В этом выпуске проекта «Беседы о безопасности цифрового будущего» главный редактор BISA Михаил Смирнов говорит с Виталией Демехиной, экспертом по кибербезопасности Start X.

Виталия объясняет, зачем бизнесу и CISO обучать клиентов безопасному поведению, какие методы действительно работают и как мотивировать людей проходить тренировки. Показывает примеры тренировок, рассказывает о статистике потерь клиентов и о том, как оценивать результаты обучения.

Смотрите выпуск и делитесь комментариями в сообществе

Вопросы:
01:26 — Чем обучение клиентов отличается от обучения сотрудников. Какие методы обучения работают, а какие нет
03:30 — Зачем бизнесу и CISO обучать клиентов безопасному поведению
05:30 — Как убедить клиентов развивать навыки противодействия мошенникам
08:02 — Примеры мотивации клиентов банка
09:06 — Примеры тренировок: доставка цветов и лже-начальник
13:49 — Статистика: как измерять и оценивать результаты обучения клиентов
15:24 — Зачем банкам обучать своих клиентов
18:05 — Больше 27 миллиардов рублей потеряли клиенты банков в 2024 году из-за низкой осведомленности — статистика за последние три года
18:46 — Как создавать эффективные тренировки
21:09 — Кто отвечает за процесс обучения и организовывает его
22:10 — Подходят ли тренировки для клиентов банка клиентам других организаций

Официальный сайт Ассоциации BISA
Официальный сайт Start X

Реклама. АО "ИнфоВотч", ИНН: 7713515534 , Erid: 2SDnjbqDicu

Основные #мероприятия этой недели 🗓

1️⃣ 34-я научно-техническая конференция «Методы и технические средства обеспечения безопасности информации» (МиТСОБИ) (с 23.06.2025 10:00 до 26.06.2025 19:00). Зарегистрироваться

2️⃣ Конференция «Saint HighLoad++» (с 23.06.2025 10:00 до 24.06.2025 19:00). Зарегистрироваться

3️⃣ Конференция UDV Conf 2025 (24.06.2025 в 10:00). Зарегистрироваться

4️⃣ CNews Forum Кейсы: Опыт ИТ-лидеров (24.06.2025 в 10:00). Зарегистрироваться

5️⃣ Cloud Evaluation 2025 (24.06.2025 с 10:30 до 15:30). Зарегистрироваться

6️⃣ Вебинар «Забудьте про NTA! Гарда NDR 4.2 — новый стандарт защиты сети» (24.06.2025 в 11:00). Зарегистрироваться

7️⃣ IT Connect 2025 (26.06.2025 с 09:30 до 20:00). Зарегистрироваться

8️⃣ Первая практическая конференция Digital CorpDay (26.06.2025 в 10:00). Зарегистрироваться

9️⃣ Гибридный SOC 2025: как AI, автоматизация и люди вместе побеждают киберугрозы (26.06.2025 в 11:00). Зарегистрироваться

🔟 Бизнес-ужин «Безопасность IT-инфраструктуры: стратегии защиты от DDoS-угроз в 2025 году» (26.06.2025 в 19:00). Зарегистрироваться

✅ Все мероприятия: https://cisoclub.com.ru/category/event/

Пассворк 7 — обзор новой версии корпоративного менеджера паролей

Сколько паролей нужно помнить для работы? Сейчас, когда в работе используются одновременно множество систем, технических и временных учетных записей, запомнить все пароли физически невозможно. Первый порыв каждого – просто хранить их в txt- или xls-файле. Однако это никак не удовлетворяет современным требованиям по надежности, удобству использования и безопасности, даже если упаковать файл в запароленный архив. А как с одним файлом будет работать большая геораспределенная команда? Не говоря уже о том, что сейчас пароли используются не только людьми – читать секреты из таблицы Excel в CI/CD пайплайне довольно трудно. Для решения этих проблем были созданы менеджеры паролей.

Что такое «менеджер паролей», понятно из названия – ПО или сервис, хранящий ваши учетные данные в удобном и защищенном виде. Правда, современные менеджеры паролей – уже нечто большее, чем просто список логинов и паролей. Они могут… а что именно могут, давайте посмотрим в обзоре российского менеджера паролей Пассворк, у которого недавно вышла новая версия Пассворк 7.0.

Читать обзор

Хотите сами попробовать Пассворк в действии, просто оставьте заявку на сайте производителя: passwork.ru — тестирование для компаний бесплатно.

Реклама. ООО "ПАССВОРК", ИНН 2901311774. Erid: 2SDnje1STUy

Контроль уязвимостей сторонних артефактов в процессе безопасной разработки

Сергей Авраменко (CICADA8) описал уязвимости в типичном подходе к управлению сторонними компонентами в процессе безопасной разработки. Он отметил, что традиционные инструменты, такие как SAST, DAST и SCA, не всегда позволяют вовремя выявить риски, поскольку работают с артефактами уже после их попадания в инфраструктуру.

Автор подчёркивает необходимость предварительной проверки компонентов, создания чётких политик безопасности с учётом CVE, CVSS, EPSS и лицензий, а также системного контроля происхождения и состава каждого компонента с помощью SBOM.

Кроме того, Сергей Авраменко акцентировал внимание на важности прослеживаемости цепочки поставок, регулярного мониторинга зависимостей и удаления лишних библиотек. Он также предложил моделировать атаки на цепочку поставок, чтобы протестировать устойчивость инфраструктуры и оперативность реагирования. Такой подход, по мнению автора, позволит снизить риски и выстроить эффективную систему защиты внешних компонентов, соответствующую стандартам информационной безопасности.

Полный текст статьи Сергея Авраменко о «слепых зонах» безопасной разработки и управлении сторонними компонентами можно прочитать по ссылке.

Эволюция подходов к обезличиванию 📂данных: от самописных скриптов кинтеллектуальным автоматизированным системам

В эпоху стремительной цифровизации и увеличивающегося числа кибератак, вместе с которыми растет и объем “утекающих” из организаций данных, проблема защиты конфиденциальной информации вышла на первый план. Одним из наиболее зрелых иэффективных способов защиты данных является их обезличивание.

Ввиду многолетних наработок различных производителей средств защиты и самих организаций-операторов данных обезличивание информации превратилось из простой технической процедуры в комплексный технологический процесс, требующий глубокого понимания как технических аспектов, так и бизнес-потребностей.

В статье рассмотрено, как меняются подходы к обезличиванию данных в последние десятилетия и какие тенденции существуют для его дальнейшего развития.

Прочитать можно здесь.

⚡️ Как должна работать техподдержка в 2025 году?

Без повторных писем, ручного создания заявок и вечного «напомните, в чём была проблема». Когда тикет создаётся прямо из Telegram-чата, а инженер сразу видит контекст и может приступить к решению — без потери времени и с максимальной точностью.

Команда Ideco переосмыслила и пересобрала техподдержку с нуля. Сделала её гибкой, быстрой, учитывающей реальные задачи ИТ и ИБ-специалистов.

2 июля на бесплатном вебинаре расскажем и покажем, как устроена наша поддержка изнутри и почему это новый стандарт для всего рынка.

⚙️ Обсудим:
— что изменилось в сервис-деске и как это сэкономит вам часы рутинной работы;
— как новые SLA и приоритеты усиливают контроль и скорость реакции;
— почему сбор обратной связи и метрик — это не отчётность, а реальный способ делать продукты и сервис лучше.

Присоединяйтесь, это отличная возможность увидеть, как можно работать с техподдержкой на новом уровне.

🗓 2 июля | 11:00 (мск)
🔗 Регистрация

Реклама. ООО "Айдеко", ИНН: 6670208848, Erid: 2SDnjc5oXeV

Выбор СЗИ для 🔒защиты виртуализированных серверов и 📦контейнеров

Контейнеры и виртуальные машины давно перестали быть игрушкой DevOps-команды и сегодня обслуживают жизненно важные сервисы — от платёжных платформ до технологических процессов в АСУ ТП. Однако с ростом масштаба инфраструктуры расширяется и «площадь атаки».

Так, исследование показало, что свыше 30 % официальных образов в Docker Hub содержат критические CVE, причём речь идёт именно о «заверенных» репозиториях, которые многие считают безопасными по умолчанию.

В runtime-среде ситуация не лучше: знаменитая уязвимость CVE-2019-5736 позволяла вырваться из контейнера на хост буквально одной командой. И если раньше подобные происшествия редко переходили за пределы лаборатории, то в 2024 г. утечка данных фиксировалась уже в 52 % успешных атак на организации.

Прочитать статью полностью можно здесь.

Sophos: 🇬🇧британские компании платят вымогателям больше остальных из-за высокого уровня шифрования данных

Компания Sophos опубликовала отчёт, посвящённый положению дел с программами-вымогателями в Великобритании по итогам 2025 года. Материал основан на результатах независимого исследования 201 пострадавшей организации в стране и отражает масштабные отличия британской практики от глобальных трендов.

По итогам опроса выяснилось, что в 70% случаев пострадавшие британские компании сталкивались с полной блокировкой данных, что значительно превышает средний мировой уровень в 50%. Для сравнения: в аналогичном отчёте за прошлый год этот показатель в Великобритании составлял 46%. В качестве основных способов проникновения были указаны эксплойты (36%), вредоносные вложения в письмах (20%) и украденные учётные данные (19%).

Средний размер выкупа, требуемого в стране, составил 5,4 млн долларов или 3,9 млн фунтов, что в два раза выше по сравнению с 2024 годом, когда среднее значение достигало лишь 2,5 млн долларов. Особенно примечательно, что 89% всех требований превышали 1 млн долларов, тогда как в прошлом году таких случаев было 71%.

Исследователи подчеркнули, что компании в Великобритании не только получают более агрессивные требования, но и гораздо чаще соглашаются на условия злоумышленников. Так, в среднем сумма фактически уплаченного выкупа составляла 103% от заявленной, что значительно выше, чем 85% в мировом масштабе. По мнению экспертов, это напрямую связано с частотой шифрования данных: чем выше ущерб от потери доступа, тем меньше шансов на отказ от выплаты.

Такой подход идёт вразрез с глобальной тенденцией к отказу от выплат. По информации Chainalysis, в 2024 году объёмы выкупов по миру снизились на 35% и составили 813 млн долларов. Это могло подтолкнуть преступные группы к повышению ставок для компенсации недополученной прибыли.

Дополнительным фактором, влияющим на решения британских компаний, стал рост затрат на устранение последствий атак. В среднем на восстановление потрачено 2,6 млн долларов, что выше прошлогоднего уровня в 2,1 млн. В эту сумму входят простои, издержки на персонал, замену техники, восстановление сетевой инфраструктуры и потери от сбоев в операционной деятельности.

Другие российские и иностранные отчеты по ИБ можно почитать здесь.