Corporate Security

26/08/2025

🎯Мета управління ризиками — створювати та захищати цінність в організації. Управління ризиками — це кроки, які здійснює організація для виявлення та керування ризиками, що можуть вплинути на її діяльність і досягнення цілей.

Управління ризиками — це системний і прозорий процес, який допомагає організації ухвалювати рішення та досягати поставлених результатів.

Критичні елементи ефективного управління ризиками:

✅чітке визначення власників ризиків, контролів і коригувальних дій;

✅формування зрілих практик ризик-менеджменту та позитивної, ризик-обізнаної поведінки;

✅врахування ризику з самого початку процесу та обрання стратегії: уникнення, пом’якшення (мітигація) або прийняття в межах апетиту до ризику;

✅інтеграція управління ризиками в ухвалення рішень, бізнес-стратегію та операційні вибори;

✅опрацювання сценаріїв «найгіршого випадку» та визначення їх прийнятності в межах вашого апетиту до ризику.

⚠️Вбудовування управління ризиками у всі напрями діяльності організації підвищує її стійкість, допомагаючи оперативно реагувати на зміни, використовувати можливості та ухвалювати обґрунтовані рішення.

04/07/2025

🔒 AI як інструмент фішингу: новий виклик для корпоративної безпеки

Аналітики Netcraft виявили новий вектор атаки: ШІ-боти (зокрема GPT-4.1) часто помиляються у відповідях на запити типу «Який офіційний сайт [бренду]?» — і саме цим користуються фішери.

📉 Статистика тривожна:

✅ Лише 66% відповідей містили правильний URL

⛔ 29% — мертві або недійсні домени

⚠️ 5% — легітимні, але не ті, що потрібно

💡 Зловмисники відстежують помилки моделей, реєструють некоректно згадані домени й перетворюють їх на фішингові сторінки. Тепер ціль — не SEO, а «вплив на LLM», щоб їхні сайти з’являлись у відповідях ШІ.

📍В одному з кейсів AI рекомендував фейковий сайт Wells Fargo, який раніше використовувався у фішингових кампаніях.

❗Для CISO та фахівців з безпеки це означає:

• Перевірка та моніторинг згадок бренду у LLM-запитах — новий обов’язковий процес.

• Реєстрація «суміжних» доменів бренду — критичний захід протидії кіберсквотерам.

• Проведення роз’яснювальної роботи серед персоналу: ШІ — не довідник, а потенційна зона ризику.

📲 Рекомендую включити цей сценарій до регулярного аудиту цифрових загроз.

Посилання на статтю👉 https://www.theregister.com/2025/07/03/ai_phishing_websites/

30/06/2025

🔐 Стара безпека вже не працює. Нові ризики вимагають нових рішень.

У новій статті пишу про те, як змінюється ландшафт загроз в епоху Industry 5.0 — від deepfake до втрати довіри через звичайний пост у соцмережах.

Які навички, інструменти й підходи потрібні тим, хто хоче не просто захищати, а передбачати? Хто такий Security Innovation Architect і чому ця професія вже сьогодні формує майбутнє корпоративної безпеки?

Довіра стала найкрихкішим активом сучасного бізнесу.

23/06/2025

13/06/2025

🛡️Чи безпечно довіряти ШІ як другові?🤖

Ця стаття розкриває, як щирі розмови з ChatGPT можуть обернутися витоками даних, кіберзагрозами та маніпуляціями — і як захистити себе та компанію.

Чи безпечно довіряти ШІ як другові? Як щирі розмови з ChatGPT можуть обернутися витоками даних, кіберзагрозами та маніпуляціями — і як захистити себе та компанію.

13/05/2025

🔐Як трансформувалась корпоративна безпека крізь епохи — і хто відповідає за неї сьогодні🤖

💬Чому служба безпеки більше не може бути просто "операційним підрозділом"?

💬Хто такий Security Innovation Architect — і чому ця роль змінює правила гри?

💬Як виглядає безпека, що захищає не лише дані, а й довіру, культуру, майбутнє?

🛡️Ми звикли думати про безпеку як про реакцію. Але сьогодні вона стала архітектурою. Комунікацією. І навіть — етикою.

⚡Ця стаття — не про технології, а про те, як ми вчимося відповідати за силу, яку самі створюємо.

🚀Для тих, хто будує, впроваджує, управляє і... думає на крок вперед.

Від машин до штучного інтелекту: як безпека стала ключем до виживання бізнесу

05/05/2025

🔐🧑‍💻 Хибні профілі — справжня загроза. Як запит про Кім Чен Ина може зберегти ваш бізнес

🕵️‍♂️Уявіть собі ситуацію: ви проводите фінальну співбесіду з блискучим кандидатом на віддалену посаду. Його резюме вражає, технічні завдання виконано бездоганно. Але одне несподіване питання — «Наскільки товстий Кім Чен Ин?» — і дзвінок миттєво обривається. Це не анекдот, а інструмент з арсеналу корпоративної контррозвідки, презентований на RSA Conference 2025 у Сан-Франциско. І саме так сучасна корпоративна безпека починає нову фазу боротьби – кіберінфільтрація.

🎯Сценарій атаки: фейкові віддалені працівники

📌 Суть проблеми

За словами Адама Мейєрса з CrowdStrike, тисячі північнокорейських ІТ-фахівців уже працюють у Fortune 500. Вони використовують генеративний штучний інтелект для створення бездоганних профілів у LinkedIn, віртуальних особистостей та проходження складних технічних співбесід. Один відповідає в Zoom, інші — допомагають поза кадром.

🧠 Методи виявлення

Один із найефективніших способів викриття — несподіване або культурно делікатне питання, як-от «Як виглядає Кім Чен Ин?». Реакція миттєва — відмова, роз'єднання або мовчання. Такий підхід дає змогу відрізнити справжніх фахівців від агентів, які бояться порушити політичний протокол.

🎯ПРИЧИНИ ТА ЦІЛІ

💰 Фінансування режиму

Кожна “успішна” інтеграція — це валюта, яка йде до режиму. Гроші важливі, але не єдина мета. Основне — це повільне, непомітне виведення інтелектуальної власності (IP exfiltration), що ускладнює виявлення на ранніх стадіях.

💼 Соціальна інженерія в новому вимірі

Від «ферм ноутбуків» у США до підставних ідентичностей в Україні — операції масштабуються. Глибокі фейки (deepfakes) стають інструментом для обходу процедур верифікації особистості.

«У новому світі цифрового найму варто пам’ятати: той, хто здається ідеальним, може бути частиною найкраще скоординованої атаки у вашій історії»

🛠️Стратегічні рекомендації

✅Інтерв’ю в корпоративному середовищі: проводьте співбесіди в контрольованих умовах з елементами поведінкової аналітики.

✅Zero Trust-підхід: не довіряйте жодному пристрою чи користувачу без перевірки, навіть після найму.

✅SOC + HR співпраця: інтеграція систем моніторингу з відділами кадрів для оцінки ризиків персоналу.

✅Валідація особи на декількох рівнях: багатофакторна автентифікація, особисті зустрічі, перевірка локації (IP, поведінка).

✅Сценарії внутрішніх тренувань: розігрування фіктивних сценаріїв інфільтрації для підвищення пильності персоналу.

🔍Цей кейс — не просто сенсація з RSA, а дзеркало майбутнього найму. Висока продуктивність не повинна замінювати базову безпеку. Саме зараз настав час переглянути підходи до рекрутингу, інтегруючи елементи кіберконтррозвідки та психології поведінки у щоденну HR-практику.

10/04/2025

🧠 Google виходить на арену корпоративної безпеки з амбіціями обігнати Microsoft

Google оголосив запуск нової платформи Google Unified Security (GUS), з амбіцією стати серйозним гравцем у корпоративному інфосек-сегменті — і це вже не просто «хмара». Це реальна конкуренція Microsoft із її 20+ мільярдним бізнесом у сфері безпеки.

🔧 Що таке GUS і навіщо це бізнесу?

➡️ GUS = єдина платформа корпоративної безпеки від Google

Складається з:
🔹 Chrome Enterprise
🔹 Google Security Operations
🔹 Google Threat Intelligence
🔹 Cloud Security Command Center
🔹 + нові AI-агенти, що працюють на основі «agentic AI»

💡 Суть: GUS — це аналог Microsoft Defender + Sentinel + Entra, але з гуглівським підходом. Комбінація проактивного захисту, інтелектуальних інсайтів та нативної інтеграції з Chrome і хмарними середовищами.

🤖 AI-агенти як нова норма

Google не просто додає ШІ — він робить ставку на agentic AI, подібно до Microsoft Copilot:

🔸 Security Operations Agent: проводить тріаж інцидентів, дає рекомендації, що заслуговує уваги.

🔸 Malware Analysis Agent: глибоко аналізує загрози, класифікує рівень небезпеки.

⏳ У Q2 ці функції стануть доступні вибраним клієнтам.

🧠 Для аналітиків SOC це вже не просто SIEM, а інтелектуальний компаньйон.

💰 Wiz: $23 млрд за час, якого у Google не було

У березні Google поглинув стартап Wiz — лідера в сфері CNAPP (Cloud-Native Application Protection Platform), за космічні $32 млрд. Це найбільша угода в історії кібербезпеки.

Що дає Wiz:
• Захист хмарних додатків на всіх етапах — від коду до продакшну

• Постійний моніторинг і відповідність політикам

• Мультихмарність → працює з AWS, Azure, GCP

• Аналітика на графах → ідеально підходить для керування ризиками, експозішенами, DevSecOps

🔐 Що реально змінилося для enterprise security?

Google уже не просто "грає у безпеку" — він системно формує інструментарій, орієнтований на великі компанії:

🔹 Інтеграція Chrome Enterprise з телеметрією пристроїв

🔹 Поєднання Threat Intelligence + валідація контролів

🔹 Автоматичне полювання на загрози в AI-навантаженнях

📣 Цей підхід — класичний vendor lock-in у стилі Microsoft, але тепер по-гуглівськи: «Купуй усе — отримуй вбудовану безпеку».

🧠 Чому це важливо для корпоративної безпеки?

1. Конкуренція = розвиток: Microsoft більше не єдиний гігант у enterprise-sec.

2. Мультихмарність у фокусі — критично важливо для сучасних організацій.

3. AI vs Threats: безпека стає не реактивною, а передбачувальною.

4. Інтеграція = ефективність: єдина платформа скорочує фрагментацію і зменшує blind spots.

🛡 Що варто зробити вже зараз:

✔️ Оцінити потенціал GUS для інтеграції у власну хмарну інфраструктуру

✔️ Переосмислити роль AI-агентів у вашій SOC-стратегії

✔️ Слідкувати за розвитком CNAPP-технологій (Wiz, Defender for Cloud)

✔️ Провести ревізію мультихмарного захисту та моделей довіри

📌 Цей кейс — один із головних сигналів 2025 року: ринки безпеки стають платформеними, а корпорації змагаються не тільки в інноваціях, а й у тому, наскільки повно охоплюють весь ланцюг кіберризиків.

10/04/2025

🔐Біометрія на межі: як шахраї переграють технології у 2025 році

ASIS International опублікували дуже показову статтю про новітні методи обходу біометричних систем безпеки. Це не просто тривожний сигнал — це дзвінок в усі дзвони для фахівців з фізичної та інформаційної безпеки.

📑Звіт Europol Innovation Lab та приклади з Голлівуду показують: біометрична безпека — не фортеця, а поле битви. Стаття розбирає, як зловмисники обходять відбитки пальців, розпізнавання обличчя, сканування райдужки та голосу. Ось що варто знати — від азов до тонкощів.

🖐️Відбитки пальців: від Бонда до 3D-принтерів

Пам’ятаєте, як Шон Коннері у "Діаманти назавжди" знімав силіконові відбитки? Сьогодні це реальність: бази даних + 3D-друк = копії відбитків, які дурять сканери. Уявіть злочинця, який «надягає» чужі пальці. Нові принтери відтворюють навіть мікротекстури — ваші системи готові до цього? Є й радикальні методи: зрізання чи кислотне знищення відбитків, щоб уникнути ідентифікації.

👤Розпізнавання обличчя: від фото до масок

Просте фото обходить 96% сканерів на смартфонах, а відео («replay attacks») — 98%. Силіконові маски за $3000 вже дурять 2D-системи у 57% випадків. Є ще «морфінг» — злиття двох облич для паспорта, щоб шахрай пройшов кордон. Навіть макіяж а-ля «Місіс Даутфайр» може заплутати камери. Чи тестували ви системи на стійкість до deepfake та 3D-атак?

👁️Сканування райдужки: фантастика стає реальністю

«Міority Report» із пересадкою очей поки далеко, але використання райдужки померлих (доки текстура свіжа) — уже в арсеналі шахраїв. Друковані фото очей чи 3D-моделі також працюють. Це як фокус із картками, тільки страшніший. Контактні лінзи з текстурою ще не загроза, але чи моніторите ви прогрес у цій сфері?

🗣️Голосова біометрія: deepfake на зв’язку

Голосові системи в банках чи смарт-пристроях — легка мішень. Записи («replay attacks»), синтезована мова чи конвертери голосу обходять захист. Додатки для deepfake-імітації множаться. Ваш голос можуть «вкрасти» з одного дзвінка. Найкращі детектори вже тріщать під натиском нових синтетичних атак — час апгрейду?

🛡️Як боротися? П’ять кроків від Europol

✅Підвищуйте обізнаність. Знання — перший щит. Europol закликає правоохоронців і компанії ділитися інформацією про нові загрози та постійно навчатися. Регулярні тренінги та обмін кейсами допоможуть швидше реагувати на атаки типу deepfake.

✅Впроваджуйте передові методи виявлення. Шахраї вдосконалюють методи «презентаційних атак». Системи мають бути на крок попереду. Тестуйте їх на нові сценарії, як-от 3D-друковані артефакти.

✅Інтегрований підхід до біометрії. Система — це ланцюг: збір, зберігання, передача, ідентифікація, верифікація. Слабка ланка руйнує все. Перегляньте весь цикл — чи захищені ваші канали передачі даних від перехоплення?

✅Посилюйте співпрацю. Біометрія, кібербезпека, криміналістика — експерти мають об’єднувати зусилля. Ділитися досвідом і теоріями — ключ до стійкості.

✅Стандартизуйте звітність. Атаки на біометрію часто не фіксуються як такі — їх записують просто як «порушення доступу». Europol пропонує єдину систему кодування для збору даних.

🧬Біометрія — це круто, але не бездоганно. Deepfake і 3D-технології вже тут — тестування на синтетичні атаки має стати рутиною.

08/04/2025

🛡️Культура безпеки — це не просто набір правил та інструкцій. Це те, як мислить, діє і приймає рішення кожен співробітник щодня. На власному досвіді я переконався, що коли безпека стає частиною цінностей та поведінки людей, вона перестає бути «обмеженням» і перетворюється на спільну мету.

📚Навчаючи команду, ми не просто даємо їй знання — ми формуємо союзників у захисті компанії. Але ключова роль тут належить лідерам: саме через особистий приклад керівники задають тон і демонструють важливість безпеки.

🚀У сучасному бізнесі культура безпеки — це інвестиція у майбутнє, яка зміцнює компанію зсередини.

21/03/2025

🔐 1 ТБ внутрішніх даних Disney злито через "безплатний" ШІ-інструмент із GitHub — WSJ

Витік, який вже назвали одним із найгучніших корпоративних інцидентів року, стався через помилку інженера Disney — Метью Ван Андела. Завантаживши ШІ-інструмент з GitHub, він не помітив, що разом із ним отримав і шпигунське ПЗ.

🔎 П'ять місяців хакери непомітно витягували:

🚩логіни співробітників

🚩44 млн (!) внутрішніх повідомлень зі Slack

🚩клієнтські дані та інші чутливі матеріали

🎯 Disney жорстко відреагувала: Андела звільнено, позбавлено бонусів і страховки. Компанія також вирішила повністю відмовитись від Slack на користь внутрішніх платформ, посиливши контроль над використанням сторонніх інструментів.

💰 Тепер Андел вимагає компенсацію з восьмизначною сумою. А експерти з безпеки — черговий раз нагадують:

Bring Your Own AI — новий фронт ризиків у корпоративному середовищі.

📌 До роздумів для профі:

✅Чи готові ваші політики безпеки до появи несанкціонованих ШІ-інструментів?

✅Як ви контролюєте інструменти з відкритим кодом у корпоративному середовищі?

✅Чи має ваша компанія процедури реагування на довготривалий, прихований витік даних?

🎯Цей кейс — must-have для розбору на внутрішньому тренінгу.

20/03/2025

Шановні представники бізнес-спільноти,

Запрошуємо вас долучити керівників ваших служб безпеки до участі у 🌟Всеукраїнському рейтингу лідерів сфери безпеки 2024 🌟. Цей рейтинг об’єднує професіоналів корпоративної безпеки України та надає можливість оцінити актуальний стан безпеки бізнесу в країні.

🔍Чому це важливо?

📊Оцінка стану безпеки: Участь у рейтингуванні дозволяє отримати об’єктивну оцінку рівня безпеки вашого бізнесу та виявити можливі ризики.

📈Аналітичний звіт: Після збору анкет буде підготовлений аналітичний звіт щодо стану безпеки бізнесу в Україні, який допоможе впровадити найкращі практики та вдосконалити стратегії безпеки.

🏅Визнання та репутація: Потрапляння до рейтингу підвищує репутацію як керівника служби безпеки, так і компанії в цілому.

📌Як взяти участь?

✍️Заповніть анкету: Перейдіть за посиланням https://rating.sb-club.com/ та заповніть анкету учасника.

⏳Термін подачі: Рекомендуємо подати анкету до 31 березня 2025 року.

🎉Урочиста церемонія нагородження відбудеться 📅3 квітня 2025 року о 18:00 у КВЦ “Парковий” у Києві. Це чудова нагода для нетворкінгу та обговорення актуальних викликів у сфері безпеки.

🤝Долучайтеся до спільноти лідерів сфери безпеки України та сприяйте підвищенню стандартів корпоративної безпеки!

КВЦ “Парковий” — один з найсучасніших майданчиків Києва. Вечір стане нагодою для нових знайомств і обговорення викликів у сфері безпеки.