Блог Сергея Борисова про ИБ

Почти на каждом вебинаре встречаются вопросы про сферу действия 683-П, 684-П, 672-П, 382-П (старого и нового). Подготовил немного инфографики по этому поводу : Область действия Положений по типам организаций Область действия Положений по типам защищаемой информации Область действия Положений по типам объектов, для которых необходимо обеспечить уровень защиты по ГОСТ 57580.1 и проводить оценку соответствия по ГОСТ 57580.2 Область действия Положений по типам объектов, для которых необходимо проводить тестирование на проникновение Область действия Положений по типам ПО, для которых необходимо проводить сертификацию или анализ уязвимостей по ОУД 4 И добавлю подборку с примерами организаций, на которые распространяются требования Положений. Финансовые организации : Кредитные организации системно значимые КО значимые на рынке пл...

Совместно с компаний УЦСБ провели уже два вебинара по безопасности финансовых организаций. В рамках подготовки к вебинару собрал наиболее интересные вопросы из разъяснений и информационных сообщений Банка России по вопросам применения НПА, связанных с информационной безопасностью.   Туда же добавил интересные ответы на вопросы с вебинаров.   Получился хороший такой FAQ , примерно на 50 вопросов, с ссылкой на источники. Вынес FAQ на отдельную страничку – пользуйтесь. Также будут пополнения по мере проведения остальных вебинаров – есть смысл добавить в закладки. Планируем ещё задать ещё серию вопросов в ЦБ РФ. Коллеги, можете добавить свой вопрос в общий пакет. Кстати, следующий вебинар по теме «Анализ уязвимостей по требованиям к ОУД4» состоятся уже в среду – 29.04.2020 в 11.00. Эксклюзив. Такой анализ нужен всем, а материалов по нему фактически нет. Успевайте зарегистрироваться . PS : Ну и в целом, сделал небольшой редизайн в блоге.   Мне тако...

В текущих условиях, когда все очные мероприятия отменены, хорошей возможность поучится и обсудить насущные вопросы дают вебинары. Подавляющее большинство их сейчас посвящено удаленному доступу, а по другим темам почти ничего нет. Поэтому мы с УЦСБ решили запустить новый большой сезон экспертных вебинаров, посвященный безопасности финансовых организаций - много новых требований, мероприятий, много вопросов по их выполнению. Уже вышел первый вводный вебинар для некредитных ФО: В следующую среду, 22.04.2020 в 11.00 пройдет второй вводный вебинар, для кредитных ФО. Обсудим требования 683-П, 672-П, 382-П, системы на которые они распространяются, информационные сообщения и разъяснения ЦБ РФ и поговорим про рекомендуемую дорожную карту мероприятий, с учетом всех этих документов. Успевайте зарегистрироваться тут . Следующие вебинары серии будут посвящены: анализу уязвимостей по ОУД 4 внедрению ГОСТ 57580.1 аудиту по ГОСТ 57580.2 тестированию на проникновение в ФО криптогр...

Мероприятия / соревнования мирового уровня традиционно привлекают к себе особое не только внимание общественности и зрителей, но и киберпреступников и злоумышленников всех мастей. Как во время проведения зимних олимпийских игр 2014 в г. Сочи было зафиксировано большое количество кибератак, так и во время проведения Чемпионата мира по футболу 2018 стоит ожидать повышения интенсивности атак на инфраструктуру и все связанные с ЧМ сервисы. Видимо в связи с этим ФинЦЕРТ Банка России недавно опубликовал рекомендации по безопасности во время проведения Чемпионата мира по футболу 2018. Рекомендации даются по 4 направлениям : ·          Для граждан по безопасному использованиюбанкоматов и терминалов ·          Для магазинов и организаций сферы услуг позащите POS-терминалов икассовых решений ·          Для банков по защите банкоматов ·     ...

16 ноября принял участие в довольно интересном мероприятии SOC - Forum 2.0 посвященном практике противодействия кибератакам и построению центров мониторинга ИБ. Для такого практического мероприятия удивительно много было докладов со стороны регуляторов – ФСБ России, ФСТЭК России, ЦБ РФ (большая часть которых кстати пришла с практическим опытом построения центров мониторинга ИБ) на которых я и хочу остановится в данной статье. ФСБ России участвовали в пленарной дискуссии, а также 2 них было 2 доклада (Алексей Новиков и Владислав Гончаренко) на секции посвященной информированию об инцидентах: ·          ( о целях ) Организациям по отдельности сложно успешно противостоять организованным группам и сообществу киберпреступников, а значит необходимо объединять усилия ИБ – делится информацией, передавать информацию об атаках и инцидентах в центры мониторинга, а в ответ получать от них рекомендации по защите ·      ...

На 20-22 сентября выставке InfoSecurity Russia 2016 Дмитрий Николаевич Шевцов из ФСТЭК России рассказал о планируемых изменениях в 149-ФЗ в части информирования ФСТЭК России и ФСБ России о компьютерных инцидентах. У меня сразу же возникли вопросы: как, кого и о чем необходимо будет информировать. Обязательно или добровольно? К сожалению, во время доклада никаких подробностей по этой теме не прозвучало. Давайте проведем самостоятельный анализ и попробуем определить, как оно может быть. Текст законопроекта, о котором говорил Дмитрий Шевцов доступен по ссылке . Он уже прошел общественные обсуждения и антикоррупционную экспертизу. Процитирую его в части касающейся информирования : "5.2. Операторы государственных информационных систем, а также иных информационных систем, в которых на основании договоров или иных законных основаниях обрабатывается информация, обладателями которой являются государственные органы или государственные корпорации,   информируют   федера...

15 апреля 2015 г. ЦБ РФ опубликовал информационное сообщение “ О несанкционированных операциях, совершенных сиспользованием устройств мобильной связи ”. В нем ЦБ РФ предупреждает об опасности связанной с мобильными платежами и рекомендует принимать следующие меры ИБ: ·          установить на устройство мобильной связи антивирусное ПО; ·          не переходить по ссылкам, приходящим из недостоверных источников; ·          своевременно уведомлять кредитную организацию о смене номера телефона мобильной связи; ·          не скачивать на устройство мобильной связи приложения из непроверенных источников; ·          не передавать устройство мобильной связи и платежную карту для использования третьим лицам, в том числе родственникам; ·        ...