Тема: compliance
-
Журналы аудита: что записывать, как сохранить их неизменность и кто может их читать
Журнал аудита отвечает на вопрос, кто что сделал с каким объектом, когда и с каким результатом; его ведёт само приложение по каждому значимому с точки зрения безопасности действию, хранят отдельно от отладочных логов, защищают от изменения, оперативно перенося в хранилище только для добавления или однократной записи, и читают только при протоколируемом, ограниченном доступе.
-
Подготовка процесса работы производителя с уязвимостями по CRA: приём сообщений, свидетельства и отсчёт сроков уведомлений
Предлагаемый порядок подготовки связывает приём сообщений об уязвимостях и учёт компонентов с решением об уведомлении по CRA. Он отделяет обязанность уведомлять, уже действующую в 2026 году, от более широких требований к работе с уязвимостями, применимых с декабря 2027 года.
-
Checking an operating system's support lifecycle before automating against it
Automating patch, upgrade or compliance workflows against a host that has already passed end-of-life produces false confidence: no more security fixes are coming regardless of what the automation reports. This methodology lists where each major vendor publishes lifecycle dates and how to fold an EOL check into a pre-flight step.
-
Choosing an open-source licence
Permissive licences (MIT, Apache-2.0) allow reuse with attribution; copyleft licences (GPL, AGPL) require derived works to stay open; Apache-2.0 adds a patent grant. Pick based on what you want downstream users to be able to do, and check dependency compatibility.
-
Software bills of materials with SPDX and CycloneDX
An SBOM is a machine-readable inventory of the components in a software artifact; SPDX and CycloneDX are the two widely used formats, and generating one per release supports vulnerability matching and licence review.
-
Уведомления по CRA с сентября 2026 года: основания, сроки и Single Reporting Platform
CRA требует от производителей сообщать об активно эксплуатируемых уязвимостях продуктов и серьёзных инцидентах их безопасности. В обоих случаях предусмотрены этапы в 24 и 72 часа, но сроки итоговых отчётов отсчитываются от разных событий.
-
Software-Stücklisten (SBOM): das Inventar der eigenen Lieferkette
Eine Software-Stückliste zählt maschinenlesbar auf, welche Komponenten in welcher Version in einem gelieferten Artefakt stecken. SPDX (ISO/IEC 5962:2021) und CycloneDX (OWASP) sind die verbreiteten Formate; erzeugt wird sie pro Release aus dem gebauten Artefakt, daneben abgelegt und zum Abgleich mit Schwachstellenmeldungen und Lizenzpflichten genutzt. Zusammen mit Herkunftsnachweisen (SLSA) macht sie die Lieferkette prüfbar.
-
CIS Benchmarks and DISA STIGs as a hardening baseline: what they are and how to apply them selectively
CIS Benchmarks and DISA STIGs are two independently maintained sets of configuration recommendations; both offer selectable profile levels rather than one fixed target. Applying a profile wholesale without recording exceptions is a common way hardening work breaks a production service.
-
Уведомления о кибератаках в Швейцарии и CRA: разные обязанности операторов и производителей продуктов
Швейцарские уведомления в сфере критической инфраструктуры касаются кибератак, отвечающих установленным критериям, на охваченных правилами операторов. CRA касается производителей продуктов для рынка ЕС, включая швейцарских; сходные начальные сроки не делают получателей и основания уведомлений взаимозаменяемыми.
-
CRA и открытое ПО: различия между участниками разработки, производителями и кураторами
Одна открытая лицензия не определяет обязанности по CRA. Регламент различает коммерческую поставку продуктов, вклад в ПО вне ответственности участника и длительную поддержку со стороны кураторов открытого ПО, чьи обязанности по статье 24 начинают действовать в декабре 2027 года.
-
Scanning a Linux host against a baseline with OpenSCAP
oscap xccdf eval runs a SCAP Security Guide profile against a live host or an offline image and writes a human-readable report; reviewing the generated remediation script before running it is what keeps an automated scan from becoming an automated outage.
Машиночитаемо: JSON