Kept | Cyber
IT и технологии
59 подписчиков85 публикаций
Kept Cyber – это официальный канал группы по оказанию услуг в области кибербезопасности компании Kept – одной из крупнейших аудиторско-консалтинговых фирм на российском рынке.
Загружаем канал…
Мы используем cookie для улучшения работы сайта и анализа статистики. Оставаясь на сайте, вы соглашаетесь с Политикой конфиденциальности.
IT и технологии
Kept Cyber – это официальный канал группы по оказанию услуг в области кибербезопасности компании Kept – одной из крупнейших аудиторско-консалтинговых фирм на российском рынке.
Добро пожаловать в официальный канал группы по оказанию услуг в области кибербезопасности компании Kept – одной из крупнейших аудиторско-консалтинговых фирм на российском рынке. Будем делиться новостями и нашими экспертными знаниями в сферах кибербезопасности, приватности и компьютерной криминалистики. Если ваша работа связана с этими направлениями, подписывайтесь на канал Kept Cyber. Вы получите оперативный доступ к нашим аналитическим материалам, исследованиям, инструкциям, чек-листам, мероприятиям и вебинарам, а также эксклюзивным материалам, подготовленным специально для этого канала. 📧 Возникли вопросы? Задавайте их по электронной почте: cyber@kept.ru. Мы обязательно ответим!
28–29 мая в московском офисе Kept прошел новый тренинг по персональным данным – «Инструменты Privacy Engineering, доступные и полезные каждому DPO». Курс разработан и проведен совместно с практикующими инженерами из бигтех-компании. На тренинге мы разобрали: – основные задачи privacy engineer и чем они отличаются от задач DPO; – подходы по разметке данных и технической инвентаризации; – порядок и различные варианты хранения данных и организации баз данных (SaaS, PaaS, IaaS); – способы взаимодействия информационных систем и различные каналы передачи данных (API, RabbitMQ, Kafka); – как читать JSON-файлы и лог-файлы информационных систем; – удаление данных из информационных систем; – технические детали отзывы согласий и реализации запросов на доступ субъектов ПДн. Среди участников тре…
Читать целикомКаковы особенности применения OWASP Top 10 в корпоративной среде? Этот документ представляет собой регулярно обновляемый перечень наиболее критических рисков безопасности. Проект создается международным экспертным сообществом Open Web Application Security Project (OWASP) и актуализируется раз в несколько лет на основе статистического анализа данных об уязвимостях и экспертного консенсуса. Документ предназначен для разработчиков, специалистов по информационной безопасности и ИТ-аудиторов. Его цель — минимизация системных ошибок при создании ПО. Применение этого ориентира позволяет организации заложить базовый уровень защищенности систем, снизить затраты на устранение дефектов на поздних этапах и выстроить единый регламент взаимодействия между ИТ- и ИБ-департаментами. Помимо классического …
Читать целиком⚡ В России активно обсуждается введение проекта федерального закона «Об основах государственного регулирования сфер применения технологий искусственного интеллекта в Российской Федерации», который, как планируется, должен вступить в силу в сентябре 2027 года. Среди общих принципов, в ст.4 законопроекта ПДн и неприкосновенность частной жизни являются составляющими принципа верховенства прав человека, поэтому так важно понимать, какие есть риски применения ИИ, связанные с законодательством о ПДн, чтобы не нарушить прав граждан. Когда мы дискутируем на данную тему, ПДн оказываются в центре внимания, поскольку большинство систем ИИ основано на анализе информации, связанной с личностью, даже если данные обезличены. Некоторые риски были осознаны и поставлены перед учеными юристами несколько …
Читать целиком1 июня отмечался День защиты детей – решили еще раз напомнить, что забота о ребенке — это не только подарки и внимание, но и защита его цифровых границ. Как получить согласие на обработку ПДн от несовершеннолетнего субъекта? Законодательство о персональных данных (далее – ПДн) в Российской Федерации отдельно не регламентирует порядок обработки ПДн несовершеннолетних субъектов (детей). Однако относительно данного вопроса высказывались представители Роскомнадзора на своих публичных мероприятиях. Они сравнили регистрацию на сайте со сделкой и подтвердили возможность субъекта в возрасте от 14 до 18 лет самостоятельно проходить регистрацию и предоставлять согласие. Основной вывод из позиции Роскомнадзора: – Дети в возрасте от 14 до 18 лет могут самостоятельно давать согласие на обработку свои…
Читать целикомДля участников платежной системы «Мир» обеспечение безопасности данных платежных карт является обязательным требованием. Стандарт ПС «Мир» «Программа безопасности» устанавливает требования к защите информации при обработке данных платежных карт ПС «Мир», а также при осуществлении расчетов (переводов) участниками платежной системы. Его положения распространяются на участников ПС «Мир» и на организации, взаимодействующие с ними в рамках платежного процесса. Одним из ключевых требований Программы безопасности является соблюдение требований стандарта безопасности данных индустрии платежных карт PCI DSS. В соответствии с Программой безопасности торгово-сервисные предприятия (ТСП) обязаны подтверждать свое соответствие требованиям стандарта PCI DSS и информировать обслуживающий их банк-эквайрер…
Читать целикомКаким способом злоумышленник может несанкционированно проникнуть на территорию организации? Пройти вслед за сотрудником через турникет или дверь, не предъявляя собственного пропуска Для проникновения на охраняемую территорию злоумышленнику не всегда требуется взламывать замки или подделывать пропуска. Иногда достаточно воспользоваться невнимательностью или доверчивостью сотрудников. Один из распространенных методов — Tailgating («проход следом»), когда посторонний человек проникает в контролируемую зону вслед за сотрудником, имеющим право доступа. Для повышения защищенности организации следует проводить обучение сотрудников, описывающее возможные риски и безопасное поведение: • Не пропускать посторонних по своему пропуску. • Не открывать двери незнакомым людям без подтверждения их права…
Читать целикомЧто представляет собой горизонтальное/боковое перемещение (Lateral Movement) в рамках пентеста и как минимизировать риски его реализации? Горизонтальное перемещение — это этап тестирования на проникновение реальной кибератаки, в ходе которого специалист, получив первоначальный доступ к одному из узлов корпоративной сети, последовательно расширяет присутствие и контроль над другими системами с целью достижения критических активов организации (контроллеров домена, баз данных, финансовых или технологических систем). В рамках пентеста проверка движения по сети проводится для моделирования сценария, когда внешний периметр уже скомпрометирован (например, через фишинг, уязвимость в публичном веб-приложении или действия инсайдера). Тестирование на проникновение позволяет выявить, насколько меры …
Читать целикомВ каком из перечисленных случаев компания не обязана получать письменное согласие субъекта на обработку его персональных данных? Компания проводит собеседование кандидатов перед принятием решения о приеме на работу Согласие на обработку персональных данных (ПДн) в письменной форме требуется только в закрытом перечне случаев, установленном законодательством. Если ситуация не подпадает ни под один из них, согласие может быть получено в любой форме, позволяющей подтвердить факт его получения (ч. 1 ст. 9 152-ФЗ). Согласие на обработку ПДн в письменной форме должно быть получено в следующих случаях: ● включение ПДн в общедоступные источники (ст. 8 152-ФЗ); ● обработка специальных категорий ПДн (ст. 10 152-ФЗ); ● распространение ПДн членов (участников) общественного объединения или религиозно…
Читать целикомCISO & DPO news #142 (18–24 сентября) ИИ-модель от Google взломала три реальные компании во время тестов Во время майских испытаний одна из моделей семейства Gemini получила несанкционированный доступ к защищенным системам трех организаций. Причины — ошибки в изоляции тестовой среды и совпадение названия вымышленной компании с реальной. В одном случае модель подобрала пароль методом перебора, в двух других — нашла учетные данные в публичных репозиториях через обычные поисковые запросы. В Google заявили, что модель остановилась, как только поняла, что вышла за пределы симуляции. Фактического ущерба не было, и компания решила не заявлять об инциденте публично. Вредоносное расширение может захватить встроенный ИИ в популярных браузерах Новая техника BragJack позволяет провести атаку без вз…
Читать целикомЧто такое физический пентест и для чего его проводят? Физический пентест – это проверка защищенности объектов, помещений и инфраструктуры организации от несанкционированного физического доступа. В отличие от классического тестирования на проникновение информационных систем, в данном случае специалисты оценивают, насколько злоумышленник способен попасть на охраняемую территорию, получить доступ к оборудованию или обойти действующие физические меры безопасности. В рамках физического пентеста специалисты моделируют действия потенциального нарушителя в заранее согласованных пределах. Проверке могу подвергаться системы контроля и управления доступом, турникеты, двери, замки, пропускной режим, охрана, видеонаблюдение, серверные и технические помещения. Также оценивается устойчивость организа…
Читать целикомГде браузер хранит данные автозаполнения форм? В локальном профиле браузера Автозаполнение форм в браузере — это функция, которая автоматически подставляет необходимую информацию (например, личные данные пользователя, адреса, пароли или банковские карты) в нужные поля на веб-ресурсах (сайтах). Браузер сохраняет информацию, которую пользователь вводит вручную при регистрации, покупках, авторизации и т. д. При открытии похожей формы, даже если это другой веб-ресурс, браузер распознает HTML-код сайта и предлагает вставить сохраненные данные из памяти. Каждый браузер применяет собственный формат и местоположение. Рассмотрим три наиболее популярных браузера: Google Chrome, Mozilla Firefox и Apple Safari. Google Chrome (и другие браузеры на основе Chromium: Opera, Яндекс.Браузер, Brave и т.…
Читать целиком