Трансляция эфира начнётся через час ⏳

Напоминаем, что тема обсуждения: Образование и кадры. Как решить кадровый вопрос в ИБ?

Приглашаем всех 🙌🏼

Проблемы информационной безопасности касаются каждого.

Особенно программистов. И сейчас расскажем почему 👇

Программы редко пишутся с нуля. Обычно они основаны на уже готовых компонентах с применением Open Source (свободно распространяемого ПО). В последнее время злоумышленники всё чаще внедряют в эти компоненты зловредное ПО, и уже появились новости о сразу двух типах кибератак на цепочки поставок Open Source.

Киберпреступники вмешались в процесс получения обновлений компонентов и снабдили их зловредными программами, которые прошли мимо ничего не подозревающих разработчиков и нарушили безопасность сервисов.

Решением, которое позволяет выявить подобные проблемы и вовремя их устранить, может стать применение специальных инструментов проверки безопасности кода. И скоро мы расскажем об одном из них подробнее 😏

Можно ли измерить безопасность в разработке продукта?

Да, можно. Причём вариантов, что замерять, немало:
🔹 количество обнаруженных уязвимостей в коде;
🔹 уязвимости в «проде» – работающем продукте;
🔹 время на устранение уязвимости в коде.

Наиболее зрелые компании внедряют программы Security Champions и повышают осведомлённость своих разработчиков в вопросах безопасности, а потом измеряют эффективность своих программ обучения.

Все неравнодушные к безопасности компании-разработчики что-то и как-то меряют. Но что именно и как – остаётся вопросом.

На скриншоте выше мы приоткрываем завесу, а за ней… 🥁 панель управления платформы безопасной разработки – то самое решение, про которое мы обещали рассказать в прошлом посте.

У платформы есть несколько существенных плюсов:
+ она наглядно показывает разработчикам насколько эффективна безопасность;
+ помогает сократить time-to-market безопасного продукта;
+ позволяет оценить риски использования сторонних опенсорс-компонентов в цикле разработки.

Ключевые метрики безопасной разработки обсудим в отдельном посте, а пока запоминаем аббревиатуру: ASOC.

Ритейл занял третье место по количеству кибератак в первом полугодии 2023 года по данным аналитиков МТС RED. Ежемесячно на розничную торговлю приходилось в среднем >500 атак – на 70% больше, чем за аналогичный период прошлого года.

Почему так происходит?
Цифровизация бизнеса, использование Big Data и другие новшества помогают не только развивать бизнес, но и дают киберприступникам больше возможностей для атак.

Какие могут быть последствия кибератак для ритейла:
• утечка данных;
• финансовые потери (остановка продаж, штрафы со стороны регуляторов);
• нарушение бизнес-процессов;
• репутационные риски.

Как защититься?
В ритейле очень часто атаки реализуются через взлом системы одного из контрагентов. Поэтому для защиты своего бизнеса важно:
• мониторить цепочку поставок;
• проверять историю инцидентов контрагентов;
• оценить их систему защиты и то, как они обрабатывают ваши данные и данные ваших клиентов.

Есть много причин посетить конференцию OFFZONE, например, доклад про безопасность serverless-приложений + некоторые особенности, связанные с этой темой.

🎙Спикер: Игорь Гребенец – эксперт по безопасной разработке МТС RED, занимается автоматизацией практик AppSec и анализом защищённости разрабатываемых продуктов.

⏰ 25 августа | 14:00-14:30 | Track 2

OFFZONE – это место, где собираются безопасники, разработчики, инженеры, исследователи, преподаватели и студенты. В центре внимания — только хардкорный технический контент по кибербезопасности.

Банки традиционно являются излюбленной целью мошенников. Причем рискам подвергаются как сами банки, так и их клиенты.

В первом полугодии 2023 года банки заняли третье место по доле критичных инцидентов от общего объёма кибератак, по данным МТС RED. Более половины таких инцидентов составляют нарушения политик информационной безопасности банков. А недавно ЦБ РФ сообщил, что во 2 квартале банки отразили >6,5 млн атак на счета клиентов.

Цифровизация банковских инструментов подтолкнула киберпреступников к поиску уязвимостей, которые можно будет использовать для проникновения. Злоумышленники внедряют вредоносное ПО, рассылают фишинговые письма и используют другие способы взлома. А ИИ помогает автоматизировать такие действия и упрощает создание фишинговых писем.

Как защититься банкам?
• вести безопасную разработку банковского ПО;
• обучать персонал киберграмотности;
• хранить ценную информацию в зашифрованном виде;
• обеспечить безопасность своей цепочки поставок (например, обращать внимание на состояние защищенности своих партнеров и проверять на уязвимости сторонние компоненты разработки).

Разумеется, рекомендаций и способов защиты сильно больше. И чтобы выстроить надежный периметр защиты, потребуется более глубокая и индивидуальная проработка запроса.