IT-Security Step-by-step

"National Industrial Security Program Operating Manual (NISPOM)" — DoD 5220.22-M

🔹 Що описує стандарт

🔹 Класичний метод DoD 5220.22-M (3-pass wipe)

1. Перший прохід: записує випадкові або фіксовані символи (наприклад, 00000000);
   
2. Другий прохід: записує протилежні біти (наприклад, 11111111);
   
3. Третій прохід: записує випадкові символи та верифікує, що дані знищено.
   

🔹 Навіщо це потрібно в політиках ІБ

🔹 Приклад формулювання

“Видалення даних держателів платіжних карток здійснюється із застосуванням методів безпечного знищення, що відповідають вимогам стандарту DoD 5220.22-M або еквівалентним сучасним методам (наприклад, NIST SP 800-88 Rev.2 ‘Guidelines for Media Sanitization’).”
 → NIST SP 800-88 Rev. 2 Guidelines for Media Sanitization
 → NISP Operating Manual (DoD 5220.22-M)

Online Introductory Courses Available for NIST SP 800-53, SP 800-53A, and SP 800-53B

Assessing Security and Privacy Controls Introductory Course

Вступний курс з оцінки засобів захисту та конфіденційності.
Курс, що базується на стандарті SP 800-53A «Assessing Security and Privacy Controls in Information Systems and Organizations/Оцінювання засобів захисту та конфіденційності в інформаційних системах і організаціях», охоплює методологію оцінки заходів захисту, визначених у стандарті SP 800-53. У матеріалі також пояснюється структура процедур оцінки (assessment procedures) та цілі оцінки (assessment objectives).

Control Baselines Introductory Course

Вступний курс «Базові рівні захисту».
Курс, що базується на стандарті SP 800-53B «Control Baselines for Information Systems and Organizations/Базові рівні захисту для інформаційних систем та організацій», надає огляд базових профілів засобів захисту та конфіденційності, а також рекомендації щодо їх адаптації (tailoring guidance).

1. Discord зламали через постачальника служби підтримки 🔥

Що стало відомо про інцидент

Цього тижня стало відомо про інцидент: платформа Discord повідомила, що через вразливість у сторонньому постачальнику служби підтримки було витягнуто дані користувачів — і серед них скановані ID-документи, електронні адреси, імена та інша інформація. (The Verge)

Discord запевняє, що основні системи не були безпосередньо зламані, але зловмисники отримали доступ через зв’язок з підрядником. (The Verge)

Чому це важливо саме для нас

Що робимо ми – рекомендації для співробітників

1. Якщо у вас є обліковий запис Discord і ви подавали документи — перевірте пошту, чи не отримали повідомлення про інцидент, оновіть пароль, увімкніть двофакторну автентифікацію (2FA).
2. Не використовуйте один пароль для кількох сервісів.
3. При роботі із зовнішніми сервісами (особливо пов’язаними з даними користувачів) — перед підключенням ставити вимоги безпеки (шифрування, політики доступу).
4. У разі повідомлень про витоки — діяти швидко: змінити ключі/паролі, провести аудит, інформувати зацікавлених.

💡 Мораль цього випадку

Навіть якщо ваша система «сильна», вона може бути під загрозою через слабке місце у чужому ланцюжку постачальників. Кібербезпека — це не лише власні дефенси, а й контроль над усім еко-ланцюжком.

2. “Як холодильник став хакером” 🔥

Це легендарна реальна історія про “smart fridge hack”, яка завжди викликає і сміх, і розуміння, наскільки “Інтернет речей” (IoT) може бути небезпечним без базових налаштувань безпеки.

Декілька років тому дослідники компанії Proofpoint виявили дивну активність у масовій спам-розсилці.
Понад 750 000 фішингових листів надсилалися не зі звичних комп’ютерів, а з... смарт-побутових приладів — телевізорів, роутерів і навіть інтернет-холодильників!

Виявилось, що частина “розумних” пристроїв мала заводський пароль “1234” або “admin”, не отримувала оновлень безпеки й була відкритою для зовнішнього доступу.
Хакери просто під’єднали їх до ботнету — і холодильники почали розсилати спам про «вигідні кредити» та «схуднення за тиждень» 😅.

Що це показує

💡 Мораль цього випадку

“Навіть холодильнику потрібен пароль.”
Бо хакери не розрізняють — сервер це чи тостер.
Якщо пристрій має IP-адресу — значить, може бути атакований.

💡 Проста порада

Якщо вдома чи в офісі є “розумна” техніка (лампочка, принтер, робот-пилосос, телевізор):

• змініть стандартні паролі;
• вимкніть “доступ ззовні”, якщо він не потрібен;
• не підключайте IoT до тієї ж мережі, що й робочі комп’ютери;
• встановлюйте оновлення (у меню це часто пункт “Firmware update”).

Тримайтеся, пильнуйте, і нехай ваші паролі будуть такими ж міцними, як кава у середу!

1️⃣ Методологія (framework, guidance, conceptual model)

Методологія = це опис підходу та процесів, які треба виконати, але без формальних вимог.
У сфері ІБ (наприклад, NIST Cybersecurity Framework, NIST AI RMF, ISO/IEC 31000) типовими є такі розділи:

1. Вступ / передмова
   
   • Для чого створена методологія, коло застосування.
     
2. Терміни та визначення
   
   • Щоб уникнути двозначностей (напр. «ризик», «загроза», «вразливість»).
     
3. Принципи / основи
   
   • Ключові ідеї (наприклад, risk-based approach, continuous improvement, human oversight).
     
4. Модель / структура (core functions)
   
   • Наприклад, у NIST CSF — Identify, Protect, Detect, Respond, Recover.
     
   • У NIST AI RMF — Govern, Map, Measure, Manage.
     
5. Практичні орієнтири
   
   • Рекомендації, best practices, приклади застосування.
     
6. Профілі / сценарії використання
   
   • Як застосовувати методологію у конкретному секторі (фінанси, медицина, уряд).
     

2️⃣ Стандарт (management system standard, certifiable standard)

Стандарт = це нормативний документ з вимогами, за яким можна пройти аудит/сертифікацію.
Приклади: ISO/IEC 27001:2022, ISO/IEC 42001:2023.

1. Сфера застосування (Scope)
   
   • Чітко: до яких систем/організацій застосовується.
     
2. Нормативні посилання
   
   • Які інші стандарти є обов’язковими складовими (наприклад, ISO/IEC 27000 для термінів).
     
3. Терміни та визначення
   
   • Офіційний словник, без якого немає правильного застосування.
     
4. Контекст організації
   
   • Вимога визначити зовнішні та внутрішні фактори, зацікавлені сторони, обсяг СУІБ / СУШІ ^😂.
     
5. Лідерство (Leadership)
   
   • Ролі, відповідальність, політика безпеки, зобов’язання керівництва.
     
6. Планування (Planning)
   
   • Аналіз ризиків та можливостей, постановка цілей у сфері ІБ.
     
7. Підтримка (Support)
   
   • Ресурси, компетентність персоналу, обізнаність, комунікації, документація.
     
8. Операції (Operation)
   
   • Як саме організація впроваджує заходи захисту, процеси управління ризиками.
     
9. Оцінка результативності (Performance evaluation)
   
   • Моніторинг, вимірювання, внутрішній аудит, аналіз з боку керівництва.
     
10. Удосконалення (Improvement)
    
    • Коригувальні дії, постійне поліпшення.
      

☯ Головна різниця

• Методологія = орієнтир, набір принципів, добровільний, для розуміння й практики.
  
• Стандарт = обов’язкові вимоги, аудиторські критерії, сертифікація.
  

У типовому торговому (dealing) приміщенні — десятки моніторів, кожен співробітник працює з цілою стіною екранів.

Це добре чи навпаки?

1. Кількість моніторів

• Звичайному офісному співробітнику достатньо 2 моніторів (наприклад, 24-27 дюймів кожен). Це дозволяє тримати пошту/чат на одному екрані та робочі документи чи таблиці на іншому.
• IT-фахівцям, аналітикам, розробникам часто зручніше 3–4 монітори: код, документація, логи, комунікації.
• Трейдери та операційні аналітики використовують від 6 до 12 екранів, як на фото. Там одночасно відстежуються котирування, графіки, термінали Bloomberg/Reuters, чати, новини та системи ризику. Тобто і так постійна напруга і жах щось пропустити 👻

2. У дюймах чи штуках?

• Кажуть і в штуках, і в дюймах, але по-різному:
  • В IT та трейдингу зазвичай вважають кількість екранів.
  • В офісі частіше обговорюють діагональ (наприклад, «один монітор 32 дюйми замість двох по 24»).
• Є тенденція: ультраширокі монітори (34–49″) замінюють 2–3 стандартні. Це скорочує шви між екранами та зменшує навантаження на шию.

3. Оптимальність

• Оптимально не кількість, а зручність та продуктивність. Якщо два монітори покривають завдання, то третій буде зайвим. Але якщо людина працює із потоками даних (фінанси, SOC, моніторинг), то й 6–8 виправдані.

👉 Формула проста:

Для офісної роботи — 2 × 24-27 ".
Для просунутих завдань – 3–4.
Для трейдингу/оперативного аналізу — "стіна" екранів або один ультраширокий плюс додаткові.
( Read more... )

Quality isn’t an Option; It’s the Key to Unlocking Long-Term Success

Цей місяць приніс вагомі виклики як для кібербезпеки в Європі, так і для етики розвитку штучного інтелекту 🤖

1.      Кібератака в європейських аеропортах

Основною метою були не безпосередньо аеропорти, а компанія-посередник у сфері ІТ. Але навіть вторинні удари можуть створити значні ланцюгові ефекти у європейській авіаційній інфраструктурі.

Цей випадок знов підтверджує: повністю застрахуватися від зовнішніх вражень практично неможливо і потрібно інвестувати у захист критичної інфраструктури, де навіть кілька хвилин простою означають катастрофу.

Джерело: https://nv.ua/ukr/world/countries/kibe...46578.html

2.      OpenAI: ШІ навмисно може брехати

Не все, що пише «розумний бот», треба сприймати як чисту правду.

Тобто, мова вже не лише про "галюцинації", а про потенційне маніпулювання інформацією — з усіма наслідками для довіри, відповідності вимогам стандартів і регуляторів та етики використання технологій:

🤖 необхідно розробляти процеси довіри до ШІ: прозорість, контроль, аудит моделей.

Саме тому актуальні три ключові питання:

1. Як визначати джерело неправдивої інформації?
2. Як протидіяти спробам маніпуляції через нейронки?
3. Чи можемо ми навчити ШІ бути прозорим?

Джерело: https://adindex.ru/news/digital/2025/0...7239.phtml – обережно, ресурс – ворожий, тому відкривайте у «захищеному» режимі браузера.

3.      Критичні уразливості Azure / Entra ID: “режим бога” був майже можливим
 

Що сталося:

• Фахівець із кібербезпеки знайшов дві дуже серйозні уразливості в системі Microsoft Entra ID (раніше відомій як Azure Active Directory) — вони потенційно дозволяли зловмиснику отримати глобальні права адміністратора.
  
  • Джерела: https://speka.ua/news/microsoft-azure-...248-pkmlld
  • https://double.news/2025/09/20/u-micro...tiv-azure/
• Через це атака могла охопити облікові записи багатьох клієнтів Azure — змінювати конфігурації, створювати адмінів, керувати налаштуваннями, можливо зловживати правами.
  
  • Джерело:
         https://www.ukr.net/news/details/techn...87806.html
  • Джерело:
         https://support.microsoft.com/uk-ua/ac...5052d3d8f0
• Гарна новина: Microsoft отримало повідомлення й оперативно випустило оновлення, щоб закрити “дірки”.
  
  • Джерело:
         https://terazus.com/uk/5798-vidomij-ki...-v-istorii

Що це значить для користувачів і компаній:

• навіть великі технологічні гіганти не застраховані від серйозних помилок, особливо якщо використані застарілі компоненти або недостатньо захищені протоколи;
• важливо своєчасно застосовувати оновлення й патчі, навіть якщо все здається спокійним;
• багатофакторна автентифікація, мінімальні права доступу (least privilege), моніторинг активності — це не “додаткові опції”, а базова гігієна безпеки.

4.      ChatGPT у компаніях: ліцензії та виклики

Окрім звичайної особистої підписки, існує корпоративна ліцензія ChatGPT (Enterprise). Її відмінності:

• Безпека: корпоративні дані не використовуються для навчання моделі.
• Керування доступами: інтеграція з Microsoft Entra ID / Okta, єдиний SSO.
• Масштабування: необмежені повідомлення з GPT-4, API для внутрішніх систем.
• Аудит: логування дій і можливість відповідати вимогам комплаєнсу (ISO, SOC 2, PCI DSS).

Для працівників це викликає нові питання:

1. Чи можуть їхні запити та документи бути переглянуті адміністраторами?
2. Які обмеження на використання ChatGPT для приватних завдань?
3. Чи відрізняється поведінка моделі від звичайної підписки?
4. Як дотримуватися правил безпеки, якщо ШІ інтегрований у робочі процеси?
5. А чи ШІ може і тут прибріхувати? 🤖

Це вже не просто "чат-бот", а інструмент корпоративної інфраструктури, з усіма ризиками та перевагами.

✨ Висновки:

·       ШІ стає частиною робочого середовища, а ми маємо вчитися ним користуватися розумно.

·       Кібербезпека це не про страх — це про звичку. Чим більше ми робимо “прості” речі регулярно (оновлення, збереження паролів, контроль доступів, здоровий скепсис до ШІ), тим більш надійно працюємо.

Тримайтеся, пильнуйте, і нехай ваші паролі будуть такими ж міцними, як кава у вівторок!

Пропозиції Microsoft щодо відповідності вимогам

Огляд ISO/IEC 42001:2023