ТестированиеSecOps
10 новостей об оценке защищенности
2846
Сегодня я хотел написать другую заметку, посвященную SOCам, но как-то так все сложилось, что за последние несколько дней тема оценки защищенности заиграла новыми красками и набралось целых семь новостей по этой теме, которые я бы и хотел свести в рамках одной заметки. Началось все с сообщения ФСТЭК России об утверждении двух методик: программных, программно-аппаратных средств […
Бизнес без опасности
ФСТЭК и АНББизнес
Экономическая эффективность Bug Bounty или зачем Россия третий раз входит в эту реку
0421
Кто более-менее внимательно следит за моим блогом (хотя в последнее время из-за загрузки на работе я его немного и подзапустил, но я исправлюсь), тот помнит, что к теме Bug Bounty я обращался неоднократно (👇🏻 вы найдете список заметок, где я про это писал) и первый раз это было еще в 2013-м году. И вот снова, […]
Бизнес без опасности
Технологии
Взлом Uber, Cisco и Okta или не пора ли выкинуть MFA на помойку?
12.5к.
Думаю, что вы слышали о взломе , , , , Microsoft, , , ? Если нет, то позволю себе напомнить. Взлом LastPass В инциденте с LastPass злоумышленник получил доступ в сегмент разработки через скомпрометированный компьютер одного из разработчиков, который был атакован через систему многофакторной аутентификации. Компания не раскрывает деталей, но есть две версии, как такое […
Бизнес без опасности
Тенденции
Тенденции рынка пентестов — от полной автоматизации до краудсорсинга
018
Наткнулся тут на новый канал в Телеграме — СекьюриСТ, в котором автор недавно коснулся темы пентестов и описал вкратце, что это такое. Я вообще не очень люблю эте тему, но тут так совпало, что при формировании программы сочинского «Код ИБ. Профи«, по просьбам участников в нее был включен практический доклад Жени Волошина из BI.ZONE, как […
Бизнес без опасности
Психология
Асимметрия информации, информационная экономика и рынок ИБ
333
Я уже обращался к теме экономики безопасности не один раз (последний — пару недель назад), но тема эта безгранична и поэтому я вновь вернуться к ней. Тем более и повод есть. Росс Андерсон пишет третье издание своего классического труда «Security Engineering» и постепенно выкладывает написанные главы на своем сайте.
Бизнес без опасности
Бизнес
Почему сертификат ISO 27001 приводит к снижению инвестиционной привлекательности, а программа bug bounty лучше пентестов…
419
Есть такое классное мероприятие по ИБ (не в России), которое называется The Workshop on the Economics of Information Security (WEIS) и которое из года в год собирает доклады, посвященные различным исследованиям в области экономики ИБ. В этом году WEIS проходил в Бостоне 3-4 июня и в его рамках было представлено ряд интересных докладов, о которых […]
Бизнес без опасности
Разное
Государственная bug bounty и биржа по продаже уязвимостей
017
На прошлой неделе Коммерсант опубликовал заметку о созданной в России бывшим сотрудником Росфинмониторинга бирже уязвимостей. Расположена она на англоязычном сайте, не имеющем никакой русскоязычной страницы. При этом среди потенциальных покупателей называются госорганы (интересно какого государства, если наши по английски не очень общаются?
Бизнес без опасности
Бизнес
Финансовая эффективность программ Bug Bounty для разработчиков
59
О программах Bug Bounty слышали многие. Это программа финансового вознаграждения, получаемого независимыми исследователями, находящими уязвимости в программном обеспечении того или иного производителя. Такие программы есть у многих компаний — Facebook, Microsoft, Google, Avast, PayPal, Mozilla, Qiwi, Yandex. И это только верхушка айсберга —
Бизнес без опасности