ISACARuSec – Telegram
ISACARuSec
2.27K subscribers
1.74K photos
13 videos
299 files
5.6K links
Канал направления ИБ Московского отделения ISACA

Направление канала новости ISACA, новости в области управления ИБ в России и мире, обмен лучшими практиками.

https://engage.isaca.org/moscow/home

Связь с администрацией
@popepiusXIII
Download Telegram
FAIR Institute, известный своим стандартом количественной оценки рисков FAIR и разных методик и стандартов на его основе, выпустил новый стандарт - FAIR Materiality Assessment Model (FAIR-MAM), задача которого, в стиле MITRE ATT&CK, описать различные формы потерь/ущерба от инцидентов ИБ (параметр "Loss Magnitude" в стандарте FAIR).💰Все потери делятся на 10 крупных блоков (прерывание бизнеса, мошенничество, ущерб репутации и т.п.), а так как это открытая модель, то она может быть адаптирована под любую организацию, которая еще не дозрела до недопустимых событий, но при этом ее уже не устраивает светофор при оценке рисков и хочется некой количественной оценки.
А потом, из FAIR-MAM могут получаться вот такие отчеты с финансовой оценкой ущерба
Forwarded from AlexRedSec
Между делом Cyentia Institute выпустил уже девятое исследование на тему приоритезации устранения уязвимостей и, в целом, по сложным вопросам управления уязвимостями.

В последнем отчете понравилось сравнение различных стратегий устранения уязвимостей по критериям покрытия и эффективности как в случае использования по отдельности, так и в случаях комбинирования методов (и источников информации).

Все выпуски отчетов серии "Prioritization to Prediction" можно почитать тут.
Forwarded from AlexRedSec
Вдогонку тому, что половину бюджета CISO тратят на инструменты класса IAM, не менее интересная информация о ТОП-10 инструментов, на которые ежегодно тратятся CISO.
Как видно, IAM действительно популярен последние два года, а вот endpoint-решениями видимо все уже закупились🙂
p.s. Информация из отчета "Cybersecurity Perspectives 2023".
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Yandex Cloud
😱 Как атаки на цепочку поставок способны угрожать проекту и что поможет его защитить

В нашем блоге на Хабре Руслан Качмазов, стажер-инженер Yandex Cloud Security, вместе с выпускниками Школы информационной безопасности Яндекса 2023 года рассказывает о методах защиты с опорой на методологию SLSA.

В статье мы говорим о возможностях и ограничениях инструментов проекта Sigstore, которые снижают риск таких атак, и рассказываем о том, как эти возможности можно использовать в Yandex Cloud.

❗️ Материал полезен для команд разработки, которые хотят обезопасить себя от атак на цепочки поставок при работе с проектами, имеющими множество внешних зависимостей.

Читайте подробнее по ссылке.

#yacloud_articles
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
Forwarded from BESSEC
J.Wolff Cyberinsurance Policy.pdf
11.5 MB
#book на отпуск

Cyberinsurance Policy — исследование о рынке киберстрахования. В книге рассмотрено, как зародилась эта отрасль, в чем отличия по сравнению с привычными областями. Роль государственных регуляторов в развитии киберстрахования — не только на примере США, но и некоторых других стран.

Говорят, что хорошее чтиво про ИБ с точки зрения бизнеса. Почитаем, потом на Россию еще посмотрим))

#riskassessment #cyberrisk
Forwarded from BESSEC
0_All_Checklists_RU.pdf
738.3 KB
👀 увидел у Андрея Прозорова, такое надо распространять. Чек-листы по ИБ от Carnegie Endowment for International Peace. На русском!

#bestpractices
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
Forwarded from DevSecOps Talks
LogLicker: анонимизация журналов событий

Всем привет!

Бывает, что нужно отправить кому-нибудь log-файл. Например, производителю какого-либо решения, партнеру, в-еще-один-telegram-чат... И не всегда хочется делиться полной информацией, а «затереть» что-то, что не влияет на суть, но может быть конфиденциальным.

Если похожие мысли посещали и Вас, то рекомендуем обратить внимание на проект LogLicker. Он был разработан для анонимизации журналов событий AWS CloudTrail, но можно научить работать с иными журналами.

Он умеет:
🍭 Идентифицировать чувствительную информацию в логах (привет, regexp! 😊)
🍭 Заменять чувствительную информацию в логах на нечто схожее, но не имеющее сути
🍭 Собирать данные о «заменах», чтобы можно было все вернуть в исходное состояние

Управляется все при помощи замены регулярных выражений на те, что нужны Вам. Подробнее про утилиту можно прочесть на GitHub и в этой статье.
👍2
Вариант архитектуры ssdlc от dzen.ru #offzone
Вариант ssdlc для мобильных приложений от Свордфиш #offzone
Подходы к Бизнес партнерам по безопасности у Райффайзен #offzone
👍1
👍3