Тема обеспечения информационной безопасности промышленных предприятий набирает обороты с каждым днем. Количество инцидентов заставляет задуматься даже самых отъявленных скептиков. Специалисты ISC-CERT зафиксировали 108 кибератак в первой половине 2015 года. Треть эпизодов зафиксированных пришлась на энергетику, 20% были направлены на компании в области водоснабжения, другие 20% – на критически важные предприятия. В Chath- man House сообщали о 50 киберпреступлениях против АЭС. Термин Stuxnet стал символом "новой" киберугрозы, а примером стал литейный завод в Германии, которому нанесен огромный ущерб в результате хакерской атаки.

Из-за удешевления приемников GPS и ГЛОНАСС их можно встретить не только в каждом смартфоне, но зачастую и в устройствах, которые никогда никуда не двигаются — особенно в промышленных. При этом уровень доверия к спутниковым сигналам стремится к 100%. Мы расскажем, к чему это может привести.

Большинство организаций пребывает в уверенности, что успешно внедрили режим защиты конфиденциальной информации, и зачастую это является заблуждением.

Для успешного внедрения режима защиты конфиденциальной информации (коммерческой тайны, персональных данных) важнейшими мероприятиями являются формирование перечня сведений, относимых к конфиденциальной информации, а также маркирование и учет документов, содержащих такую информацию, в том числе электронных документов.

При этом ни одна организация при обмене электронными документами и сообщениями в текстовых файлах, таблицах, презентациях, электронных письмах никак их не маркирует или маркирует все подряд. Тем самым конфиденциальные сведения никак не выделяются из общего потока обрабатываемой информации.

Docs Security Suite (DSS) – это уникальная российская разработка.

DSS принудительно проставляет визуальные и скрытые метки на электронные документы, регистрирует все действия пользователя с документом, прослеживает взаимосвязь документов, разграничивает и контролирует права доступа пользователей на основе матрицы доступа меток конфиденциальности. Вся история событий сохраняется в базе данных для дальнейшего анализа и расследования инцидентов.

- Стандарты SAP
- Защита персональных и коммерческих данных
- Центры обработки SAP
- Архитектура безопасности облачных решений SAP
- Популярные вопросы по безопасности облачных решений SAP

· Замена точечных решений комплексными - экономим приобретая
· Кризис и сервисный подход к информационной безопасности
· Экономика облачных решений по безопасности
· Pay as you go в ИБ - от продуктов до специалистов
· Пример расчета TCO для защиты веб-приложений

· Современные технологии для автоматизации ИБ
· Специфика промышленного сектора в части управления и автоматизации процессов ИБ
· Разумная и неразумная автоматизация ИБ
· Что делать с АСУ ТП и трогать ли это вообще?

1. Необходимость защиты и контроля данных в АСУ ТП.
2. Риски в АСУ ТП. Примеры из жизни.
2. Стратегии обеспечения безопасности АСУ ТП.
4. Система контроля версий. Принципиальная схема.
5. Умное сравнение версий.
6. Автоматическое резервное копирование.
7. Протоколирование изменений.
8. Послеаварийное восстановление.
9. 100% обеспечение безопасности АСУ ТП.
10. Выгоды.

Значительная доля всех утечек информации в крупных компаниях происходит по вине внутренних нарушителей или из-за недостатков системы управления правами доступа. При этом централизация инструментами Identity Management с ролевой моделью доступа Role-Based Access Control (RBAC) зачастую не приносит желаемого результата. Решение этих проблем в корпорации осложняется большим количеством ИТ-систем, множеством сквозных бизнес-процессов и сотнями пользователей с разными функциями в каждой системе.

Подход CUSTIS к управлению правами доступа использует атрибутную модель Attribute-Based Access Control (ABAC), позволяющую лаконично записывать нетривиальные и гибкие правила доступа. Кроме того, атрибутный подход позволяет избежать проблемы комбинаторного взрыва количества ролей, а проектирование настроек прав доступа существенно упрощается. Количество правил обычно оказывается значительно меньше числа ролей, и система становится более управляемой.

Решение может быть использовано либо как полноценный централизованный сервис авторизации на базе ABAC, либо как гибрид атрибутного и ролевого подхода, если значительное число имеющихся IT-систем предприятия работают по модели RBAC.

Все больше современных вредоносных программ генерируется машинами и используется однократно, чтобы не быть обнаруженными. Именно с этой целью 42% вредоносных программ использует шифрование (encryption), что значительно затрудняет их распознавание. Поэтому стоит задать себе вопрос, насколько вы уверены в том, что ваша организация защищена от новейших веб-угроз? Могут ли пользователи вашей системы безопасно просматривать Интернет-страницы?

Мы приглашаем вас посетить презентацию Trustwave, где мы рассмотрим шесть практических шагов, которые помогут практически любой организации в оптимизации защиты и политики контроля доступа для веб-пользователей. Здесь вы, в частности, узнаете о том, как:
• обеспечить блокировку в реальном времени нового зашифрованного вредоносного ПО;
• с легкостью оптимизировать политику защиты информации вашей организации;
• устанавливать виртуальные "заплатки" на браузеры Интернет, и многое другое.

1. Краткое описание процесса выбора решения у заказчика
2. Основные критерии выбора решений по ИБ
3. Маркетинговое описание решений (тезис - нюансы правят балом)
4. На что обратить внимание (через тернии к звездам)
5. Сравнение что анонсировали и что есть на самом деле (as is)
6. Маркетинг после продажи (поддержка клиента или вы же сами приняли решение!)

В рамках своего выступления Алексей Петухов расскажет про обеспечение информационной безопасности технологических объектов.
• Выстраивание процессов ИБ – инструмент обеспечения стабильности бизнеса в современных условиях,
• Комплексный подход к выполнению нормативных требований,
• Создание единой системы управления физической и информационной безопасностью.

Информационная среда современного предприятия предоставляет существенные возможности для предотвращения и выявления потенциальных потерь от ошибочных и злонамеренных действий. Инструментом для поиска таких инцидентов в привязке к бизнес-процессам и для регламентации реагирования на них является автоматизированная Система мониторинга. Повысив скорость предотвращения/выявления и реагирования, контрольные подразделения (СБ и т.п.) вносят свой вклад в повышение экономической эффективности предприятия. Обзор проектного опыта EY в области совершенствования экономической безопасности и создания систем мониторинга.

Мобильные устройства стали неотъемлемой частью повседневной жизни: кто-то использует смартфон, кто-то планшет, а некоторые - и то, и другое.

Кроме просмотра сайтов сети Интернет и работы с электронной почтой, мы используем мобильные устройства для бронирования отелей, покупки билетов, аренды машин. Мы используем мобильные устройства для доступа к нашим сбережениям, к нашим банковским счетам. Что, если вредоносный код, не определяемый антивирусом, находится в вашем смартфоне или планшете и что-то делает без вашего ведома? Чем может грозить нам и нашим деньгам эта скрытая активность? Что может произойти в этом случае?

Развитие и повсеместное проникновение Интернета создает дополнительные возможности для злоупотреблений со стороны недобросовестных участников рынка. Так, обезличенность интернет-ресурсов, легкий доступ к покупателю в любом городе привели к повсеместному распространению предложений контрафактной продукции в Интернете. Стандартные способы борьбы с нарушениями оказываются неэффективными при работе с тысячами сайтов.
Эффективным решением по борьбе с предложениями контрафактной продукции оказывается одновременное применение комплекса внесудебных мер по блокировке интернет-ресурсов и основных источников трафика.

В рамках своего выступления Александр Лопатин расскажет о защите web-приложений на примере одного из крупных ритейлеров.
• Работоспособность на первом месте – непрерывное обеспечение безопасности web-приложений,
• Ювелирная точность – эксплуатация WAF в условиях постоянных изменений web-ресурсов,
• Как перебрать работающий двигатель – поиск баланса между защищенностью и доступностью интернет-магазина.

- Рецепт идеального обзора – формирование критериев на основе часто задаваемых вопросов заказчиков
- Как сделать правильный выбор – решение класса "песочница" под инфраструктуру и задачи компании
- Трудности на практике – с какими сложностями можно столкнуться при внедрении "песочниц"

В своем докладе я расскажу о том пути, который прошла компания Л'Этуаль в своем технологическом развитии. Рассмотрю также требования к современному ритейлу. Не только стандартный функционал, но и специфичные для ритейла процессы. Обосновано ли использование электронных новинок в ритейле или это маркетинговый трюк?

Кроме вышеизложенного, в докладе охарактеризую риски, связанные с информационной безопасностью, которые как раз и возникают на пути цифровой трансформации бизнеса. Под цифровой трансформацией я понимаю комплекс всех технологических решений (в основном ИТ-решений).

Введение
1) Виды мобильных платежей
2) Мобильные кошельки

Угрозы
1) Вредоносные программы для мобильных устройств
2) Джейлбрейк
3) Нативные приложения
4) Мобильный Фрод
5) mPOS и PCI

Методы обеспечения Безопасности
1) Poini-to-Point шифрование (P2PE)
2) Wi-Fi
3) Токенизация
4) EMV
5) EMV и NFC
6) Технологии аутентификации

Обзор поставщиков решений и систем

Предпосылки для количественной оценки.
Две основные концепции расчета.
Методика расчета.

Во втором квартале 2016 года с пугающей постоянностью на отечественных и иностранных сайтах в Интернет появляются красочные публикации на тему утечек конфиденциальной информации. Приведу только несколько ранее опубликованных сообщений о нарушениях конфиденциальности пользовательских данных.

04.2016 Информация о 93,4 миллионах мексиканских избирателей бала доступна через Интернет любому желающему (источник: xakep.ru)

05.2016. Группа хакеров OurMine Team через тематические сайты в Интернет сделала заявление о том, что им удалось взломать аккаунты основателя Twitter, создателя игры MineCraft, известных актеров и поп-исполнителей (источник: xakep.ru)

05.2016. Неназванный русский хакер выставил на продажу данные более чем 272 миллионов уникальных учетных записей пользователей различных сервисов в Интернет, в т.ч. Gmail, Yahoo, MicroSoft, Mail и пр. (источник: Hold Security)

06.2016 427 миллионов учетных записей пользователей сервисов MySpace и 65 миллионов пароль от Tumblr продает тот же хакер Peace_of_mind, который ранее занимался распространением базы LinkedIN (источник: AntiMalware)

06.2016 Данные более 100 миллионов пользователей сервиса ВКонтакте выставлены на продажу в теневом сегменте Интернет (источник: LeakedSource, ria.ru)

Далеко не все, что попало к журналистам, на самом деле соответствует действительности, многие цифры завышены (как это вообще возможно посчитать, спросите Вы и будете правы), отдельные факты сильно искажены с учетом временных и национальных особенностей. Однако, неоспорим тот факт, что подобная информация просочилась в СМИ, и только он один уже о многом говорит экспертам-аналитикам по информационной безопасности.

При детальном рассмотрении эти и ранее имевшие место факты утечки, публично подтвержденные хакерскими сообществами, свидетельствуют о том, что третьим лицами (совершенно не обязательно, что злоумышленникам) стали известны, как минимум, указанные при регистрации персональные данные (привет, 152-ФЗ) более миллиарда пользователей сети Интернет (фамилия, имя, отчество, псевдоним, адрес электронной почты), как максимум, данные, необходимые и достаточные для получения контроля над учетными записями такого же числа пользователей на популярных сайтах в Интернет (логин, значение хэш-функции от пароля, геолокационная информация, IP-адреса точек обращения, журнал обращений и пр.).

Хорошо это или плохо? К чему могут привести масштабные утеки пользовательской информации и с какими рисками для самих пользователей и организаций-работодателей это связано, предлагаю обсудить эту тему на выставке InfoSecurity Russia 2016.

С чем у вас ассоциируется получение информации об уязвимостях?
Mail-листы, рассылки вендоров, репорты сканеров информационной безопасности и еще 100500 источников данных, включая даже кастомно-настроенные обновления на поисковые квери в Google. Вы используете разные платформы, множество аппаратных решений и целый букет библиотек в зависимостях вашего кода. Как быть aware в такой ситуации и понять, пора ли все бросать и бежать ставить патчи или это minor-проблема не требующая мгновенных действий?

Разрозненность данных, отсутствие унификации и миллион источников отлично характеризуют ситуацию. Казалось бы, CVE и CPE решили эту проблему. Да, каждая уязвимость имеет свой уникальный идентификатор, CVSS вектор и привязку к уязвимому продукту. Можно отслеживать появление новых и вчитываться в суть проблемы. Но вы точно хотите выделить под это отдельного человека?

В своем докладе мы раскроем почему SCAP не решил проблему, как собрать все воедино в одном формате и создать одну из крупнейших бесплатных баз данных уязвимостей. Python, Elasticsearch, MongoDB и все все все. Так же мы коснемся интимной темы vulnerability intelligence, расскажем как просканировать Linux на наличие уязвимостей "бесплатно без SMS" за 160 миллисекунд и сделать систему оповещения о новых уязвимостей такой, какая нужна именно вам.

- Обзор основных уязвимостей и угроз 2016-2017
- Р2Р фрод, как один из лидеров
- Текущая картина фрода в ДБО
1) Новые способы атак на физических лиц (ПО, РС, моб. Арр). Таргетизация атак. Соц. инженерия. Атаки на корп. сети и инсайд.
2) "Lurk" and Co по прежнему в бою. Киберпреступные группы стали организованными.
3) Конфликты интересов среди "мошенников" - угрозы банку?
- Мониторинг - как один из основных способов эффективной защиты

В рамках своего выступления Алексей Сизов расскажет о кроссканальном антифроде и актуальных рисках мошенничества.
• Заблокировать нельзя пропустить – где поставить запятую – как банки принимают решения о выборе подхода реагирования на риски мошенничества,
• Доверять ли роботу – плюсы и минусы автоматизированных блокировок,
• Модель взаимодействия с бизнесом – как принять правильное решение при работе с клиентами.

Вслед за развитием мобильного канала банковского обслуживания сформировался ряд новых, специфичных для этого направления угроз, в том числе уязвимости ПО, которые вовсю стали использовать вирусописатели. Каков масштаб этой проблемы? Обсудим нюансы мобильного направления, усложняющие её решение.

В выступлении речь пойдет о том, как получить адекватное качество услуг за разумные деньги. Докладчик поделится опытом аутсорсинга функций по информационной безопасности. Будут освещены вопросы организации взаимодействия с поставщиками услуг по информационной безопасности, грамотного определения SLA (Service Level Agreement) и методы эффективного контроля за качеством предоставляемых услуг.

1. Как мы пришли к тому, что от железных машин начали двигаться в облака. Что нас сподвигло, какие выгоды мы видели
2. Проблемы переезда сервисов в облака с железных машин с точки зрения ИБ, в масштабах Яндекса
3. Lessons learned, или что мы думаем про безопасность облачных платформ