#кибербезопасность
#аудит_ИБ
"93% кибер-лидеров считают, что в ближайшие два года в результате геополитической нестабильности во всем мире может произойти катастрофическое кибер-событие".

Давно не попадалось интересных статей, и вот - статья с массой полезных ссылок, цифр и тезисов об ИБ-персонале:
- чем чревато увольнение специалистов по кибербезопасности;
- о чем надо позаботиться заранее для управления рисками потери* ключевого персонала (полезно примерить, кстати и к аудиторам, и к рисковикам и к любым другим экспертным позициям, где нет больших бюджетов ФОТ, но высокий уровень ответственности и требований).

Какие вопросы предлагается задать, чтоб понять кого и как удерживать?
1. Какие именно навыки нам нужны?
2. Кто обладает критически важными навыками?
3. У кого уже есть потенциал?
4. Как развивать сотрудников?
5. Что с инвестициями в обучение, учатся ли люди нужным вещам?

#образовательнаясреда
#полезное
#кибербезопасность
#аудит_ИБ
Коллеги, отличная статья
"С чего начать выстраивать ИБ там, где ранее про нее ничего не знали", которая может лечь в основу программ проверки ИБ и в целом помочь сориентироваться в ключевых моментах тематики ИБ.

#штрафы
#кибербезопасность
#чужиеграбли
#аудит_ИБ
4,25 млн $ штрафа за управление рисками ИБ. Речь в статье о публичной компании OneMain Financial Group , занимающейся ипотечным кредитованием и обслуживанием кредитов.

Рекомендую к прочтению:
📌ряд замечаний, отмечался именно внутренними аудиторами;
📌главный посыл статьи - это уроки на будущее (повод взглянуть на свои программы/планы аудита ИБ);
📌материал изложен очень доступно, будет понятно даже без доп.квалификации по ИБ. Местами - забавно даже (про пароли), про подходы по поставщикам тоже понравилось.

Несмотря на недостатки в управлении ИБ, не идет речь непосредственно о нарушениях. Нет информации об утечках данных, что даже удивительно)
Так сказать - оштрафованы за саму контрольную среду и неэффективную практику кибербезопасности.

Третий - не лишний, а очень даже влияющий

Риски, связанные с взаимодействием с третьими сторонами - новая тема, которую я сейчас изучаю с разных сторон с большим интересом.

Если раньше на наши "третьи" стороны мы смотрели, в основном, в процессах управления закупками, то сейчас нюансов больше в разы.

Что может пойти не так: 7+ типов рисков / угроз / факторов, которые мы не можем не учитывать.

1. Контрагент не имеет достаточного опыта / ресурсов для исполнения договорных обязательств.

2. Поставщик оказался мошенник / недобросовесстный предприниматель/фирма-однодневка, который не исполнит свои  обязательства (по срокам, качеству, количеству и т.д.).

3. У третьей стороны проблемы с законом, например, с оплатой налогов. Бизнес, как и его владелец может быть арестован/товар изъят или задержан, а то и вовсе не приобретен. Сюда же риски, связанные с делами судебными и штрафами.

4. Наш партнёр может вести свой бизнес не этично (ESG вместе или каждая буква в отдельности)  /замешан в коррупционных скандалах/отмывочных/обнальных схемах и даже современных видах рабства и т.д. А зацепит нас..

5. Проблемы с кибербезопасностью у нашего контрагента могут напрямую влиять на нас и повлечь за собой серьёзные последствия, включая утечку перс./конфиденциальных данных. А далее уже к нашим компаниям - вопросы от регулятора.

6. Риски связанные с санкциями.

7. Концентрация нашего бизнеса на ключевых партнерах / зависимость от поставщика или партнера / обеспечение непрерывности деятельности.

"Бонусный" фактор - третьи стороны третьих сторон, которые могут влиять и на нас)))

Что предлагаю?
По аналогии с операционными рисками примерять на вашу ситуацию влияние, вероятность и оценивать эффективность управления этими рисками для каждого процесса, где это применимо.

Что почитать на эту тему: Из свежего, что можно нам взять на вооружение и адаптировать под себя - Руководство от Управления валютного контролера, Федеральной корпорации по страхованию депозитов и ФРС.

Руководство определяет в т.ч. жизненный цикл отношений с третьими сторонами:
- планирование
- проверка,
- обсуждение контракта,
- мониторинг и расторжение;
формирование и управление программой TPRM, включая контроль и документацию программы. Классно, что Руководство тоже подводит нас к риск-орентированному подходу и предлагает комплексный подход к выстраиванию такого взаимодействия.

Насколько для вас эта тема актуальна / интересна, какой из этих 7+ пунктов кажется самым влияющим и почему?
Что ещё я пропустила, но тоже может нам прилететь от третьих сторон? Если вы как-то для себя системно подошли к этому вопросу, поделитесь, пожалуйста.
#рискменеджмент #кибербезопасность
#полезное
#риски_третьих_сторон

#кибербезопасность
#исследования
#персональныеданные
#полезно #аудит_ИБ

Пусть сегодня у нас будет #цифроваясреда.

👉Коллеги поделились рекомендациями по кибербезопасности от Комитета по информационной безопасности МЦРИАП Казахстана.

Рекомендации простые, здравые и полезные, возможно, материал пригодится для разработки / пересмотра правил ИБ в своих компаниях или станут ещё одним поводом обсудить их с близкими.

👉Маргарита в своём канале подготовила обзор к рекомендациям Роскомнадзора РФ для операторов персональных данных.

Рекомендации подготовлены на основе реальных инцидентов компроментации баз данных, а значит есть шанс обойти чужие грабли)

Ну и для коллекции на эту тему:
👉 SEC выпустила новые правила, требующие от публичных компаний раскрывать больше информации о киберрисках, которым они подвергаются, и о конкретных кибератаках, которым они подвергаются. 
Из интересного:
- про возможность отсрочки по раскрытию информации для компаний;
- о "безлимите" времени для компаний на то, чтоб определить существенность атаки
- о сути раскрытия: акцент на раскрытии влияния, последствий таких инцидентов, а не на деталях их совершения.

Если что встречали из нового на эту тему, поделитесь, пожалуйста, в комментариях.

#кибербезопасность
#аудит_ИБ

Раз #цифроваясреда пропущена, пусть будет цифровой четверг))

В прошлый раз в подборке ИБ сферы была новость о выпуске новых правил от SEC по раскрытию информации компаниями об инцидентах.

А в этой статье - примеры того, как компании сейчас раскрывают (на самом деле нет) информацию о своих ИБ-инцидентах.

Чем полезна статья кроме примеров? - вопросами, которые поднимает автор о том, что осталось "за кулисами". Простые, практичные, дают подсказки на что можно обратить внимание.
Можно смело забирать в копилку для проверок ✏.

Делитесь, а что вы сегодня прочитали интересного под ☕ или в дороге 🚍?

📣Друзья, сегодня и завтра пройдет Eurasian Data Protection Congress 2023 (EDPC).

Формат: онлайн/оффлайн.
Язык: русский и английский.
Участие бесплатно.

В программе*:
✔Законное распространение персональных данных или как не быть обвиненным в утечке.
✔Защита персональных данных с точки зрения комплаенса.
✔Идентифицированный и анонимный: когда лицо становится идентифицированным, и что за свойство - идентифицируемость

и другие важные вопросы по этой теме.

*Полная программа по ссылке: https://edpc.network/

Сама трансляция будет проходить здесь: https://www.youtube.com/watch?v=634HYa205ak

#мероприятия
#compliance
#данные #цифроваясреда
#кибербезопасность

✏🗒Друзья, дополнение ещё одного события в ваш календарь на ноябрь:

2️⃣2️⃣ ноября
Profit Security Day 2023 — Конференция об информационной безопасности в Казахстане.
Бесплатно.

❗У них вроде всегда есть записи потом, поэтому рекомендую зарегистрироваться, даже если онлайн не сможете принять участие.

#мероприятия
#конференции
#кибербезопасность

Новое исследование от экспертов «Инфосистемы Джет»: Атаки инсайдеров: угроза внутри периметра.

🔢Несколько интересных / полезных цифр из отчета:
▶️43% компаний не принимают контрольных мер в отношении сотрудников из группы риска;
▶️в 63% случаев отсутствие возможности своевременного реагирования - причина успешной реализации действий инсайдера;
▶️в 70% компаний критичные недостатки в процессе управления доступами;
▶️25% компаний до увольнения контролируют все каналы передачи информации увольняющихся работников и блокируют потенциально опасную передачу.

Что ещё интересного в отчете о результатах исследования?
✔3 типа инсайдеров (инсайдеры по незнанию / нелояльные и откровенно зарабатывающие) и какие опасности исходят от каждого;
✔основные этапы инсайдерской цепочки Insider Kill Chain и чем они характеризуются;
✔какие меры технического и организационного характера могут быть приняты / принимаются для защиты на различных этапах:
✔заметание следов инсайдером: он может "наследить" ещё больше - на что обращать внимание;
✔несколько интересных кейсов, описание хода действий инсайдеров и многое другое.

Хороший повод выяснить - какая работа проводится в отношении потенциальных инсайдеров в ваших компаниях. Все ли они идентифицированы или о ком-то забыли? Держим ли мы руку на пульсе по увольняемым работникам?

✍Больше интересных исследований в канале и чате по тэгу #исследования, а тематические материалы и примеры кейсов по #кибербезопасность и #чужиеграбли

☕Для любителей почитать за чашечкой кофе

В продолжение 🔥 статьи от Александра о ценообразовании и скидках при определении сумм выкупов вымогателям от атакованных компаний предлагаю к прочтению статью о предлагаемом запрете платить вымогателям на международном уровне.
Идея статьи - пока есть вынужденный спрос - есть предложение. И такой запрет может подорвать "рентабельность бизнеса" вымогателей.

Но для этого нужна прям смелость, скорее всего, не каждая компания или даже страна пойдёт на такой шаг.
Это как - не платить  похитителям. Думаю, сильно будет зависеть, что на противоположной чаше весов. Для каких-то критичных сфер скорее всего не решатся🤷‍♀️.

#кибербезопасность
#вымогатели
#почитаем

👹11 видов мошенничества и афёр с помощью ИИ в инфографике

Первый пункт о суперреалистичных атаках от лица CEO - когда сотрудники получают клонированные видео и аудио инструкции и проводят электронные переводы средств со счетов компании.
А сегодня Дарья поделилась новостью уже с групповым дипфейком (видеоконференция).

Здесь же подделки документов высочайшего качества, романтические афёры, шантаж/вымогательство, имитация ситуаций с клонированием голосов детей 🤬 с целью выкупа, поддельные интернет-магазины, усовершенствование прежних видов скама.

#мошенничество
#кибербезопасность

#цифроваясреда
#кибербезопасность
Практичная статья о паролях, после прочтения которой сразу сильно хочется их везде поменять.

У кого андроид, пользуетесь "графическим" паролем? Для нас в статье есть статистика - каких подходов люди чаще всего придерживаются, когда их придумывают.
У меня частично совпало🤦‍♀️

Сегодня в очередной раз обсуждали с коллегами, какими темпами развиваются новые технологии.

И пока компании придумывают "антифрод-барьеры" мошенники вырываются вперёд.

Хорошая статья о дипфейках простыми словами от регулятора.
Я поделилась со своими родными - и вам рекомендую.

Предлагаю начать неделю с этой важной темы. Поддержите?

Может есть в закладках хорошие материалы на эту тему, поделитесь, пожалуйста 🙌 (в комментариях здесь же или приходите в чат)

#полезное #статья #кибербезопасность #мошенничество #дипфейк

🥁Гости и жители Астаны, не пропустите:
С 3 по 4 апреля в столице Казахстана пройдет форум Cyber and Digital Security.

Участникам предлагается:
▶️обсудить самые острые кейсы национальной и корпоративной кибербезопасности;
▶️получить понимание об использовании новых технологий в бизнесе, промышленности и органах власти;
▶️увидеть самые актуальные сценарии кибератак и способы их отражения;
▶️ознакомиться с новыми принципами безопасности инфраструктуры, увидеть воочию процесс работы со средствами киберрасследований, аналитики и киберразведки. 

Форум платный, есть 3 пакета, "базовый пакет" - по цене ☕️.

Регистрация по ссылке: https://cds-forum.kz/

#кибербезопасность
#мероприятия

Многолетняя история утечек персональных данных в Marriott: 52 млн.$ штрафа и план по устранению недостатков и внедрению корректирующих мер в статье под кружечку ☕️.

✍Обратите внимание на сам план улучшений - хорошо учиться на чужих ошибках/ убедиться, что у вас всё это уже внедрено и работает.
Самое время учесть в Плане/программах проверки на 2025.

Напомню, что по тэгу #чужиеграбли в канале можно найти истории о громких кейсах и огромных штрафах.
#кибербезопасность
#персональныеданные
#аудит_ИБ

⚠️Киберпреступность как сервис (Cybercrime-as-a-Service, CaaS)
⚠️Киберстратегии и усложнение/ новый масштаб киберугроз
⚠️Кибернеравенство
⚠️Кибербезопасность в контексте безопасности человека - о реальном риске для жизни людей, когда система подвергается атаке или взлому.
⚠️Регуляторика как один из ключевых факторов сложности
⚠️Риски третьих сторон и зависимость организаций от критически важных поставщиков
⚠️Роль CISA - расширение фокуса
И другие темы в новом отчете
«Global Cybersecurity Outlook 2025» от WEF

#кибербезопасность #исследования #ИБ #рекомендуюсообществу