Цитаты из книги автора Рик Ховард Кибербезопасность: главные принципы

Обеспечение киберустойчивости сводится не к защите системы от проникновения противника, а к тому, чтобы предположить ее успешный взлом и разработать план действий, позволяющий продолжить выполнение своей миссии после него.

При выявлении новых уязвимостей и эксплойтов сделайте следующее.

• Определите, подвергается ли ваша организация соответствующей опасности.

• Оцените вероятность того, что какой-нибудь злоумышленник воспользуется этой уязвимостью.

• Оцените вероятность того, что в случае такой атаки ущерб будет существенным.

• Выясните, существует ли исправление или другой обходной путь, позволяющий устранить проблему.

• Решите, какие действия необходимо предпринять для снижения риска (в зависимости от вашего прогноза это может быть множество действий или ни одного).

После выполнения перечисленных действий необходимо реализовать принятое решение, то есть план мероприятий по снижению рисков.

Образ мышления, основанный на базовых принципах, предполагает, что все ваши действия опираются на основополагающие убеждения, или базовые принципы.

Рид Хастингс, генеральный директор Netflix

триада КЦД не может считаться атомарным первичным принципом кибербезопасности.

Возможно, нам следует разрабатывать системы идентификации и аутентификации таким образом, чтобы пользователи сами контролировали свои учетные данные.

стандартный способ формулирования информации об уязвимостях в компонентном ПО, который называется VEX-документом (Vulnerability Exploitability Exchange) [128, 135, 136].

целесообразно отличать производителей SBOM (вышестоящие поставщики, ориентированные на свои продукты) от потребителей SBOM (нижестоящие поставщики, ориентированные на продукты вышестоящего поставщика). И те и другие будут использовать инструменты, соответствующие формальной спецификации стандарта.

По словам Джона Дугласа из компании Microsoft, в ноябре 2021 года доля публичных репозиториев программного обеспечения, использующих открытое ПО, составляла более 80 % [70]. Согласно отчету компании Synopsys за 2022 год 97 % коммерческого ПО содержит компоненты с открытым исходным кодом. При этом основная часть этой кодовой базы (78 из 97 %) приходится на открытое ПО [22].

В случае со стратегией нулевого доверия ярким примером была история Сноудена, в случае с SBOM весьма показательной является история Log4j.

Мы обнаружили, что чем более защищенными становятся машины, тем менее полезными они оказываются для решения распространенных задач