особенно приятно, что для анализа конфигураций ядра используется мой kconfig-hardened-check, для которого автор дал полезную обратную связь.

"...This webcast will provide a 2-hour overview and deep dive of the recently released NIST Special Publication (SP) 800-37, Revision 2, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy.

This update to NIST SP 800-37 develops the next-generation Risk Management Framework (RMF) for systems, organizations, and individuals..."

https://www.nist.gov/news-events/events/2019/02/nist-risk-management-framework-webcast-flexible-methodology-manage

IT security: Five essential steps to keep the hackers at bay | ZDNet
https://www.zdnet.com/article/it-security-five-essential-steps-to-keep-the-hackers-at-bay/

Dow Jones неправильно настроил сервер AWS и раскрыл данные 2,4 млн банковских клиентов, в том числе политиков https://t.co/DaKB0HPvOe
— TAdviser (@TAdviser) March 1, 2019

Посмотрите, о чем твитнул(а) @Cybersec_EU: https://twitter.com/Cybersec_EU/status/1101471836049735681?s=09

Похоже ENISA начало подбор персонала после того как ЕС подтвердил её мандат после 2020 года.

Хорошое исследование на тему теневой экономики кибер(без)опасности.

https://www.scmagazine.com/home/security-news/cybercriminals-spend-like-rockstars/

Полезность подобных исследований, что с их помощью можно производить как минимум экспертную оценку эффективнности мер ИБ в экономических терминах.

Например, то что эпидемия wannacry принесла прибыль на десятки тысяч долларов а locky на миллионы. При этом ущерб от семейства wannacry был существенно выше.

Как вам оценка, что кастомное spyware стоит от 13 000 рублей, а мировой рынок кибер преступлений, примерно, равен годовому ВВП и составляет 1,5 трлн долларов.

Рекомендуется к прочтению.

Системная проблема, что текущие оценки опасности уязвимостей по шкале CVSS не отражают реального риска для конкретной организации, только некий усреденный уровень опасности.

Да в cvss есть раздел environmental который по идее предназначался для решения этой проблемы, но кто на практике знаком с инструментами для его заполнения для уязвимостей которых появляется по несколько сотен в месяц?

Вот IBM предлагает внутренний инструмент.
Немного другой подход у vulners с их AI Score для уязвимостей.
А кто-то из производителей сканеров уязвимостей на рынке России до сих пор использует шкалу cvss 2.0 в качестве основной.

https://securityintelligence.com/calling-into-question-the-cvss/

Пост для закрепления

0. До 20 марта открыта регистрация на очередную открытую бесплатную встречу ISACA Moscow. Тема встречи, управление ИБ. Программа встречи в посте ниже.

Для регистрации необходимо указать ваши полные ФИО в письме на moscow.chapter@isaca.org.ru.

Для получения CPE членам нужно дополнительно зарегистрироваться на встречу на ISACA.MSK.RU.

1. Твиттер Московского отделения https://twitter.com/IsacaSec.

2. ISACA в этом году исполняется 50 лет.
https://www.isaca50.org/

3. Ссылка на чат Московского отделения.
https://news.1rj.ru/str/joinchat/FtEAHAqAuw6ubbQsB6FIDQ

Программа следующей встречи отделения:

1. Сергей Ландырев, CISO российского отделения глобальной нефтегазовой компании, экс-CISO Itelia Group «Построение системы управления ИБ с «нуля» в международной компании».

2. Иван Волков, CISO Zetta Страхование «Стратегия ИБ в страховом бизнесе».

3. Кирилл Ермаков, CTO QIWI «Бизнес-ориентированное управление ИБ в цифровом холдинге».

4. Сергей Солдатов, SOC Head глобальной ИБ-компании, экс-директор Департамента защиты информации ИТ-провайдера нефтегазовой компании «Управление ИБ на основе информации от security operations» .

5. Александр Бодрик, вице-президент по ИБ Московского отделения ISACA, экс-исполнительный директор ANGARA MSSP "Механизмы координации управления системой ИБ в корпорациях - банки, нефтегаз, ИТ"

Время:
21 марта 19.00

Место: 
Московский Политех.