«Требования 152-ФЗ и ФСТЭК часто воспринимаются как набор отдельных пунктов для проверки. Но в них описана система, которую можно разложить по трёхмерной схеме: цели защиты (триада КЦД), места, где данные нуждаются в защите (их жизненный цикл), и методы реализации (инструменты от техники до обучения). Их пересечения образуют полную картину защиты, которая закрывает структурные риски, пропускаемые … Читать далее
«Рынок сертификаций по информационной безопасности, это сложная экономическая экосистема, где ценность бренда часто превосходит ценность реальных навыков. Мы попробуем разобраться, какую бумагу действительно смотрят при найме, а за какие просто переплачивают, пытаясь купить пропуск в профессию.» Вопрос о необходимости сертификатов — один из самых спорных в IT-сообществе. Одни видят в них четкий план развития и … Читать далее
“Инсайдер, это не только злой умысел. Чаще это результат серии мелких, почти незаметных отступлений от правил, которые постепенно формируют доступ к уязвимости. Мониторинг поведения, а не только логи, может предотвратить ущерб до того, как он случится.” Прямая угроза, это человек, который уже решился навредить и действует. Но между обычным сотрудником и злоумышленником существует серая зона. … Читать далее
«ROI в кибербезопасности, это не про деньги, а про язык. Это перевод технических рисков на язык, понятный финансовому директору. Проблема в том, что мы пытаемся считать то, чего не произошло, и оправдывать расходы на невидимую защиту. Настоящий ROI, это не цифра в отчёте, а аргумент, который меняет приоритеты компании и позволяет защитить то, что действительно … Читать далее
» Создание ещё одного формального документа для проверки — бессмысленная трата времени. Настоящая ценность политики ИБ не в её существовании, а в её способности менять поведение людей и систем, делая организацию по-настоящему устойчивее. Это достигается только тогда, когда документ перестаёт быть ‘политикой’ и становится сценарием, по которому работает каждый. Как внедрить политику, чтобы она работала, … Читать далее
Руководитель информационной безопасности в современной компании проводит большую часть времени не за настройкой SIEM-систем и DLP-решений, а за столом переговоров с ключевыми фигурами бизнеса. Его успех определяется не техническими навыками, а способностью находить общий язык с людьми, которые контролируют бюджеты, принимают решения и влияют на культуру организации. С кем разговаривает руководитель информационной безопасности ежедневно Заинтересованные … Читать далее
«Проблема не в том, что требования 152-ФЗ или ФСТЭК слишком дорогие. Проблема в том, что компании часто тратят деньги на то, что им не нужно, потому что не понимают, как работает регуляторика. Они покупают дорогие сертификаты, когда достаточно деклараций, внедряют системы, которые не соответствуют их реальным рискам, и платят консультантам за шаблонные решения. Результат — … Читать далее
«Незавершенность проектов, угасание энтузиазма, компромиссы из-за бизнеса — всё это редко выносят на сцену. Говорят о целях, молчат о подводных камлях на пути к ним. Итог: разрыв между красивой теорией и сложной, часто скучной, практикой. Статья — о том, о чём принято молчать.» Формула успеха vs. Формула провала Каждая презентация на сцене, это история о … Читать далее
"Кибербезопасность часто выглядит как формальное соблюдение правил, но её истинная природа остаётся спорной. Я считаю, что это нечто среднее между инженерной дисциплиной, прикладным мастерством и системой верований. Чем сильнее вы погружаетесь в тему, тем сложнее становится её определить". Кибербезопасность, это наука, искусство или религия? Как определить область, в которой инженерные расчёты сменяются интуитивными догадками, а … Читать далее
“Оценка угроз, это механизм перевода абстрактных списков опасностей в конкретные, осязаемые риски для вашей системы прямо сейчас. Это основа для любых осмысленных защитных мер, а не бюрократический ритуал.” Цель оценки угроз Главный смысл процесса — трансформировать общий перечень теоретических опасностей в конкретный список угроз, которые могут быть реализованы в вашей информационной системе в текущих условиях. … Читать далее