bga68comp | Recent Entries

Вимоги, що стосуються впровадження електронного документообігу та інформаційної безпеки, відповідно до нормативних актів і стандартів.

№	Вимога	Де міститься
1	Забезпечення захисту електронних банківських документів	Постанова НБУ №95 "Про затвердження Правил організації захисту електронних банківських документів у банках України"
2	Вимоги до зберігання, обробки та передачі електронних документів	Постанова НБУ №95 "Про затвердження Правил організації захисту електронних банківських документів у банках України"
3	Вимоги до електронної взаємодії банків	Постанова НБУ №75 "Про затвердження Правил електронної взаємодії банків у банківській системі України"
4	Впровадження системи управління інформаційною безпекою (ISMS)	ISO/IEC 27001
5	Застосування конкретних заходів інформаційної безпеки	ISO/IEC 27002
6	Використання електронних підписів та електронних печаток	Закон України "Про електронні довірчі послуги"
7	Забезпечення комплексного підходу до захисту інформації	ISO/IEC 27001
8	Управління ІТ-процесами для забезпечення інформаційної безпеки	COBIT
9	Вимоги до інформаційної безпеки банківської системи	Постанова НБУ №43 "Про затвердження Положення про інформаційну безпеку в банківській системі України"
10	Методичні рекомендації щодо управління інформаційною безпекою	Методичні рекомендації НБУ щодо управління інформаційною безпекою
11	Дотримання вимог щодо легітимності електронного документообігу	Закон України "Про електронні довірчі послуги"

Ця таблиця надає узагальнений огляд вимог, що стосуються інформаційної безпеки та впровадження електронного документообігу у фінансових установах України.

Впровадження електронного документообігу в фінансових установах України, включаючи банки, регулюється кількома нормативними актами та стандартами, зокрема тими, що стосуються інформаційної безпеки.
Ось деякі основні нормативні документи та стандарти, які варто враховувати:

1. Накази та рішення НБУ

Постанова НБУ №95 "Про затвердження Правил організації захисту електронних банківських документів у банках України" (затверджена 18 березня 2019 р.): Ця постанова визначає основні вимоги до захисту електронних банківських документів, включаючи вимоги до зберігання, обробки та передачі таких документів.
Постанова НБУ №75 "Про затвердження Правил електронної взаємодії банків у банківській системі України" (затверджена 12 квітня 2021 р.): Ця постанова встановлює вимоги до електронної взаємодії банків, включаючи питання захисту інформації та електронних документів.
Постанова НБУ №43 "Про затвердження Положення про інформаційну безпеку в банківській системі України": Документ містить вимоги до забезпечення інформаційної безпеки в банківській системі, які необхідно враховувати під час впровадження електронного документообігу.

2. Стандарти інформаційної безпеки

ISO/IEC 27001: Стандарт, що встановлює вимоги до системи управління інформаційною безпекою (ISMS). Впровадження цього стандарту допомагає забезпечити комплексний підхід до захисту інформації, що є критично важливим при впровадженні електронного документообігу.
ISO/IEC 27002: Кодекс практик з управління інформаційною безпекою, який є доповненням до ISO/IEC 27001 і містить конкретні заходи безпеки, що можуть бути застосовані в процесі захисту електронних документів.
COBIT (Control Objectives for Information and Related Technologies): Це фреймворк для управління IT і інформаційною безпекою, який надає кращі практики для управління та контролю над ІТ-процесами, включаючи електронний документообіг.

3. Інші нормативні акти та рекомендації

Закон України "Про електронні довірчі послуги": Регулює питання використання електронних підписів, електронних печаток та інших електронних довірчих послуг, що є основою для легітимності електронного документообігу.
Методичні рекомендації НБУ щодо управління інформаційною безпекою: Ці рекомендації надають конкретні вказівки щодо впровадження системи інформаційної безпеки в банківській системі України.

Дотримання вищезазначених нормативних актів та стандартів є важливим для забезпечення надійного та безпечного електронного документообігу в банківських установах.

Детальні вимоги за кожною із загальних категорій:

№	Вимога	Де міститься	Деталі вимоги
1	Забезпечення захисту електронних банківських документів	Постанова НБУ №95 "Про затвердження Правил організації захисту електронних банківських документів у банках України"	Встановлення вимог до конфіденційності, цілісності та доступності даних; використання криптографічного захисту.
2	Вимоги до зберігання, обробки та передачі електронних документів	Постанова НБУ №95	Визначення процедур шифрування даних, резервного копіювання, обмеження доступу, журналювання дій з документами.
3	Вимоги до електронної взаємодії банків	Постанова НБУ №75	Використання захищених каналів зв’язку; автентифікація сторін; захист від несанкціонованого доступу та модифікації даних.
4	Впровадження системи управління інформаційною безпекою (ISMS)	ISO/IEC 27001	Визначення політики інформаційної безпеки; оцінка ризиків; управління інцидентами; аудит та моніторинг системи безпеки.
5	Застосування конкретних заходів інформаційної безпеки	ISO/IEC 27002	Використання заходів контролю доступу; управління активами; шифрування; безпека людських ресурсів; фізична безпека.
6	Використання електронних підписів та електронних печаток	Закон України "Про електронні довірчі послуги"	Використання кваліфікованих електронних підписів та печаток; забезпечення їх юридичної сили та достовірності.
7	Забезпечення комплексного підходу до захисту інформації	ISO/IEC 27001	Включення всіх аспектів управління інформацією: фізична, логічна, організаційна та технічна безпека.
8	Управління ІТ-процесами для забезпечення інформаційної безпеки	COBIT	Визначення ключових показників ефективності (KPI) для ІТ-безпеки; інтеграція управління ризиками в ІТ-процеси.
9	Вимоги до інформаційної безпеки банківської системи	Постанова НБУ №43	Визначення обов’язкових процедур і політик для захисту банківської інформації; регулярний перегляд і оновлення безпекових заходів.
10	Методичні рекомендації щодо управління інформаційною безпекою	Методичні рекомендації НБУ щодо управління інформаційною безпекою	Рекомендації щодо оцінки ризиків, управління інцидентами, організації безперервного моніторингу та аудиту інформаційної безпеки.
11	Дотримання вимог щодо легітимності електронного документообігу	Закон України "Про електронні довірчі послуги"	Вимоги до надання юридичної сили електронним документам; відповідність технічним і правовим стандартам електронних підписів і печаток.

Ця таблиця містить більш детальний огляд вимог, що висуваються до інформаційної безпеки та електронного документообігу, а також посилання на конкретні нормативні акти та стандарти.

💻 На головну сторінку

Приклад

Політика моніторингу та реагування на події інформаційної безпеки

1. Вступ

Ця політика визначає підходи до моніторингу інформаційної безпеки (ІБ) та реагування на події, пов'язані з безпекою, які можуть впливати на конфіденційність, цілісність та доступність інформаційних активів організації. Метою є забезпечення своєчасного виявлення, оцінки та реагування на потенційні загрози та інциденти.

2. Сфера дії

Політика застосовується до всіх співробітників, підрядників та третіх осіб, які використовують або мають доступ до інформаційних систем організації. Вона охоплює всі інформаційні активи, включаючи апаратне та програмне забезпечення, мережеві ресурси та дані.

3. Визначення

Інцидент інформаційної безпеки - будь-яка подія, яка має або може мати негативний вплив на інформаційну безпеку організації.
Моніторинг інформаційної безпеки - процес безперервного спостереження за інформаційними системами та активами для виявлення ознак потенційних інцидентів.

4. Процедури моніторингу

4.1 Засоби моніторингу
Організація впроваджує та використовує засоби моніторингу для виявлення аномалій, загроз та інцидентів у реальному часі. До них відносяться:

Системи виявлення вторгнень (IDS/IPS);
Антивірусне програмне забезпечення;
Фаєрволи та системи контролю доступу;
Логування та аналіз журналів подій;
Моніторинг мережевого трафіку.

4.2 Оповіщення та сповіщення
В разі виявлення інциденту або аномалії, система моніторингу повинна автоматично генерувати оповіщення, які будуть негайно передані відповідальним особам для подальшого розгляду.

5. Процедури реагування

5.1 Класифікація інцидентів
Інциденти повинні бути класифіковані за рівнем критичності та впливу на бізнес-процеси. Класифікація визначає пріоритетність та порядок реагування.

5.2 Етапи реагування

Ідентифікація: Збір та аналіз інформації про інцидент.
Контейнування: Вжиття заходів для обмеження поширення інциденту.
Усунення: Відновлення нормальної роботи системи та усунення загроз.
Відновлення: Відновлення функціоналу систем після інциденту.
Аналіз: Оцінка інциденту та розробка рекомендацій для попередження подібних подій у майбутньому.

5.3 Звітність та документування
Усі інциденти повинні бути документовані. Включно з деталями про час, тип інциденту, дії, які були вжиті, та результати реагування. Розслідування та звітність повинні бути завершені якомога швидше після завершення реагування.

6. Ролі та відповідальність

6.1 Відповідальні особи
Кожен інцидент ІБ повинен мати призначеного відповідального, який забезпечує координацію дій та комунікацію з усіма зацікавленими сторонами.

6.2 Зовнішні партнери
У разі необхідності, організація може залучати зовнішніх фахівців для розслідування або реагування на інциденти.

7. Оцінка та вдосконалення

7.1 Періодичний огляд
Ця політика підлягає регулярному перегляду та вдосконаленню з урахуванням нових загроз та змін в ІТ-інфраструктурі.

7.2 Навчання та підготовка
Всі співробітники, відповідальні за реагування на інциденти, повинні проходити регулярне навчання та підготовку з питань ІБ.

8. Дотримання політики

Невиконання положень цієї політики може призвести до дисциплінарних заходів, включаючи звільнення.

💻 На головну сторінку

функціональні вимоги до системи DLP (Data Loss Prevention):

Контроль і моніторинг всіх каналів передачі даних:
- Система повинна підтримувати різні канали передачі даних, такі як електронна пошта, веб-браузери, месенджери, знімні носії, принтери, хмарні сервіси та мобільні пристрої.
- Необхідно забезпечити контроль даних як у спокої (в системах зберігання), так і в русі (під час передачі через мережу або перенесення на зовнішні пристрої).
Аналіз вмісту і контексту:
- Система повинна вміти аналізувати вміст файлів, повідомлень і даних на предмет конфіденційної інформації, такої як особисті дані (PII), фінансові дані та інтелектуальна власність.
- Контекстний аналіз має враховувати інформацію про те, хто, коли і як взаємодіє з даними, включаючи місце розташування та пристрій.
Класифікація і маркування даних:
- Дані повинні класифікуватися як автоматично, так і вручну на основі їх вмісту, контексту та політик.
- Необхідна інтеграція з системами класифікації та маркування даних, такими як Microsoft Information Protection.
Створення і управління політиками безпеки:
- Можливість створювати гнучкі політики безпеки для різних категорій даних і користувачів.
- Підтримка шаблонів політик і управління ними через централізовану консоль, включаючи автоматичне застосування змін у реальному часі.
Ідентифікація і блокування витоків даних:
- Система повинна виявляти спроби витоку даних і мати можливість автоматичної блокування або обмеження доступу.
- Реакція на інциденти може включати сповіщення адміністратора, попередження користувача, ведення журналу подій, тимчасове або постійне блокування операції.
Журналювання і звітність:
- Ведення журналів усіх подій, пов'язаних із доступом, передачею та зміною даних.
- Створення звітів по інцидентах, дотриманню політик та активності користувачів.
- Можливість налаштування звітів під конкретні вимоги організації або нормативів.
Інтеграція з іншими системами безпеки:
- Підтримка інтеграції з SIEM-системами, антивірусами, рішеннями по управлінню правами доступу (IAM), системами виявлення загроз та іншими інструментами безпеки.
- Можливість взаємодії з існуючими системами управління інцидентами та реагування на них.
Аналіз поведінки користувачів (UBA):
- Аналіз поведінки користувачів і виявлення аномалій, які можуть свідчити про потенційні загрози (наприклад, незвичайні обсяги переданих даних або нетипові дії користувача).
- Інтеграція з системами машинного навчання для прогнозування і запобігання загрозам на основі історичних даних.
Управління доступом і авторизація:
- Підтримка багатофакторної автентифікації і ролей на основі прав доступу для управління тим, хто і як може взаємодіяти з системою DLP та захищеними даними.
- Гнучкість налаштування рівнів доступу залежно від ролі користувача і контексту.
Підтримка роботи з зашифрованими даними:
- Можливість аналізу і контролю даних, зашифрованих з використанням різних алгоритмів і протоколів.
- Інтеграція з системами управління ключами для дешифрування і аналізу даних.
Оновлення і адаптація до нових загроз:
- Регулярні оновлення системи для захисту від нових типів загроз і уразливостей.
- Можливість додавання і оновлення політик, шаблонів і правил у відповідь на зміни в нормативних вимогах і бізнес-середовищі.
Управління інцидентами і реагування:
- Наявність інструментів для управління інцидентами, включаючи створення інцидентних карт, автоматичне сповіщення і можливість швидкого реагування.
- Інтеграція з системами реагування на інциденти для координації і автоматизації дій по усуненню загроз.

Ці функціональні вимоги допомагають забезпечити всебічний захист даних в організації, мінімізуючи ризики витоків і забезпечуючи відповідність нормативним вимогам.

💻 На головну сторінку

Документи, які потрібно розглянути та прийняти організації перед впровадженням системи DLP з юридичної точки зору, відповідно до стандарту ISO 27001 і законів України:

1. Документи, пов'язані з законодавством України

1.1. Положення про захист персональних даних

Зміст: Документ, що описує, як організація збирає, обробляє, зберігає та захищає персональні дані, включаючи права суб'єктів даних та обов'язки організації.
Законодавство: Закон України "Про захист персональних даних".

1.2. Політика інформаційної безпеки

Зміст: Документ, що визначає загальні підходи та заходи для захисту інформації в організації, включаючи вимоги до системи DLP.
Законодавство: Закон України "Про основи забезпечення кібербезпеки України".

1.3. Регламент обробки персональних даних

Зміст: Документ, що деталізує процеси обробки персональних даних відповідно до національного законодавства.
Законодавство: Закон України "Про захист персональних даних".

1.4. Політика конфіденційності

Зміст: Документ, що інформує суб'єктів даних про те, як їх персональні дані збираються, використовуються та захищаються, а також про права суб'єктів даних.
Законодавство: Закон України "Про захист персональних даних".

1.5. Угода про конфіденційність (NDA)

Зміст: Документ, що встановлює зобов'язання співробітників та контрагентів щодо нерозголошення конфіденційної інформації та персональних даних.
Законодавство: Закон України "Про захист персональних даних", Закон України "Про комерційну таємницю".

1.6. Порядок реагування на інциденти безпеки

Зміст: Документ, що регламентує дії співробітників і керівництва при виявленні інцидентів інформаційної безпеки, включаючи витоки даних.
Законодавство: Закон України "Про основи забезпечення кібербезпеки України".

2. Документи, пов'язані з ISO 27001

2.1. Політика інформаційної безпеки (Information Security Policy)

Зміст: Основоположний документ, що описує зобов'язання керівництва щодо забезпечення інформаційної безпеки, цілі безпеки, обсяги застосування та основні принципи захисту інформації.
Стандарти: Пункт 5.2 "Політика інформаційної безпеки".

2.2. Оцінка ризиків (Risk Assessment)

Зміст: Документ, що описує процес ідентифікації, аналізу та оцінки ризиків для інформаційної безпеки, включаючи ризики, пов'язані з витоками даних.
Стандарти: Пункти 6.1.2 "Оцінка ризиків в області інформаційної безпеки" та 6.1.3 "Обробка ризиків в області інформаційної безпеки".

2.3. Методика управління ризиками (Risk Treatment Plan)

Зміст: Документ, що визначає заходи щодо зниження, передачі, уникнення або прийняття ризиків, пов'язаних з інформаційною безпекою, і описує, як система DLP може допомогти в управлінні цими ризиками.
Стандарти: Пункт 6.1.3 "Обробка ризиків в області інформаційної безпеки".

2.4. Декларація застосовності (Statement of Applicability, SoA)

Зміст: Документ, що підтверджує, які з рекомендованих контролів інформаційної безпеки ISO 27001 організація впровадила і чому.
Стандарти: Пункт 6.1.3 "Обробка ризиків в області інформаційної безпеки".

2.5. План неперервності бізнесу (Business Continuity Plan)

Зміст: Документ, що описує процедури для забезпечення неперервності бізнес-процесів у випадку інцидентів, включаючи витоки даних.
Стандарти: Пункт 17 "Аспекти інформаційної безпеки в управлінні неперервністю бізнесу".

2.6. Політика управління доступом (Access Control Policy)

Зміст: Документ, що описує правила та процедури для управління доступом до інформаційних активів, включаючи налаштування та управління доступом у системі DLP.
Стандарти: Пункт 9.4 "Управління доступом".

2.7. Журнали та контрольні журнали (Logging and Monitoring)

Зміст: Документ, що описує процедури ведення та аналізу журналів, а також моніторингу подій інформаційної безпеки, включаючи використання системи DLP для відстеження витоків даних.
Стандарти: Пункт 12.4 "Логування та моніторинг".

3. Документи, пов'язані з внутрішніми процесами та регламентами

3.1. Інструкції по роботі з системою DLP

Зміст: Оперативні інструкції для адміністраторів та користувачів, що описують правила роботи з системою DLP, включаючи процеси моніторингу, звітності та реагування на інциденти.

3.2. Технічні політики та процедури

Зміст: Документи, що описують технічні заходи безпеки, такі як конфігурації серверів, мереж, робочих станцій та впровадження системи DLP.

3.3. Положення про захист комерційної таємниці

Зміст: Документ, що регулює правила звернення з конфіденційною інформацією та комерційною таємницею, включаючи використання системи DLP для захисту цих даних.

4. Додаткові документи

4.1. Угоди з підрядниками та партнерами

Зміст: Угоди, що містять положення про захист даних, зобов'язання щодо використання системи DLP та відповідальність за витік даних.

4.2. Документовані докази відповідності

Зміст: Журнали аудитів, результати оцінки ризиків та інші документи, що підтверджують, що організація дотримується вимог законодавства та стандарту ISO 27001.

Цей перелік документів допоможе організації не тільки дотримуватись законодавства України, але й впровадити ефективну систему інформаційної безпеки відповідно до міжнародних стандартів.

💻 На головну сторінку

Якщо розглядати Політику антивірусного захисту з урахуванням COBIT, то маємо на увазі наступне:

COBIT (Control Objectives for Information and Related Technology) — це фреймворк управління ІТ, розроблений для забезпечення зв’язку між ІТ-цілями та бізнес-цілями. COBIT охоплює безліч аспектів ІТ-управління, включаючи управління ризиками, безпеку, контроль і відповідність вимогам.
Антивірусний захист у контексті COBIT може розглядатися в рамках доменів, пов’язаних з управлінням ризиками та забезпеченням інформаційної безпеки. Ось ключові розділи та процеси COBIT, які стосуються антивірусного захисту:

APO12 - Управління ризиками (Risk Management)
- У цьому процесі COBIT описується необхідність ідентифікації, оцінки та управління ІТ-ризиками, що включає загрози безпеки, такі як віруси та шкідливе ПЗ. Антивірусний захист розглядається як одна з заходів для зменшення ризиків.
DSS05 - Управління безпекою (Manage Security Services)
- Цей процес включає забезпечення інформаційної безпеки шляхом реалізації та підтримання заходів захисту, таких як антивірусні рішення, брандмауери та інші механізми захисту.
DSS01 - Управління операційними ІТ-послугами (Manage Operations)
- Операційні процеси управління ІТ можуть включати моніторинг і управління антивірусним захистом як частину загальних ІТ-послуг.
BAI09 - Управління конфігурацією (Manage Configuration)
- Антивірусні програми повинні бути правильно сконфігуровані та оновлені, що також стосується управління конфігурацією ІТ-інфраструктури.

Ці розділи COBIT допомагають організаціям розробляти, впроваджувати та підтримувати ефективні заходи антивірусного захисту, а також управляти відповідними ризиками, пов’язаними з шкідливим програмним забезпеченням.

💻 На головну сторінку

Хтось вигадав, що життя - це білі і чорні полоси. А з приводу цієї статті можна сказати, що в житті настав час спілкування з видатними представниками технічної підтримки. Після спілкування з деякими ти залишаєшься дуже задоволеним (це правда - позитивне вирішення питання додає частку щастя 😊), а з іншими... як би це мовити?.. Дуже здивованим та засмученим.

Сучасний світ вчить скріншотити все, що бачиш. Бо через 5-10 хвилин те, що ти бачив і воно здавалося вічним, пропаде. Наза́вжди. І так, що не буде і згадки про нього.
Там буде сторінка з помилкою. У кращому разі. У гіршому або домен відсутній, або просто перенаправлять на якусь іншу сторінку з абсолютно незв'язаних питань. Наприклад, ви шукаєте інформацію про програмний продукт, а вас перекидають за посиланням на магазин, який продає жіночі труси.
І нова звичка - все скріншотити - надає можливість спілкуватися з доказами з технічною підтримкою хоч якого непривітного сервісу.
( Read more... )

P.s. Хотілося б залишити оригінальний текст від підтримки, але він настільки безграмотний... Трошки довелося його для статті підправити. Може, це зараз модно бути безграмотним і я тут не в своїй тарілці?

💻 На стартову сторінку

Які накази і рішення НБУ стосуються дотримання вимог в контексті захисту платіжних систем та фінансових даних?

Національний банк України (НБУ) видав ряд нормативних актів, які регулюють питання захисту платіжних систем і фінансових даних. Ці акти встановлюють вимоги до інформаційної безпеки, включаючи дотримання міжнародних стандартів, таких як PCI DSS. Нижче наведено основні накази і рішення НБУ, що стосуються цього питання:

1. Постанова НБУ №95 "Про затвердження Положення про здійснення захисту інформації та кібербезпеки в банківській системі України"

Дата прийняття: 28 вересня 2022 року
Опис: Ця постанова встановлює вимоги до забезпечення інформаційної безпеки та кібербезпеки в банківській системі України. Вона регулює порядок захисту інформації, яка обробляється в банках і фінансових установах, включаючи захист платіжних даних. Постанова зобов'язує банки впроваджувати системи управління інформаційною безпекою, відповідати міжнародним стандартам (включаючи PCI DSS), а також забезпечувати кіберзахист своїх інформаційних систем.

2. Постанова НБУ №75 "Про затвердження Положення про захист інформації та кібербезпеки в платіжних системах"

Дата прийняття: 21 червня 2019 року
Опис: Ця постанова регламентує вимоги до захисту інформації в платіжних системах, а також визначає правила захисту фінансових даних, які обробляються в цих системах. Положення зобов’язує операторів платіжних систем, платіжних інфраструктурних сервісів, а також їхніх учасників дотримуватися вимог до безпеки даних, включаючи стандарти PCI DSS.

3. Постанова НБУ №56 "Про організацію захисту інформації в банках України"

Дата прийняття: 14 липня 2006 року (з подальшими змінами)
Опис: Постанова регулює загальні питання організації захисту інформації в банках України. Вона включає вимоги до створення систем захисту інформації, управління ризиками, моніторингу та аудиту безпеки, а також захисту фінансових даних, що обробляються банками.

4. Постанова НБУ №391 "Про затвердження Положення про здійснення нагляду (оверсайта) за платіжними системами"

Дата прийняття: 30 жовтня 2018 року
Опис: Цей документ регламентує порядок нагляду за платіжними системами та їхніми учасниками з боку НБУ. Постанова встановлює вимоги до дотримання стандартів безпеки, зокрема щодо захисту інформації та забезпечення кібербезпеки в платіжних системах.

5. Рішення НБУ щодо підвищення стандартів кібербезпеки в банківській системі України

Опис: НБУ регулярно приймає рішення, спрямовані на підвищення рівня кібербезпеки в банківському секторі. В рамках цих рішень банки зобов'язані впроваджувати новітні технології захисту інформації, посилювати контроль за доступом до платіжних систем, а також регулярно проводити аудит безпеки.

6. Листи та роз'яснення НБУ щодо дотримання стандартів інформаційної безпеки

Опис: НБУ періодично надсилає листи та роз'яснення щодо необхідності дотримання стандартів інформаційної безпеки, включаючи PCI DSS. Ці документи можуть містити рекомендації щодо кращих практик у сфері захисту платіжних даних та кібербезпеки.

Ці нормативні акти та рішення регламентують захист платіжних систем і фінансових даних, забезпечуючи безпеку та надійність банківської системи України. Банки та фінансові установи зобов'язані дотримуватися цих вимог і забезпечувати відповідність міжнародним стандартам, включаючи PCI DSS.

Також дивись:
→ Про PCI DSS 4.0

Які накази і рішення НБУ стосуються дотримання вимог в контексті захисту платіжних систем та фінансових даних?

НБУ видає низку нормативно-правових актів, які регулюють питання захисту платіжних систем та фінансових даних. Основні документи, що стосуються дотримання вимог інформаційної безпеки в контексті захисту платіжних систем, включають:

1. Постанова Правління НБУ № 243 від 4 липня 2007 року (зі змінами та доповненнями)

Назва: "Про затвердження Правил захисту інформації та кіберзахисту в платіжних системах України".
Опис: Ця постанова встановлює вимоги до захисту інформації в платіжних системах, зокрема до забезпечення конфіденційності, цілісності та доступності даних, що обробляються в рамках платіжних операцій.

2. Постанова Правління НБУ № 351 від 28 вересня 2021 року

Назва: "Про затвердження Положення про порядок організації захисту інформації та кіберзахисту в банківській системі України".
Опис: Ця постанова регулює питання організації інформаційної безпеки та кіберзахисту в банках України, включаючи вимоги до систем захисту платіжних даних, управління ризиками та дотримання міжнародних стандартів, таких як PCI DSS.

3. Постанова Правління НБУ № 95 від 3 грудня 2018 року

Назва: "Про затвердження Положення про захист інформації в платіжних системах і розрахункових операціях".
Опис: Ця постанова встановлює вимоги до захисту інформації в платіжних системах, включаючи вимоги щодо безпеки обробки, зберігання та передачі платіжних даних.

4. Постанова Правління НБУ № 518 від 28 вересня 2020 року

Назва: "Про затвердження Положення про організацію заходів з кіберзахисту в банківській системі України".
Опис: Документ регламентує заходи, які банки повинні впроваджувати для захисту від кіберзагроз, включаючи захист платіжних систем, моніторинг кіберінцидентів та управління ризиками інформаційної безпеки.

5. Рішення НБУ про захист даних під час дистанційного банківського обслуговування

Назва: "Про затвердження Положення про порядок надання банківських послуг із використанням інформаційно-телекомунікаційних систем".
Опис: Встановлює вимоги до захисту даних під час надання банківських послуг через дистанційні канали, включаючи інтернет-банкінг і мобільні додатки, що важливо для захисту даних клієнтів та платіжних систем.

6. Методичні рекомендації НБУ

Назва: "Методичні рекомендації щодо забезпечення захисту інформації в банківських установах України".
Опис: Ці рекомендації надають банкам керівництво щодо впровадження заходів інформаційної безпеки та дотримання вимог міжнародних стандартів, таких як PCI DSS.

Ці документи є ключовими нормативно-правовими актами, що регулюють захист платіжних систем та фінансових даних в Україні, забезпечуючи дотримання банками та іншими фінансовими установами вимог до інформаційної безпеки.

Також дивись:
→ Про PCI DSS 4.0

Нещодавно звернувся знайомий за допомогою у відкритті зарплатного рахунку у Монобанці😂¹
Виявилося, що це не так і просто, як на перший погляд. Бо, як звичайно, всі інструкції і в Інтернеті і в документації самого банку застарілі.
Це буває, якщо процес оновлення документації інколи - не будемо казати, що завжди - не працює. Чи працює з похибками.

Алгоритм здається простим:
1. Відкрити рахунок;
2. Відкрити картку;
3. Зробити можливим отримання на відкриту картку зарплатні.

До того як

Номер один. Відкриваємо рахунок

Перед відкриттям картки не треба встановлювати "Дію". І це перевага. Насправді.

Але треба розуміти, що всі процедури відкриття проходять тільки у застосунку Монобанку. Тобто треба буде його встановити.
І треба мати на поготові два документи: паспорт і ідентифікаційний код.

"Дія" не потрібна, бо під час реєстрації/відкриття рахунку/картки можна просто додати фото паспорту! І які сторінки потрібні для цього, застосунок Вам підкаже сам.
Якщо ці документи вже є отскановані, то це чудово. Якщо - ні, то в процесі реєстрації їх попросять сфотографувати.
Крім того треба бути готовим до того, що Вас попросять сфотографувати і себе з паспортом (!).

зробити селфі

А тому - мийте голову, надівайте вихідні окуляри і вдягайте гарну сорочку. Бо співробітник банку, який в подальшому "миттєво" буде перевіряти документи - погодьтесь, що 15 хвилин очікування перевірки документів, це не час, навіть каву не встигаєш випити - повинен Вас впізнати на цих фотографіях. Для дівчин є можливість: досхочу разів перезнімати себе доки Ви не будете вдоволені своїм виглядом.
Реєстрація більше майже не потребує якихось попередніх даних чи приготувань.
( Далі... )

¹ Звичайно треба казати "Монобан-КУ". Але недарма маркетологи бан-КУ вигадали послугу з банкою.
² P.s. Чесно кажучи, представники "Монобан-КУ" опинилися на висоті і вирішили позитивно питання на превелике задоволення клієнта 😊😊😊.

💻 На стартову сторінку

Чим відрізняються терміни: "Визначення" та "термін"?

Терміни "визначення" і "термін" часто використовуються в контексті пояснення понять, але вони мають різні значення.

Термін:

Значення: "Термін" – це слово або словосполучення, яке використовується для позначення певного поняття, об'єкта, явища чи процесу. Тобто це мовна одиниця, яка служить для називання чогось.
Приклад: Слова "антивірус", "сервіс", "комп'ютер" – це терміни.

Визначення:

Значення: "Визначення" – це пояснення значення терміна або поняття. Визначення описує сутність терміна, пояснює, що він означає, які його ключові характеристики і як його слід розуміти.
Приклад: Визначення терміна "антивірус": "Антивірус – це програмне забезпечення, яке призначене для виявлення, запобігання і видалення шкідливого програмного забезпечення з комп'ютерних систем."

Взаємозв'язок:

Термін – це слово або фраза, що використовується для позначення певного поняття.
Визначення – це пояснення або тлумачення того, що означає цей термін.

Таким чином, термін – це те, як називається поняття, а визначення – це опис того, що це поняття означає.

Як сформувати вимогу до інтеграції програмного забезпечення з якимось глобальним каталогом, наприклад, з Active Directory чи Microsoft Entra ID?

© Керування обліковими записами користувачів має відповідати вимогам платформи ідентифікації Microsoft v2.0 (Microsoft Identity Platform v2.0) за допомогою стандартних протоколів автентифікації (OpenID Connect, SAML) і авторизації (OAuth 2.0).

Дивись також:
→ Вимога до інтеграції ПЗ з Active Directory

Як сформувати вимоги до інтеграції програмного забезпечення з якимось глобальним каталогом, наприклад, з Active Directory чи Microsoft Entra ID?

Вимоги до інтеграції програмного забезпечення з глобальним каталогом, таким як Active Directory (AD) або Microsoft Entra ID (раніше Azure Active Directory), зазвичай включають декілька аспектів, які можуть відрізнятися залежно від конкретних вимог системи, середовища та організаційних політик. Ось приклад формулювання такої вимоги:

Вимога до інтеграції з Active Directory (AD) або Microsoft Entra ID

Аутентифікація та авторизація користувачів:
- Програмне забезпечення повинно підтримувати аутентифікацію користувачів через Active Directory або Microsoft Entra ID, використовуючи стандартні протоколи (наприклад, LDAP, Kerberos, OAuth 2.0, OpenID Connect).
- Програмне забезпечення повинно забезпечувати авторизацію доступу користувачів на основі груп та ролей, визначених у Active Directory або Microsoft Entra ID.
Єдиний вхід (Single Sign-On, SSO):
- Програмне забезпечення повинно забезпечувати підтримку єдиного входу (SSO) з використанням Active Directory Federation Services (ADFS) або Microsoft Entra ID, щоб користувачі могли входити в систему без необхідності повторного введення облікових даних.
Синхронізація користувачів і груп:
- Програмне забезпечення повинно мати можливість автоматичної синхронізації користувачів, груп та інших атрибутів з Active Directory або Microsoft Entra ID для забезпечення актуальності даних користувачів.
Управління правами доступу:
- Програмне забезпечення повинно дозволяти керувати доступом до ресурсів на основі атрибутів користувачів, отриманих з Active Directory або Microsoft Entra ID.
- Механізми управління доступом повинні бути гнучкими, дозволяючи адміністратору визначати правила доступу, які відповідають політикам безпеки організації.
Журнали та моніторинг:
- Програмне забезпечення повинно мати функції журналювання подій, пов'язаних з аутентифікацією та авторизацією користувачів через Active Directory або Microsoft Entra ID.
- Всі дії користувачів, пов'язані з доступом до ресурсів програмного забезпечення, повинні бути зареєстровані та доступні для моніторингу та аудиту.
Відмовостійкість та безпека:
- Інтеграція повинна бути налаштована так, щоб забезпечити відмовостійкість та безперервність доступу користувачів до системи, навіть у випадку проблем з підключенням до Active Directory або Microsoft Entra ID.
- Програмне забезпечення повинно підтримувати шифрування даних під час обміну з Active Directory або Microsoft Entra ID для забезпечення безпеки інформації.

Ці вимоги забезпечують надійну інтеграцію програмного забезпечення з глобальними каталогами, покращуючи безпеку та зручність управління доступом в організації.

Див.також:
→ Вимога до інтеграції програмного забезпечення. OAuth 2.0

Якщо на початок повномасштабного вторгнення українському бізнесу, який цього не зробив ще у 2014-му, одразу взяти і відмовитися від сервісів окупантів було надто складно, то зараз на ринку програмного забезпечення є доволі різноманітного чим замінити. Багато хто в Україні зрозумів, що "ми не брати". Але особисті принципи це не єдина причина. Нарешті дійшло, що є ризик подарувати агресору всі дані бізнесу під час роботи з програмами нападників.
І так, ось трошки рекомендацій з мережі:

• Україна. Аналоги 1С та BAS. Яке ПЗ вибрати?

site: https://softup.com.ua/ru/analogi-1c-bas
( SoftUp )
• На що замінити російське ПЗ: понад 30 аналогів показали під час «СВОЄ.ІТ»
logo

site: https://marketer.ua/ua/how-to-replace-russian-software-more-than-30-analogues-were-shown-during-svoe-it/
( Marketer )
• Створено сайт, який допоможе знайти український аналог російського ПЗ

site: https://zn.ua/ukr/TECHNOLOGIES/stvoreno-sajt-jakij-dopomozhe-znajti-ukrajinskij-analoh-rosijskoho-pz.html
( Zn,Ua )
• Replace russian software with Ukrainian solutions
logo

site: https://replace-ru-with-ua.com
( Replace RU )
• Видаліть негайно: 44 російські програми, якими користується український бізнес

site: https://tech.segodnya.ua/ua/tech/udalite-nemedlenno-44-rossiyskie-programmy-kotorymi-polzuetsya-ukrainskiy-biznes-1609748.html
( Segodnya UA )
• Аналоги російських сервісів для українців
logo2

site: https://www.imena.ua/blog/analogues-of-russian-services-for-ukrainians
( imena UA )
• Чим замінити російські сервіси: українські або іноземні аналоги

site: https://lanet.click/chym-zaminyty-rosiiski-servisy/#toc-2-Бухгалтерия и складской учет
( Lanet_Click )
• Чим замінити російський софт, яким користується бізнес

site: https://ain.ua/2022/03/18/perelik-rosijskogo-softa-v-ukrayini
( ain UA )

Див. також:
→ Карта російського ПЗ для полегшення заборони використання в Україні

💻 На стартову сторінку

Отакої...
Блог зламався — малюнки стали тепер недоступні без VPN.
Попередній раз MediaFire підкузьмив, а тепер знову якась халепа.
Треба щось вигадувати знову... — новий спосіб, як це обійти...

Чекайте, скоро вийде серіал: «Як вижити в блогінгу та не втратити глузд».

На этой странице содержатся справочные статьи по специальным возможностям для пользователей, которые используют голосовой доступ Windows для управления компьютером и создания текста с помощью голоса.

Голосовой доступ в Windows 11 позволяет всем, в том числе людям с ограниченными возможностями передвижения, управлять компьютером и создавать текст с помощью голоса. Например, вы можете открывать приложения и переключаться между ними, просматривать Веб-страницы, а также читать и создавать сообщения электронной почты с помощью голоса. Голосовой доступ использует современное распознавание речи на устройстве для точного распознавания речи и работает даже без Интернета.

Чтобы поделиться отзывами или предложениями о голосовом доступе, перейдите в Центр отзывов в разделе Специальные возможности>голосовой доступ. Используйте клавишу с логотипом Windows+F, чтобы быстро открыть Центр отзывов. Вы также можете найти ссылку на Центр отзывов на значке справкиголосового доступа или сказать "Открыть справку по голосовой связи", а затем "Нажать на отзыв", чтобы открыть Центр отзывов.

С Windows 11 22H2 и более поздних версий функция распознавания речи Windows (WSR) будет заменена голосовой связью с сентября 2024 г. В более старых версиях Windows по-прежнему будет доступна поддержка WSR.

Голосовой доступ доступен в Windows 11 версии 22H2 и более поздних версиях. Дополнительные сведения о новых возможностях Windows 11 22H2 и способах получения обновления см. в статье Новые возможности в последних обновлениях Windows. Не знаете, какая у вас версия Windows? См. статью Поиск версии Windows.

( Read more... )

Microsoft PowerToys
https://learn.microsoft.com/uk-ua/windows/powertoys/

Advanced Paste

Advanced Paste is a tool that enables you to paste the text from your clipboard into any format needed. It can be enhanced with an AI-powered option that is 100% opt-in and requires an OpenAI key.

Always On Top

Color Picker

Color Picker is a system-wide color picking utility activated with ⊞ Win + Shift + C . Pick colors from anywhere on the screen, the picker automatically copies the color to your clipboard in a set format. Color Picker contains an editor that shows a history of previously picked colors, allows you to fine-tune the selected color and to copy different string representations. This code is based on Martin Chrzan's Color Picker.

( Палітра кольорів )
Command Not Found

Command Not Found is a PowerShell 7 module that detects an error thrown by a command and suggests a relevant WinGet package to install, if available.

Image Resizer

Image Resizer is a Windows Shell extension for quickly resizing images. With a right click from File Explorer, instantly resize one or many images. This code is based on Brice Lambson's Image Resizer.

Quick Accent

Quick Accent is an alternative way to type accented characters, useful for when a keyboard doesn't support that specific character with a quick key combo.

For example: If you want "à", press and hold A and press Space .

Screen Ruler

Use Screen Ruler to quickly measure pixels on your screen based with image edge detection. To activate, use the shortcut ⊞ Win + Shift + M . This was inspired by Pete Blois's Rooler.

Text Extractor

Text Extractor is a convenient way to copy text from anywhere on your screen. To activate, use the shortcut ⊞ Win + Shift + T . This code is based on Joe Finney's Text Grab.

Див. також:
→ Windows key shortcut guide

Keyboard shortcuts using the Windows key ⊞ Win can be used while the guide is displayed.

This utility is part of the Microsoft PowerToys utilities for power users.

To install PowerToys, see Installing PowerToys.

💻 На стартову сторінку

photoshop_logo Відкриття файлів AVIF у Photoshop

Джерело:
https://www.free-codecs.com/guides/how_to_open_avif_files_in_photoshop_using_the_avif_format_plugin.htm

Як відкрити файли AVIF у Photoshop за допомогою плагіна формату AVIF

Photoshop — це потужний інструмент редагування зображень, який широко використовується професіоналами та ентузіастами.

Якщо ви стикалися з файлами AVIF (формат файлів зображень AV1) і намагалися відкрити їх у Photoshop, можливо, ви помітили, що програмне забезпечення не підтримує цей формат.

На щастя, є доступне рішення: плагін AVIF Format.
• Як відкрити файли AVIF у Photoshop?

Крок 1. Завантажте плагін формату AVIF

Щоб почати, вам потрібно завантажити плагін AVIF Format:

Відкрийте веб-браузер і відвідайте сховище плагінів формату AVIF на GitHub: https://github.com/0xC0000054/avif-format/releases.

384

На сторінці сховища ви знайдете список доступних випусків. Знайдіть останній випуск і натисніть його, щоб розгорнути деталі випуску.

Прокрутіть униз до розділу «Assets», де ви знайдете файли плагінів, доступні для завантаження.

Завантажте файл під назвою «AvifFormat_x86.zip» або «AvifFormat_x64.zip» (якщо ви використовуєте 64-розрядну версію Windows - а хто її зараз не використовує? 👻), клацнувши по ньому. Він містить файл плагіна, який дозволить Photoshop відкривати файли AVIF.

AvifFormat_ARM64.zip (для процесорів ARM64) також можна завантажити.
( Read more... )

original:
https://attack.mitre.org/mitigations/enterprise/

Заходи щодо пом'якшення наслідків на підприємстві

Пом'якшення наслідків являє собою концепції безпеки та класи технологій, які можуть бути використані для запобігання успішному виконанню техніки або підтехніки.

Mitigations: 43

Ідентифікатор	Ім'я	Опис
М1036	Правила використання облікового запису	Налаштуйте функції, пов'язані з використанням облікового запису, як-от блокування спроб входу, певний час входу тощо.
М1015	Конфігурація Active Directory	Налаштуйте Active Directory, щоб запобігти використанню певних методів; використовувати фільтрацію SID тощо.
М1049	Антивірус/захист від шкідливих програм	Використовуйте сигнатури або евристики для виявлення зловмисного програмного забезпечення.
М1013	Інструкція для розробників додатків	Це пом'якшення описує будь-які вказівки або навчання, що надаються розробникам програм, щоб уникнути створення слабких місць безпеки, якими може скористатися зловмисник.
М1048	Ізоляція додатків і пісочниця	Обмежте виконання коду віртуальним середовищем під час або під час передавання до системи кінцевих точок.
М1047	Аудит	Проведіть аудит або сканування систем, дозволів, незахищеного програмного забезпечення, небезпечних конфігурацій тощо, щоб виявити потенційні слабкі місця.
М1040	Профілактика поведінки на кінцевих точках	Використовуйте можливості, щоб запобігти виникненню підозрілих моделей поведінки в системах кінцевих точок. Це може включати підозрілу поведінку процесу, файлу, виклику API тощо.
М1046	Цілісність завантаження	Використовуйте безпечні методи для завантаження системи та перевірки цілісності операційної системи та механізмів завантаження.
М1045	Підписання коду	Забезпечте цілісність двійкових файлів і програм за допомогою перевірки цифрового підпису, щоб запобігти виконанню ненадійного коду.
М1043	Захист доступу до облікових даних	Використовуйте можливості для запобігання успішному доступу до облікових даних зловмисникам; У тому числі блокування форм скидання облікових даних.
М1053	Резервне копіювання даних	Отримуйте та зберігайте резервні копії даних із систем кінцевих користувачів і критично важливих серверів. Переконайтеся, що системи резервного копіювання та зберігання захищені та зберігаються окремо від корпоративної мережі, щоб запобігти компрометації.
М1057	Захист від втрати даних	Використовуйте стратегію запобігання втраті даних (DLP), щоб класифікувати конфіденційні дані, визначати формати даних, що вказують на особисту ідентифікаційну інформацію (PII), і обмежувати витік конфіденційних даних.
М1042	Вимкнення або видалення функції або програми	Видаляйте або забороняйте доступ до непотрібного та потенційно вразливого програмного забезпечення, щоб запобігти зловживанням з боку зловмисників.
М1055	Не пом'якшувати	Ця категорія пов'язана з методами, пом'якшення яких може збільшити ризик компрометації, і тому пом'якшення наслідків не рекомендується.
М1041	Шифрування конфіденційної інформації	Захистіть конфіденційну інформацію надійним шифруванням.
М1039	Права доступу змінних середовища	Усунено змінення змінних середовища неавторизованими користувачами та групами.
М1038	Профілактика виконання	Блокування виконання коду в системі за допомогою контролю додатків та/або блокування скриптів.
М1050	Захист від експлойтів	Використовуйте можливості для виявлення та блокування умов, які можуть призводити до експлойту програмного забезпечення або вказувати на нього.
М1037	Фільтрація мережевого трафіку	Використовуйте мережеві пристрої для фільтрації вхідного або вихідного трафіку та фільтрації на основі протоколу. Налаштуйте програмне забезпечення на кінцевих точках для фільтрації мережевого трафіку.
М1035	Обмежити доступ до ресурсів через мережу	Заборонити доступ до файлообмінників, віддалений доступ до систем, непотрібні сервіси. Механізми обмеження доступу можуть включати використання мережевих концентраторів, RDP-шлюзів тощо.
М1034	Обмежте встановлення обладнання	Заборонити користувачам або групам встановлювати або використовувати несхвалене обладнання в системах, зокрема USB-пристрої.
М1033	Обмежте встановлення програмного забезпечення	Заборонити користувачам або групам встановлювати несхвалене програмне забезпечення.
М1032	Багатофакторна автентифікація	Використовуйте два або більше доказів для автентифікації в системі; Наприклад, ім'я користувача та пароль на додаток до токена від фізичної смарт-картки або генератора токенів.
М1031	Запобігання вторгнень у мережу	Використовуйте сигнатури виявлення вторгнень, щоб блокувати трафік на кордонах мережі.
М1030	Сегментація мережі	Архітектура ділянок мережі для ізоляції критично важливих систем, функцій або ресурсів. Використовуйте фізичну та логічну сегментацію, щоб запобігти доступу до потенційно конфіденційних систем та інформації. Використовуйте DMZ, щоб містити будь-які інтернет-служби, які не повинні бути відкриті з внутрішньої мережі. Налаштуйте окремі екземпляри віртуальної приватної хмари (VPC) для ізоляції критично важливих хмарних систем.
М1028	Конфігурація операційної системи	Внесіть зміни в конфігурацію, пов'язані з операційною системою або загальною функцією операційної системи, які призводять до зміцнення системи проти методів.
М1027	Політики паролів	Установлюйте та застосовуйте політики безпеки паролів для облікових записів.
М1056	Попередній компроміс	Ця категорія використовується для будь-яких застосовних заходів щодо пом'якшення наслідків, які застосовуються до методів, що відбуваються до отримання супротивником початкового доступу, таких як методи розвідки та розробки ресурсів.
М1026	Управління привілейованими обліковими записами	Керуйте створенням, зміною, використанням та дозволами, пов'язаними з привілейованими обліковими записами, зокрема SYSTEM та root.
М1025	Привілейована цілісність процесів	Захистіть процеси з високими привілеями, які можна використовувати для взаємодії з критичними компонентами системи, використовуючи захищене технологічне освітлення, захист від впровадження процесів або інші заходи забезпечення цілісності процесу.
М1029	Віддалене зберігання даних	Використовуйте віддалений журнал безпеки та сховище конфіденційних файлів, де можна краще контролювати доступ, щоб запобігти розголошенню даних журналу виявлення вторгнень або конфіденційної інформації.
М1022	Обмеження прав доступу до файлів і каталогів	Обмежте доступ, налаштувавши дозволи на каталоги та файли, які не є специфічними для користувачів або привілейованих облікових записів.
М1044	Обмеження завантаження бібліотеки	Запобігайте зловживанню механізмами завантаження бібліотек в операційній системі та програмним забезпеченням для завантаження ненадійного коду, налаштувавши відповідні механізми завантаження бібліотек та дослідивши потенційно вразливе програмне забезпечення.
М1024	Обмеження прав реєстру	Обмежте можливість змінювати певні вулики або ключі в реєстрі Windows.
М1021	Обмеження веб-контенту	Обмежити використання певних веб-сайтів, заблокувати завантаження/вкладення, заблокувати Javascript, обмежити розширення браузера тощо.
М1054	Конфігурація програмного забезпечення	Вносити зміни в конфігурацію програмного забезпечення (крім операційної системи), щоб зменшити ризики безпеки, пов'язані з роботою програмного забезпечення.
М1020	Перевірка SSL/TLS	Розбийте та перевірте сеанси SSL/TLS, щоб перевірити зашифрований вебтрафік на предмет активності зловмисників.
М1019	Програма розвідки загроз	Програма розвідки загроз допомагає організації генерувати власну інформацію про розвідку загроз і відстежувати тенденції для інформування про захисні пріоритети для зниження ризику.
М1051	Оновіть програмне забезпечення	Виконуйте регулярне оновлення програмного забезпечення, щоб зменшити ризик експлуатації.
М1052	Служба захисту користувачів	Налаштуйте службу захисту користувачів Windows, щоб зменшити ризик отримання зловмисниками розширеного доступу до процесів.
М1018	Керування обліковими записами користувачів	Керуйте створенням, зміною, використанням і дозволами, пов'язаними з обліковими записами користувачів.
М1017	Навчання користувачів	Навчіть користувачів знати про спроби доступу або маніпуляції з боку зловмисника, щоб зменшити ризик успішного фішингу, соціальної інженерії та інших методів, які передбачають взаємодію з користувачем.
М1016	Сканування вразливостей	Сканування вразливостей використовується для пошуку потенційно вразливостей програмного забезпечення з метою їх усунення.

Джерело:
VMware: https://knowledge.broadcom.com/external/article?legacyId=79832#mcetoc_1i0miqbe95

Article ID: 315649 Updated On: 06-18-2024

Products

VMware Desktop Hypervisor

Issue/Introduction

Virtual Machines that have side channel mitigations enabled while running on Fusion on Mac OS 11.0 or later or on Workstation on Windows hosts with virtualization based security enabled may run slowly.

Environment

· VMware Workstation Pro 16.x (Windows)
· VMware Fusion 12.x
· VMware Workstation Pro 15.x (Windows)
· VMware Fusion 11.x

Cause

The root cause of the performance degradation is most likely due to mitigations for side channel attacks such as Spectre and Meltdown. Side channel attacks allow unauthorized read access by malicious processes or virtual machines to the contents of protected kernel or host memory. CPU vendors have introduced a number of features to protect data against this class of attacks such as indirect branch prediction barriers, single thread indirect branch predictor mode, indirect branch restricted speculation mode and L1 data cache flushing. While these features are effective at preventing side channel attacks they can cause noticeable performance degradation in some cases.

Resolution

The process to Disable Side Channel Mitigations:

To disable side-channel mitigations use the Workstation Pro / Fusion UI.

· On Fusion
· On Workstation Pro

On Fusion

1. Start Fusion
2. Virtual Machine should be Shut Down
3. Go to Virtual Machine > Settings > Advanced
4. Check "Disable Side Channel Mitigations"

On Workstation Pro

1. Start Workstation
2. Virtual Machine should be Shut Down
3. Go to VM > Settings > Options > Advanced
4. Check "Disable Side Channel Mitigations for Hyper-V enabled hosts"

Note: Above settings are not applicable in VMware Workstation Player

Microsoft закрила перший у світі підводний дата-центр через 11 років роботи

Посилання: overclockers.ru/blog/Astra_news/show/165097/Microsoft-zakryla-pervyj-v-mire-...

🚫

У 2013 році пілотні запуски UDC-центру були майже з 900 серверами на глибині понад сто футів. Була підтверджена теорія у тому, що центри обробки даних здатні функціонувати за умов під водою.

Фахівці за цей час не зіткнулися з великою кількістю проблем, ніби ЦОД був підключений на суші. Інженери говорять, що підводні сервери можна встановити приблизно за 3 місяці. В середньому будівництво об'єкту на суші займає до 2 років.

Незважаючи на те, що перший у світі підводний дата-центр справно працював, Microsoft ухвалила рішення про закриття експерименту. Підводні об'єкти важко автоматизувати через дистанційне керування, фахівці в таких умовах не можуть працювати. Більше компанія не будуватиме центри обробки даних під водою.

Profile

bga68comp

January 2026

S	M	T	W	T	F	S
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30	31

Syndicate

Page Summary

Впровадження електронного документообігу в фін.установах України
Політика моніторингу та реагування на події інформаційної безпеки
Функціональні вимоги до системи DLP
Перед впровадженням системи DLP
COBIT про антивірусний захист
Як ошукати клієнта з карткою Fishka
НБУ про дотримання вимог для фін.установ. Варіант 2
НБУ про дотримання вимог для фін.установ
Як відкрити зарплатну картку у Монобанці
Чим відрізняються терміни: "Визначення" та "термін"?
Вимога до інтеграції програмного забезпечення. OAuth 2.0
Вимога до інтеграції ПЗ з Active Directory
Чим замінити програмне забезпечення
Блог зламався
Использование голосового доступа
Microsoft PowerToys
Avif for Adobe Photoshop
MITRE | ATT&CK. Enterprise Mitigations
VMware Workstation Pro Error
Microsoft закрила перший у світі підводний дата-центр

Style Credit

Style: Neutral Good for Practicality by timeasmymeasure

Expand Cut Tags

No cut tags

Page generated 2026-01-31 21:25