Системная инженерия в компьютерной безопасности Telegram Channel Link

Спрашивают - отвечаю
Я не планирую переносить этот канал куда-либо и прыгать между площадками. Если телеграм накроется, буду писать на бумаге.
Спасибо за внимание.

У нас есть сайт securitybydesign.ru

Образовательный проект Kaspersky Academy обновил курс "Введение в кибербезопасность".
В составе курса появился еще один модуль "Конструктивная информационная безопасность". Он состоит из вводной части, четырех коротких лекций с примерами и заключительного теста.

Курс записан также на английском языке

Channel name was changed to «Системная инженерия в компьютерной безопасности»

Нас трудно остановить! Да и не можем мы вас оставить без полезных вебинаров 😉

Встречаемся 18 февраля в 16:00 на бонусном вебинаре "Системы с конструктивной информационной безопасностью".

В конце 2025 года вступил в силу национальный стандарт «ГОСТ Р 72118 Защита информации. Системы с конструктивной информационной безопасностью. Методология разработки». На вебинаре мы разберемся, в чем сходство и различие таких систем с безопасным ПО, как соотносятся создание систем с КИБ и разработка безопасного ПО, чем новый стандарт полезен в работе специалистов по ИБ различного профиля.

Приглашенный эксперт: Екатерина Рудина, аналитик Департамента перспективных технологий "Лаборатории Касперского"

Регистрация доступна по ссылке 🔗

#вебинар

19-20 ноября, уже через три дня, Kaspersky Academy проводит при моем участии двухдневный тренинг для преподавателей. Расскажу про конструктивную ИБ, про ГОСТ подробно, немного про архитектуру и моделирование угроз в конструктивном подходе. Все на примерах.
Поговорим, как это использовать и как преподавать. Увидимся!

Через неделю выступаю на конференции ArchDays в Москве. Буду рассказывать про архитектуры безопасности и их место в процессах проектирования и security by design
Если будет видео - поделюсь, иначе сделаю заметку с тезисами

Организаторы забавно сократили название доклада: там "где искать безопасность архитектуры", но я даже думаю, а указывать ли на ошибку )) UPD - исправили

Тут редко выходят публикации, но, надеюсь, каждый раз это что-то действительно полезное. На этот раз я перевела и откомментировала материалы семинара "Архитектура систем и интеграция программного обеспечения" - от легенды системного проектирования, архитектора и преподавателя Эберхарда Рехтина.
Это удивительно актуальный материал, хотя ему больше тридцати лет.
Пока только первая часть. Англоязычный исходник и перевод идут параллельно. Можно читать и сравнивать: я постаралась учесть тонкости перевода, но буду благодарна за уточнения и комментарии. Картинки - сейчас их назвали бы презентацией к семинару - приложу в комментариях.

Получилось три больших текста на платформе Telegraph:
Часть первая | текст 1 | Введение. Процесс создания архитектуры
Часть первая | текст 2 | Основы создания архитектуры систем (1)
Часть первая | текст 3 | Основы создания архитектуры систем (2). Заключение

Планирую перевод второй части, и тоже сразу выложу.

⬆️Модели угроз - тема года (или полугодия, как пойдет)
Есть время - приходите, поболтаем. Запись будет. Записи предыдущих вебинаров доступны на сайте PVS или при регистрации вас на них любезно выкинет

Цикл "Вокруг РБПО за 25 вебинаров: ГОСТ Р 56939-2024"!

Друзья, напоминаем, что совместно с Учебным Центром "МАСКОМ" мы организовываем цикл вебинаров, посвященных разбору 25 процессов РБПО.

Сегодня в 16:00 состоится седьмой вебинар⚡️

Тема: "Моделирование угроз и разработка описания поверхности атаки"

Приглашенный эксперт — руководитель группы аналитиков по информационной безопасности АО "Лаборатория Касперского" Екатерина Рудина

Регистрация на этот и последующие вебинары доступна по ссылке🔗

Присоединяйтесь к путешествию вокруг РБПО вместе с нами!

#вебинар

Стандарт вводит много понятий, про каждое из которых можно устроит целую дискуссию, чем мы и займемся. Давайте с понятия КИБ и начну, и постепенно пойдем по структуре.

Конструктивная информационная безопасность - это подход к обеспечению информационной безопасности, который предусматривает информационную безопасность системы как ее неотъемлемое свойство, начиная с момента ее замысла, и способствует реализации и поддержанию этого свойства на протяжении всей жизни системы. Цели безопасности закладываются в соответствии с назначением системы и областью ее применения. Затем эти цели учитываются при разработке требований всех уровней, при создании архитектуры системы, в процессе ее реализации (включая РБПО), при вводе в эксплуатацию и в процессе эксплуатации, и на всех промежуточных этапах тоже.

ГОСТ 72118 задает более формальное определение

Конструктивная информационная безопасность - это безопасность системы, достигнутая применением конструктивных подходов. Конструктивный подход - это подход, при использовании которого системе в процессе её создания с момента замысла придаются характеристики (свойства), которые должны обеспечивать соответствие целям безопасности, включая проверку такого соответствия.

А коллеги по отрасли формулируют еще и так:

Конструктивная кибербезопасность — это подход, при котором меры безопасности предусматриваются на уровне архитектуры и дизайна системы. Есть мнение, что он противопоставляется традиционному подходу, при котором безопасность становится наложенным средством, а не внутренней частью системы.

Важно. Конструктивная информационная безопасность не является новым понятием или новым видом информационной безопасности. Конструктивные методы в применении к информационной безопасности развиваются уже более 50-ти лет. Термин может показаться новым, поскольку впервые англицизм "security bу design" перевели таким образом (почему – писала тут)

Про национальный стандарт в области security by design.

Не так давно у него появился номер и официальный статус «утверджен». В поиске – ГОСТ Р 72118-2025 "Защита информации. Системы с конструктивной информационной безопасностью. Методология разработки". Я не торопилась рассказывать, так как официальное издание состоялось только 7 июля, а в силу стандарт вступает только с 1 декабря.
Где найти текст: есть тут, также доступен в системах типа Техэксперт и Консультант.
Так как я участвовала в разработке, буду понемногу рассказывать о том, что стоит за положениями стандарта, как планируется его использовать, в чем особенности применения и ожидаемая польза для отрасли

Системная инженерия в компьютерной безопасности pinned a photo

И еще немного разгрузим обстановку и сдуем щеки.

Читаю книгу с барсуком (менеджер я или кто). Идеально для необразовательных целей. Я думала, это книга-мем, а это книга-психотерапевт.

✍️Документируйте в стиле Кафки – никто не признается, что не понял
✍️Багофичи – это NFT, ценность определяете вы
✍️Чем абсурднее оправдание – тем легче войти в историю
✍️Мы не планируем использовать RCE на проде
✍️BYOD – Безумие, Ужас, Йогурт и Дыра

Ребят, просто признайтесь - вас покусал Пратчетт? Где его найти?

Хочется задержаться у красивой цифры 1024 (пробой-отскок), поэтому перед следующей новостью пара слов о себе и канале для вновь прибывших.
Меня зовут Екатерина Рудина, я работаю в Лаборатории Касперского, это канал появился спонтанно и был предназначен для того, чтобы шарить материалы по теории ИБ в рамках таких же спонтанных лекций для коллег. Спустя некоторое время почти все материалы появились на степике.
Зачем я веду этот канал: меня очень интересует системный инженерный подход к безопасности и доверию, безопасность by design (конструктивная ИБ). Мы – я и группа аналитиков в Лаборатории – пишем рекомендации, методики, стандарты и, что важнее, работаем по этим же рекомендациям в проектах, например, для АЭС, промышленных систем, транспорта.
То, о чем я говорю, работает на практике. Я могу выдавать базу (а иначе зачем канал так называется), помня, что инфобез не прощает надувания щек. Технические скиллы нужны, знания надо пополнять, мелочей не бывает.

Если захотите представиться, буду рада

Согласно ГОСТ Р 57149-2016/ISO/IEC Guide 51:2014, следует избегать употребления слов "безопасность" и "безопасный" в качестве описательного прилагательного, так как они не несут никакой полезной дополнительной информации.
Термин "безопасный" часто понимается широкой общественностью как состояние, при котором обеспечивается защищенность ото всех опасностей. Однако такое понимание будет неправильным: "безопасный" скорее состояние, при котором обеспечивается защищенность от идентифицированных опасностей, которые способны причинить ущерб. Без дополнительных пояснений слова "безопасность" и "безопасный" могут быть неверно интерпретированы как некая гарантия отсутствия риска.
Рекомендуемый подход состоит в том, чтобы заменять, где это возможно, слова "безопасность" и "безопасный" указанием на целевую функцию или признак предмета.

А я говорила

Обещанный краткий обзор своей статьи в Journal of Innovations по модели угроз для цифровых двойников

Читать обзор

Удивительно, как инициатива "давайте расскажу 4-5 вновь нанятым в отдел разработки ОС теоретическую базу, чтобы им легче работалось и понималось" превратилась в публичный курс и канал на тысячу человек. Мы только что пробили этот порог. Каждому спасибо за интерес и доверие!

Несу для вас свежую статью в Journal of Innovation от Object Management Group. Ее опубликовали довольно тихо еще в мае этого года (сама только-только ее обнаружила). С выпуска предыдущего JoI на тему доверия прошло много времени, но с удовольствием понимаю, что тот материал тоже ни капли не устарел.

Понимаю, что статью на английском на 20 страниц не все готовы читать, поэтому подготовлю в ближайшее время обзор)

Команда, как сейчас модно говорить, дропнула новую статью об ошибках в ПО бортовых систем самолетов гражданской авиации
Это не про атаки, но схожие инциденты вполне могут быть последствиями атак, если не думать о разработке безопасного ПО. Подробно шесть инцидентов: что произошло, почему, и даже ущерб постарались оценить. Почитайте, это очень интересно.
Аэрофобам не рекомендуется