Рамки, стандарти и разпоредби за ИТ сигурност

24:21↗има какво да ни вземат що да атакуваш някой който нали както казваше тодор колев само да не се силим да ги задминем американците че ни видят нали а няколко неща няма да цитирам графиките такива графики те са две-три идеята тука има в момента сме в една пос ковид епоха ковида ни научи много неща от една страна обаче промени начина на водене на бизнес нещо което е много характерно бизнесът се изнесе извън тези големи офис сграда и ако до преди три-четири години

25:05↗кибероръжие по сигурност трябваше да пазят една един периметър да го кажем така трябваше да пазят един периметър всичко беше вътре горе-долу всичко беше под контрол дойде ковида и военноморското трябваше да прави приемни изпити онлайн да дипломира онлайн а пък ние всичките остана трябва да си правим бизнеса онлайн в момента какво трябва да прави един киро дел той не трябва на една фирма от 200 служители той трябва да пази 200 римет защото голямата част от тия хора си работят от вкъщи тоя хибриден модел се запази и след ковид да не говорим войната в украйна как се отрази а пък от няколко дни ще видим сега с тоя израелски конфликт какво ще стане господ знае а но кибервойната е от преди това и тя си продължава и си напред неслучайно това изследване на ibm то не мое неслучайно след ковида 62% от компаниите докладват че техните инфраструктури са се разраснали те са се

26:10↗увеличили и са станали много по-сложни тоест ние в момента имаме и един чисто технологичен проблем нямаме готовността вие имате тука в училището ама нямаме годността да се справим с това нещо а пък ако трябва да правим някакви прогнози какво се случва 2023 какво ни чака 2024 всички казват и европейската комисия па казва познатите неща ни чакат че си имаме мар ще си имаме ран ще имаме фишинг в крайна сметка всичко минава през това да фишингът ще е спер фишинг нали всичко ще е много по-интелигентно направено всичко ще е много по-културно направено ама няма да ако някой очаква спад няма такова нещо напротив ръстът е огромен на заплахите и заради това тая сфера е много актуална и много интересна както казах тя е на една друга страна и тука ще дам думата на г-н атанасов защото киберсигурността не е само как да го кажа тя не е само технология има много други неща които са

27:13↗в кивер сигурността първо място регулацията нали господин ас пре влючите сла не не аз за вечерята постоянно ме вож това чи това ще е тичен направо съжалявам сега ще видим как ще дайте да знаех си неле накрая ми правино ние веднага се вписахме обаче гледаме да се впишем така а колай какво да кажа за него стандарт и регулации а набързичко ще минавам през всичкото това нещо нис 2 ние направихме с него февруари нали така фари а за инциденти през призмата на нис 2 и през така през някои регулации през 12 27 000 но плюс няколко стандарти които са в серията 27 свързани с управлени инциден сега тук обаче само няма и да ви ги казвам вие ги виждате кои са а ще ги изредя не за другото защото всичките тези са в различни сфери и като са в различни сфери идеята е че тези различни сфери а трябва да се обхванат и трябва да има както регулация а регулацията пък прави правки към стандарти и

28:28↗няма как да избягам от тях аз отличен опит даже ще кажа за някои неща нещо а това е американско всеки знае че то е регулация но нещата са свързани с това че се всъщност те го наричат не сертификация го наричат акредитация акредитират се персонал който трябва да разбира за това за киберсигурност специално в healthcare тоест в здравеопазването и другото е че може да се сертифицират или акредитират организация толкова за това по по-нататък ако трябва ще говорим и за този тип специални сертификации сега четири стандарти установявам аз защото се занимавам със стандартите от 98 година управленски касаещи сертификация на хора като специалисти експерти индустриални определени индустрии всичко това е в информационната киберсигурност и инженерни продукти ста така а набързо управленски 271 с екстеншъните няма да ви говоря конкретика кой екстеншън с какво се занимава има един gdpr облечен в 2770

29:44↗дефакто това е gd вече на 2231 е много интересен стандарт той е свързан с bus cont тоест с непрекъсваемост на бизнес процесите той е свързан с киберсигурността с информационната сигурност всички може би се усеща има един много интересен стандарт който практически аз ми се наложи да го прая за няколко мои клиента 28 000 той даже сертификациите минаха тогава по версия 2007 сега е обновен много е интересен той е за веригата доставки su chain междупрочем от съплай чей тръгват много неща а и много пат тука последните три гони а има един много интересен стандарт не знам може би повечето от вас са го чували в клъстъра и така нататък това е на vda или f как се произнася на немски той е и със стандарт в смисъл и има една много специфична сертификационна процедура нарича се к това е портал им какво означава това са всъщност всичките о производители на автомобил за европа

30:49↗това е стандарт за автомобилния сектор за киберсигурност информационна сигурност за автомобилния сектор ама много много разпространен и между прочем не е само в европа доколкото разбрах от мои така в ките познати вече и приятели даже и не само ликите естествено тис се разпространява с гасна сила и ща така pci dss няма какво да ви говоря за него това е за плащанията с карти прескачам отивам в едни индустриални стандарти които няма въобще даже да ги чета но те са много специфични и там производителите и вендорите просто трябва да отговарят на тия техники тоест аз искам да произвеждам да кажем рутер произвеждам някакво жво устройство произвеждам нещо трябва да се съобразя с ти стандарти тоест те са инженерни стандарти не са управленски следващите са тези които са типична продуктова сертификация това ще рече че ако аз произвеждам медицинско изделие трябва да

31:52↗мина през ръцете ми мина в рамките тука на няколко месеца да направя и 134 85 плюс и 271 за една двойна браслет с едно такова устройство тука което е 247 мониторинг на всички неща по сърцето 62 а ul 29 000 е кибер и безопасност на софтуера за продукти за меж вас вност той е пък фокусиран там там пак минава процедура на жестоко изпит жестоки изпитвания през лаборатории през а производствени така ще ги нарека системи с за качество и за сигурност които трябва да минат преди да бъдат пуснати на пазара 624 43 те са серия които се отнасят за киберсигурност на оперативни технологии в системи за автоматизация и управление на производствените предприятия сега е много модерно нали там говорими се за а атомни централи говорим си за електроцентрали говорим си че скада системите ги как как стват много успешно което означава че там пък трябва да минат на тази продуктова сертификация 60

33:04↗600 ено за медицинските изделия последно изпирам с продукта от десерти кация 2143 4 това е за автомобилната части тое cyber security ирин стандарт няма дажа то стандарт а така малко за акредитацията не знам много трябва да се говори а процесът по внедряване сертифициране и акредитация сега акредитацията е добре е ако искаме в европейски съюз ако искаме да участваме в тръжни процедури във всякакви такива неща и да ни ги одобряват сертификацията да бъде акредитирана тоест примерно българска служба по акредитация се е с тоя знак тук ама тя не покрива абсолютно всички неща и затова те са си риче едно споразумение за взаимно признаване на сертификации реално погледнато всичките тия тука които ги виждате знаци а нап яса а регия кофра юкас и така нататък са национални акредитационни органи да де ама тия организации правят одити на сертифициращи тоест ако няма ако имате

34:17↗сертификация която не е акредитирана например няма да ви признаят разходите по европейските това е което а ми е минало и през главата и през сърцето на мен и затова го казвам исках да обърнем внимание внедряването е нещото което се раз една организация която тепърва иска да направи система която да влезе в стандартите да кажем посо 27 но трябва да си направи системка тая системка иска заготвени небране и така нататък след това имаме сертифицирането то трябва да стане по тоя начин няма да чета идеята е че пак връщаме се за валидната акредитация има някакви дни има един international accreditation форум беше в началото аз даже ще го върна ви кажа че ей този яв най-отгоре който седи той е разработил една табличка с която табличка реално казва във фирма примерно както е да кажем голяма фирма от 1000 души там ще трябва да има одит от пет човекодни или 10 човекодни от еди какви си специалисти

35:23↗за да може да сме сигурни че там наистина ще бъдат проверени всички процеси всички та акредитацията прави проверка на сертификацията сертификацията прави проверка на системите и ето тука е по-скоро картинката с която искам да кажа а целия тоя процес на внедряване сертифициране и акредитация имаме яс най отгоре европейската агенция по акредитация това са национални акредитационни органи това това е примерно сертифицираща организация е коя си тя сертифицира тези фирми по най-различни стандарти и защо [музика] една фирма или организация би искала да се сертифицира защото има регулаторен натиск няма верит повтарям регулациите са това са причините следващото нещо което е продължаваме с регулаторния натиск но казвайки че да той вкарва административна тежест обаче там трябва да се търси баланса между между административна тежест и да се търси пък и другото което са плюсовете повишеното

36:37↗доверие намаляване на риска повишаване на ефективността на процесите да много текст много нещо има и конкурентни предимства може би всички се сещате ако искате можем в общата част да си говорим за да не прекаляваме наистина а да служи за подреждане на къщичката това искам да ви го кажа само и с това ще завърша моята част ще дам за то и съвсем да завърши нещата аз да го отнеса накрая няма да го отнесеш накрая но просто такава ни е презентацията а просто ще го отнесеш послед има има има и фирми и фирми тоест и организации и организации има частни фирми които са много добри има и частни фирми които не са има така се случи че адити аудитор сва има понякога министерства има и слаби министерства направо го казвам няма да кажа щото неетично а министерството на информационните технологии как там взеха да отиват едни хора които според мене са по-добри професионалисти

37:44↗от старите хайде така ще си излеза да видим дали ще излезе нещо въпросът е още не сме ги одитирали така време специално специално тази на електронното управление има една агенция не знам дали т е министерство вече вече е министерство доб министерство това министерство дето колега каза това минист сега ще има сертификация при тях ще ги подготвят за 2771 тоест 270 27 и1 тоест от серията стандарти така че да очакваме че там поне познавам колегите които ги подготвят да очакваме че нещата ще бъдат добри поне от към регулаторната рамка така че сега тука една с ние в регулатор рамка понеже илеш не е само и нали не не ако спомняте първия слайд с който започна презентацията те са безброй стандартите защо гледаме исо първо защото то е най разпространено у нас второ защото е синхронизирано с българския държавен стандарт трето защото живеем в европа и ако някой на

38:50↗нас ни иска бизнес това иска предимно и изключено компаниите които работят извън европа има такива има разбира се стандарти в началото бяха посочени ако някой го интересува питайте ще кажем кои са стандартите освен това и сото за разлика от най-често цитираните в литературата за киберсигурност стандарти на американския институт нали исото е има сертификационна процедура дато помис нещо което той дава фрейър дава всичко но там е нечестна дума не че не се правят одити правят се одити ама и те са нечестното нали докато тука си има сертификационна процедура тоест има ясно определени неща какво трябва да се постигне какъв резултат се чака неслучайно значи те понеже господин трансова за тръжни процедури и така нататък всички знаете че просто го искат нали сега европа каза че ще им забрани да го искат като условие което да отхвърля кандидат тоест те няма да могат да го сложат като

40:02↗изискване по което да отпадне директно кандидата има едни 10 точки обаче да обаче ще намалят 10 точки ама вижте то в това има логика значи аз затова го оставих на да го кажа тия неща да ги кажа на слайда да си подредим къщичката защото целта на сертификацията значи те и стандартите така казват няма лошо не искаш да се сертифицираш но и в суп чей по същия начин стоят нещата но тогава аз трябва да те проверя ако ти ще ми доставяш нещо аз трябва да проверя твоите процедури за сигурност как ти се грижиш за тях как ти се грижиш за информацията си тоест трябва да дойдат и направо дитка ами едва ли една организация която обвея някакъв търк ще дойми направи одит най-лесният начин за да си докаже тя мла с това нещо е да каже искам доставчик който има такива сертификати и тя затова си казва 10 точки имаш сертификат 10 точки нямаш си платиш дато ти напра одит не е идеална

41:00↗картинката там да ама то е борбата между бюрократичната тежест и реалните ползи а как това нещо се случва примерно в щатите или в някоя друга държава където няма и няма има не само ирта а три да да не са толкова добре много добре са които се спазват зависи каква е организацията значи те там имат и един булюк други процедури да не говорим че имат включително и такива щатски закони и регламенти които се изисква да бъдат спазени а аз понеже съм одитор към исака там по реймър който работи по исака той не е и со там не се издава сертификат но одит си се провежда тоест одит си одит пак си стоя за това нещо одити проверки дали фрейър се спаз дали нещата се правят по определени процедури дали тия процедури ги има разписани как това работи това което на мене ми е правило впечатление понеже съм гледал обучение на американските доставчици на такъв род услуги и на европейските доставчици на

42:15↗такъв род услуги докато европейските доставчици говорят предимно за колан и регулации това онова трето четвърто нали в американските неслучайно казват нали на одитора едната едната от задачите му е хубаво да си пази доказателствата защото може да се наложи да свидетелства в съда тоест там нещата не знам дали са по-прости като нямат исо ама някак си са по-разни те в америка имат процедура за всяко нещо разписана те без процедура нали знаете че им е трудно може ли да наметна нещо че новата версия на 27001 а заедно с 27002 което е практика на полагане на контролите там е много добре щях да кажа алайн тоест много добре са се съпоставили с тези на нист там има едни при при при не проти пропъртита на английски нарич свойства може би да ги кажа с контролите коя е превантивна коя е коригиращ и така нататък и нещата всъщност са на доближиха се до ниста тоест според мене в един красив момент

43:21↗ще почнат да се ама те всичките поне тия които с тебе сме за почват да се про терминология там така е така е а в момента има един натиск защото познаваме трима четирима там хайде да ги наречем познати хора които говорят за това че исото започва да набира си сертификацията говори да значи тя графиката има ли нещо което сертификацията по исо гарантира на 100% нищо на кого нищо на клиента който заявява че иска сче да да бъде сертифициран посо ch да бъде сертифициран по is има и 20 000 аз го показах то е и за su чей ама има ли гарантира на значи виж идеята добре мога ли мога ли може ли може ли да може ли да кажа защо защото участвах в една дискусия точно то и те не очакват да стане идеална работа изведнъж да могат доставките от китай или от филипините отнякъде нали по време на война изведнъж да станат редовни регулярни и така нататък но фирмите могат да обърнат повече внимание

44:36↗фирми организации да обърнат внимание те да си преструктурират нещата в новите условия да бъдат гъвкави тоест 28 000 между прочи в новата си версия за suly chin там сигурността е сигурност всякаква плюс киберсигурност плюс информационна сигурност всичко това се прави с идеята да можеш да търсиш и постоянно да търсиш и и алтернативни доставчици да не разчиташ само на тези на които досега се разчита тоест да се преорганизира нещата всичко тука е организация затова казвам 27 000 но управленски стандарт и 28 000 управленски стандарт ако някой го чете ако тръгне да му разбира философиите и да тръгне да го прилага на умно тънката работа е да се прилага умно виждам усмивката но ако се прилага умно аз лично имам клиенти които са доволни че в момента са са и сертифицирани и ги проверяват и са доволни от това че са си подобрили въобще статуса и имиджа ако щете а колкото и да говорим че това някои

45:40↗знам че някои не го приемат въобще и каз това е административна тежест това това са други неща аз мога да кажа в цири ами според мене трябва ето тези неща които се демонстрираха тука това което военноморското училище прави да обучава кадри всичките в един момент да зара тят адекватно и заедно защото пък много често се получава че тия пишат с един политически труден език за разбиране после става трудно за консултанти и за одитори да го тълкуват знаем всичките тия неска по птя ние днеска по пътя загубихме половин час да спориме в управлението на риска ттм ли е или гейн нали щото американските стандарти те говорят за мийн говори за ттм и тука сега влизаме в един много философски спор така а само да кажа за веригата на доставките не че ви е дадохте като пример не се гарантира нищо идеята на ригата на доставките аз винаги давам тоя пример разбира се и на друга тема като

46:41↗говоря за киберсигурност защо стана тоя проблем и що всички сега говорим за веригата за доставчици аз искам да докопам есграона за да не ви говоря за американски ядрени електроцентрали що трябва да атакува с грона като го пазих коско жами и сок тоя s грон нали много ми е по-лесно да хакна община горно надолнище да взема на компютъра креден той има достъп до ерона и да си влеза като кмет иван петров и да си взема каквото ми трябва от е грона няма що да се боричкам с е грона това е идеята на сертифицирането на доставчиците това е идеята и да искат да отговаряме на някакви критерии при обществените поръчки и на мен не ми харесва а за административната тежест обещах две думи само понеже на мене расков е бил консултант още от преди години като сме правили сертификацията нашият комбиниран наръчник за двете системи за 9 000 и за 27 000 е не повече от 40 и няколко

47:52↗страници ама това е всичко всъщност барба с процедурки ич оковите схемички всичко и това и онова и заради 20 седмицата си имаме декларация на приложимостта разписали сме си контролите оцени смис риск това е административната тежест при интелигентно пак казвам благодаря г-н атанасов при интелигентно направена система и то комбинирана за 9 000 и за 27 000 сега това видях че го имате долу и в центъра професора а аз съм голям фен на тая мисъл защото тя много говори за това защо е това е информационна сигурност аз обаче разглеждам информационната сигурност от друг аспект аз я разглеждам като едно укрепление още в средните векове хората са знаели как да си правят укрепленията и как да си и са си направили документации ка забележете тука говорим анатомия на замъци на охранителни съоръжения как се прави що се прави че типично има това това това това това и

48:57↗това типично се избира терена типично се прави така така повече военни науки отколкото киберсигурност но няма да се учудваме и со 27 000 има едни бяха 114 сега по моното са 90 и 93 контроли ама не защото са намаляли не защото информационната сигурност е станала по-лесна просто и соги обединиха вкараха няколко нови за удобство и те ги делят вече не на десетина 12 там на четири домейна тия домейни може да си ходят на мястото в същия тоя замък в същата тая архитектура на защитата имаме си организа дори когато говорим за организационни технологични говорим тука за контроли свързани с контрола на достъпа от тях едната част са чисто технологични другата част са чисто организационно аз винаги съм твърдял за моите клиенти че като няма организационно решение има техническо обратно същото важи и за контролите свързани с управление защитата на информация от та тя се разполага на

50:01↗други места по това замъче същото важи и с контролите за управление на инциденти същата история всичко това може да се разположи в това замъче кое къде хората затова са си направили тука едни кулички за да виждат по-надалече пък тука са си направили една кула дето стои баш генерално той трябва да вземе информирано решение на него той трябва да има поглед върху всичко не само навън много е важно генерал да има поглед и какво става вътре за да си вижда и ресурсите с които разполага и въобще за да може да си управлява нещата какво се случва днес нищо нищо нищо добро в киберсигурността значи ако в киберсигурността беше прерогатив на големите организации в днешно време това далеч не е така насочват се атаките все повече и повече към компании от малки и среден бизнес за съжаление малки и среден бизнес не е готов да ги разбере тия неща навреме защото когато малки а като казва малък и

50:59↗среден бизнес говорим тука по американските мащаби тоест това дето те му викат среден бизнес у нас си е коскоджамити бизнес а проблемът че този малък и среден бизнес благодарение на това че не е направил съответните инвестиции няма съответните кадри няма съответните технологии и най-вече няма кадрите които да работят с то тия технологии защото да имаме клиенти които имат много технологии обаче няма кой да ги ползва тия технологии там а се появява това дето се нарича адванс песин ред нещо се е случило нещо е там и то си стои и си стои там и се задейства като му дойде времето и това по ред причини аз няма да се спускам надълго и нашироко идеята тука е че тия неща а вече не са само за големите и само за само за големите компани само за големите държавни организации това се случва в реалността случва се при малки компании повярвайте ми и те казват ние имаме къп

52:04↗си го установяват кпа и това дето им е пробива той си е там те си го възстановяват заедно с бк защото пробив си е стоял от 10 години така досега модел какъв е бил особено в тая сфера за която говоря малък и среден бизнес така наречения периметър центричен модел имаме страхотни фали защото имаме страхотни компании от които сме си купили тия боли те направиха академии по почти всички университети в българия и имаме страшно много специалисти за това и тръгваме от периметъра навътре и правим защита защита защита всички знаем нали демилитаризирани зони пък други видове зони правим си трафика търкингтън

52:56↗д години само технологиите които компаниите използват за защита ползваме 10 различни технологии и накрая няма кой да ги наблюдава слава богу че има компании като мнемоника нали дето казват чакайте сега вика не знаете дайте ние да го правим защото знаем как се прави ама има много хора дето пък казват аз съм дал пари дал съм средства вложил съм научил съм си хора тоест тоя модел трябва да се промени защото има на върха на тая кула дето казах тука за баш генерала има едни неща дето малкия и среден бизнес нито може да си ги позволи пък ако си ги позволи не знае какво да ги прави не знае как да ги ползва и картинката която той получава е малко като телевизор с кинескоп за неговата сигурност да има тука още статистика няма да ви плаша повече стига на плащ е я я обратно обратно аз обичам статистика мама така учила затуй го записа в медито времето числата са значи тя статистиката

54:04↗нещо много хубаво особено за тия нали дето идвате от гто дайте ми достатъчно числа и ми кажете какво точно искате да ви докажа аз ще ви го докажа и аз така изучавах навремето и на глав и на

54:20↗лучников идеята е че всичките тия средства които ги ползваме в момента вече има технологии които ни позволяват това нещо да се случва всичките тия средства които ги ползваме като отделни компонети на защитата те не си говорят помежду си трябва да сложим отгоре едни големи системи които да ги наблюдават и след това още едни системи които да ни автоматизира действията върху наблюдението и анализа който сме направили съвременната технология казва да първо много има вече управляеми услуги много компании предлагат управляеми услуги това е за тях ето го нова концепция за сигурност тя сега се нарича xdr ама какво е това xdr extended ясно що не има x знаем всички какво е edr значи това е extended edr ама рр казва стойте това е те нали те обичат да ги правят тия дефиниции и след това ние се чудим какво как да се оправдаваме с тия дефиниции всички имат xd значи xdr е extended xdr обаче това е

55:23↗нещо което е от един производител значи до преди пет-шест години ние самите си учихме клиентите не си слагайте яйцата в една кошница периметъра го защитавайте с едно вътре защитавайте с друго пък прете наблюдавайте с трето пък това с четвърто пък онова с пето и свършиха хората дето това могат да го правят и сега се връща нали те и и сигурността беше нали първо дайте разрешете всичко дето не е забранено е разрешено пък после каз първо беше обратното нали прави всичко и забранявай това дето не трябва пък сега казва я ти забрани всичко и пускай само това дето трябва така че има такива технологии тогава картинката поставена върху замъка би изглеждал ей така значи пак си ползваме купищата технологии и не мога да ги наредя всичките много ще стана нагъчкан слай нали идеята е че всичките тия технологии когато са тръгнах от дефиницията на гар то казава две или

56:29↗повече системи за сигурност които могат да си корелират данните в една конзола за наблюдение и управление така с това мисля да приключвам защото вече ще ме бият благодаря ви за вниманието и сега 3 2 е ай сега вижте какво щрак благодаря ти много за сбърках слайда ето

57:02↗опа секунда да нищо ще пусна с координатите слайда а идеята беше както павката обича да казва ние в кибер клуба всеки път казваме нали абе не щракайте по тия qr кодове и всеки път ви ги показваме qr кода ние на cyp to много обичаме да да сканираме q кодове всеки да ама сафарито не го хареса тука няма достъп до тоя сайт ате

57:33↗интернет

57:39↗паролата пус хо благодаря ви за престацията аз се учудвам как всеки път тия сухи неща като сертификати като какволи още не в р сигурността защото иначе не става и аз бяхм от тоя км пла благодаря че дойдохте до тук до варна да разкажете тази презентация надявам се че е била интересна и полезна за всички от вас благодаря че останахте до толкова късно и предлагам с това да затворим официалната част на събитието и да ви поканя отвън в networking и както сега казвам всеки път може би една от най-важните части елементи от cy talk благодаря отново и до нови срещи във варна с [музика]