bga68comp: (Default)
2022-06-05 11:20 pm

[sticky entry] Sticky: Зміст

Під час освоєння нового апаратного та програмного забезпечення завжди є якісь тонкощі, які не описані в жодному посібнику користувача або набрані таким дрібним шрифтом, що на них і не звернеш увагу. Також є операції, які робиш не часто, але досвід, отриманий під час їх проходження, не хочеться втратити. Можливо, десь у мережі вже є у когось щось подібне, але… все-таки це дуже прискорює для мене вирішення поставлених завдань.

Цей блог є відгалуженням основного https://bga68.dreamwidth.org

Спочатку блог замислювався як місце зберігання саме утилітарних записів з трудової діяльності 😜
Але поступово захотілося до нього додавати і цікаве, знайдене на просторах Інтернет. Вийшло щось на зразок закладок чи списку обраного...

Я намагався вести сторінки змістів за наведеними нижче тематиками, але... часу іноді не вистачає, тому, мені здається, краще використовувати не зміст, а теги (tags) - мітки. За ними легко можна знайти потрібну інформацію


VMware & VMware
Apple & Apple
Cisco & Cisco
Microsoft. Частина №1 (Серверна) Microsoft. Частина №2 (Клієнтська)
Microsoft. Частина №1 (Серверна)
Microsoft. Частина №2 (Клієнтська)

NetApp & NetApp

Veeam & Veeam

Acer
ASUS
Dell
GigaByte
FreeNAS
HP
Intel
Zalman

Інтернет
Інформаційна безпека


Комп'ютерні комплектуючі
Короткометражні фільми / Комп'ютерні приколи / Гумор

Хмари
Мережі
Сервісні програми
Шифрування


HTML. Приклади для запам'ятовування та використовування у блозі

Досвід ОдногоJavascript


Windows 11 Insider. Як завантажити останню версію


Блоги за цікавою для мене тематикою: (Дякую всім, хто їх веде!)
  1. 🐝 Блог Игоря Шаститко https://iwalker2000.com/
  2. 🐝Блог Александра Баженова о VMware Horizon 7 medium.com
  3. 🐝Развертывание VMware Virtual SAN medium.com
  4. 🐝Блог Евгения Пономаренко из Казахстана Jabuin Step-By-Step - как ставить и конфигурить различный нетривиальный софт без чтения тысяч страниц мануалов
  5.  🐝Заметки о Windows и других программных продуктах Microsoft...
  6.  🐝Блог Записки виртуального админа Антона Жбанкова и Константина Введенского
  7.  🐝Алексей Богомолов (Alexx). Блог, целиком и полностью посвященный продуктам компании Microsoft. В основном речь будет идти про системы корпоративных коммуникаций на базе Exchange Server.
  8.  🐝VMware VI Wiki - информация по работе с VMware Virtual Infrastructure, т.е. таким продуктам как VMware ESX \ ESXi, VMware Virtual Center, VMware Consolidated Backup и сопутствующим.
  9.  🐝Готовимся к сертификации Cisco. Материалы CCNA на русском.
  10. 🐝PACKETTRAIN.NET. Анализ сетевого трафика. Vladimir Gerasimov. Network Engineer, Wireshark Network Analyst at Profitap


Деякі чудові емодзі...🙃 )
bga68comp: (Default)
2025-12-12 06:55 am

Дослідження розмов про ШІ


Mark Russinovich поделился(лась) этим контентом
Mustafa Suleyman
Mustafa SuleymanУчастник Influencer • 3-й и вышеCEO, Microsoft AI
Перейти на мой сайт
1 день назад • Отредактировано • Все в LinkedIn и за пределами сайта
Ми щойно відмовилися від того, що, на нашу думку, є найбільшим у світі дослідженням розмов про ШІ — і воно виявило, що те, про що ви спілкуєтеся з ШІ, насправді багато в чому залежить від часу.

Дослідники як з команди Microsoft AI Futures, так і з команди Data Science проаналізували 37,5 мільйона деідентифікованих розмов з січня по вересень у Copilot і шукали закономірності не лише в тому, про що люди говорять, а й коли. Вони виявили 3 різні тенденції за днем, часом доби та порою року — і одну стабільну константу.

1. Єдине, про що думають користувачі цілодобово: здоров'я. Коли ми ранжували теми, про які люди спілкувалися з Copilot, для мобільних користувачів здоров'я було #1 незалежно від дня, місяця чи часу. Це величезна відповідальність для нас, і ми дуже зосереджені на ній.

2. День тижня: Вони знайшли великі зміни між темами, що були актуальними у будні та вихідні. Геймінг мав дводенний сплеск щотижня — у суботу та неділю, тоді як більшість розмов, пов'язаних із програмуванням, відбувалися між понеділком і п'ятницею.

3. Час доби: Усі ми мали ці екзистенційні роздуми посеред ночі — і це відображається у даних, а філософські розмови зростають у ранкові години. З іншого боку, ми бачили зростання кількості розмов, присвячених подорожам, найчастіше під час поїздок, коли люди мріють про те, де вони хотіли б бути.

4. Пора року: Сезонні відмінності також впливали на актуальні теми — наприклад, у лютому розмови про стосунки різко зросли на День святого Валентина. І цікаво, що розмови на тему «Особистісний розвиток і добробут» зростали протягом 2-3 днів до цього, коли люди, здається, зосереджувалися на собі.

Якщо віддалити масштаб, для мене ці дані означають — люди справді звертаються до Copilot як до компаньйона. Не просто певний тип інструменту, а й підтримка та підтримка у всіх цих різних моментах, що складають наше життя — від екзистенційних надмірних роздумів о 2-й ночі до того, як ви застрягли на певному рівні відеогри на вихідних.

Вивчення цих закономірностей — це розуміння того, що найважливіше для наших користувачів — і де ми можемо допомогти. Що важливо при використанні десктопного комп'ютера проти мобільного? Як Copilot має адаптуватися до вас протягом тижня? Які функції допоможуть людям у цих щоденних ритмах, які теми мають бути нашими найбільшими пріоритетами? Це захоплюючі речі, і саме так ми робимо ШІ кориснішим для більшої кількості людей, частіше.

Велика подяка Beatriz Costa Gomes, Sophia Chen, Connie Hsueh, Deborah Morgan, Philipp Schoenegger, Yash Shah, Sam Way, Yuki Zhu, Timothé Adeline, Michael Bhaskar та Seth Spielman як від команди MAI Futures, так і команди Data Science за те, що вони об'єднали це.

Більше у блозі сьогодні: https://lnkd.in/eXnK6gCq
А для тих, хто справді хоче зануритися в дані, засучіть рукави і ознайомтеся з повним дослідницьким матеріалом: https://lnkd.in/esjYhNCY

https://www.linkedin.com/posts/activity-7404597468782415872-QQJC


bga68comp: (Default)
2025-12-12 06:28 am

Inside Azure Innovations with Mark Russinovich - Microsoft Ignite 2025






Join Mark Russinovich, CTO and Technical Fellow of Microsoft Azure. Mark will take you on a tour of the latest innovations in Azure architecture and explain how Azure enables intelligent, modern, and innovative applications at scale in the cloud, on-premises, and on the edge.
00:00-01:24 Opening 01:14-03:25 Datacenter tour 03:25-06:42 Microfluidics cooling 06:42-15:37 Azure Boost, Boost enabled Bare Metal GPU Instances, cross region RDMA 15:37-24:40 Direct Virtualization (Live migration, Azure container instance, Manifold) 24:40-30:41 Disaggregated SDN 30:41-33:59 Scaled storage 33:59-41:17 Confidential computing, Azure Integrated HSM 41:17-44:59 Optical computing


bga68comp: (Default)
2025-12-04 10:13 pm

Звіт про аналіз шкідливого ПЗ: бекдор BRICKSTORM



АНБ разом із CISA та Канадським центром кібербезпеки опублікувала звіт «Звіт про аналіз шкідливого програмного забезпечення: бекдор BRICKSTORM», у якому детально описано кіберкампанію, що спонсорується державою Китаю та використовує BRICKSTORM для довготривалого збереження скомпрометованих систем. Шкідливе програмне забезпечення BRICKSTORM — це складний бекдор, який дозволяє кіберзлочинцям підтримувати постійний, прихований доступ, надаючи можливості безпечного управління та контролю, віддаленого керування системою та збереження шкідливого програмного забезпечення. Організаціям рекомендується використовувати індикатори компрометації (IOC) та сигнатури виявлення, описані в ньому, для ідентифікації зразків шкідливого програмного забезпечення BRICKSTORM, повідомлення про будь-які компрометації та впровадження відповідних заходів щодо пом'якшення наслідків.

 © https://www.linkedin.com/posts/the-cyber-security-hub_malware-analysis-report-brickstorm-backdoor-ugcPost-7402396757097074688-BvOb/


bga68comp: (Default)
2025-12-03 07:47 pm

Навчання кібербезпеці українською

Я впевнений, що більшість стандартів та регуляторних актів, постанов, указів в обов'язковому порядку мають бути перекладені українською та бути безкоштовними(!) для українців, як це зроблено на рівні деяких держав (наприклад: NIST, GDPR, NIS2, DORA 😊).

Є також випадкові приклади умовно-безкоштовного викладання:
https://naau.org.ua/userfiles/files/documents/ZD-08_10_32_ISOIEC_17021_1_26_02.pdf
або посилання на версію для Індонезії двомовного стандарту SNI ISO/IEC 27032:2023 на сайті освітньої програми «Keamanan siber – Pedoman untuk keamanan Internet» (але я не впевнений, що це все ж таки офіційно:
https://lmsspada.kemdiktisaintek.go.id/pluginfile.php/792677/mod_folder/content/0/rsni_iso_iec_27032-2023.pdf)

Ось що пропонується переглянути, якщо ви зацікавлені навчатися саме українською:

 • Як відновити роботу компанії після кібератаки: покрокова інструкція від CERT-UA
 📎https://cybersec.net.ua/statti/920-yak-vidnovyty-robotu-kompanii-pislia-kiberataky-pokrokova-instruktsiia-vid-cert-ua.html

 • Навчальний вміст від Майкрософт (дуже багато вже є українською)
https://learn.microsoft.com/uk-ua/training/

 • Захищайте ідентичності й доступ за допомогою Microsoft Entra
 📎https://www.microsoft.com/uk-ua/security/business/identity-access/microsoft-entra-id

 • Портал Мамкіних Хакерів - HackYourMom Ukraine - Портал, лабораторія, академія та кібер-армія хакерів керована суспільством:
 📎https://hackyourmom.com/category/osvita/

 • ВІЙСЬКОВИЙ ІНСТИТУТ ТЕЛЕКОМУНІКАЦІЙ ТА ІНФОРМАТИЗАЦІЇ. Тема 1: Теоретичні основи побудови систем виявлення та реагування на кіберінциденти
 📎https://ppt-online.org/860584

 • CERT-UA
 📎https://cert.gov.ua/about-us

 • Інформаційна безпека
 📎https://tzi.com.ua/

 • Нормативна база України
 📎https://tzi.com.ua/normatbazaukr.html

 • Нормативно-правова база
 📎https://tzi.ua/ua/normativno-pravova_baza.html

 • Тести для оцінки кандидатів та співробітників
 📎https://midot.com/ukraine/product-gateway/

 • НАСТАНОВА PMBOK 7-е видання та стандарт з управління проектами (безкоштовно! для українців)
 📎https://pmiukraine.org/pmbok7

 • CISO Campus — національна платформа підготовки керівників із кібербезпеки
 📎https://thedigital.gov.ua/news/education/zapuskayemo-ciso-campus-natsionalnu-platformu-pidhotovky-kerivnykiv-iz-kiberbezpeky

 • Інструмент оцінки кібербезпеки (CSET®)/The Cyber Security Evaluation Tool (CSET®)
 📎https://csirt.csi.cip.gov.ua/uk/pages/cset

 • Правила кібергігієни для державних службовців
 📎https://youtu.be/ydxygvVTyu8

 • Кібергігієна і відповідальність за порушення у кіберсфері
 📎https://youtu.be/8g3mRH3NUl4

 • Основи кібергігієни. Дія.Освіта
 📎https://youtu.be/6GvlqwWrNIM

 • Ще є — Корисні та доступні заходи у сфері кібербезпеки (трохи з мого блогу):
 📎https://bga68comp.dreamwidth.org/831560.html

Також англійською, але зрозумілою 😊

🔸 🔗 ENISA — European Union Agency for Cybersecurity
 📎 https://www.enisa.europa.eu
📘 Рекомендовані розділи ENISA:

1. Supply Chain Cybersecurity
🧩 Захист ланцюгів постачання
 📎 https://www.enisa.europa.eu/topics/threat-risk-management/supply-chain-security

2. ENISA Threat Landscape (ETL)
🌐 Щорічні звіти про загрози (включно з атаками через постачальників)
 📎 https://www.enisa.europa.eu/topics/threat-risk-management/threats-and-trends

3. NIS2 Implementation Support
⚖️ Методичні матеріали щодо NIS2 і взаємодії з постачальниками
 📎 https://www.enisa.europa.eu/topics/cybersecurity-policy/nis-directive/nis2

4. Cybersecurity Certification (EUCC, EUCS, EU5G)
🛡️ Сертифікація безпеки постачальників за новою рамкою ЄС
 📎 https://www.enisa.europa.eu/topics/certification

Еталонні архітектури кібербезпеки Microsoft
 📎https://learn.microsoft.com/uk-ua/security/adoption/mcra


bga68comp: (Default)
2025-12-01 11:54 pm
Entry tags:

Управління доступом до облікового запису


Програми та служби, яким ви надали доступ



Наведені нижче програми та служби мають доступ до деяких ваших відомостей. Натисніть кожен елемент, щоб переглянути або змінити деталі.

Посилання — Програми та служби, яким ви надали доступ:
https://account.live.com/consent/Manage


bga68comp: (Default)
2025-11-29 02:37 am

Порядок призначення керівника з кіберзахисту


Кабінет Міністрів України
Постанова від 26 листопада 2025 р. № 1516

Про затвердження Порядку призначення керівника з кіберзахисту на посаду в органі державної влади

https://www.kmu.gov.ua/npas/pro-zatverdzhennia-poriadku-pryznachennia-kerivn-derzhavnoi-vlady-i-1516

https://www.kmu.gov.ua/storage/app/uploads/public/692/820/5a9/6928205a9d0dc940485839.pdf


bga68comp: (Default)
2025-11-23 06:39 pm

Набір шаблонів і документів з кібербезпеки


© linkedin.com

Information Security NetworkAyesha Abid • 3-й и выше • Все в LinkedIn и за пределами сайта
Отримайте повний набір шаблонів і документів з кібербезпеки за адресою: https://lnkd.in/dqACKdzc

🏆 Оптимізуйте свій робочий процес без зусиль!
🎢 Аналізуйте дані з легкістю!
🎡 Приймайте рішення впевнено!

Скоротіть завдання навпіл за допомогою готових шаблонів і документів.



Cybersecurity Templates & Documents

Шаблони та документи з кібербезпекиRead more... )


bga68comp: (Default)
2025-11-21 01:25 am

🍓PECB добровільно вийшла з акредитації Cofrac

iso-iec-27005-logo Починаючи з 11 серпня 2025 року, компанія PECB добровільно відкликала свою акредитацію Cofrac (Французький орган з акредитації) для сертифікацій PECB ISO/IEC 27005 Lead Risk Manager та Risk Manager. Це рішення є частиною стратегічного коригування партнерств PECB з акредитації, спрямованого на підвищення гнучкості та ефективності надання сертифікаційних послуг PECB. У межах цього переходу PECB й надалі дотримуватиметься найвищх стандартів сертифікації через акредитацію IAS (International Accreditation Service) для сертифікацій ISO/IEC 27005 Lead Risk Manager та Risk Manager.

Ключові оновлення для сертифікату PECB Certified ISO/IEC 27005 Risk Manager:

 • Форма підтвердження відповідності (Eligibility Form) скасована і більше не потрібна для сертифікації.
 • З назви сертифікату буде вилучено посилання на рік версії стандарту (2022). Тепер він матиме назву PECB Certified ISO/IEC 27005 Risk Manager.
 • Позначка IAS відображатися у сертифікаті буде.


Нагадування про поновлення сертифікації:

Щоб зберегти чинність сертифікації, необхідно переконатися у:
 • Поданнях годин підвищення кваліфікації — безперервного професійного розвитку (CPD).
 • Сплаті щорічного внеску за обслуговування сертифікату (AMF).

Якщо сертифікацію не підтримувати протягом 3-річного циклу, буде застосовано 12-місячний період призупинення, протягом якого сертифіковані фахівці можуть погасити прострочені AMF та подати відсутні CPD. Якщо протягом періоду призупинення не буде вжито жодних дій, сертифікацію буде анульовано, і вона не буде понижена до Тимчасового рівня (Provisional). Для повторного отримання сертифікату необхідно буде скласти іспит заново та подати нову заявку на сертифікацію.

Примітка: Сертифікація Data Protection Officer (DPO) — CNIL залишається акредитованою Cofrac.


bga68comp: (Default)
2025-11-10 06:58 am

CSA — Керівництво з нульової довіри для малого та середнього бізнесу


Керівництво з нульової довіри для малого та середнього бізнесу (МСП)
Для кого це:
  • Власники малого та середнього бізнесу
  • Команди ІТ та безпеки
  • віртуальні CISO
  • Покупці та постачальники керованих ІТ-послуг та послуг безпеки
  • Зовнішні ІТ-аудитори та оцінювачі

Керівництво з нульової довіри для малого та середнього бізнесу (МСП)

Дата виходу: 13.01.2025

Кібербезпека для малого бізнесу пов'язана з унікальними та складними викликами. Це робить впровадження стратегії нульової довіри критично важливим для захисту їхніх активів і даних. Нульова довіра – це стратегія безпеки, яка використовує давні принципи, такі як мінімальні привілеї та «ніколи не довіряй, завжди перевіряй».
Ця публікація містить рекомендації для малих та середніх підприємств (МСП), які переходять на архітектуру нульової довіри. Вона враховує численні унікальні обмеження, з якими стикаються МСП, включаючи бюджет, ресурси та глибокі знання предметної області. У цьому посібнику розглядаються ключові компоненти, такі як перевірка особи, безпека кінцевих точок, сегментація мережі та постійний моніторинг для запобігання несанкціонованому доступу. Крім того, в ній обговорюється важливість розуміння унікальних потреб організації, узгодження практик безпеки з бізнес-цілями та сприяння розвитку культури безпеки серед співробітників.
Дотримуючись цих рекомендацій та впроваджуючи принцип нульової довіри, малі та середні підприємства можуть покращити захист своїх даних, довіру клієнтів та стійкість. Хоча малі та середні підприємства стикаються з унікальними викликами, вони виявлять, що принцип нульової довіри забезпечує надійніше середовище, яке підтримує їхні бізнес-цілі.

Ключові висновки:
  • Чому малий та середній бізнес повинен турбуватися про кібербезпеку
  • Основні заходи безпеки, які необхідно вжити перед впровадженням Zero Trust
  • Основи стратегії нульової довіри
  • П'ятиетапний процес впровадження Zero Trust та як його застосовувати до малого та середнього бізнесу
  • Міркування щодо залучення постачальників послуг керованої безпеки (MSSP)

Джерело:
https://cloudsecurityalliance.org/artifacts/zero-trust-guidance-for-small-and-medium-size-businesses-smbs


bga68comp: (Default)
2025-11-10 06:43 am

CSA — Структура можливостей безпеки SaaS (SSCF)


Структура можливостей безпеки SaaS (SSCF)
Для кого це:
  • Команди з управління ризиками третіх сторін
  • Постачальники SaaS
  • Команди інженерів безпеки SaaS

Структура можливостей безпеки SaaS (SSCF)

Дата виходу: 23.09.2025

Структура можливостей безпеки SaaS (SSCF) – це нова технічна структура, яка визначає налаштовувані, споживані та орієнтовані на клієнта засоби контролю безпеки, що надаються постачальниками SaaS своїм клієнтам.
SSCF являє собою комплексний підхід до управління безпекою в хмарних програмних рішеннях, розроблений для подолання розриву між можливостями безпеки постачальників та специфічними вимогами замовника. SSCF було розроблено у співпраці з робочою групою SaaS CSA та іншими провідними галузевими експертами.
SSCF надає ключові переваги широкому колу користувачів:
  • Для команд TPRM це слугує базовою точкою можливостей безпеки під час оцінки постачальників SaaS, спрощуючи оцінку ризиків та процеси закупівель.
  • Для постачальників SaaS це стандартизує відповіді на оцінювання, слугуючи узгодженою основою, зменшуючи кількість спеціалізованих анкет та накладні витрати на оцінювання.
  • Для команд інженерів безпеки SaaS це надає базовий контрольний список впровадження, оптимізуючи та пришвидшуючи їхню програму безпеки SaaS.
Встановлюючи стандартизовані функції безпеки, які мають бути доступні на всіх SaaS-платформах, SSCF дозволяє власникам додатків приймати обґрунтовані рішення та підтримувати послідовний рівень безпеки.
Що входить до цього завантаження:
  • Документ випуску SSCF версії 1.0: Описує новий стандарт, його контекст, область застосування та домени контролю.
  • Список елементів керування SSCF версії 1.0: Містить елементи керування SSCF, узгоджені з доменами CCM.
  • Слайди SSCF версії 1.0: Ознайомлення з передумовою, постановкою проблеми та перевагами SSCF.

Джерело:
https://cloudsecurityalliance.org/artifacts/saas-security-capability-framework-sscf


bga68comp: (Default)
2025-11-10 06:23 am

CSA — Життєвий цикл дослідження


Життєвий цикл дослідження

Життєвий цикл дослідження

Дата виходу: 10/03/2025

Графіка життєвого циклу дослідження CSA ілюструє, як дослідження переходить від пропозиції до затвердження, виконання, рецензування, публікації та поширення. Цей ресурс допоможе вам зрозуміти результати на кожному етапі, від статутів та планів проектів до чернеток, публікації та постійного підвищення обізнаності, щоб ви могли бачити, як розробляються та поширюються дослідження CSA. Завантажте життєвий цикл і дізнайтеся, як узгодити це з процесом CSA. Надсилайте свої дослідницькі ідеї на адресу research@cloudsecurityalliance.org

Джерело:
https://cloudsecurityalliance.org/artifacts/research-lifecycle


bga68comp: (Default)
2025-11-10 06:03 am
Entry tags:

CSA — Гібридна хмара та пов'язані з нею ризики



Гібридна хмара та пов'язані з нею ризики

Гібридна хмара та пов'язані з нею ризики

Дата виходу: 13.07.2020

Хмарні обчислення процвітають. Гібридні хмари, зокрема, набирають обертів, оскільки клієнти хмарних технологій дедалі більше розуміють, що використання лише публічних або приватних хмар має певні обмеження. Гібридна хмара часто є відправною точкою для організацій, щоб розпочати шлях до хмари, і цей документ має на меті описати концепцію та цінність гібридних хмар, виділити ключові сценарії застосування та вказати на ризики безпеки в гібридній хмарі.

Джерело:
https://cloudsecurityalliance.org/artifacts/hybrid-clouds-and-its-associated-risks/


bga68comp: (Default)
2025-11-10 05:11 am

CSA — Матриця керування штучним інтелектом


Матриця керування штучним інтелектом
Для кого це:
  • Постачальники моделей штучного інтелекту
  • Постачальники оркестрованих послуг
  • Оператори інфраструктури
  • Розробники додатків
  • Клієнти штучного інтелекту

Матриця керування штучним інтелектом

Дата виходу: 07/09/2025

Оновлено: 30.10.2025

Матриця контролю штучного інтелекту (AI Controls Matrix, AICM) – це перша у своєму роді незалежна від постачальника структура для хмарних систем штучного інтелекту. Організації можуть використовувати AICM для розробки, впровадження та експлуатації технологій штучного інтелекту безпечним та відповідальним способом. Розроблена галузевими експертами, AICM базується на Матриці контролю хмари (CCM) CSA та включає найновіші передові практики безпеки штучного інтелекту.
AICM містить 243 цілі контролю, розподілені по 18 доменам безпеки. Він відповідає провідним стандартам, включаючи ISO 42001, ISO 27001, NIST AI RMF 1.0 та BSI AIC4. AICM можна вільно завантажити (див. «Завантажити ресурс» нижче).
Що входить до цього завантаження:
  • Матриця контролю ШІ: Електронна таблиця з 243 цілями контролю, проаналізованими за п'ятьма критичними складовими, включаючи тип контролю, застосовність та власність контролю, архітектурну релевантність, релевантність життєвого циклу LLM та категорію загрози.
    • Зіставлення з каталогом BSI AIC4
    • Зіставлення з NIST AI 600-1 (2024)
    • Відповідність ISO 42001:2023
    • Керівні принципи впровадження
    • Керівні принципи аудиту
    • Зіставлення з Законом ЄС про штучний інтелект
  • Анкета ініціативи консенсусної оцінки для штучного інтелекту (AI-CAIQ): набір питань, що відповідають AICM. Ці питання можуть допомогти організаціям у проведенні самооцінки або оцінці сторонніх постачальників.
  • Заповнення AI-CAIQ: Керівництво щодо точного заповнення самооцінки AI-CAIQ, включаючи правила власності, доказів та документування.
  • Посібник із подання STAR для AI рівня 1: Покрокові інструкції щодо подання самооцінки AI-CAIQ до реєстру STAR.
Пов’язані ресурси:

Джерело:
https://cloudsecurityalliance.org/artifacts/ai-controls-matrix


bga68comp: (Default)
2025-11-10 04:58 am

CSA — Керівні принципи впровадження та аудиту AICM



Керівні принципи (рамки) впровадження та аудиту AICM

Керівні принципи (рамки) впровадження та аудиту AICM

Дата виходу: 22.10.2025

Комплект інструкцій щодо впровадження та аудиту Матриці елементів керування штучним інтелектом (AICM) Альянсу безпеки хмарних технологій (Cloud Security Alliance, CSA) надає вичерпні вказівки щодо впровадження та оцінки 243 елементів керування Матриці елементів керування штучним інтелектом.
Що входить до цього завантаження:
  • Керівні принципи впровадження: Визначає практичні рекомендації на основі ролей щодо застосування елементів керування AICM до систем штучного інтелекту, що працюють у хмарних середовищах. Кожен елемент керування містить детальні інструкції з впровадження, адаптовані до основних учасників екосистеми штучного інтелекту: постачальників моделей (MP), постачальників додатків (AP), постачальників оркестрованих послуг (OSP), клієнтів штучного інтелекту (AIC) та постачальників хмарних послуг (CSP).
  • Керівні принципи аудиту: Надає структуровані кроки аудиту для внутрішніх або зовнішніх аудиторів, які оцінюють організації, що впроваджують AICM. Підкреслює відповідальність за конкретні ролі в усьому ланцюжку постачання штучного інтелекту, забезпечуючи послідовну оцінку, чіткі очікування та відстеження в усіх видах діяльності з впровадження та забезпечення якості.
Ці рамки є орієнтиром для практиків, впроваджувачів та аудиторів, які прагнуть впровадити, оцінити та посилити програми управління, управління ризиками та відповідності для систем штучного інтелекту в хмарних середовищах.
Завантажте повну Матрицю контролю штучного інтелекту (AICM) тут .

Джерело:
https://cloudsecurityalliance.org/artifacts/aicm-implementation-auditing-guidelines-frameworks


bga68comp: (Default)
2025-11-09 11:46 pm

CSA — Кібербезпека та життєвий цикл даних


Кібербезпека та життєвий цикл даних
Для кого це:
  • Фахівці з ІТ та кібербезпеки
  • Команди з дотримання вимог
  • Бізнес-лідери та керівники
  • Постачальники технологій та рішень

Кібербезпека та життєвий цикл даних

Дата випуску: 02/10/2025

Життєвий цикл даних стосується комплексного процесу, який проходять дані, від їх створення до остаточного видалення. Розуміння та захист кожної фази цього життєвого циклу є важливим для захисту конфіденційності, цілісності та доступності даних (також відомої як Тріада CIA).
Захист життєвого циклу даних є постійним викликом для більшості організацій. Ситуацію погіршує те, що дані стають дедалі ціннішими та схильними до незаконного використання. Зусилля з кібербезпеки повинні узгоджуватися з етапами життєвого циклу даних, щоб захистити конфіденційну інформацію від загроз, що постійно змінюються.
У цій публікації окреслено унікальні проблеми безпеки та практичні рекомендації щодо захисту даних вашої організації на кожному етапі. Завдяки проактивному підходу до кожного етапу життєвого циклу, організації можуть забезпечити надійний захист даних .
Ключові висновки:
  • Основні принципи безпеки даних: конфіденційність даних, цілісність даних та доступність даних
  • Фази життєвого циклу даних
  • Як кожна фаза життєвого циклу відповідає різним вимогам до відповідності
  • Рекомендації щодо посилення безпеки даних, такі як впровадження інструментів запобігання втраті даних
  • Ключові проблеми та рішення для кожного етапу життєвого циклу

Джерело:
https://cloudsecurityalliance.org/artifacts/cybersecurity-and-the-data-lifecycle


bga68comp: (Default)
2025-11-09 11:04 pm

CSA — Стан хмарних технологій та безпеки ші у 2025 році


Стан хмарних технологій та безпеки штучного інтелекту у 2025 році
Для кого це:
  • Керівники інформаційної безпеки (CISO)
  • Архітектори хмарної безпеки
  • Менеджери з ІТ та безпеки
  • Фахівці з IAM
  • Спеціалісти з управління ризиками та дотримання вимог

Стан хмарних технологій та безпеки штучного інтелекту у 2025 році

Дата виходу: 09/09/2025

Цей глобальний звіт про дослідження, розроблений у партнерстві з Tenable, досліджує, як організації адаптують стратегії безпеки для гібридних , багатохмарних та середовищ на основі штучного інтелекту . Спираючись на думки понад 1000 фахівців, він підкреслює зростаючий розрив між швидким впровадженням та готовністю до безпеки.
Сьогодні більшість організацій працюють у гібридних середовищах та використовують кількох хмарних провайдерів. Водночас робочі навантаження на основі штучного інтелекту швидко переходять у виробництво. Понад половина організацій впроваджують штучний інтелект, а 34% вже повідомляють про порушення, пов'язані зі штучним інтелектом. Незважаючи на це, програми безпеки залишаються реактивними, зосереджуючись на інцидентах, а не на запобіганні, та покладаючись на базові засоби контролю ідентифікації.
Цей звіт показує, що ідентифікація є найбільшим ризиком для хмарних технологій. У ньому також висвітлюється зростаючий дефіцит кваліфікованих кадрів та численні способи, якими організації залишають системи штучного інтелекту незахищеними. Він пропонує практичні рекомендації щодо переосмислення стратегій безпеки навколо єдиної видимості, управління ідентифікацією та проактивного управління ризиками.
Ключові висновки:
  • Понад половина організацій (63%) повідомляють, що використовують більше одного хмарного провайдера. Ще більше (82%) підтримують певний вид гібридної інфраструктури.
  • Багато організацій (59%) визначили незахищені ідентифікаційні дані та ризиковані дозволи як головний ризик безпеки для своєї хмарної інфраструктури. Однак багатьом із цих самих організацій бракує структури або робочих процесів для вирішення цих проблем у великих масштабах.
  • Брак досвіду є головною проблемою для забезпечення безпеки хмарної інфраструктури.
  • Найчастіше відстежуваним KPI хмарної безпеки є частота та серйозність інцидентів безпеки. В IAM головним показником є ​​рівень впровадження MFA/SSO. Організації, як і раніше, зосереджені на поверхневих показниках, а не на перспективних показниках ефективності.
  • Більше третини організацій із робочими навантаженнями, пов’язаними зі штучним інтелектом (34%), вже зіткнулися з порушенням, пов’язаним зі штучним інтелектом.
  • Лише 20% організацій надають пріоритет єдиній оцінці ризиків, і лише 13% зосереджуються на консолідації інструментів.

Джерело:
https://cloudsecurityalliance.org/artifacts/the-state-of-cloud-and-ai-security-2025


bga68comp: (Default)
2025-11-08 10:28 pm

Корисні та доступні заходи у сфері кібербезпеки


photo_2025-11-09_02-51-57
Малюнок — © Momot cartoons

Чому кібербезпека важлива не лише для спецагентів 😊

2025 рік:

Штучний інтелект уже вміє писати фішингові листи краще, ніж деякі поети. Хитрі боти генерують персоналізовані «листи щастя», а шкідливі програми підлаштовуються під кожен ваш рух. Оскільки 80 % атак — це наші власні клік‑помилки, варто вивчати кібергігієну так само, як просто дихати. І головне — тепер це можна робити не так сумно.


Ігри та інтерактивні симулятори

Назва/ресурс Для кого Основна ідея
Spoofy Діти, підлітки та дорослі Подумайте про гру, де ваша бабуся віртуально вчиться не натискати на підозрілі акції із «безкоштовними ковдрами». Чотири рівні («Школа», «Парк», «У бабусі», «День народження») допоможуть вам і дітям відчути себе героями інтернет‑етикету, помічати шахраїв та завжди пам’ятати про сильні паролі.

📎https://zaxid.net/osvitnya_onlayn_gra_...v_n1597878

Interland (Be Internet Awesome) Діти, але цікаво всім Ви мандруєте онлайн‑світом від Google, наче у віртуальному Діснейленді, де вас навчають залишатися милими, відрізняти правду від фейку, розумно ділитися інформацією та охороняти свої дані. Реєстрація? Та ні, просто заходьте і рятуйте свою віртуальну вежу.

📎https://thedigital.gov.ua/news/educati...-interneti

📎https://beinternetawesome.withgoogle.c.../interland

Data Defenders (Канада) Молодь і дорослі Настільна гра про те, що ваші персональні дані — це не просто нудні цифри, а справжня валюта цифрового світу. Тут учать, як захищати інформацію, щоб у вас не вкрали «цифрове печиво».

📎https://stopfraud.gov.ua/cybersecurity.../igry-i278

📎https://mediasmarts.ca/sites/mediasmar...defenders/

Пригоди Літератураса Дорослі та підлітки Ваша місія — вивести фейкові новини на чисту воду. Ця гра тренує навички детектива: шукати джерела, перевіряти факти, знаходити правду серед інформаційних фантазій.

📎https://media.am/literatus/#uk

Чемпіони кібербезпеки (Кіберполіція Сумщини) Діти й дорослі Вікторина від кіберполіції: ви будете рятувати друзів від шахраїв, допомагати жертвам кібербулінгу та закривати краники витоку секретних даних. Безкоштовна гра, яка робить вас супергероєм у світі паролів та антивірусу.

📎https://dev.ua/news/kiberpol-1661773939

Симулятор із кібергігієни на Дія.Освіта Усі вікові групи Сценарії, як у шпигунських фільмах: отримали лист від «принца Нігерії»? Ваша реакція — головне. Вибирайте правильні дії та отримуйте персональні поради. Заодно можна перевірити, хто з родини — геній кіберзахисту, а хто все ще вірить у «виграш автомобіля».

📎https://inspect.in.ua/symulyator-vid-d...ya-osvita/


Освітні курси та ініціативи
  • Місяць кібербезпеки в Україні – щорічна кампанія, у 2025 році проходить під гаслом «Захист починається з тебе». Експерти нагадують прості, але ефективні правила: увімкнути двофакторну автентифікацію, використовувати унікальні паролі, не переходити за підозрілими посиланнями, регулярно оновлювати програмне забезпечення й перевіряти налаштування конфіденційності. Google дарує безкоштовний курс, він навчає розпізнавати фішингові атаки, безпечно користуватися онлайн‑сервісами, захищати особисті дані та уникати кіберзлочинців у соцмережах. Курс доступний усім – як новачкам, так і досвідченим користувачам.

📎https://inspect.in.ua/misyacz-kiberbez...-ukrayini/

  • Крім цього Google відкрив безкоштовну платформу навчання. На цій платформі також усі зацікавлені більш детальним вивченням теми дитячої онлайн-безпеки можуть ознайомитись з 📎"Посібником із безпеки дітей в Інтернеті"
📎https://learning.google/intl/uk_ua/
  • Онлайн‑курс «Very Verified 2.0» – серйозний курс від IREX та EdEra, який навчає вас розрізняти факти і судження, помічати власників медіа, не потрапляти у «інформаційні бульбашки» та відрізняти дезінформацію від пропаганди. Спеціальний блок присвячений тому, як не повірити ворожим вкидам під час війни. Це як фітнес для мозку, тільки замість гантель — новини й меми.

📎https://vincppk.vn.ua/zaproshuyemo-na-...ropagandy/

  • Кібергігієна на Дія.Освіта – безкоштовні відео та тести для тих, хто любить вчитися на дивані з кавою. Українські уроки пояснюють, чому 90% проблем — це наші натискання на «Та ні, там щось таки цікаве». Заодно перевіряють, хто готовий стати кібер‑самураєм.

📎https://inspect.in.ua/symulyator-vid-d...ya-osvita/

  • Ініціатива «Кібер Брама» – кіберполіція вирішила оновити свій портал, свій оборонний щит у світі інформації: можна подати скаргу, дізнатися, які нові схеми придумали шахраї, і погратися у корисні ігри. Якщо бачили підозрілий канал у Telegram — то вам сюди.

📎https://stopfraud.gov.ua/news/kiberpol...-2024-i835

Підкасти та медіа для широкої аудиторії

  • No Name Podcast – український підкаст, де ведучі обговорюють найактуальніші новини світу кібербезпеки. Це ранкове радіо, але про хакерів. Слухаючи, ви дізнаєтеся, як захистити свої дані в месенджерах і чи потрібно взагалі переходити у «хмару».

📎https://speka.ua/videos-and-podcasts/s...0%BA%D1%83

  • Гугл не розкаже – підкаст від SET University та NV, де експерти відповідають на дурнуваті, але важливі питання: навіщо нам двофакторна автентифікація, чому не можна пересилати фото паспорта у Viber і що робити, якщо ваш пароль «123456»?
📎https://podcasts.nv.ua/ru/episode/30748.html

Кібербезпека — це вже не тільки справа спеціалістів, а й навичка сучасного життя.

Грайте в ігри, слухайте підкасти, проходьте курси і марафони, робіть паролі більш «фантастичними» й будьте уважні до деталей. Бо хто, як не ми, зробить інтернет більш безпечним?

Тримайтеся, пильнуйте, і нехай ваші паролі будуть такими ж міцними, як кава у суботу!


bga68comp: (Default)
2025-11-07 05:32 pm

Control — захід захисту чи контроль?


Control — захід захисту чи контроль?
🔹 Джерело: ISO/IEC 27000:2018 (Vocabulary), визначення 3.14:

control — measure that modifies risk
(захід, що змінює ризик)

🔸 ISO/IEC 27000 та 27001 — «control» = захід захисту
🔸 ISO/IEC 27002 — «control» = конкретний контроль
🔸 NIST SP 800-53 — «control» = формалізований механізм (каталог контролів)
🔸 PCI DSS v4.0.1 — «control» = вимога безпеки
🔸 НБУ №119 — «control» = захід інформаційної безпеки, узгоджений з ISO.



bga68comp: (Default)
2025-10-29 09:20 pm

DoD 5220.22-M


DoD 5220.22-M — це стандарт Міністерства оборони США (Department of Defense), який визначає метод безпечного знищення (перезапису) даних на цифрових носіях, щоб запобігти їх відновленню.
Повна назва документа:
"National Industrial Security Program Operating Manual (NISPOM)" — DoD 5220.22-M

🔹 Що описує стандарт

У цьому документі наведено вимоги до того, як безпечно видаляти дані з носіїв (жорстких дисків, SSD, стрічок, тощо), щоб їх неможливо було відновити навіть спеціальними засобами.

🔹 Класичний метод DoD 5220.22-M (3-pass wipe)

Згідно з ним, дані мають бути перезаписані кілька разів:
  1. Перший прохід: записує випадкові або фіксовані символи (наприклад, 00000000);
  2. Другий прохід: записує протилежні біти (наприклад, 11111111);
  3. Третій прохід: записує випадкові символи та верифікує, що дані знищено.
Іноді використовують 7-pass або 35-pass (Gutmann) варіанти, але класичний 3-pass DoD 5220.22-M вважається достатнім для більшості випадків.

🔹 Навіщо це потрібно в політиках ІБ

У політиках PCI DSS, ISO 27001 або внутрішніх політиках ІБ цей стандарт згадується як приклад безпечного способу видалення даних, зокрема PAN або резервних копій, щоб унеможливити їх відновлення після закінчення терміну зберігання.

🔹 Приклад формулювання

“Видалення даних держателів платіжних карток здійснюється із застосуванням методів безпечного знищення, що відповідають вимогам стандарту DoD 5220.22-M або еквівалентним сучасним методам (наприклад, NIST SP 800-88 Rev.2 ‘Guidelines for Media Sanitization’).”
NIST SP 800-88 Rev. 2 Guidelines for Media Sanitization
NISP Operating Manual (DoD 5220.22-M)


bga68comp: (Default)
2025-10-19 01:12 am
Entry tags:

Класи АС відповідно до НД ТЗІ 2.5-005-99

У термінології українських нормативів із технічного захисту інформації (НД ТЗІ), класи автоматизованих систем (АС) визначаються відповідно до НД ТЗІ 2.5-005-99 “Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу”.

🔹 Класи автоматизованих систем

Клас Назва Характеристика Приклади
АС-1 Однорівнева Доступ мають користувачі з однаковими повноваженнями. Обробка інформації з обмеженим доступом, але без потреби розмежування. Робоче місце з обліком документів “Для службового користування”.
АС-2 Багаторівнева Є користувачі з різними правами доступу. Необхідне чітке розмежування прав, автентифікація, журналювання, контроль цілісності. Банківські або державні системи з різними ролями (оператор, адміністратор, аудитор).
АС-3 Багаторівнева з підвищеними вимогами Обробка конфіденційної інформації високої важливості (державна таємниця, критична інфраструктура). Потребує серйозних криптографічних та організаційних засобів. Системи Міністерства оборони, СБУ, Національного банку України, об’єкти критичної інфраструктури.

🔹 Відмінності між класами

Ознака АС-1 АС-2 АС-3
Рівень доступу користувачів Однаковий Різні рівні Різні рівні з підвищеним контролем
Обсяг інформації з обмеженим доступом Мінімальний Значний Критичний або державна таємниця
Рівень вимог до засобів захисту Базовий Підвищений Максимальний
Необхідність криптографічного захисту Не обов’язковий Бажаний / частковий Обов’язковий
Тип організацій Комерційні / загальні Фінансові, державні Військові, спецслужби, критична інфраструктура

🔹 Важливо

  • Ця класифікація чинна лише для старої “атестаційної” моделі КСЗІ.
    У новій моделі (закон № 4336-IX, постанова КМУ № 627:2024, № 712:2025) — поняття “класи АС” поступово замінюється на профілі безпеки (БПБ, ГПБ, ЦПБ), що відповідають рівням ризику і стандартам ISO/IEC 27001:2022 та NIST SP 800-53 Rev.5.
  • Проте в чинних системах, атестованих до 2024 року, класи АС-1, АС-2, АС-3 ще використовуються.