SecOps
Как измерить Time to Exploit?
3227
Если вернуться к заметке про результат решения по управлению уязвимостями, то я там упоминаю такой показатель, как TTX, то есть Time to Exploit или время на эксплуатацию уязвимости, который очень сложно измерять самостоятельно. Так как же его тогда оценивать, чтобы сравнивать с другим показателем (Time to Notify, TTN)? Увы, универсального источника данных нет —
Бизнес без опасности
рискСтратегия
Почему не работает математика при оценке киберрисков?
0722
Я думаю, вы видели классическую формулу, используемую при оценке рисков ИБ, которая путешествует из презентации в презентацию, из стандарта в стандарт: РИСК = ВЕРОЯТНОСТЬ * УЩЕРБ Если эксперты хотят блеснуть эрудицией, то они иногда еще говорят, что эта формула определяет математическое ожидание функции потерь вследствие принятия или непринятия неких решений.
Бизнес без опасности
Рефлексия
Закон Гудхарта в кибербезопасности или почему мы идем, но не доходим
41.3к.
Думаю, многие из вас если не знакомы с законом Гудхарта, то слышали его в переложении или сталкивались на практике с его проявлениями. Звучит он следующим образом: Наблюдение Гудхарта базировалось на том, что любая мера, становящаяся целью, становится объектом манипуляций; как прямых (фальсификация чисел), так и косвенных (активность исключительно ради
Бизнес без опасности
Стратегия
С чем CISO ходят к своему руководству? Метрики ИБ
01.8к.
Ну что, завершаем серию заметок про то, как иностранные CISO ходят к топ-менеджменту, защищая себя, свои проекты, своих подчиненных, свои инициативы. На этот раз поговорим на мою любимую тему — о метриках, которые позволяют демонстрировать определенные достижения в области кибербезопасности. CISO из описываемых мной примеров в части применения
Бизнес без опасности
ДовериеСтратегия
Как оценивать источники информации: количественный подход
01.2к.
В прошлой заметке я писал про критическое мышление, которое помогает разбираться в правдивости получаемой нами информации и принятии решений на ее основе. Но, что если пойти чуть дальше, и попробовать поставить вопрос по другому, а именно: Можно ли количественно измерить уровень доверия к источнику информации? Например, если я подключаюсь к различным
Бизнес без опасности
Кадры
Сколько ИБшников надо в штат службы ИБ: формула расчета
61.8к.
Если не рассматривать крупные организации, службы ИБ которых насчитывают сотни человек, то в массе своей нам обычно не хватает людей на все наши хотелки и мы всегда чувствует дефицит персонала. И чем мельче компания, тем сильнее этот дефицит, который надо как-то закрывать. И когда ты приходишь к генеральному директору за одобрением новых ставок в штат […
Бизнес без опасности
Законодательство
Калькулятор оценки технологической зрелости соответствия 239-му приказу
2359
 Несколько лет назад, а именно пять, я писал о том, как можно было бы облегчить жизнь с реализацией приказов ФСТЭК, внедрив неку/ю модель зрелости, которая бы позволила оценивать текущий уровень реализации требований регулятора и выстраивать некую дорожную карту достижения желаемого уровня соответствия. К сожалению, описанная мной тогда идея так
Бизнес без опасности
Стратегия
Что общего между числом калорий и числом инцидентов? И снова о метриках ИБ (анонс нового Telegram-канала)
379
Каждый год многие, я так думаю, ставят перед собой какие-нибудь амбициозные цели, например, похудеть. Ой, что это я, мы же про безопасность говорим. Значит ставятся цели по ИБ. Допустим снизить число инцидентов в день с 23 до 18 или на 17%. Вроде бы красивая и нужная цель, но чтобы достичь ее, необходимо произвести ряд шагов. […]
Бизнес без опасности
SecOps
Что общего между SOCом и онлайн-мероприятием по ИБ? Ложь в цифрах!
096
Выборы президента США навели меня тут на рассуждения о том, как умело манипулируют цифрами то демократы, то республиканцы и как это похоже на то, что происходит в центрах мониторинга ИБ, а именно при визуализации ключевых показателей эффективности SOC. Аналогичные манипуляции используют и организаторы онлайн-мероприятий по ИБ, которые пытаются их продавать
Бизнес без опасности
Бизнес
Презентация ИБ для руководства (видео с CISO Forum)
0112
Продолжим вчерашнюю тему про дашборды для руководства, но выйдем за рамки темы АСУ ТП. Сегодня я выложил видеозапись своего выступления (оно вдвое длиннее, чем на Kaspersky ICS Security Conference) с CISO Forum, прошедшем в этом сентябре, в рамках которого я вновь коснулся темы дашбордов, но уже в более расширенном варианте. 
Бизнес без опасности