В компании из пятидесяти человек один администратор управляет всем. У него доступ ко всем системам под одной учётной записью. Руководитель знает об этом, но не видит проблемы. Скорость важнее политик, риски кажутся теоретическими. Компания растёт до двухсот человек. Появляется отдел продаж. Администратор создаёт учётную запись sales_admin с правами…
Когда компания начинает работать с информацией о людях, она автоматически становится оператором персональных данных. Но многие предприниматели считают, что требования касаются только крупного бизнеса или государственных структур. На практике под действие постановления попадает любая организация, которая ведёт базу клиентов в CRM, хранит кадровые документы в электронном виде или…
Руководитель, который не разбирается в технических деталях информационной безопасности, оказывается в сложной ситуации. С одной стороны, на нём лежит юридическая ответственность за защиту персональных данных. С другой стороны, он зависит от IT-специалистов, которые говорят на непонятном языке и просят бюджеты на неочевидные вещи. Типичные проблемы коммуникации с IT-специалистами…
Современный фишинг перестал быть примитивными письмами с ошибками и неуклюжими попытками обмана. Компании столкнулись с качественно новым уровнем угроз, против которого традиционные методы защиты, особенно обучение сотрудников, оказываются беспомощными. На первый взгляд, логичное решение регулярно тренировать персонал, выявлять слабые места через симуляции атак. Реальность показывает, что такой подход…
Приложение запущено. Пользователи оформляют заказы, переводят деньги, бронируют услуги. Через месяц звонок от клиента. Деньги списались дважды. Еще через неделю в личном кабинете отображаются чужие данные. Потом приходит письмо от регулятора с требованием отчитаться после утечки. Тестировали же перед запуском. Всё проверяли. Работало. Тестирование функционала и безопасность разные…
Большинство компаний вспоминают про приказ ФСТЭК № 21 только тогда, когда уже «горит» близится проверка, приходит требование от заказчика или случается инцидент с персональными данными. В результате меры из приказа воспринимаются как формальность и набор галочек, хотя на практике это вполне конкретный список организационных и технических шагов, которые…
Коллега из отдела продаж сохраняет в личном Google Sheets: ФИО клиентов/сотрудников Названия компаний Контактные данные (телефоны, email) Другую рабочую информацию (например, суммы сделок) Простой вопрос сколько пунктов он нарушил? Сервисы вроде Google Dorks позволяют за минуты найти тысячи открытых таблиц с пометками «клиенты», «партнеры», «бюджет». И первыми их…
Дверь кабинета распахнулась в три часа ночи. Бледный технический директор, голос дрожит: «Всё. Нас зашифровали. Они требуют два миллиона в биткоинах». В голове мелькнула мысль: «Это же фильм какой-то...» Но на мониторах уже мигали красные надписи, а в телефоне зашкаливало количество звонков от клиентов, партнёров, регуляторов. А когда…
Классификация угроз и современные векторы атак В многих организациях к теме информационной безопасности приходят уже постфактум, после утечек и сбоев, когда решения принимаются хаотично и без опоры на реальные приоритеты. Такой подход приводит к перегруженной, но малоэффективной защите, которая слабо соотносится с реальными сценариями атак. Эта статья показывает,…
Стратегия информационной безопасности должна опираться на понятное целевое состояние и реалистичную дорожную карту, привязанную к рискам и задачам бизнеса. В статье рассматривается, как на основе анализа угроз выстроить многоуровневую защиту в парадигме Zero Trust, задать измеримые метрики (MTTD, MTTR, снижение критичных уязвимостей) и разложить внедрение ИБ‑мер по кварталам…
REST API в WordPress появился как дополнение для разработчиков мобильных приложений. Никто не планировал, что через несколько лет он станет входной точкой для автоматической публикации тысяч статей. Сам WordPress об этом до сих пор не знает. В документации раздел про REST API спрятан так глубоко, что подавляющее число…
Самое полезное, что я узнал за годы работы с WordPress: дефолтная главная страница — враг любого контентного проекта. Пока вы не замените хронологическую ленту на управляемую сетку, сайт будет выглядеть как личный дневник, сколько бы статей вы ни опубликовали. WordPress установлен. Тема активирована. На экране одна колонка с…
ПРЕДУПРЕЖДЕНИЕ: Статья предназначена для повышения осведомленности о киберугрозах и методах защиты. Все методы и инструменты, упомянутые в статье, должны использоваться только в законных целях, с разрешения владельцев систем и в рамках действующего законодательства РФ. Почему требуют менять пароль каждые 90 дней Правило менять пароль каждые 90 дней придумали…
Шансы восстановить удалённый чат в Telegram зависят не от знания секретных трюков, а от одного факта: были ли ваши устройства онлайн в момент удаления. Если да — окно закрылось за секунды. Если нет — оно ещё открыто. Сначала главное: от чего зависят шансы Прежде чем разбирать технику, важно…
Роутер работает непрерывно, но никогда не просит обновить себя или проверить настройки. Его интерфейс проектировался для инженеров, а не для людей, которые заходят туда раз в три года. Инструкция нужна не потому что шаги сложные, а потому что каждый раз человек оказывается там как первый раз — без…
История которая повторяется в компаниях любого размера Работающая стратегия информационной безопасности не сводится к документу со слайдами. Это договорённость о том какие риски бизнес готов принять а какие нет. Всё остальное инструменты для реализации этого выбора. Почему стратегия ИБ не начинается со слайдов Компания среднего размера. Один системный…
☠️ ПРЕДУПРЕЖДЕНИЕ: Статья предназначена для повышения осведомленности о киберугрозах и методах защиты. Все методы и инструменты, упомянутые в статье, должны использоваться только в законных целях, с разрешения владельцев систем и в рамках действующего законодательства РФ. VPN не защищает. Он просто меняет, кому вы доверяете свой трафик VPN перемещает…
Годовой план информационной безопасности проваливается не из-за плохого планирования. Он проваливается из-за того, что его некому защитить. Без авторитета специалиста план остаётся документом, который никто не будет выполнять. Я видел десятки планов, которые умирали не потому что были плохо написаны, а потому что в нужный момент слова специалиста…
ПРЕДУПРЕЖДЕНИЕ: Статья предназначена для повышения осведомленности о киберугрозах и методах защиты. Все методы и инструменты, упомянутые в статье, должны использоваться только в законных целях, с разрешения владельцев систем и в рамках действующего законодательства РФ. YARA правила и почему девять из десяти не работают Я написал своё первое YARA-правило…
Как работает интернет на самом деле Сейчас почти все знают, что такое интернет, но я три года работал в дата-центре и каждый раз смотрел на серверные стойки с одной мыслью. Люди думают что понимают как работает интернет. Открыл браузер, ввёл адрес, получил сайт. Просто же. Но между нажатием…
ПРЕДУПРЕЖДЕНИЕ: Статья предназначена для повышения осведомленности о киберугрозах и методах защиты. Все методы и инструменты, упомянутые в статье, должны использоваться только в законных целях, с разрешения владельцев систем и в рамках действующего законодательства РФ. Почему даже защищенные компании с миллионами на безопасность все равно оказываются взломаны Я видел…
Почему хакеров не арестовывают в одних странах Я давно заметил странную закономерность. Хакеры, которые годами работали безнаказанно, внезапно исчезают. Не арестовываются через суд. Просто пропадают. Сначала думал, совпадения. Потом начал собирать информацию. Оказалось, государственная защита работает совсем не так, как принято считать. И угроза приходит совсем не оттуда.…
Рынок уязвимостей Доступ к корпоративной сети продаётся за три тысячи рублей. Покупатель получает логин, пароль, инструкцию. Дальше дело техники. Я видел эти объявления. Они выглядят как обычные товары на маркетплейсе, только вместо одежды продаются взломанные VPN и аккаунты администраторов. Знакомая компания заплатила выкуп. Никто не планировал платить, но…
Что выбрать и как не ошибиться? В одном крупном холдинге считают, что утечки случаются, когда сотрудники ошибаются. На самом деле чаще всего срабатывает тихое правило трёх рукопожатий. Достаточно, чтобы человек подключился к внутренней системе, потом зашёл в личный кабинет, а после открыл почту. Три шага и система безопасности…
Зачем корпорации создают цифровую копию человека Цифровая версия человека уже не отражение. Она стала самостоятельным существом... точнее, богаче и полезнее оригинала. Платформы не просто хранят её. Они её дорабатывают, кормят, делают сильнее и умнее нас. Мы кормим её своими данными, а она кормит их прибылью. Государства и корпорации дерутся не за нас,…
Почему инструменты безопасности становятся самыми опасными точками в инфраструктуре нулевого доверия? Я всё чаще ловлю себя на мысли о системном противоречии. Инструменты, которые должны быть основой нулевого доверия, на деле становятся его самым слабым звеном потому что их архитектура требует именно там самых широких и вечных исключений, превращая…
ПРЕДУПРЕЖДЕНИЕ: Статья предназначена для повышения осведомленности о киберугрозах и методах защиты. Все методы и инструменты, упомянутые в статье, должны использоваться только в законных целях, с разрешения владельцев систем и в рамках действующего законодательства РФ. Модели машинного обучения переместились из исследовательских блокнотов в критичные бизнес-процессы. Системы принимают кредитные решения,…
Выявление агентов иностранной разведки в Советском Союзе осуществлялось комплексом мероприятий, направленных на выявление подозрительной активности и противодействие разведывательной деятельности противника. 1. Наблюдение и наружное сопровождение Внешнее наблюдение за людьми, находящимися под подозрением, было одним из основных способов выявления потенциальных агентов. Наблюдательные мероприятия проводились силами специальной оперативной группы («наружники»),…
Технические средства разведки в период противостояния двух систем развивались под давлением практических задач. Инженеры обеих сторон создавали устройства, которые должны были работать в условиях ограниченного доступа к объекту, минимального времени на установку и высокого риска обнаружения. Радиопередатчики скрытого размещения Миниатюрные передатчики стали основным инструментом для передачи информации из…
Попасть на обучение по специальности связанной с защитой секретов было сложнее чем поступить в любой престижный вуз. Конкурс формально не объявлялся. О таких программах не писали в справочниках для абитуриентов. Отбор шёл задолго до подачи документов. Школьные учителя математики и физики фиксировали учеников с нестандартным мышлением. Речь не…
Группы злоумышленников не тратят недели на согласование архитектуры решения или выбор между двумя продуктами одного вендора. Их программы либо взламывают конкретную систему, либо нет. Если не работает берут другую. Никаких компромиссов ради "единого подхода к информационной безопасности". Как бюрократия замедляет корпоративную защиту Корпоративная защита движется по регламентам. Обнаружили…
Аналитики информационной безопасности занимаются странной работой. Они ищут связи между вещами, которые не должны быть связаны. Берут один цифровой след и пытаются дотянуться до другого, потом до третьего, пока не выстроится цепочка. Процесс называется пивотингом, и без него большая часть расследований застревает на первом же шаге. Суть проста…
Существует два мира: где еще можно выбирать где выбор сделали за тебя и остается только адаптироваться Зависимость от иностранных мессенджеров давно перестала быть просто удобством. Когда вся связь проходит через серверы за границей, любой внешний фактор может её прервать. Полная блокировка даже не обязательна. Достаточно ограничений на звонки,…
Если руководитель, принимая решение, фактически следует логике или готовому решению, сгенерированному искусственным интеллектом, а затем ставит на его основе задачи другим — то кто в этой цепи является истинным источником цели? Не превращается ли ИИ в скрытого «кукловода», который опосредованно, через человеческие действия, управляет процессами? И главный вопрос…
Система контроля и управления доступом это не просто набор турникетов с картами. Это комплекс программно-аппаратных средств, который регулирует проход людей и техники на территорию объекта. Включает контроллеры, считыватели карт или биометрии, исполнительные устройства вроде замков и турникетов, а также программное обеспечение для мониторинга и учета. Позволяет не только…
Программное обеспечение настроили по быстрому. Создали три группы доступа: «директора», «отделы», «охрана». Решили, что этого хватит. Не хватило. В отделе финансов 12 человек, и только трое должны были иметь доступ в архив. Пятерым нужен был доступ в серверную, а четверым — нет. Все попали в одну группу «отделы».…
Марина (имя возможно изменено) работала логистом. В тот вечер задержалась допоздна, начальник попросил подготовить сводку по заказам к утреннему совещанию. Три листа: клиенты, телефоны, объёмы, маршруты. Офис почти опустел. Она отправила документ на печать и пошла к принтеру в общей зоне. Устройство загудело, начало выплёвывать страницы. Марина взяла…
Физический доступ самый простой способ Камера смартфона решает всё за десять секунд. Современные телефоны снимают документы с разрешением, достаточным для чтения мелкого текста даже при среднем освещении. Программы оптического распознавания символов превращают фотографию в редактируемый текст за минуту. Не нужны специальные навыки — только возможность подойти к принтеру…
Веб, построенный на монополии Chromium, превратился в хрупкую систему, где одна компания контролирует доступ к информации для миллиардов людей через код, написанный на уязвимом языке. Независимость от единого движка — это не вопрос технологий, а условие цифрового суверенитета в мире, где контроль над браузером определяет свободу мысли. Открываете…
Три месяца спокойной работы после увольнения. Потом в субботу утром звонок бухгалтерии. Экраны всех терминалов пустые. Базы 1С Отчетность, Зарплата, Управление торговлей — просто нет. 47 гигабайтов данных превратились в 200 мегабайтов мусора. Администратор базы, которого мы уволили в конце декабря, оставил себе удаленный доступ через VPN-клиент, который…