NIST is announcing the initial public drafts of NIST SP 800-157r1 (Revision 1), Guidelines for Derived Personal Identity Verification (PIV) Credentials, and NIST SP 800-217, Guidelines for Personal Identity Verification (PIV) Federation. These two SPs complement Federal Information Processing Standard (FIPS) 201-3, which defines the requirements and characteristics of government-wide interoperable identity credentials used by federal employees and contractors.

https://csrc.nist.gov/publications/detail/sp/800-157/rev-1/draft

https://csrc.nist.gov/publications/detail/sp/800-217/draft

Всемирный экономический форум выпустил свой новый ежегодный отчет по глобальным рискам. Киберпреступность и атаки на КИИ присутствуют, но их значение чуть снизилось по сравнению с предыдущими годами. Хотя надо признать, ВЭФ регулярно меняет методику оценки, так что тут скорее важно, попал риск в десятку или нет. А кибербезопасность будет важной, по оценкам, на десятилетнем горизонте точно.

В конце отчета есть результаты опроса 121 страны, которые оценивали Топ5 рисков именно для себя, - России в списке нет :-(

https://www.nextron-systems.com/2023/01/13/antivirus-event-analysis-cheat-sheet-v1-11-0/

Как интерпретировать сработки от антивируса.

Красивый дашборд который крайне не просто составлять.

Не надо развивать свой бренд "торговца катастрофами", который приходит (или которого вызывают на ковер) к руководству только когда произошел критический инцидент. Регулярно информируйте его о рисках/угрозах/недопустимых событиях, сценариях их реализации и потенциальных последствиях от их реализации.

Чаты и каналы Telegram по информационной безопасности 2023: https://zlonov.ru/telegram-security-list-2023/

К Всемирному экономическому форуму был подготовлен не только отчет о глобальных рисков (см.👆), но и отчет по кибербезопасности, в котором руководители бизнеса и руководители ИБ делились своим видением влияния ИБ на бизнес и геополитику. Отчет достаточно высокоуровневый, но есть интересные моменты, которые меня зацепили и о которых я напишу дальше.

Уязвимость в sudoedit, которая позволяет обычному пользователю в системе получить доступ к редактированию не принадлежащих ему файлов, что может быть использовано для повышения привилегий.

https://www.synacktiv.com/sites/default/files/2023-01/sudo-CVE-2023-22809.pdf

#security #sudo

The NIST Cybersecurity Framework (CSF) helps organizations better understand, manage, reduce, and communicate cybersecurity risks. NIST is updating the CSF to keep pace with the evolving cybersecurity landscape.

The CSF 2.0 Concept Paper released today outlines more significant potential changes in the CSF. It is informed by extensive feedback in response to the NIST Cybersecurity Request for Information and the first workshop on CSF 2.0. NIST is publishing this concept paper to gain additional input before issuing a draft CSF 2.0 this Summer.

https://www.nist.gov/system/files/documents/2023/01/18/CSF_2.0_Concept_Paper_01-18-23.pdf

Менеджер по развитию продукта Security в Yandex Cloud

Локация: Москва

Yandex Cloud ищет энергичного менеджера для развития механизмов и сервисов безопасности облачной платформы. В облачной парадигме безопасность, с одной стороны, устраняет барьеры по использованию облачных сервисов клиентами облака, а с другой — может выступать драйвером роста бизнеса за счет предложения рынку различных сервисов безопасности (Security as a Service).
Миссия команды — делать облако таким, чтобы клиенты могли выполнять все аргументированные требования безопасности с минимальными трудозатратами.

Что нужно делать:
- взаимодействовать с клиентами для снятия различных блокеров и вопросов по ИБ при заезде и работе в облаке и получать их фидбек, проводить CustDev;
- вести внутренний портал знаний по безопасности;
- проводить пресейл решений и сервисов безопасности;
- продвигать и позиционировать сервисы информационной безопасности в облаке;
- участвовать в дизайне, реализации, улучшении security-компонентов облака и повышать уровень их потребления;
- повышать уровень доверия к облаку за счет экспертного вклада в маркетинговые активности: участвовать в написании статей в security blog, проводить вебинары, подкасты;
- прорабатывать моделей оплаты продуктов ИБ в облаке;
- формировать сценарии использования продуктов ИБ в облаке;
- развивать партнёрскую экосистему.

Мы ждем, что вы:
- знаете рынок средств и сервисов безопасности;
- знаете принципы обеспечения информационной безопасности в компаниях;
- работали в сфере ИБ более трёх лет;
- знаете основы облачной безопасности и работали с одним из облаков: AWS, GCP, Azure, Huawei;
- знакомы со стандартами ИБ: ISO 27001, ФЗ-152 и другими;
- имеете навыки публичных выступлений;
- понимаете, как устроен цикл продаж, знакомы с управлением ценообразованием, знаете, как позиционировать продукт и в каких сценариях продукт можно применять;
- умеете создавать и проводить презентации;
- трудолюбивы, так как работы много и она интересная;
- знакомы с популярными каналами коммуникаций в ИБ-сообществе, активный его участник.

Будет плюсом, если вы:
- обладаете сертификатом CISSP/CISM.

Ссылка на вакансию
Yandex Jobs Site

Контакты: @ykalshina