AppSec Pipeline: как построить централизованный безопасный процесс разработки и интегрировать проверки в РБПО

🗓 3 декабря в 12:00 (МСК)
➡️ Регистрация

Разрозненные инструменты, ручные проверки, позднее выявление уязвимостей и формальный подход к требованиям РБПО делают разработку менее предсказуемой: растут риски, доработки становятся дороже, а доверие к процессу со стороны ИБ и бизнеса снижается.

На практическом вебинаре разберем, как организовать AppSec Pipeline, встроить автоматизированные проверки в текущий цикл разработки и снизить риски, не замедляя DevOps.

Вы узнаете:
*️⃣Как построить AppSec Pipeline на базе GitLab CI в процессе, ориентированном на разработчиков
*️⃣Как работает Security Gate и как связать автоматические проверки в единую цепочку через систему Digital Design
*️⃣Как организовать Jobs: параллельные проверки, артефакты, условия запуска
*️⃣Как использовать шаблоны, контейнеры и кастомные GitLab CI templates для унификации
*️⃣Как уменьшить количество ложных срабатываний и сформировать качественные фидбэк-циклы

Вебинар будет полезен:
*️⃣Специалистам и исследователям в области кибербезопасности
*️⃣Руководителям и специалистам по AppSec/ DevSecOps
*️⃣Руководителям разработки/ разработчикам
*️⃣Директорам и экспертам по цифровой трансформации

Спикер:
— Иван Мыськив, начальник отдела Центра информационной безопасности компании «Диджитал Дизайн»

Комплексная диагностика текущего состояния ИБ #опытэкспертов

Делимся опытом Георгия Руденко, CISO крупного банка и автора Telegram-канала "Кибербез & Бизнес"

Один из ключевых этапов при построении стратегии информационной безопасности — понять, где вы находитесь сейчас (состояние AS IS).

Для этого нужно выполнить следующие шаги:

*️⃣Определить всех стейкхолдеров, понять их отношение к ИБ и собрать ожидания. В предыдущем посте уже обсуждался анализ ожиданий руководства (как часть этого шага).

*️⃣Провести интервью с сотрудниками своей команды. Выяснить, как развивались основные процессы, какие есть проблемы, как принимаются решения.

*️⃣Оценить текущий уровень зрелости процессов ИБ. Для этого удобно использовать известные стандарты (например, от NIST, ISO). Главное — не упустить важные направления/домены и выявить все крупные «серые зоны».

*️⃣Проанализировать ИТ-процессы: насколько хорошо ведётся учёт активов, как работает управление изменениями, насколько развиты другие инженерные практики.

*️⃣Изучить внутренние документы и требования законодательства, относящиеся к вашему бизнесу. Например, обработка персональных данных есть у всех, а вот объекты КИИ нет.

*️⃣Провести практический анализ защищённости. Лучше с привлечением внешних подрядчиков — это позволит получить свежий взгляд на слабые места (в дополнение к самоанализу).

*️⃣Проанализировать, какие инструменты ИБ сейчас используются — составить карту средств защиты и понять, насколько они покрывают ваши потребности.

*️⃣Изучить исторические инциденты, замечания аудитов и других проверок (если есть такая информация).

*️⃣Понять, как работает сам бизнес, как дела в операционной деятельности и какая общая стратегия развития.

*️⃣Оценить внешнюю среду: какие угрозы, тренды и риски актуальны для вашей отрасли и компании.

Обычно такая диагностика занимает 3–6 месяцев (в зависимости от размера организации).

⏩Action point:

Выдерживайте сроки проведения данного этапа и не закапывайтесь в технических деталях, на этом этапе намного важнее комплексность проводимого анализа.

Даже после проведения очень качественной диагностики и завершения формирования стратегии ИБ, через год потребуется делать очень много обновлений. Это связано с тем, что по мере реализации инициатив стратегии будут возникать новые нюансы, которые невозможно выявить до старта начала работы над задачами.

Когда на календаре 30 ноября, и мы отмечаем День матери, проведите пентест.
Цель - система "Мама".

Провели? Наверняка, вы уже наблюдаете аномальную активность:

CVE-MOM-2024-SLEEP: Уязвимость в модуле отдыха. Эксплойт: бессонница, поверхностный сон.
CVE-MOM-2024-STRESS: Утечка данных в подсистеме эмоций. Индикатор компрометации (IoC): постоянная тревога, раздражительность.
CVE-MOM-2024-BOUNDARIES: Bypass механизма личных границ. Результат: эмоциональное выгорание.

Угроза: Полномасштабный Advanced Persistent Stress (APS), ведущий к сбоям в критической инфраструктуре - ее здоровье.

Традиционные меры защиты (цветы, конфеты) - это как поставить фаервол с правилом ANY-ANY-ACCEPT. Проблему не решают.

Что делать?

Ольга Поздняк, продюсер проекта Код ИБ:

У меня есть для вас решение - мой новый сервис коротких медитаций на все случаи жизни Код СЧАСТЬЯ, который я создала со своим ментором.
Это WAF для мозга и система обнаружения вторжений в ментальное пространство 🔥

Техническое описание решения 👇

Не эзотерика, а апдейт прошивки:
Короткие аудиосессии - это сигнатуры для саморегулирующейся биологической системы. Они запускают парасимпатический отдел нервной системы (штатный incident response), подавляя процессы, связанные со стрессом (кортизол, адреналин).

Протокол взаимодействия:
listen-and-respond. Интерфейс "укажи и слушай". Zero configuration required. Мама справится.

Функционал:
Антиэксплойт: Сессии "Эмоциональный карантин" и "Сброс сессии сна" блокируют вышеописанные CVE.

Патч-менеджер:
Ежедневные 15-минутные апдейты повышают устойчивость системы к новым угрозам.

Threat Intelligence:
Практики учат мозг распознавать и блокировать внутренние DDoS-атаки (тревожные мысли) до их эскалации.

👉 Подарить спокойствие маме

P.S. Не забудьте и про маму ваших детей, которую тоже стоит поздравить в День матери и подарить ей подписку на сервис Код СЧАСТЬЯ. Этим вы:

- Повышаете безопасность периметра всей семейной сети.
- Устанавливаете NGFW следующего поколения против эмоционального заражения.
- Патчите уязвимости в системе воспитания, предотвращая передачу усталости и раздражительности по цепочке Admin -> User.

👉 Пропатчить критическое звено в цепи безопасности семейной экосистемы 😄

P.P.S. Актуально и для вашей системы.
Вам знакомо состояние SOC Fatigue или Alert Fatigue?
Медитация Обретение спокойствия - это ваш hard reset после 12-часовой смены на передовой.
Это не про расслабление. Это про повышение отказоустойчивости вашей собственной операционной системы 💪

👉 Не забыть повысить свою отказоустойчивость 👌

AppSec Pipeline: как построить централизованный безопасный процесс разработки и интегрировать проверки в РБПО

🗓 Завтра в 12:00 (МСК)
➡️ Регистрация

Разрозненные инструменты, ручные проверки, позднее выявление уязвимостей и формальный подход к требованиям РБПО делают разработку менее предсказуемой: растут риски, доработки становятся дороже, а доверие к процессу со стороны ИБ и бизнеса снижается.

На практическом вебинаре разберем, как организовать AppSec Pipeline, встроить автоматизированные проверки в текущий цикл разработки и снизить риски, не замедляя DevOps.

Вы узнаете:
*️⃣Как построить AppSec Pipeline на базе GitLab CI в процессе, ориентированном на разработчиков
*️⃣Как работает Security Gate и как связать автоматические проверки в единую цепочку через систему Digital Design
*️⃣Как организовать Jobs: параллельные проверки, артефакты, условия запуска
*️⃣Как использовать шаблоны, контейнеры и кастомные GitLab CI templates для унификации
*️⃣Как уменьшить количество ложных срабатываний и сформировать качественные фидбэк-циклы

Вебинар будет полезен:
*️⃣Специалистам и исследователям в области кибербезопасности
*️⃣Руководителям и специалистам по AppSec/ DevSecOps
*️⃣Руководителям разработки/ разработчикам
*️⃣Директорам и экспертам по цифровой трансформации

Спикер:
— Иван Мыськив, начальник отдела Центра информационной безопасности компании «Диджитал Дизайн»

Главная аналитическая конференция по кибербезопасности Код ИБ ИТОГИ стартует уже в этот четверг! ❄️

Более 50 экспертов по ИБ разберут ключевые события года, представят свежую аналитику и озвучат прогнозы на будущее. Опытом поделятся практики из ведущих компаний: VK, Яндекс, СберТех, Билайн, Газпромбанк, СОГАЗ, Почта России и др.

В программе 3 дискуссии (CISO говорят, БОССЫ кибербеза говорят, Стартапы говорят), 6 тематических сессий, посвященных защите данных, инфраструктуре, анализу защищенности, безопасной разработке, процессам и культуре безопасности в целом.

Когда: 4 декабря | Начало в 9:30
Где: Москва, Palmira Business Club

Участие бесплатное для руководителей и специалистов по ИБ и ИТ.

💬 Подробная программа на сайте.

Регистрируйтесь, если еще не успели, и обязательно присоединяйтесь!

КиберДень стартует сегодня в 12:00 (МСК). Не пропустите 😉

На вебинаре вы узнаете:
*️⃣Как построить AppSec Pipeline на базе GitLab CI в процессе, ориентированном на разработчиков
*️⃣Как работает Security Gate и как связать автоматические проверки в единую цепочку через систему Digital Design
*️⃣Как организовать Jobs: параллельные проверки, артефакты, условия запуска
*️⃣Как использовать шаблоны, контейнеры и кастомные GitLab CI templates для унификации
*️⃣Как уменьшить количество ложных срабатываний и сформировать качественные фидбэк-циклы

Для участия необходима регистрация

Терминал под контролем: защита от саботажа и утечек

🗓 10 декабря в 12:00 (МСК)
➡️ Регистрация

Терминалы ввода команд — один из самых мощных инструментов администрирования и одновременно источник критических рисков.

На вебинаре разберем, как контролировать действия привилегированных пользователей, предотвращать саботаж и утечки данных, а также выявлять аномалии до того, как они приведут к инциденту.

Что обсудим:
• Контроль действий пользователей в терминале
• Выявление неправомерных команд и скриптов
• Отслеживание изменений прав доступа
• Реакция на редактирование конфиденциальных файлов
• Анализ действий администраторов и поиск аномалий
• Ранжирование рисков по уровню угрозы

Спикер:
Максим Чеплиев — менеджер продукта Staffcop (входит в экосистему Контур)

🥷 Интенсив: «Безопасность умного дома. SOC для IoT*»

*IoT - интернет вещей (Internet of Things)

Спикер - 🌑 Shadow, специалист в области информационной безопасности

👥 Этот интенсив предназначен для тех, кто:
- уже использует IoT-устройства в быту (камеры, колонки, замки, датчики, бытовая техника и тд),
- понимает риски, но не знает, как их системно минимизировать,
- хочет перейти от «кажется, всё в порядке» к контролируемой защите.

🛡 Что вы получите:
- Системное представление об архитектуре умного дома: от протоколов связи (Wi-Fi, Zigbee, Z-Wave) до облачных API и локальных шлюзов.
- Готовый чек-лист по защите домашней IoT-инфраструктуры — от выбора устройств до настройки сетевой сегментации.
- Практические навыки:
- настройка роутера (WPA3, отключение WPS, гостевая сеть),
- управление учётными данными и 2FA,
- базовая инвентаризация и мониторинг трафика.
- Введение в IDS на примере Suricata: как обнаруживать аномалии и следы компрометации в домашней сети.

📌Программа

Модуль 1. Архитектура и угрозы
- Умный дом как единая экосистема: точки взаимодействия и зоны ответственности.
- Модели угроз: ботнеты, сканирование, MITM, социальная инженерия, компрометация через облако.
- Анализ реальных инцидентов: Mirai, уязвимости в популярных IoT-устройствах, ошибки в проектировании безопасности.

Модуль 2. Защита и мониторинг
- Принцип «защиты в глубину» для бытовых условий.
- Пошаговая настройка защищённой сетевой среды: сегментация, фильтрация, управление прошивками.
- Операционная гигиена: обновления, учёт устройств, отключение ненужных сервисов.
- Введение в систему обнаружения вторжений: базовая конфигурация Suricata, примеры правил, признаки атаки.
- Чек-лист финальной проверки и план реагирования на инцидент.

📚 Формат и материалы
- Даты проведения: 13 и 14 декабря 2025
- Две лекции по 2 академических часа (онлайн, с записью).
- После курса вы получите:
- PDF-чек-лист «Безопасность умного дома»,
- Полная презентация для повторного изучения.
- Видео запись лекций
- Сертификат участника

🟢 Регистрация


#кибербезопасность #умныйдом #IoT #цифроваягигиена #информационнаябезопасность #сетеваязащита

#ИтогиКода2025 🎄
Проект Код ИБ

Конец года - самое время подвести итоги, оценить, что было сделано, и порадоваться успехам.

И мы запускам наш традиционный проект Итоги Кода, где поделимся итогами игроков отрасли.

А перед тем, как представить итоги наших любимых партнеров - поделимся своими. Нам кажется, что мы отлично поработали в этом году 🔥 Посудите сами 👇

В 2025 году мы:

1️⃣ Отметили 20-летие проекта Код ИБ. Придумали легенду с Хранителями камней кибербеза и весь год дарили нашим участникам и партнерам камни кибербеза, заряженные энергией мест проведения наших проектов.

2️⃣ Получили образовательную лицензию и теперь можем выдавать нашим участникам удостоверения установленного образца о повышении квалификации.

3️⃣ Запустили новый формат КиберДень, с демонстрацией конкретных продуктов российских вендоров.

4️⃣ Подружились с Узтелеком и совместными силами провели международную конференцию Код ИБ в Ташкенте.

5️⃣ Побили свой рекорд по регистрациям в Ташкенте (492) и Москве (479).

6️⃣ Провели:
11 конференций Код ИБ
2 Код ИБ ПРОФИ (на Кавказе и в Сочи)
17 КиберДней
9 эфиров ток-шоу Безопасная среда
4 конференции для клиентов

7️⃣ Спродюсировали и совместно с ГосНИИ ГА успешно провели конференцию Авиакод в Москве.

8️⃣ По версии участников стали самыми душевными и гостеприимными организаторами из всех, кто проводит мероприятия по ИБ ❤️

9️⃣ Открыли Музей кота и наполняем его из города в город котиками, которых нам дарят наши участники.

1️⃣0️⃣ Завели отдельный офис для нашего босса - Ольги Поздняк.

С каждым годом наш проект Код ИБ растет, и вокруг него крепнет настоящая семья, которая дарит нам невероятные эмоции от теплого общения и понимание, что мы делаем такое большое дело в рамках не только страны, но и, не побоюсь этого слова, мира ❤️

— Ольга Поздняк
Продюсер проекта Код

А чем вам запомнился в этом году наш проект?
Оставляйте ответы под каждым постом рубрики #ИтогиКода2025, а мы разыграем ценные призы среди самых активных комментаторов👇🏻