Опубликован сводный план проверок субъектов предпринимательства на 2019 год.
Надо вводить инн, огрн и капчу.
http://plan.genproc.gov.ru/plan2019/

Минздрав США выпустил руководство по кибербезопасности для мед. организаций. Некоторые эксперты видят существенный недостаток, что оно не риск-ориентировано.

HHS releases cyber guides for healthcare orgs -- FCW
https://fcw.com/articles/2019/01/02/hhs-cyber-johnson.aspx?m=1

Если не ошибаюсь, то на soc-forum Виталий Сергеевич Лютиков обозначил сектор телекома как условно отстающий в части категоризации КИИ.

CenturyLink outage takes down several 911 emergency services across the US | ZDNet
https://www.zdnet.com/article/centurylink-outage-takes-down-several-911-emergency-services-across-the-us/

Факты о продлении мандата всеевропейского ФСТЭК -ENISA после 2020 года и грядущей всеевропейской сертификации СЗИ.

1.Пишут, что сертификации сама по себе добровольная, но требования по её наличию могут быть установлены законодательно. Как думаете, как скоро она станет обязательной для GDPR?

2.Приведены существующие системы сертификации в ЕС: CPA, CSPN, BSPA, SOG-IS MRA.

ENISAFactsheetA4201709181955pdf.pdf

Что характерно база уязвимостей NVD продолжает работать и не включена в шатдаун.

Опубликован проект ГОСТ Р

"Защита информации. Разработка безопасного программного обеспечения. Угрозы безопасности информации при разработке программного обеспечения"

https://fstec.ru/tk-362/standarty-tk362/303-proekty/1758-gost-r-2

Хороший пример массового набора специалистов с привязкой к NIST NICE.
https://t.co/BcD1GgxIZ9

За нарушение gdpr госпиталь в Португалии оштрафовали на 400000 евро.
https://twitter.com/3dwave/status/1082358446199050240?s=09

Some facts considered proven by the CNPD:

There was no document containing the correspondence between the functional competences of the users and the profiles for access to the information (including to clinical information).

There was also no document defining the rules for creating users of the hospital's information system.

Nine technical employees enjoyed the level of access reserved for the medical group, which resulted in the indiscriminate possibility of such employees consulting the clinical processes of all hospital users.

Existence of access credentials which allowed any doctor, regardless of his/her specialty, to access at any time the data of the clients of a hospital. This was considered as violating the principle of "need to know" and the principle of "minimization of data." 

There were 985 users associated with the profile "doctor," but in the official hospital human resources charts there are only 296 doctors in that hospital.

Maintenance of useless profiles for doctors who no longer provide services to the hospital.

There were only 18 user accounts that were inactive and the last one was deactivated in November 2016.

The defendant acted in a free and voluntary way and consciously knowing that its acts are prohibited by law.

Хороший обзор того что делает Siemens и ее партнеры по кибербезопасности. Показывает уровень зрелости вендора, а также тенденции рынка industrial cybersecurity и его участников

Долгосрочные исследования Siemens по кибербезопасности
- Self-securing systems design;
- Security validation for digital twin;
- Next-generation patching;
- Security for cooperative, autonomous systems;
- Post-quantum cryptography
- Homomorphic encryption
- Automated forensics and malware analysis;
- Secure, cloud-based, real-time control; and
- Supply-chain security.

Сервисы компании TÜV изначально специализировавшейся на сервисах промышленной безопасности
- Digital footprint of an entity;
- Automated and manual red teaming
- Device fingerprinting based on AI;
- OSINT-based digital reputation;
- Intelligence-led penetration testing;
- Critical asset identification; and
- Top management risk reports

https://www.controlglobal.com/industrynews/2019/siemens-partners-strive-for-security/

Учитывая, что siemens в топ-20 по вложениям в r&d, шансы очень неплохие, что исследования закончатся значимым итогом.

Компании - мировые лидеры по затратам на НИОКР в 2018 году. В лидеры выбился Samsung. Излишне говорить, что в Топ-50 российских компаний нет

В США запустили информационную кампанию по порьбе с целевыми атаками. Кампания ориентирована на частный сектор.

Интересна сводная статистика по целевым атакам за 2018 год.
КНР: 45 компаний и ФОИВ.
Иран: более чем 144 университета.

Материалы предназначены для борьбы со следующими угрозами исходящими от:
1. Цепочка поставок.
2. Спиарфишинг.
3.социальные медиа и ложные новости.
4. Зарубежные путешествия.

National Counterintelligence and Security Center Launches Campaign to Help Private Industry Guard Against Threats from Nation State Actors
https://www.dni.gov/index.php/ncsc-newsroom/item/1938-national-counterintelligence-and-security-center-launches-campaign-to-help-private-industry-guard-against-threats-from-nation-state-actors

Сами материалы кампании размещены здесь:

NCSC Awareness Materials
https://www.dni.gov/index.php/ncsc-how-we-work/ncsc-know-the-risk-raise-your-shield/ncsc-awareness-materials

Tech skills in most demand this year: data, cloud and cybersecurity | ZDNet
https://www.zdnet.com/article/tech-skills-in-the-most-demand-this-year-data-cloud-and-cybersecurity/

"In terms of cybersecurity, Foote indicates "that 12 of the 25 top-paying certifications are related to information/cybersecurity. Almost every job in tech now requires security awareness and basic know-how." 

Пентагон решил определить этические принципы использования ИИ в вооружении.

Pentagon Seeks a List of Ethical Principles for Using AI in War - Defense One
https://www.defenseone.com/technology/2019/01/pentagon-seeks-list-ethical-principles-using-ai-war/153940/

Блиц-обзор новостей по ИБ за прошедшие праздники https://t.co/XzUQextYM5
— Alexey Lukatsky (@alukatsky) January 9, 2019

MS подвез новых патчей для критических уязвимостей.
Обратите внимание:
CVE-2019-0547 is a memory corruption vulnerability in the Windows DHCP client that exists when an attacker sends specially crafted DHCP responses to a client. An attacker could gain the ability to run arbitrary code on the client machine if they successfully exploit this vulnerability

https://vulners.com/talosblog/TALOSBLOG:7E9E33CAB0FFF41F91CB12E204945F7F