3side кибербезопасности

Как "готовить" подрядчиков по кибербезопасности Как мы уже писали, мы периодически работаем с крупными клиентами. В разном формате — и услуги, и консультации. Недавно читали лекцию в одном банке. Для ИБ-вертикали. Причем не о том, как защищаться — а о том, как выбирать подрядчиков. И тут мы еще раз столкнулись с одной известной клиентской болью — вопросом качества. Выяснилось, что использование чужих сертификатов, привлечение в проект известных исследователей (которые о нем первый раз слышат) это в общем нередкая практика. С этой проблемой мы редко сталкиваемся, работая с МСБ — там клиент хочет "нормальную услугу в заданный бюджет". А вот с крупным бизнесом начинаются другие истории, там вопрос далеко не только в цене. Тем более, что пентесты часто делают как элемент пресейла, чтобы "сделать продажу за деньги клиента" (это цитата). Особенно если клиент исследованный и искать там особо нечего. Мы всегда даем прямой доступ к исполнителю — заказчик видит, кто делает работу, что он делает и как. Заказчик может задавать вопросы напрямую, убедиться в отсутствии перепродаж, получить всю необходимую информацию. Так проще, прозрачнее, и в конце концов — честнее. Если вам нужно решить вопрос с ИБ или просто получить консультацию — пишите нам!

Тут Solar выкатил исследование о количестве хакерских группировок, атакующих Россию. По их данным, количество существенно выросло. Все цифры можно увидеть в посте по ссылке, мы хотели бы поговорить немного про другое. Уже много раз говорили, что в России есть системные проблемы с безопасностью бизнеса. Сбербанк может сколько угодно называть себя "самым защищенным банком в мире" (и возможно, это правда), но у нас в экономике не один Сбербанк. И тут проблема, в общем, в другом. В 26 году бизнес будет экономить на всем, и это не только ИБ. И это касается не только МСБ, о котором мы обычно пишем. Так то в RAEX 500 есть наши клиенты, и у крупного бизнеса тоже все сложно. Особенно если это касается "реального сектора" — там боль. Бизнес достаточно закредитован, на него давит операционка, на него давят налоги, и в целом мотивации защищаться не очень много, пока не случился инцидент. Мы работаем с очень зрелыми МСБ, мы работаем с не очень зрелым крупным бизнесом. Очень часто, проблемы с хранением персданных выглядят большей угрозой, чем атаки. И мы это к чему. Управление ИБ — это такая же операционка, как налоги. Есть много путей решения — можно покупать СЗИ, можно делать услуги, можно страховаться. Можно пробовать делать дешево, это в целом реально. Но не делать ничего уже становится достаточно плохой стратегией.

О "коробочных" пентестах — или почему мы дешевле рынка Мы неоднократно слышали вопрос: а почему вы настолько дешевле других подрядчиков? Вы точно делаете работу качественно? Короткий ответ: да, качественно. Мы работаем только с опытными исполнителями, контролируем процесс и проверяем результат. Длинный ответ: с этого года мы перешли к модели "коробочного" пентеста. Это значит, что мы почти сразу знаем стоимость "типовых" работ, а сам процесс мы максимально унифицировали. Сам процесс многократно отработан, исполнитель не тратит время на многие вещи, использует понятные инструменты. При этом, атакующая безопасность — работа творческая, и мы это "творчество" никак не ограничиваем. Наша цель — экономия на масштабе. Чем больше проектов мы делаем, тем лучше мы унифицируем процесс, тем дешевле конечные работы. К тому же, большинству клиентов не нужно "дорого-богато" и работа на уровне APT-группировок, им нужно, чтобы их не взломали хакеры в рамках модели угроз. Грубо говоря, российский рынок пентеста сейчас — это зачастую выбор между "Брабусом" и "Майбахом". Наша задача — дать клиенту хорошую качественную "Тойоту". Безопасность — это не лакшери услуга, она становится обязательной и она должна предотвращать больший ущерб, чем она стоит.

3side — это не только кибербез! Мы тут совершенно неожиданно осознали, что по модели 3side можно делать не только ИБ, но и классические IT-услуги. Пока мы сфокусировались на IT-аудитах, но при необходимости можем найти людей на что-то еще. Для чего нужен IT-аудит: в минимальном варианте это оценка активов и их состояния + набор рекомендаций. Точно помогает найти shadow IT и оценить эффективность текущей инфраструктуры. Стоимость: от 300 000 рублей. Сейчас мы стартовали два "пробных" проекта, посмотрим, что получится. Понятно, что процессы будем унифицировать и стандартизировать, будем целиться в "коробочное" решение, как получилось с пентестами. Но идея как минимум интересная и жизнеспособная. Это точно не целевой продукт, но в целом вполне реальный. Если он вам нужен — свяжитесь с нами.

Для чего нужен пентест - о практической пользе За этот год мы сделали несколько десятков пентестов. И мы тут поняли, что мы практически не писали о практической пользе от них. Что касается внешки — то где-то в половине случаев находились прям критические-критические уязвимости, которые можно брать и эксплуатировать. К сожалению, не все заказчики закрывают их быстро, но большинство закрывает. Внутренний пентест почти всегда успешный, особенно в компаниях с развитой инфраструктурой, но тут причины понятны: чем больше внутри всего, тем больше шансов дойти до недопустимого события. Пока наш топ проблем такой: 1. Отсутствие двухфакторной аутентификации. Это прям must, и зачастую простой поиск по утечкам может дать нужный результат 2. Простые ошибки, которые находит 4sec. Понятно, что в ходе пентеста используются более "продвинутые" инструменты, ищутся ошибки в логике, и так далее — но иногда это избыточно. Причем таких уязвимостей может быть несколько. 3. Грубые ошибки, скажем так, в архитектуре. Бывает, что у заказчика в сеть торчит то, что торчать туда не должно, а дальше см. пункт 1. Мораль: пара логин/пароль admin admin это проблема, как и торчащий в интернет .git! И это еще без использования социалки, но там отдельная история. Кстати, стоимость самого простого проекта — 250 000 рублей, самого дорогого — 1,2 млн. Кибербез это не так дорого, как принято считать, а унификация процессов существенно его удешевляет.

О самом необычном проекте У нас тут завершился проект, который мы точно считаем самым нестандартным за всю историю 3side. Заказчика, как обычно, называть не будем, но история на стыке ИБ, юриспруденции и классического IT. Предыстория: к нам обратился клиент из сферы услуг, который был в стадии текущего конфликта с одним из C-level сотрудников. Клиент предполагал нанесение некоторого ущерба и хотел решить вопрос техническими и иными средствами. Результат: проверили инфраструктуру, написали кучу документов, собрали доказательную базу, провели оценку действий сотрудника, минимизировали ущерб. В итоге, раскопали огромный массив информации, проблему решили, будем работать дальше. Мораль: даже если вы уверены в человеке, минимальные, простые и понятные действия могут избавить от возможных проблем. Это недорого, это просто, и часто делается своими силами. Ну, или можно привлечь нас для гарантированного результата. Кстати, благодаря проекту мы поняли, что с юридическими задачами в IT/ИБ мы тоже работаем!

"... взламываются и шифруются системы целых предприятий, и потом они по полтора года восстанавливают систему" — Герман Оскарович на форуме Домклика выдал базу про кибербез. " ... (кому-то) кажется, что это лишние расходы, так же, как пожарная безопасность. Ну зачем современная система, это, кажется, лишние затраты, а потом (это вопрос) жизни людей." "Ну и вот мы видим, что сейчас, в непростых условиях, в которых мы сегодня находимся, взламываются и шифруются системы целых предприятий, и потом они по полтора года восстанавливают систему и теряют огромные деньги на этом." "Поэтому есть такое понятие, как security by design. То есть любая информационная система должна в составе команды девелоперов, цифровых девелоперов, должна иметь обязательно человека, отвечающего за кибербезопасность. И вместе с созданием продукта они должны сразу же комбинировать систему безопасности его." "И это огромный вызов. И я бы говорил о том, что это может быть одна из самых важных проблем. Риск-менеджмент, наверное, здесь я соглашусь, что все новые технологии, всем скопом рисков, операционными рисками, модельными рисками". Последнее, наверное, самое главное. Из того, что мы видим, ключевая проблема — это именно управление операционными рисками. Это понимание проблемы, это осознание проблемы, это количественная оценка проблемы, это попытка ей так или иначе управлять. И тут речь не про покупку СЗИ за 100500 млн рублей, не про найм команды из 5 инженеров, и вообще не столько про деньги. Информационная безопасность — это как пожарная безопасность, или условно управление бухгалтерией. Какие-то вещи 3 года назад налоговая пропускала, а сейчас — нет. Пять лет назад вы не были нужны хакерам, а сейчас — как пойдет.

Вебинар «Итоги 2025 в инфобезе — громкие взломы, влияние ИИ, версии защиты и взгляд в 2026» Большие атаки, ИИ в руках злоумышленников, новые требования регуляторов и запуск 4security — 2025 стал годом, когда «так, как раньше», уже явно недостаточно. На вебинаре разберём, к чему привели ошибки этого года, какие меры действительно работают и как подготовиться к новым рискам. В программе: • крупнейшие взломы 2025 года — как происходили и что могло их остановить; • как ИИ усилил атаки и почему теперь злоумышленнику достаточно нажать Enter; • какие изменения в законодательстве повлияют на безопасность бизнеса; • прогноз ИБ-рисков на 2026 — кто попадёт под удар в первую очередь; • защита инфраструктуры: минимальная, оптимальная и максимальная стратегии; • выводы нашей компании и запуск платформы 4security 2.0; • предложение на бесплатную консультационную встречу — разработаем индивидуальный план работ на 2026. Результат участия: • поймёте, к чему привели ошибки компаний в 2025 году; • узнаете, где ИИ усилил угрозы, а где помогает обороне; • получите структуру защитных мер по уровням зрелости; • сможете объяснить руководству, что нужно делать до инцидента, а не после; • получите возможность бесплатно сформировать план ИБ на следующий год. Для кого вебинар: • владельцы и руководители бизнеса; • специалисты по ИБ и IT-директора; • все, кто планирует бюджет и стратегию защиты на 2026 год. Дата проведения: 2 декабря 2025 г. | 11.00 (МСК) Формат: онлайн Бонус участникам: бесплатная консультационная встреча по формированию плана ИБ на 2026 Регистрация

Открыта регистрация на главную аналитическую конференциюКод ИБ ИТОГИ в Москве 🗓 4 декабря | Начало в 9:30 📍 Palmira Business Club Более 50 экспертов по ИБ разберут ключевые события года, представят свежую аналитику и озвучат прогнозы на будущее. В программе: 📌 3 дискуссии — CISO говорят — БОССЫ кибербеза говорят — Стартапы говорят 📌 6 тематических сессий — Защита инфраструктуры — Культура кибербезопасности — Анализ защищенности — Защита данных — Безопасная разработка — Процессы А также: — Зона со стендами ИБ-компаний — Новогодние угощения — Розыгрыши подарков — Дружественная атмосфера Опытом поделятся практики из ведущих компаний: Яндекс, СберТех, Билайн, Райффайзенбак, СОГАЗ, ГК Элемент и др. Успейте забронировать место — участие бесплатное по предварительной регистрации. ➡️Стать участником

4security версия 2.0 — мы это сделали! Активно развивая бизнес, компании МСБ научились эффективно использовать технологии, создавая собственные продукты и уверенно конкурируя с крупными игроками. Но чем больше технологий — тем выше риски. 71% компаний МСБ уже сталкивались с хакерскими атаками за последний год и это только начало. Проблема в том, что почти все решения по кибербезопасности сделаны для крупных компаний. Они сложные, дорогие и требуют отдельного ИБ-специалиста. У МСБ таких ресурсов обычно нет, поэтому защиту откладывают «на потом». А риски растут. 4sec — кибербезопасность, созданная именно для малого и среднего бизнеса Без избыточной функциональности. Без ИБ-специалиста. С гарантией результата. Что вы получаете: 1. Облачный сервис, который понимает вашаIT-команда Непрерывно сканирует инфраструктуру и выдаёт простые, понятные рекомендации. С ним легко справится текущая ИТ-команда — никаких глубоких знаний по кибербезопасности не нужно. 2. Экспертная поддержка 24/7 рядом Возникла сложная ситуация — наши специалисты подключаются мгновенно. Мы не только предотвращаем инциденты, но и оперативно устраняем последствия, чтобы ваш бизнес не останавливался. Мы не просто продаём сервис, мы берём киберриски вашего бизнеса на себя. Если инфраструктуру всё-таки зашифруют, а мы не восстановим её за 48 часов - вы получите финансовую компенсацию. Не уверены, подойдёт ли? Начните с бесплатного тарифа — защита включится уже сегодня. Фокусируйтесь на продажах, клиентах, росте. Мы обеспечим вашу безопасность. 4security.ru

Рейтинг никому не нужных самых защищенных ковбоев Джо Тут национальный центр кибербезопасности Эстонии выкатил рейтинг стран в области кибербезопасности (он же National Cyber Security Index). Результаты ... воодушевляют. На первом месте — Чехия, на втором — Канада, на третьем — ... Эстония! Европейские "топы" на 9-11 местах, США на 26 (выше — Чили и Албания), Китай на 59 месте (сразу за Киргизией), России и Израиля в рейтинге нет. Тут просто без комментариев. На наш взгляд, США, Китай, Россия и Израиль — четыре лидера мирового кибербеза. Собственно, мы видим очередной замечательный "бумажный" рейтинг. Мы почти уверены, что основой для рейтинга послужила не реальная защищенность, а наличие правовой базы, внедрение международных технических стандартов и наличие разного рода национальных стратегий развития и прочих ценных документов. Ну а что, как известно — любой проект лучше всего работает в формате pptx. И вот тут характерно — страны, которые строят "суверенную" кибербезопасность, оказались ниже. А это — и Китай, и отчасти США. То есть мы получили очередной список "усердных учеников" вместо списка "самых сильных". И это очень и очень характерно для многих международных рейтингов. Также отметим, что Киберцентр НАТО по сотрудничеству в области кибербеза также расположен в Эстонии, но это совсем другая история, и работают там как раз технические профессионалы, а не специалисты в области "бумаг и международных отношений".

Черные белые или белые черные хакеры Сегодня на пленарной сессии форума Цифровые Решения 2025 мы продолжили искать ответ на вопрос, как правильнее называть хакеров. Чтобы и друг друга лишний раз не пугать, и суть чтобы не потерялась.