Вчера, на конференции "Защита данных. Сохранить все" я вел секцию, в которой выступала Анастасия Гайнетдинова, IT Security Analyst компании Whoosh. Она рассказывала о 4-х типичных направлениях, которые часто забывают при защите данных:
🔤 Ошибки при разработке ПО, среди которых, среди прочего, жестко зашитые креды в коде, что приводит к утечкам информации и иным нарушениям в защите данных.
🔤 По версии НКЦКИ атаки на подрядчиков являются одной из популярных проблем с ИБ в России последний год. Об этом же, но в контексте проверок контрагентов, говорила и Анастасия.
🔤 Бумажная безопасность и документационное обеспечение. Плейбуки, задокументированные триггеры, регламенты... Все это помогает в кризисные моменты четко следовать процедуре, а не бегать и кричать "А-а-а-а-а" в поисках решения.
🔤 "Нас не заденет". Вопрос стоит не "столкнемся мы с инцидентом с данными или нет", а "когда столкнемся". Поэтому стоит быть к нему готовым заранее.

Надеюсь, скоро выложат запись нашей секции (а этот зал точно записывался) и тогда вы сможете самостоятельно посмотреть выступления и Глеба, и Анастасии, и мое.

Второе выступление у меня в секции было от Глеба Марченко, руководителя направления по защите данных Тинькофф с обзором того, что делает банк в этом направлении. Очень интересное было выступление, презентацию которого я прикладываю. Больше всего мне понравилась часть с рассказом про разработанный инструмент Hound, который позволяет сканировать различные источники информации (Postgress, GreenPlum, Cassandra, Oracle, ClickHouse, Hadoop) и за счет ML, регулярок, метаданных и т.п. искать различные чувствительные данные - персональные, секреты, ссылки на соцсети, названия юрлиц, IMSI, IMEI, IP и т.п.

Если вспоминать кривую хайпа Гартнера с технологиями защиты данных, то тема классификации там не достигла даже пика неоправданных ожиданий, не говоря уже о дне и тем более плато. А тут банк самостоятельно разрабатывает такое решение, сам размечает данные, сам обучает модели ML и активно его использует, автоматизируя очень непростую задачу, от которой зависит на самом деле весь процесс защиты информации (если ты не знаешь, где у тебя объект защиты, то как ты можешь его защищать?). Я недавно видел какой-то стартап, который применяет LLM для классификации и поиска защищаемых данных, а тут мы имеем прекрасный пример самостоятельной разработки. Детали по Hound, а также иным подходам к защите данных в Тинькофф, в презентации ниже 👇

Художники защищаются от ИИ

Раз на законодательном уровне использование авторских материалов для обучения искусственного интеллекта пока не запрещается, художники решили взять дело в свои руки. Уникальный по своей сути инструмент Nightshade помогает иллюстраторам защитить свои работы от использования в целях обучения моделей ИИ.

Инструмент добавляет пиксели в изображение таким образом, что картинка не распознаётся моделями вроде DALL-E, Midjourney и Stable Diffusion. С помощью таких пикселей можно даже убедить ИИ, что собака, изображенная на картинке — это кошка. В итоге, использование «испорченных» Nightshade картинок искажает распознавание объектов.

Любопытно, что Nightshade — как и многие модели генеративного ИИ — продукт с открытым исходным кодом.

Nightshade пригодится художникам, которые хотят выставлять свои работы в интернет, но не желают, чтобы их интеллектуальная собственность использовалась в массивах данных для обучения ИИ. Пиксели, которые добавляет в изображение Nightshade, незаметны человеческому глазу — зато доставляют много неприятностей ИИ-моделям, приводя к сбоям в распознавании.

На картинке — результат работы Nightshade⤴️ Отравленные им изображения скармливали Stable Diffusion. В итоге нейросеть верила, что машина — это корова, сумка — тостер, шляпа — торт.

Такой саботаж в перспективе может серьёзно замедлить прогресс в генерации изображений, поскольку технологическим компаниям придётся кропотливо находить и удалять каждый поврежденный образец.

В теории, если производители ИИ-моделей не смогут придумать пути обхода, им придётся платить художникам за использование контента. Уж лучше купить проверенную базу, чем испортить всю модель «отравленными» материалами для обучения.

Треки развития карьеры в ИБ:
- аналитик SOC;
- администратор СЗИ;
- инженер по безопасности приложений;
- пентестер;
- реверсер.

👉 Обновил навигацию на схеме: https://dfedorov.spb.ru/edu/

☄️ Развенчание мифов кибербезопасности от Gartner

В сентябре в Лондоне прошел трехдневный саммит Gartner Security & Risk Management Summit 2023. Вступительная презентация Gartner была посвящена мифам, укоренившимся в кибербезе:

🔥 Первый миф: «больше данных – лучше защита»
Вместо того, чтобы собирать огромный объем данных, проводить сложные расчеты вероятности киберсобытий, лучше использовать подход минимальной эффективной аналитики. Для этого предлагается использовать показатели, ориентированные на результат (ODM), связывающие операционные показатели и риски ИБ с бизнес-задачами, которые они поддерживают

🔥 Второй миф: «больше технологий – лучше защита»
Предлагается использовать минимально эффективный набор инструментов ИБ, что должно позволить повысить уровень контроля за архитектурой ИБ, упростить ее и снизить риск несовместимости используемых решений. Для поддержания простоты и совместимости Gartner предлагает смотреть в сторону «ячеистой архитектуры кибербезопасности» (CSMA)

🔥 Третий миф: «чем больше специалистов ИБ в штате, тем лучше»
Предлагается спускать меры ИБ для реализации на уровни ИТ, например на уровень бизнес-аналитиков, чтобы снизить нагрузку на ИБ-специалистов и не нанимать новых специалистов. По мнению Gartner ИБ часто является «бутылочным горлышком» при цифровой трансформации и вместо того, чтобы тормозить процесс «так как только профессионалы в ИБ скажут как надо делать» и пытаться найти экспертов нужно идти в сторону демократизации экспертных знаний

🔥 Четвёртый миф: «больше контроля – лучше защита»
Добавление новых контролей ИБ часто приводит к обратным результатам. ИБ не должно стать препятствием в достижении бизнес-целей, дополнительные меры контроля и удобство пользователей должны быть сбалансированы. И вообще «средства контроля, которые обходятся, хуже, чем их полное отсутствие.»

А что думаете вы?
#gartner

🤔 Точно знаете, что хотите работать в IT, но не можете выбрать направление? Уже решили, что работа вашей мечты — специалист по кибербезопасносности, но не знаете, с чего начать? Просто хотите больше узнать о мире информационной безопасности?

Слушайте открытую лекцию Алексея Лукацкого, бизнес-консультанта по ИБ Positive Technologies, «Кибербезопасность — направление для профессий будущего» 31 октября в 19:00. Регистрируйтесь заранее и смотрите онлайн.

Алексей расскажет:

😎 Что такое кибербезопасность и почему профессия, связанная с защитой информации, всегда была и останется актуальной.

😱 С какими вызовами приходится сталкиваться таким специалистам и как они могут помешать появлению растений-убийц.

😲 Как работают современные кибермошенники: от взлома АЭС до весьма своеобразных методов взлома биометрии и социальной инженерии.

Собираемся и сами слушать лекцию, хотя уже и не студенты, и вам советуем 👍

Присоединяйтесь!

@Positive_Technologies
#PositiveЭксперты