Бесплатный вебинар ISACA на тему privacy.

http://m.isaca.org/Education/Online-Learning/Pages/virtual-summit-the-future-of-data-protection-and-privacy.aspx

Nist начал разработку privacy framework.

Working Drafts | NIST
https://www.nist.gov/privacy-framework/working-drafts

Хороший обзор по безопасности Linux обсуждают в одном из дружественных чатов.

Доброе утро.

Тут у нас любят обсуждать дистрибутивы.

Так вот крутой сравнительный анализ безопасности дистрибутивов!

https://capsule8.com/blog/millions-of-binaries-later-a-look-into-linux-hardening-in-the-wild/

В этом обзоре детальная статистика по:
- CVE за год по дистру,
- CVE за год по типу,
- фичам безопасности userspace,
- опциям безопасности ядра.

Особенно приятно, что для анализа конфигураций ядра используется мой kconfig-hardened-check, для которого автор дал полезную обратную связь.

"...This webcast will provide a 2-hour overview and deep dive of the recently released NIST Special Publication (SP) 800-37, Revision 2, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy.

This update to NIST SP 800-37 develops the next-generation Risk Management Framework (RMF) for systems, organizations, and individuals..."

https://www.nist.gov/news-events/events/2019/02/nist-risk-management-framework-webcast-flexible-methodology-manage

IT security: Five essential steps to keep the hackers at bay | ZDNet
https://www.zdnet.com/article/it-security-five-essential-steps-to-keep-the-hackers-at-bay/

Dow Jones неправильно настроил сервер AWS и раскрыл данные 2,4 млн банковских клиентов, в том числе политиков https://t.co/DaKB0HPvOe
— TAdviser (@TAdviser) March 1, 2019

Посмотрите, о чем твитнул(а) @Cybersec_EU: https://twitter.com/Cybersec_EU/status/1101471836049735681?s=09

Похоже ENISA начало подбор персонала после того как ЕС подтвердил её мандат после 2020 года.

Хорошое исследование на тему теневой экономики кибер(без)опасности.

https://www.scmagazine.com/home/security-news/cybercriminals-spend-like-rockstars/

Полезность подобных исследований, что с их помощью можно производить как минимум экспертную оценку эффективнности мер ИБ в экономических терминах.

Например, то что эпидемия wannacry принесла прибыль на десятки тысяч долларов а locky на миллионы. При этом ущерб от семейства wannacry был существенно выше.

Как вам оценка, что кастомное spyware стоит от 13 000 рублей, а мировой рынок кибер преступлений, примерно, равен годовому ВВП и составляет 1,5 трлн долларов.

Рекомендуется к прочтению.

Системная проблема, что текущие оценки опасности уязвимостей по шкале CVSS не отражают реального риска для конкретной организации, только некий усреденный уровень опасности.

Да в cvss есть раздел environmental который по идее предназначался для решения этой проблемы, но кто на практике знаком с инструментами для его заполнения для уязвимостей которых появляется по несколько сотен в месяц?

Вот IBM предлагает внутренний инструмент.
Немного другой подход у vulners с их AI Score для уязвимостей.
А кто-то из производителей сканеров уязвимостей на рынке России до сих пор использует шкалу cvss 2.0 в качестве основной.

https://securityintelligence.com/calling-into-question-the-cvss/

Пост для закрепления

0. До 20 марта открыта регистрация на очередную открытую бесплатную встречу ISACA Moscow. Тема встречи, управление ИБ. Программа встречи в посте ниже.

Для регистрации необходимо указать ваши полные ФИО в письме на moscow.chapter@isaca.org.ru.

Для получения CPE членам нужно дополнительно зарегистрироваться на встречу на ISACA.MSK.RU.

1. Твиттер Московского отделения https://twitter.com/IsacaSec.

2. ISACA в этом году исполняется 50 лет.
https://www.isaca50.org/

3. Ссылка на чат Московского отделения.
https://news.1rj.ru/str/joinchat/FtEAHAqAuw6ubbQsB6FIDQ

Программа следующей встречи отделения:

1. Сергей Ландырев, CISO российского отделения глобальной нефтегазовой компании, экс-CISO Itelia Group «Построение системы управления ИБ с «нуля» в международной компании».

2. Иван Волков, CISO Zetta Страхование «Стратегия ИБ в страховом бизнесе».

3. Кирилл Ермаков, CTO QIWI «Бизнес-ориентированное управление ИБ в цифровом холдинге».

4. Сергей Солдатов, SOC Head глобальной ИБ-компании, экс-директор Департамента защиты информации ИТ-провайдера нефтегазовой компании «Управление ИБ на основе информации от security operations» .

5. Александр Бодрик, вице-президент по ИБ Московского отделения ISACA, экс-исполнительный директор ANGARA MSSP "Механизмы координации управления системой ИБ в корпорациях - банки, нефтегаз, ИТ"

Время:
21 марта 19.00

Место: 
Московский Политех.

Все учебные материалы ISACA в одном месте.

http://www.isaca.org/info/interactive-training-tool/index.html

Посмотрите, о чем твитнул(а) @3dwave: https://twitter.com/3dwave/status/1102247776925163520?s=09

Посмотрите, о чем твитнул(а) @ISACANews: https://twitter.com/ISACANews/status/1102359005811392513?s=09

Сегодня открылась одна из самых известных конференций в мире ИБ-RSAC.

Существенная часть материалов будет доступна бесплатно.

RSAC onDemand - Information Security Conference - US 2019 | RSA Conference
https://www.rsaconference.com/events/us19/rsac-ondemand