Архив метки: ГМИ

В российском Форбсе вышла статья о плачевном состоянии инсталляций SAP ERP в отечественных организациях на основе исследования Digital Security

Добавить комментарий

В российском Форбсе вышла статья о плачевном состоянии инсталляций SAP ERP в отечественных организациях на основе исследования Digital Security

В российском Форбсе вышла статья о плачевном состоянии инсталляций SAP ERP в отечественных организациях на основе исследования Digital Security. Их не защищают "системно и по правилам" и даже пытаются скрывать:

"Многие организации сегодня официально декларируют полный переход на отечественные ERP-платформы, однако реальная картина намного сложнее. Значительная часть промышленных, энергетических компаний, ретейлеров продолжают использовать SAP в качестве критически важной основы своих производственных и финансовых процессов. Более того, нередко этот факт стараются скрывать — как от внешних аудиторов, так и от регуляторов, — констатирует [руководитель направления защиты корпоративных систем Digital Security] Олег Голиков. — Формально компанию можно записать в «импортозаместившие», но внутри нее логистика, закупки, складская аналитика, расчет зарплаты или управление ремонтами продолжают работать на устаревших SAP-модулях". 🤷‍♂️🤦‍♂️

Имхо, давно пора усилить госконтроль за инфрой.

Не пора ли создать систему государственного мониторинга инфраструктуры (активов и уязвимостей) аналогичную CISA BOD 23-01? Продолжу размышления о необходимости российского Реестра Известных Эксплуатабельных Уязвимостей с конкретными дедлайнами по их устранению, аналога CISA KEV

Добавить комментарий

Не пора ли создать систему государственного мониторинга инфраструктуры (активов и уязвимостей) аналогичную CISA BOD 23-01? Продолжу размышления о необходимости российского Реестра Известных Эксплуатабельных Уязвимостей с конкретными дедлайнами по их устранению, аналога CISA KEV

Не пора ли создать систему государственного мониторинга инфраструктуры (активов и уязвимостей) аналогичную CISA BOD 23-01? Продолжу размышления о необходимости российского Реестра Известных Эксплуатабельных Уязвимостей с конкретными дедлайнами по их устранению, аналога CISA KEV. На это можно возразить: ну допустим, сроки устранения будут определены, как сделать так, чтобы в эти сроки укладывались? 🤔

Американцы решили эту проблему для инфраструктуры федеральных агентств с помощью системы, описанной в директиве CISA BOD 23-01. Я разбирал её года 1,5 назад. Она предусматривает

🔹 еженедельное обнаружение активов в инфраструктуре;

🔹 циклические двухнедельные сканы активов на уязвимости;

🔹 оперативную передачу информации об активах, уязвимостях и процессе сканирования регулятору.

Это позволяет регулятору отслеживать актуальное состояние инфраструктуры органа/организации и оперативно проводить необходимые стимуляции. 🥕

Имхо, перенимать можно практически 1 в 1. 😉