Делимся фреймворком Cloud Controls Framework для общения с облачными провайдерами и построения защиты на их основе

Коллеги из CROC организовали вчера хороший митап по организационным вопросам DevSecOps https://www.youtube.com/watch?v=CalJwgF6w8A

https://croc.disk.croc.ru/preview/public/PpoE_AQ19?file=CROC%26TALK.%20DevSecOps_Ryzhkovt.pdf

https://croc.disk.croc.ru/preview/public/uyZ8zAQ19?file=CROC%26TALK.%20DevSecOps_Tinkoff.pdf

Есть выступления по ИБ.

Открытая трансляция главного зала!

В этом году благодаря поддержке IT’s Tinkoff любой желающий может присоединиться к бесплатной трансляции главного зала «Терминус».

Здесь будут выступать ключевые спикеры HighLoad++ Foundation, а еще пройдут церемонии открытия и закрытия конференции.

👉🏻Для просмотра нужна только регистрация: https://bit.ly/39akkfd

🇪🇺⚡🏛️ #ес #регулирование #кии #кибербез
Совет ЕС 13.05.2022 достиг предварительного соглашения с Европейским парламентом по проекту обновленной Директивы о безопасности сетей и информационных систем в ЕС (NIS2 Directive).
🔹Директива установит базовый перечень для мер по управлению рисками кибербезопасности и обязательств по предоставлению отчетности в критически важных секторах (например, энергетика, транспорт, здравоохранение и цифровая инфраструктура).
🔹NIS2 направлен на устранение расхождений в требованиях к кибербезопасности и в реализации мер кибербезопасности в разных государствах-членах ЕС.
🔹Кроме того, была проведена работа по более четкому определению правил взаимодействия между нормами NIS2 и отраслевого законодательства – Законом о цифровой операционной устойчивости (DORA) и Директивой об устойчивости критически важных объектов (CER).

Многие компании по ИБ, занимающиеся реагированием и расследованиями, ежегодно публикуют всяческие Топ10 техник согласно MITRE ATT&CK. И вот, чтобы облегчить жизнь уже всем ИБшникам, Center for Threat-Informed Defense при MITRE вместе с рядом коммерческих компаний замутили специальный калькулятор, а также выкатили методологию составления своего Топ10 техник, приоритизированного по разным критериям, выбираемым самими пользователями. Чтобы показать, как этим всем пользоваться, был сделан Топ10 техник, используемых шифровальщиками. Я ни на что не намекаю, но именно так и должна презентоваться любая методика в идеальном ИБ-мире - вот описание того, что надо делать, вот инструментарий для реализации методики, а вот пример их совместного использования, чтобы снять большинство вопросов и показать, что все это не плод больной фантазии.

ЗЫ. А еще сегодня вышла чуть обновленная версия матрицы MITRE ATT&CK v11.1

Английский блог посвященный форензике в windows.
http://windowsir.blogspot.com/

Министерство DCMS Великобритании уже четвертый год публикует исследование рынка труда в области кибербезопасности. Общие тенденции и выводы вполне уместны и для отечественного рынка труда. Ниже приведу наиболее интересные моменты.
🔸 Половина организаций имеет проблемы с базовыми направлениями кибербезопасности (администрирование межсетевых экранов, антивирусная защита, защита персональных данных).
🔸 В трети организаций совсем плохо по направлениям пентестов, форензики, киберразведки и архитектуры безопасности.
🔸 С каждым годом растет дефицит специалистов по направлению реагирования на инциденты.
🔸 Результаты опросов свидетельствуют о том, что руководство организаций по прежнему не понимает важность кибербезопасности и ее роль (то времени не хватает, то знаний).
🔸 Качество подготовки кадров падает, при этом организации все чаще нанимают джунов и сами их обучают.
🔸 Наиболее востребованными являются следующие специальности в порядке убывания - инженеры, аналитики, менеджеры, архитекторы и консультанты.
🔸 Рекрутеры в который раз говорят, что CISO и руководители уровня пониже не умеют составлять описание вакансий🙂
🔸 Переход к удаленке и гибридному графику работы привел к выравниванию уровня оплаты труда в столичных и провинциальных регионах, от чего дефицит кадров в провинциальных организациях возрос.

Отдельно советую ознакомиться с разделом 4, где приведены интересные результаты опросов об уровне уверенности организаций в выполнении задач кибербезопасности. На скрине, например, результаты опроса про основные задачи КБ - все уверены в бэкапах, но на деле всегда не все так гладко😉

​​ИБ и интеллектуальные транспортные системы

Интересные проекты ГОСТов поступили на рассмотрение технического комитета по стандартизации «Защита информации» (ТК 362):

• ГОСТ Р «Интеллектуальные транспортные системы. Информационная безопасность. Надежность обмена данными между инфраструктурой и автомобилем».

• ГОСТ Р «Интеллектуальные транспортные системы. Информационная безопасность. Термины и определения».