Download to read offline
Uploaded byVsevolod Shabad
Agile-подходы в ИБ
Документ освещает применение agile-подходов в информационной безопасности, включая сравнение традиционного сервисного подхода с современным devsecops. Основное внимание уделяется автоматизации проверки уязвимостей, распространению культуры безопасности и моделированию угроз. Автор делится практическими примерами и подчеркивает важность конструктивного общения между ИТ и ИБ.
Agile-подходы в ИБ
- 1. Agile-подходы в информационной безопасности Всеволод Шабад, независимыйконсультант vshabad@vshabad.com
- 2. Коротко обо мне:международный осьминог IT OT Security Cloud Technologies Risk Management Compliance Data Science & ML Project Management Culture Changes Fraud Prevention 🇷🇺 🇰🇿 🇷🇸 🇧🇬 🇸🇬 🇹🇷 Cybersecurity 🇬🇧 🇮🇱
- 3. Традиционный «сервисный» подход Разработкарелиза Заявка в ИБ на проверку Проверка релиза Выпуск в прод Внедрение нового инфраструктурного решения в ОПЭ Заявка в ИБ на проверку Проверка решения Выпуск в прод
- 4. Современный «DevSecOps» подход Dev/ IT ИБ DevSecOps
- 5. Тривиальная часть работы Автоматизацияпроверки на уязвимости Отбраковка False Positives Архитектурные улучшения
- 6. Нетривиальная часть работы Распространениекультуры безопасности Моделирование угроз Гашение конфликтов между ИТ и ИБ
- 7. Практический пример моделированияугроз Threat Desired Property Preventive control Detective Control Spoofing Authenticity Docker Content Trust DOCKER_CONTENT_TRUST = 1 Tampering Integrity SHA256 Digest Tagging ‘docker pull’ return code Repudiation Non-Repudiability Personalized Docker Hub accounts Docker Hub Audit Logs Information Disclosure Confidentiality No No Denial of Service Availability Docker Hub Download Rate Limit Docker pull timeout Elevation of Privilege Authorisation Image vulnerability check Falco runtime monitoring Asset (object) – distributive Docker images of the supplied software
- 8. Сложность: поиск подходящегокандидата Dev / IT Sec Culture Changes
- 9.
- 10. Сложность: «свой» стал«чужим»
- 11. Есть ли волшебныйрецепт? Нет! •Слушать и слышать •Конструктивно и уважительно разговаривать •Обсуждать создаваемую ценность
- 12.