🤖 GenAI в офисе: новая эффективность или бомба замедленного действия?
Что происходит, когда сотрудники массово используют ИИ без спроса — и почему это страшно для безопасности.
🚨 Проблема: ИИ везде, но вне контроля
Исследования Netskope показали:
➖ В среднем компания передаёт более 7,7 ГБ данных в GenAI-сервисы каждый месяц
➖ 75% сотрудников регулярно используют ИИ на работе
При этом большинство делает это без согласования с безопасностью. Это и есть "Shadow AI" — когда ИИ-инструменты используются "втихаря", без контроля, без шифрования, без защиты.
⚠️ Что может пойти не так?
💦 Утечки данных
Персональные или корпоративные данные могут улететь в открытые LLM — и останутся там навсегда.
👨💻 Использование личных аккаунтов
Почти 60% пользователей заходят в GenAI с личных устройств и без SSO.
Это значит — никакой централизации и мониторинга.
📖 Никаких инструкций и обучения
81% сотрудников никогда не обучались работе с GenAI
15% уже используют несанкционированные инструменты на постоянной основе
🚫 Почему просто запрет — не решение?
Блокировка ChatGPT и Copilot звучит как простое решение. Но если не объяснить “почему”, сотрудники найдут обходные пути. И риски только вырастут.
✅ Что делать?
➖ Разработать понятную политику по GenAI
➖ Ввести DLP-контроль и ограничения на ввод чувствительных данных
➖ Использовать корпоративные версии (например, ChatGPT Team или Copilot for M365)
➖ Проводить обучение с примерами: что можно, что нельзя, и почему
🧠 Вопросы, на которые должен знать ответ любой CISO
➖ Какие GenAI-инструменты используются у нас прямо сейчас?
➖ Какой объём данных сотрудники передают в них?
➖ Есть ли политика? А логирование?
➖ Кто будет отвечать, если данные "утекут" в запросе к ИИ?
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #GenAI #ShadowAI #DataLoss #CyberSecurity #LLM #DLP #EnterpriseAI #AIatWork #CISO
Что происходит, когда сотрудники массово используют ИИ без спроса — и почему это страшно для безопасности.
🚨 Проблема: ИИ везде, но вне контроля
Исследования Netskope показали:
При этом большинство делает это без согласования с безопасностью. Это и есть "Shadow AI" — когда ИИ-инструменты используются "втихаря", без контроля, без шифрования, без защиты.
⚠️ Что может пойти не так?
💦 Утечки данных
Персональные или корпоративные данные могут улететь в открытые LLM — и останутся там навсегда.
Почти 60% пользователей заходят в GenAI с личных устройств и без SSO.
Это значит — никакой централизации и мониторинга.
📖 Никаких инструкций и обучения
81% сотрудников никогда не обучались работе с GenAI
15% уже используют несанкционированные инструменты на постоянной основе
🚫 Почему просто запрет — не решение?
Блокировка ChatGPT и Copilot звучит как простое решение. Но если не объяснить “почему”, сотрудники найдут обходные пути. И риски только вырастут.
✅ Что делать?
🧠 Вопросы, на которые должен знать ответ любой CISO
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #GenAI #ShadowAI #DataLoss #CyberSecurity #LLM #DLP #EnterpriseAI #AIatWork #CISO
Please open Telegram to view this post
VIEW IN TELEGRAM
🚨 Эпоха украденных личностей: почему «идентичность» становится новой целью преступников
👤 Когда-то логина и пароля было достаточно.
Сегодня этого не хватает даже для детского форума.
Исследование Osterman Research показало: 72% компаний фиксируют рост атак, связанных с кражей и подделкой цифровых идентичностей.
Хакеры больше не ломают периметр, они становятся сотрудниками.
💥 Дело в цифрах:
💰 В 2025 году в Бразилии хакеры заплатили какие-то $2,760 за доступ к корпоративным учёткам и украли $140 млн.
🧑💼 Каждый 10-й сотрудник Fortune 500 за последние три года «засветил» свои пароли в утечках.
🧠 19,8% компаний отмечают резкий рост атак с использованием ИИ для персонализированного фишинга.
🤖 На одного человека в корпоративной сети приходится 50 машинных аккаунтов, 40% из них не имеют владельца.
🔥 Почти 80% компаний не видят, что делают их сервисные учётки.
🕳️ Main Problem
Более ¾ организаций не имеют полной видимости того,
кто и как использует учётные данные, какие MFA-факторы применяются и где «гуляют» токены доступа.
Это значит, что атака может начаться с одного украденного пароля
и незаметно разрастись в шифровальщик по всей инфраструктуре.
🦾 От IAM к Identity Security
Старый добрый IAM (Identity and Access Management) проверяет, кто ты.
Но Identity Security идёт дальше, он защищает личность.
Три столпа новой парадигмы:
1⃣ Governance - автоматическое выравнивание прав доступа.
2⃣ Visibility - полная картина всех пользователей и машинных аккаунтов.
3⃣ Autonomous Remediation - самовосстановление: система блокирует украденный аккаунт до того, как злоумышленник войдёт.
🚧 Ручные процессы, как тупик
Опрос показал:
🔧 Главный барьер для защиты - это отсутствие автоматизации.
Большинство компаний тратит бюджет не на новые решения, а на «ручные расследования».
Результат ➡️ время реакции измеряется сутками, а не секундами.
📈 Куда движется рынок
Через два года компании планируют увеличить приоритет Identity Security-функций с 47% до 68%.
Особенно быстро растёт интерес к:
- автоматической проверке корректности прав доступа (+62%),
- offboarding-процессам (+58%),
- обнаружению "машинных" идентичностей (+55%).
⚙️ Технологии, которые становятся must-have
➖ ITDR (Identity Threat Detection & Response) ловит подозрительные действия с учётками.
➖ CIEM управляет облачными правами доступа.
➖ IGA автоматизирует создание, изменение и удаление аккаунтов.
➖ MFA нового поколения без паролей, с биометрией и ключами.
➖ Backup Entra ID и Okta для отката после компрометации.
🔗 Источник: https://resources.enzoic.com/strengthening-identity-security/
Stay secure and read SecureTechTalks 📚
#IdentitySecurity #CyberSecurity #IAM #ZeroTrust #MFA #AIThreats #DataProtection #DarkWeb #CISO #SecureTechTalks
👤 Когда-то логина и пароля было достаточно.
Сегодня этого не хватает даже для детского форума.
Исследование Osterman Research показало: 72% компаний фиксируют рост атак, связанных с кражей и подделкой цифровых идентичностей.
Хакеры больше не ломают периметр, они становятся сотрудниками.
💥 Дело в цифрах:
💰 В 2025 году в Бразилии хакеры заплатили какие-то $2,760 за доступ к корпоративным учёткам и украли $140 млн.
🧑💼 Каждый 10-й сотрудник Fortune 500 за последние три года «засветил» свои пароли в утечках.
🧠 19,8% компаний отмечают резкий рост атак с использованием ИИ для персонализированного фишинга.
🤖 На одного человека в корпоративной сети приходится 50 машинных аккаунтов, 40% из них не имеют владельца.
🔥 Почти 80% компаний не видят, что делают их сервисные учётки.
🕳️ Main Problem
Более ¾ организаций не имеют полной видимости того,
кто и как использует учётные данные, какие MFA-факторы применяются и где «гуляют» токены доступа.
Это значит, что атака может начаться с одного украденного пароля
и незаметно разрастись в шифровальщик по всей инфраструктуре.
🦾 От IAM к Identity Security
Старый добрый IAM (Identity and Access Management) проверяет, кто ты.
Но Identity Security идёт дальше, он защищает личность.
Три столпа новой парадигмы:
1⃣ Governance - автоматическое выравнивание прав доступа.
2⃣ Visibility - полная картина всех пользователей и машинных аккаунтов.
3⃣ Autonomous Remediation - самовосстановление: система блокирует украденный аккаунт до того, как злоумышленник войдёт.
🚧 Ручные процессы, как тупик
Опрос показал:
🔧 Главный барьер для защиты - это отсутствие автоматизации.
Большинство компаний тратит бюджет не на новые решения, а на «ручные расследования».
Результат ➡️ время реакции измеряется сутками, а не секундами.
📈 Куда движется рынок
Через два года компании планируют увеличить приоритет Identity Security-функций с 47% до 68%.
Особенно быстро растёт интерес к:
- автоматической проверке корректности прав доступа (+62%),
- offboarding-процессам (+58%),
- обнаружению "машинных" идентичностей (+55%).
⚙️ Технологии, которые становятся must-have
🔗 Источник: https://resources.enzoic.com/strengthening-identity-security/
Stay secure and read SecureTechTalks 📚
#IdentitySecurity #CyberSecurity #IAM #ZeroTrust #MFA #AIThreats #DataProtection #DarkWeb #CISO #SecureTechTalks
Please open Telegram to view this post
VIEW IN TELEGRAM
🤖💣 [Эксперименты]: ИИ против пентестеров
Что будет, если выпустить автономный AI-агент в настоящий enterprise-контур и сравнить его с живыми профессиональными пентестерами?
Не CTF или лаборатории, а реальная прод-сеть на ~8 000 хостов.
🔬 Само исследование
Команда из Stanford и CMU впервые сравнила:
👨💻 10 опытных пентестеров
🤖 несколько автономных AI-агентов
🏫 живую университетскую инфраструктуру
- 12 подсетей, VPN, Kerberos
- Linux, Windows, IoT, embedded
- IDS, EDR, патчи, реальные пользователи
Результаты фиксировались, проверялись и реально закрывались IT-службой.
🧠 ARTEMIS не «LLM с nmap»
В качестве агента использовался ARTEMIS: мультиагентный red-team-фреймворк.
Он состоит из:
🧑✈️ supervisor-агента (планирует атаку)
🐝 роя субагентов (работают параллельно)
🧪 триаж-модуля (проверка и классификация багов)
🧠 долгоживущей памяти и динамических промптов
Важно: ARTEMIS лишь организует работу моделей.
📊 Результат
ARTEMIS:
🥈 2-е место в общем рейтинге
🚨 обогнал 9 из 10 живых пентестеров
🔍 нашёл 9 валидных уязвимостей
✅ 82% находок реальные баги
Другие агенты (Codex, CyAgent, MAPTA) либо показали слабый результат, либо вообще не справились.
👉 Выиграла не модель.
👉 Выиграла архитектура агента.
⚔️ Люди vs ИИ: в чём разница
👨💻 Люди
- сильны в GUI и браузерах
- полагаются на опыт и «чутьё»
- не умеют атаковать параллельно
🤖 ARTEMIS
- атакует десятки целей одновременно
- не устаёт и не забывает
- уверенно работает в CLI
Забавный момент:
люди не смогли открыть старый iDRAC из-за TLS, а ARTEMIS просто использовал curl -k и получил доступ.
⚠️ Ограничения ИИ
- больше false positive
- плохо работает с GUI
- иногда «рано сдаёт работу», не докручивая цепочку до RCE
Однако кажется, что временные проблемы агентов.
💰 Самая неприятная часть
👨💻 пентестер в США: ~$125 000/год
🤖 ARTEMIS (GPT-5):$18/час ($37 000/год)
ИИ уже сейчас в 3–4 раза дешевле человека.
🧠 Главный вывод
А значит, такие агенты будут у атакующих. Защитникам нужно учиться думать как AI-red team.
🔗 Исходники ARTEMIS уже выложены: 👉 https://github.com/Stanford-Trinity/ARTEMIS
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #AIsecurity #Pentest #RedTeam #CyberSecurity #AIagents #OffensiveSecurity #CISO #AppSec #Infosec
Что будет, если выпустить автономный AI-агент в настоящий enterprise-контур и сравнить его с живыми профессиональными пентестерами?
Не CTF или лаборатории, а реальная прод-сеть на ~8 000 хостов.
🔬 Само исследование
Команда из Stanford и CMU впервые сравнила:
👨💻 10 опытных пентестеров
🤖 несколько автономных AI-агентов
🏫 живую университетскую инфраструктуру
- 12 подсетей, VPN, Kerberos
- Linux, Windows, IoT, embedded
- IDS, EDR, патчи, реальные пользователи
Результаты фиксировались, проверялись и реально закрывались IT-службой.
🧠 ARTEMIS не «LLM с nmap»
В качестве агента использовался ARTEMIS: мультиагентный red-team-фреймворк.
Он состоит из:
🧑✈️ supervisor-агента (планирует атаку)
🐝 роя субагентов (работают параллельно)
🧪 триаж-модуля (проверка и классификация багов)
🧠 долгоживущей памяти и динамических промптов
Важно: ARTEMIS лишь организует работу моделей.
📊 Результат
ARTEMIS:
🥈 2-е место в общем рейтинге
🚨 обогнал 9 из 10 живых пентестеров
🔍 нашёл 9 валидных уязвимостей
✅ 82% находок реальные баги
Другие агенты (Codex, CyAgent, MAPTA) либо показали слабый результат, либо вообще не справились.
👉 Выиграла не модель.
👉 Выиграла архитектура агента.
⚔️ Люди vs ИИ: в чём разница
👨💻 Люди
- сильны в GUI и браузерах
- полагаются на опыт и «чутьё»
- не умеют атаковать параллельно
🤖 ARTEMIS
- атакует десятки целей одновременно
- не устаёт и не забывает
- уверенно работает в CLI
Забавный момент:
люди не смогли открыть старый iDRAC из-за TLS, а ARTEMIS просто использовал curl -k и получил доступ.
⚠️ Ограничения ИИ
- больше false positive
- плохо работает с GUI
- иногда «рано сдаёт работу», не докручивая цепочку до RCE
Однако кажется, что временные проблемы агентов.
💰 Самая неприятная часть
👨💻 пентестер в США: ~$125 000/год
🤖 ARTEMIS (GPT-5):
ИИ уже сейчас в 3–4 раза дешевле человека.
🧠 Главный вывод
ИИ делает атаки масштабируемыми.
А значит, такие агенты будут у атакующих. Защитникам нужно учиться думать как AI-red team.
🔗 Исходники ARTEMIS уже выложены: 👉 https://github.com/Stanford-Trinity/ARTEMIS
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #AIsecurity #Pentest #RedTeam #CyberSecurity #AIagents #OffensiveSecurity #CISO #AppSec #Infosec
🧠 CISO Assistant: open-source инструмент для тех, кто управляет ИБ, а не просто тушит пожары
В кибербезопасности есть странный перекос, мы отлично умеем искать уязвимости, формировать алерты и писать отчёты об инцидентах. Но как только разговор заходит о рисках, приоритетах и реальном состоянии ИБ-программы, всё внезапно возвращается к Excel и презентациям.
CISO Assistant - это попытка улучшить именно эту часть ИБ через системное управление рисками, контролем и требованиями.
Проект развивается как open-source Community Edition и ориентирован прежде всего на CISO, security-менеджеров и GRC-специалистов. То есть на тех, кто отвечает не только за технику, но и за целостную картину безопасности.
💡 В чём идея
Ключевая идея продукта банальна, но редко реализуется на практике:
👉 Риски, требования и контроль должны быть связаны между собой.
В жизни мы обычно видим обратную картину:
📁 ISO живёт в одном файле,
📊 риски в другом,
📝 аудит в третьем,
🛡сценарии реагирования «где-то еще».
По факту все это должно быть обьединено в логической цепочке:
⚠️ риск → 📜 требования → 🛡 контроли → 📈 статус и доказательства.
Именно вокруг этой логики и построена платформа.
⚙️ Что на практике?
CISO Assistant - это веб-приложение с чёткой моделью данных.
Фреймворки вроде ISO/IEC 27001, NIST CSF или CIS Controls представлены, как «живые» объекты.
Их можно:
✏️ адаптировать под свою организацию,
➖ отключать нерелевантные требования,
👀 сразу видеть, что реально внедрено, а что существует только формально.
Риски здесь тоже не абстрактные. Для каждого риска можно описать источник угрозы, связать его с активами, оценить вероятность и влияние, а главное, привязать конкретные контроли.
📊 В результате становится видно, какие риски реально снижаются, какие приняты осознанно, а какие просто зависли без владельца.
Контроль - отдельная сильная сторона: полноценный объект со статусом внедрения, ответственным, историей изменений и доказательствами. Такой подход заметно упрощает внутренние аудиты и самооценку.
⏳ А нужно ли это все?
Современные руководители ИБ управляют сложными системами. CISO Assistant помогает навести порядок: связать требования, риски и реальные меры в одну понятную картину, которую можно объяснить не только ИБ-специалисту, но и бизнесу.
Да, «AI-магии» здесь нет, и кнопки «сделай безопасно» тоже.
Зато есть прозрачность, контроль и возможность доработки под собственные процессы.
🧨 Пара слов в конце
Данный продукт - это редкий пример open-source инструмента, который работает не на уровне алертов, а на уровне смыслов.
Он не ловит атаки, не заменяет SOC, не реагирует на инциденты.
При этом он помогает: понять, где вы действительно защищены, какие риски реальны, а где безопасность существует только в отчётах.
🔗 GitHub:
https://github.com/intuitem/ciso-assistant-community
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CISO #GRC #RiskManagement #CyberSecurity #Infosec #ISO27001 #SecurityManagement #OpenSource
В кибербезопасности есть странный перекос, мы отлично умеем искать уязвимости, формировать алерты и писать отчёты об инцидентах. Но как только разговор заходит о рисках, приоритетах и реальном состоянии ИБ-программы, всё внезапно возвращается к Excel и презентациям.
CISO Assistant - это попытка улучшить именно эту часть ИБ через системное управление рисками, контролем и требованиями.
Проект развивается как open-source Community Edition и ориентирован прежде всего на CISO, security-менеджеров и GRC-специалистов. То есть на тех, кто отвечает не только за технику, но и за целостную картину безопасности.
💡 В чём идея
Ключевая идея продукта банальна, но редко реализуется на практике:
👉 Риски, требования и контроль должны быть связаны между собой.
В жизни мы обычно видим обратную картину:
📁 ISO живёт в одном файле,
📊 риски в другом,
📝 аудит в третьем,
🛡сценарии реагирования «где-то еще».
По факту все это должно быть обьединено в логической цепочке:
⚠️ риск → 📜 требования → 🛡 контроли → 📈 статус и доказательства.
Именно вокруг этой логики и построена платформа.
⚙️ Что на практике?
CISO Assistant - это веб-приложение с чёткой моделью данных.
Фреймворки вроде ISO/IEC 27001, NIST CSF или CIS Controls представлены, как «живые» объекты.
Их можно:
✏️ адаптировать под свою организацию,
➖ отключать нерелевантные требования,
👀 сразу видеть, что реально внедрено, а что существует только формально.
Риски здесь тоже не абстрактные. Для каждого риска можно описать источник угрозы, связать его с активами, оценить вероятность и влияние, а главное, привязать конкретные контроли.
📊 В результате становится видно, какие риски реально снижаются, какие приняты осознанно, а какие просто зависли без владельца.
Контроль - отдельная сильная сторона: полноценный объект со статусом внедрения, ответственным, историей изменений и доказательствами. Такой подход заметно упрощает внутренние аудиты и самооценку.
⏳ А нужно ли это все?
Современные руководители ИБ управляют сложными системами. CISO Assistant помогает навести порядок: связать требования, риски и реальные меры в одну понятную картину, которую можно объяснить не только ИБ-специалисту, но и бизнесу.
Да, «AI-магии» здесь нет, и кнопки «сделай безопасно» тоже.
Зато есть прозрачность, контроль и возможность доработки под собственные процессы.
🧨 Пара слов в конце
Данный продукт - это редкий пример open-source инструмента, который работает не на уровне алертов, а на уровне смыслов.
Он не ловит атаки, не заменяет SOC, не реагирует на инциденты.
При этом он помогает: понять, где вы действительно защищены, какие риски реальны, а где безопасность существует только в отчётах.
🔗 GitHub:
https://github.com/intuitem/ciso-assistant-community
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CISO #GRC #RiskManagement #CyberSecurity #Infosec #ISO27001 #SecurityManagement #OpenSource
❤1
🔐 Экзамен по кибербезопасности, который не сможет сдать ChatGPT
Представьте, вы аналитик в виртуальной компании. Офис, переговорка, серверная.Значит где-то внутри уже зреет инцидент😁.
⏱ У вас есть час, чтобы:
- найти реальные риски;
- сопоставить фреймворки;
- переписать политику безопасности.
Если ошибётесь, то инфраструктура компании «упадет».
Вот такое научное исследование было представлено на ISSOTL 2025. На наш взгляд это один из самых любопытных экспериментов в обучении ИБ за последнее время.
🎮 Escape room вместо лекций
Авторы из UNSW превратили дата-гавернанс и политики безопасности в игру Escape room (помните такие?).
🔹 Governance обычно выглядит как набор политик, абстрактных
рисков, сложных
фреймворков. Типовое обучение превращается в заучивание правил и патернов или прохождение тестов с помощью ИИ.
Escape room пытается сломать эту модель. В игре нельзя заранее «знать правильно». В ней нужно думать, выбирать и отвечать за решения.
Как говорят исследователи:
🧠 Как устроен квест?
Игра представляет собой виртуальный офис компании, разбитый на три зоны.
Каждая - это уникальный уровень мышления.
🧩 Зона 1. Risk Maze
Вы исследуете офис и находите точки риска:
- процессы
- управленческие решения
- организационные слабости
Каждый риск нужно:
✔ распознать
✔ оценить
✔ решить — критичен он или нет
Очень быстро становится понятно, что риск это не чекбокс, а контекст.
📚 Зона 2. Framework Matching
NIST, ISO 27001, GDPR
Нужно:
- сопоставлять контроли и стандарты
- видеть пересечения
понимать, почему этот контроль здесь уместен
Фреймворки впервые выглядят не как таблицы, а как инструменты принятия решений.
📝 Зона 3. Policy Drafting
Финал. На основе:
- выявленных рисков
- выбранных стандартов
- нужно переработать политику безопасности.
💡 Система в реальном времени подсвечивает:
- пробелы
- противоречия
- несоответствие рискам
Это почти рабочий день GRC-специалиста.
📊 Реакция студентов
Оценка студентов оказалась неожиданно высокой:
📈 71% показали максимальный уровень вовлечённости
🔥 100% оценили формат: интереснее лекций
⚖️ Сложность «в самый раз», без фрустрации
Студенты начали мыслить
как специалисты, а не как люди, сдающие экзамен.
🔍 Зачем это всё?
Мы живём в момент, когда:
🤖 эссе пишет ИИ
🧠 тесты угадываются
📄 политики копируются
🎓 диплом всё чаще ≠ компетенция
Новые подходы к обучению, типо Escape room возвращают мышление, ответственность и контекст.
Если бы governance так преподавали бы раньше, то
у нас было бы меньше «бумажной безопасности»
и больше реально работающих систем.
🔗 Полезные ссылки
📄 Исследование (arXiv):
👉 https://arxiv.org/abs/2601.10852
🎮 Публичной версии игры пока нет
(это учебный проект UNSW),
но сама архитектура и сценарии подробно описаны в статье.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #CyberGovernance #GRC #Gamification #InfosecEducation #AIandEducation #CISO #PolicySecurity
Представьте, вы аналитик в виртуальной компании. Офис, переговорка, серверная.
⏱ У вас есть час, чтобы:
- найти реальные риски;
- сопоставить фреймворки;
- переписать политику безопасности.
Если ошибётесь, то инфраструктура компании «упадет».
Вот такое научное исследование было представлено на ISSOTL 2025. На наш взгляд это один из самых любопытных экспериментов в обучении ИБ за последнее время.
🎮 Escape room вместо лекций
Авторы из UNSW превратили дата-гавернанс и политики безопасности в игру Escape room (помните такие?).
🔹 Governance обычно выглядит как набор политик, абстрактных
рисков, сложных
фреймворков. Типовое обучение превращается в заучивание правил и патернов или прохождение тестов с помощью ИИ.
Escape room пытается сломать эту модель. В игре нельзя заранее «знать правильно». В ней нужно думать, выбирать и отвечать за решения.
Как говорят исследователи:
формат устойчив к генеративному ИИ
🧠 Как устроен квест?
Игра представляет собой виртуальный офис компании, разбитый на три зоны.
Каждая - это уникальный уровень мышления.
🧩 Зона 1. Risk Maze
Вы исследуете офис и находите точки риска:
- процессы
- управленческие решения
- организационные слабости
Каждый риск нужно:
✔ распознать
✔ оценить
✔ решить — критичен он или нет
Очень быстро становится понятно, что риск это не чекбокс, а контекст.
📚 Зона 2. Framework Matching
NIST, ISO 27001, GDPR
Нужно:
- сопоставлять контроли и стандарты
- видеть пересечения
понимать, почему этот контроль здесь уместен
Фреймворки впервые выглядят не как таблицы, а как инструменты принятия решений.
📝 Зона 3. Policy Drafting
Финал. На основе:
- выявленных рисков
- выбранных стандартов
- нужно переработать политику безопасности.
💡 Система в реальном времени подсвечивает:
- пробелы
- противоречия
- несоответствие рискам
Это почти рабочий день GRC-специалиста.
📊 Реакция студентов
Оценка студентов оказалась неожиданно высокой:
📈 71% показали максимальный уровень вовлечённости
🔥 100% оценили формат: интереснее лекций
⚖️ Сложность «в самый раз», без фрустрации
Студенты начали мыслить
как специалисты, а не как люди, сдающие экзамен.
🔍 Зачем это всё?
Мы живём в момент, когда:
🤖 эссе пишет ИИ
🧠 тесты угадываются
📄 политики копируются
🎓 диплом всё чаще ≠ компетенция
Новые подходы к обучению, типо Escape room возвращают мышление, ответственность и контекст.
Если бы governance так преподавали бы раньше, то
у нас было бы меньше «бумажной безопасности»
и больше реально работающих систем.
🔗 Полезные ссылки
📄 Исследование (arXiv):
👉 https://arxiv.org/abs/2601.10852
🎮 Публичной версии игры пока нет
(это учебный проект UNSW),
но сама архитектура и сценарии подробно описаны в статье.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #CyberGovernance #GRC #Gamification #InfosecEducation #AIandEducation #CISO #PolicySecurity
👍1