Software Architecture and Design InfoQ Trends Report - April 2023
https://www.infoq.com/articles/architecture-trends-2023/

Three new items were added to the graph this year. Large language models and software supply chain security are new innovator trends, and "architecture as a team sport" was added under early adopters.

"when designing cloud architectures there is a need to think from the start about data collection, storage, and security, so that later on we can derive value from it, including the use of AI/ML.” "

Instead of compiling it to a Docker container and then needing to spin up an entire system inside that container on your orchestrator, you compile it to WebAssembly and that allows the container to be much more lightweight. It has security baked in because it's meant to run the browser. And it can run anywhere–in any cloud, or on any CPU, for that matter. – Eran Stiller

Кстати если хотите быть на шаг впереди вашей разработки можете начать погружение в вопросы безопасности WebAssembly. Через 2-5 лет эта технология может стать мейнстримом.

Мы очень рады анонсировать нашу конференцию!

БЕКОН - техническая конференция по БЕзопасности КОНтейнеров и контейнерных сред

Дата и место: 7 июня 2023 года в Москве

Целевая аудитория: Архитекторы, Инфраструктурные и платформенные команды, DevOps/DevSecOps, ИБ департаменты.

В программе 10 докладов, покрывающих практически все области безопасности контейнеров. Все доклады отбирал лично - так что за качество ручаюсь ;)
Постепенно опубликуем весь список + также могут появиться дополнительные активности.

Если вам понравится БЕКОН, то продолжим его готовить дальше вместе и с аппетитом применять полученные знания в работе!

P.S. Обратите внимание что зал небольшой - билетов совсем не много!

P.S.S. С автором названия связались и все подарки будут переданы лично =)

В след за Kubernetes threat matrix компания Microsoft выпустила DevOps threat matrix.

Похожую матрицу делали исследователи в работе "Attacking and Securing CI/CD Pipeline", так что если вам тема интересна - рекомендуем освежить в голове и эту работу 2021 года.

Банк России опубликовал стандарт обеспечения безопасности финансовых сервисов с использованием технологии цифровых отпечатков устройств. Он устанавливает для банков единые правила формирования, хранения и применения уникальных цифровых отпечатков устройств — набора параметров, позволяющих однозначно идентифицировать устройство пользователя, с помощью которого совершаются банковские и другие финансовые операции, пояснили в ЦБ. За счет стандартизации алгоритма сбора цифровых отпечатков устройств финансовые институты смогут эффективнее противодействовать операциям без согласия клиентов, считает регулятор. Вместе с тем стандарт носит рекомендательный характер.
Полный текст стандарта тут.
Напомним, что для МФО уже действует стандарт, предотвращающий мошенничество при удаленном обслуживании, где одна из рекомендаций — верификация принадлежности устройства.

Панель CISO-Forum #cf23

1. Спикеры отмечают важность коммуникаций с бизнесом и полезность встраивания метрик бизнеса в процессы ИБ.

2. Важный элемент пользоваться имеющимися комитетами и органами управления для разделения и делегирования ответственности.

3. Алексей Лукацкий напомнил про судебные дела 2 CISO в США , твиттера и убера .

4. Указали на возможный способ снижения риска по судебным делам DLP - сбор заявлений работников на контроль коммуникаций на вредоносное ПО.

5. Отмечают важность дополнения пентестов и аудитов внешними и внутренними програмами багбаунти.

6. Поделились практикой добавления в команду пентеста руководителя внутреннего SOC для попытки обхода средств контроля.

7.вызвал дискуссию вопрос стоит ли начинать с багбаунти построение ИБ. нашли плюсы в обоих походах.

8. Крайне важно сделать безопасность частью продукта и вовлечь разработчиков в процессы безопасной разработки.

9. Отметили неактуальность периметровых и "колпаковых" подходов. Необходимо строить эфемерные, имутабельные, распределенные системы. (выступление на конференции RSA представителя Citi). Пример Kubernetes - патчить образа, а не всю систему в целом. Zero trust другой пример такого подхода.

10. Во время ковида Ciso стали пить вина на 20 процентов больше 😉

#cf23

Минцифры отметило риск утечки информации через сервисы virustotal.
Обратили внимание на Российскую инициативу аналогичную - Мультисканер.

https://virustest.gov.ru/
#cf23

На секции по ФЗ-152 обсудили проблему отнесения различных ситуаций к утечке.

В том числе угрозы публикации утекших данных и опубликованных в анонимных каналах. Пришли к выводу о необходимости брать за основу положения ФЗ-152 в части определения случаев необходимости увеломления. угроза подкреплённая сканом паспорта скорее всего - утечка.

Отметили риски принятия текущих законопроектов:
1. в части проекта статей УК - будут проблемы с подбором DPO.

2. В части смягчения ответственности оборотных штрафов за счёт прохождения аудитов - прогнозируется всплеск интереса к услугам аудита.

#cf23

Важное соотношение по мнению ciso hh.ru
#cf23

Подходы к методологии архитектуры ИБ от VK.
#cf23

#cf23 #Лукацкий