🤓 Важнейшим элементом систем с конструктивной информационной безопасностью является согласованность целей и предположений безопасности (ЦПБ). ➡️Цели безопасности (ЦБ) входят в зону ответственности разработчика целевой системы.➡️Предположения безопасности оговаривают условия, в который разработчик может обеспечить поставленные ЦБ.Важно, что ПБ не «висят в воздухе» — они обязательно должны стать ЦБ какой-то другой системы и, соответственно, за каждое предположение безопасности тоже должен кто-то отвечать. ‼️Это важно: разработчик отвечает за цели безопасности, только если выполнены согласованные с заказчиком предположения безопасности. Нарушение согласованного с заказчиком предположения безопасности снимает с разработчика ответственность за нарушение одной или нескольких целей безопасности целевой системы. Поэтому важно обеспечить связность и полноту ЦПБ для межсистемном уровне. Совсем как в нашей головоломке на картинке 🙃
Давно не рассказывали про наш проект в СПбГУ, где студенты учатся проектировать кибериммунные системы на примере беспилотников. Исправляемся 🫡Поехали!📈 Статус: движемся вперед Да, не так быстро, как хотелось бы. Но прогресс есть: — разработчики наконец интегрировали свои наработки; — виртуальные дроны уже выполняют первые пробные полеты. При этом даже в учебном проекте – все как в большой реальности 🫣: нормативная база пока не готова, сертификационный базис — тоже. Регулятор доделывает скрипты для сертификации. Поэтому наши БПЛА летают как бы в ЭПР — экспериментальных правовых районах. То есть без сертификатов. Но у них уже есть цели безопасности, а у некоторых — ещё и реализованные шаблоны СКИБ (мониторы, выделенные механизмы защиты). …и это только симуляция (пока). Вся система — в docker-контейнерах, код на Python и немного на Go.‼️Ключевой нюанс про доверенный код «Доверенный код» в кибериммунной разработке — это любой код, который влияет хотя бы на одну цель безопасности системы. А домен безопасности — это единица изоляции. Весь код внутри домена имеет одинаковый требуемый уровень доверия. И вот разработчики пошли стандартным путем: при сборке docker-образа они копируют весь код системы (включая все домены), а потом запускают только нужный python-файл для конкретного домена. ❓ Вопрос к вам Какой процент кода в такой сборке окажется критичным (доверенным) для целей безопасности? Голосуйте с помощью эмодзи:👍 — 0% — ничего страшного, можно так и оставить🧐 — 50% — половина совсем зря доверяет 👎 — 100% — вся система становится потенциально небезопасной
Твой первый шаг в освоении кибербезопасности💡Студенты 1-2 курсов колледжей и вузов, идём к вам с новой возможностью для обучения — нашим бесплатным онлайн-курсом «Введение в кибербезопасность». Что в программе?1️⃣Основные понятия в ИБ2️⃣Инструменты атакующих, виды кибератак3️⃣Сферы информационной безопасности и роли в ИБ4️⃣Конструктивная безопасность🛡Все темы курса объяснили для вас наши эксперты — просто, понятно, с примерами, в формате коротких видео. А после просмотра можно закрепить пройденный материал и пройти тестирование. Чтобы получить доступ к курсу, оставьте заявку, указав вашу академическую почту (с доменом университета/колледжа). Полученные знания пригодятся вам и в личной, и профессиональной жизни!🤗
Друзья!Мы хотим оставаться с вами на связи, а потому вот наши новые площадки👮♂️ Мы — ВКонтакте💩 И в MAX — мы тоже теперь есть!Этот канал в ✈️ продолжает свою работу, но, если вам удобнее читать нас на других платформах, будем рады видеть ❤️.
🌟 Диплом, практика или 100 000 рублей: как работают CPI баллы CPI (Cyberimmunity Progress Items) — это система поощрения от «Лаборатории Касперского» всех заинтересованных в теме конструктивной информационной безопасности и кибериммунной разработки за вклад в развитие концепции кибериммунитета.Простыми словами: мы начисляем баллы за дополнительное обучение, которое вы проходите по теме кибериммунной разработки, за участие в олимпиадах и хакатонах, научные выступления и публикации по теме кибериммунитета. Каждый ваш вклад (от удачного доклада или защиты диплома по теме кибериммунной разработки до участия в инженерных соревнований или ВУЗовской олимпиаде) оценивается CPI-баллами. Это прозрачный способ измерить вашу активность и пользу для технического сообщества. Логика простая: чем выше уровень мероприятия или журнала, тем больше баллов.Виртуальные CPI баллы дают вполне реальные бонусы:🔸 Студентам — выбрать тему диплома и писать его при поддержке специалистов «Лаборатории Касперского». Мы помогаем с каркасом, методологией, даём отзыв и рецензию. Возможна совместная публикация. 🔸 Опытным специалистам — приоритетный отбор на оплачиваемые задачи от сообщества.🔸 В 2025 году топ самых активных членов сообщества по сумме CPI баллов получили по 100000 рублей каждый.Вот и получается, что Олимпиада — это не только крутая задача и шанс заявить о себе. Это ещё и вклад в вашу личную копилку CPI баллов. Участвуете — зарабатываете. Всё честно.Вопросы по CPI смело задавайте в комментариях 👇
👨💻 «Лаборатория Касперского» совместно с Кафедрой информатики УГГУ запускают регистрацию на II Всероссийскую олимпиаду по кибериммунной разработке.Что нужно сделать?Спроектировать кибериммунную архитектуру автономной буровой установки в сценарии «цифровой рудник».Звучит сложно? Возможно, но будет точно интересно!Кто может принять участие?Студенты ВУЗов, колледжей или школьники от 16 лет. Достаточно базового знания Python — остальное вы узнаете на занятиях.🗓 Ключевые даты олимпиады:27, 30 апреля и 5 мая в 16.00 (GMT+3, Мск) — обучение по основам кибериммунной разработки10 мая — последний день регистрации11 мая — мит-ап по задаче олимпиадыс 16 мая (8:00) до 17 мая (16:00) (GMT+3, Мск) — проведение олимпиады 20 мая — объявление результатовРегистрация ➡️ ПО ССЫЛКЕ🔗 Подробную информацию и регламент вы найдете тут.
К чему мы это всё? Так вот! 😎В совместном учебном проекте, где студенты СПбГУ, ИТМО и Политехнического колледжа СПбПУ разрабатывают технико-экономическую модель эксплуатации гражданских дронов как система систем с конструктивной информационной безопасностью, при формулировании цели безопасности и использовании готовых шаблонов для проектирования защищённых систем мы отталкиваемся именно от стандарта ГОСТ Р 72118-2025. И именно это отличает наш регулятор и нашу модель БПЛА как СКИБ: чёткая формулировка целей безопасности + заточенная под эти формулировки архитектура и реализация.Сейчас на цифровом двойнике у студентов — упрощённый вариант, открытый к расширению и детализации. В полной (промышленной) модели регулятор должен удостоверять не только программу, но и саму конструкцию БПЛА, и смежные системы от связи до наземных сервисов, а, значит, полностью закрывать цепочку «железо — софт — окружение».И основная идея алгоритма работы регулятора в том, чтобы стимулировать глубокие изменения с точки зрения безопасности как в условных БПЛА, так и во всех остальных информационных и киберфизических системах транспортной отрасли.Вот, собственно, и всё, что мы хотели вам сказать 😁 DIXI#ГОСТ72118 #СКИБ #ОтрасльКакСКИБ #AI_СКИБ
🛸 Представьте, что над городом летают БПЛА с автопилотом. Они привозят еду из ресторанов, лекарства из аптек, мелкие интернет-заказы. Наблюдают за дорожным движением, проверяют состояния мостов, трубопроводов, линий электропередач или ищут незаконные свалки. А, может, проводят аэросъемку для новостей.Они нужные и полезные. И крайне удобные! Но возникает вопрос безопасности 🤔.Несмотря на то, что аппараты эти сложные, — собираются БПЛА часто из того, что подешевле и легче достать. Они получают команды по радиоканалу, да еще и обновляются «по воздуху», иногда через открытые интерфейсы, обмениваясь данными с наземными серверами.А это значит:👎 прошивку в целом или какие-то компоненты могут скомпрометировать (подменить/подправить); 👎 полётное задание исказить👎 канал связи — перехватить или заглушить;👎 сам БПЛА — угнать или заставить упасть на толпу.Поэтому обществу важно быть уверенными не только в надежности фирмы-производителя, но и смотреть глубже — можно ли доверять конкретной связке «прошивка + БПЛА»: не подменили ли код, не слабое ли «железо», хватит ли защиты, если что-то пойдёт не так.Но как убедиться в безопасности этой связки?Кто должен дать нам гарантию? 🤷🏻♂️И вот тут в нашей картине мира появляется его величество РЕГУЛЯТОР — служба, которая по понятным правилам проверяет пакет разработчика:🟢что внутри программы;🟢насколько сложно убедиться в безопасности ключевой части системы;🟢пройдены ли автоматические проверки.В основе — ГОСТ Р 72118-2025Именно он описывает, как проектировать системы, чтобы безопасность была заложена в конструкцию изначально, а не исправляла ошибки «по факту». И тут ключевой момент — цели безопасности (ЦБ). Регулятор не просто смотрит «есть защита или нет». Он проверяет: совпадают ли заявленные цели с реализованными свойствами системы. И затем фиксирует эти ЦБ в сертификате.Зачем это нужно? Потому что ЦБ — это не строчка в отчёте. Это фундамент, который определяет:— как устроена архитектура дрона;— какой код считается критичным;
