Бортовой журнал
Заметки, мысли и сообщения из соцсервисов, в том числе - Telegram-каналов ℤ𝕃𝕆ℕ𝕆𝕍.𝕝𝕚𝕧𝕖 (https://t.me/zlonov) и ZLONOV security (https://t.me/zlonov_security)
Всего: 2396
2025 август
Изменения законодательства за июль: https://hub.zlonov.ru/laws/reviews/2025-07-USSC-review
- КИИ: проекты постановлений Правительства об отраслевых особенностях категорирования объектов КИИ в сфере здравоохранения и ракетно-космической промышленности;
- ПДн: совместный приказ ФСБ России, СВР России, МО России, ФСО России и МВД России, устанавливающий порядок доступа к ИС и (или) БД, содержащим ПДн специальных служб и лиц, находящихся под госохраной;
- Приказы ФСТЭК России о лицензионном контроле деятельности по технической защите конфиденциальной информации (ТЗКИ) и по разработке и производству средств защиты конфиденциальной информации (СЗКИ);
- Требования к техническим и программным средствам, используемым ФОИВ при организации видео- и веб-конференций;
- и другое.
canvas). Оказалось - вполне удобно и достаточно наглядно. Итоговый результат: в виде картинки, в формате PDF с распознанным текстом одной страницей и в виде многостраничного файла. Ссылки на нормативные акты вручную проставлять не стал - слишком утомительно. Попозже подумаю, как лучше добавить этот холст в ПБЗ.
2025 июль
Если в отличие от меня вы уже являетесь пользователем ЕБС, то, возможно, в этой аналитической статье найдёте ещё какие-то полезные варианты её применения: https://www.garant.ru/article/1829500/
Вот что, например, биометрия позволяет уже сегодня:
- открыть счет или оформить кредит в банке;
- получить электронную подпись;
- заселиться в гостиницу без паспорта;
- оплатить проезд в метро Москвы, Казани, Екатеринбурга, Самары, Нижнего Новгорода;
- зарегистрировать бизнес;
- получить сим-карту;
- подтвердить право на пенсию из любой точки мира;
- проходить в бизнес-залы аэропортов и т. д.
Проверить (и отозвать) свои ранее выданные согласия на обработку биометрии можно в личном кабинете на Госуслугах: https://lk.gosuslugi.ru/settings/biometrics
P.S. А сколько, интересно, тех, кто поддерживает, но к сбору своей не готов? =)
Согласно данным ВЦИОМ, более 76% молодых людей поддерживают применение биометрии, в том числе для аренды самокатов, онлайн-кредитования и защиты покупателей на маркетплейсах. При этом 35% старшего поколения пока не готовы к сбору биометрических данных.
Изменения законодательства за июнь: https://hub.zlonov.ru/laws/reviews/2025-06-USSC-review
- КИИ: проекты отраслевых особенностей категорирования объектов КИИ, проекты перечней типовых отраслевых объектов КИИ и изменения в Правилах категорирования объектов КИИ;
- ПДн: законопроекты в сфере ПДн граждан РФ при трансграничной передаче данных и о расширении возможностей использования биометрических ПДн при проходе на территории организаций, требования о необходимости оформления согласия на обработку ПДн отдельно от иных документов, изменения в 152-ФЗ, а также правила взаимодействия Минцифры России с операторами ПДн, формирования составов обезличенных ПДн и предоставления доступа к составам обезличенных ПДн;
- Закон о создании ГИС по противодействию преступлениям, совершаемым с использованием информационных технологий.
- Требования о защите информации, содержащейся в ГИС, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений, которые придут на смену приказу ФСТЭК России № 17;
- Свежая судебная практика в области ИБ;
- и другое.
Добавление: Все упомянутые в обзоре новые нормативно-правовые акты добавлены в Персональную база знаний по законодательству https://zlonov.live/blog/legislation-personal-knowledge-base/
2025 июнь
Мероприятель - человек, с которым регулярно встречаешься и общаешься, но только на выставках и конференциях.
В майском обзоре изменений законодательства от коллег из УЦСБ:
- отраслевые особенности категорирования объектов КИИ сфер связи и недвижимости;
- изменения в технических требованиях к биоПДн в ЕБС;
- увеличение штрафов за нарушения требований о защите информации, в том числе за использование несертифицированных СрЗИ;
- план мероприятий по реализации Стратегии развития отрасли связи РФ на период до 2035 года;
- и другое.
Кстати, свой вариант обзора законодательства начал готовить Департамент консалтинга UDV Group.
Приняты поправки, позволяющие с 01 июля 2026 года проводить сделки с недвижимостью по биометрии. Онлайн-сделки с недвижимостью, в принципе, можно проводить и сейчас, но не зря же ГИС ЕБС создавалась =)
Стороны смогут подавать заявления о государственной регистрации прав на объекты недвижимости в электронном виде. Все документы должны быть подписаны усиленной квалифицированной электронной подписью, а идентификация участников сделки будет осуществляться через Единую биометрическую систему.
2025 май
Импортозаместительная математика - как влияют требования регуляторов на отечественность используемого ПО:
По словам директора департамента «Промышленная автоматизация» компании «Рексофт» Ольги Маковой на критически важных объектах доля российского ПО достигает 80%. Однако в сегментах, где отсутствуют регуляторные требования, уровень использования отечественного ПО не превышает 30%, и компании не готовы тратить дополнительные ресурсы на импортозамещение.
Полезное в закладки: новый раздел на Госуслугах “Защита от мошенников в сети” (https://www.gosuslugi.ru/scammer_protection) аккумулировал в одном месте базовые советы для тех, кто стал жертвой мошенников, и тех, кто хотел бы себя превентивно обезопасить. Дополнительно приведены быстрые ссылки с пояснениями на установление самозапрета на кредиты, проверку кредитной истории и оформленных сим-карт (этот сервис, к слову, вообще огонь!), услугу для отправки информации о подозрительном звонке и подачу жалобы на вредоносный ресурс.
Что ж, имеем ещё один аргумент для сторонников концепции отказа от сторонних онлайн-сервисов в пользу локальных персональных баз знаний (local personal knowledge base - local PKB).
Обзор законодательства от Аналитического центра УЦСБ за апрель: https://hub.zlonov.ru/laws/reviews/2025-04-USSC-review
Краткое содержание:
- изменения в 187-ФЗ “О безопасности КИИ”
- новые методические указания по категорированию объектов КИИ в сфере связи
- Постановление Правительства РФ о случаях формирования составов обезличенных ПДн и проекты новых Поставновлений по этой же тематике
- новые государственные образовательные стандарты по специальностям 09.02.11 и 09.02.12
- обзор деятельности ФСТЭК России
- и прочее
Статью на Хабре "Цифровая электронная подпись бесплатно в OpenKeychain и GPG4win" в комментариях вполне справедливо критикуют, но зато благодаря ей вспомнил, что есть такой замечательный сервис для публикации и проверки открытых ключей как keys.openpgp.org.
Оказывается, там даже мой какой-то ключ присутствует. Закрытый ключ, правда, давно уже утрачен, да и адресом этим не пользуюсь, но всё равно - спасибо автору за напоминание =)
Написал краткую инструкцию как локально сохранить себе для работы все нормативно-правовые акты по информационной безопасности из Хаба Злонова: https://zlonov.live/blog/legislation-personal-knowledge-base/
Без дополнительного перевода в голове гораздо удобнее, конечно.
Было: 咖啡 - [kā fēi] - coffee - [ˈkɔːfi] - кофе
Стало: 咖啡 - [kā fēi] - кофе
2025 апрель
Тоже замечали, что многие мобильные приложения даже не успеваешь между обновлениями ни разу запустить?
Обзор законодательства от Аналитического центра УЦСБ за март с проставленными ссылками на НПА в Хабе Злонова: https://hub.zlonov.ru/laws/reviews/2025-03-USSC-review
В обзор (так как он формально мартовский) пока не попали свежие изменения в законодательстве о безопасности КИИ, но зато есть интересный обзор судебной практики.
Каждый десятый сотрудник российских компаний использует слабый и неуникальный пароль для рабочих аккаунтов. Второе место среди киберугроз с показателем 5% делят компрометация учетных данных в ходе учебных фишинговых атак и передача конфиденциальной информации через незащищенные каналы связи (включая некорпоративные мессенджеры, такие как W * * * p). Завершает список «неосторожностей» применение рабочих устройств не по назначению (4%). При этом две трети сотрудников (76%) не допустили нарушений.
Похоже, основные баги скрипта, сравнивающего версии реестров сертифицированных СрЗИ, отловлены. Скрипт, правда, не сохранил версию реестра от 28 марта (а она точно была), но эта ошибка уже исправлена и больше не должна повториться.
Пока из нерешённого - периодическое отсутствие доступности сайта ФСТЭК России при запуске скрипта (возможно - дело в IP-адресе, с которого он обращается к сайту) и не самое удобное отображение результатов сравнения.
Из наблюдений:
- реестр обновляется по пятницам, причём еженедельно;
- обновляется каждый раз примерно полтора десятка сертификатов;
- оказывается, существовал Межсетевой экран «Гарда FW», но сейчас разработчик ООО «ТехАргос» переименовал его в «Агрос FW»;
- количество сертифицированных СУБД продолжает расти.
Результат работы скрипта: https://zlonov.ru/fstec-registry-changes/
В принципе, мне, как клиенту, отдельное приложение, конечно, гораздо удобнее: как минимум при этом работают PUSH-уведомления, нет проблем с Face/Touch ID, да и в целом - приложение работает быстрее и пользоваться им комфортнее.
Ещё бы истории свои навязчивые отключили - вообще было бы прекрасно, но такое сложное изменение вряд ли разработчики осилят =)
Впрочем, всё равно порадуемся за команду разработчиков мобильных приложений Т-Банк - видимо, им можно не боятся сокращений =)
2025 март
Давно хотел как-то автоматизировать отслеживание изменений в реестре сертифицированных ФСТЭК России средств защиты информации и вот, наконец, дошли руки доделать скрипт, который:
- проверяет наличие нового файла с перечнем сертификатов на сайте https://reestr.fstec.ru/reg3 (по дате обновления);
- скачивает новый файл при наличии;
- проводит построчное сравнение версий файла;
- оформляет результат сравнения в виде списка с тремя группами: Исключены/Добавлены/Изменены.
Заодно добавляются ссылки на карточки соответствующих СрЗИ в Хабе Злонова (при наличии).
Результат работы скрипта можно посмотреть тут: https://zlonov.ru/fstec-registry-changes/
Скрипт пока вряд ли лишён ошибок, да и над представлением результата можно ещё поработать, но что-то уже и сейчас он позволяет быстро выявить без ручного анализа.
Например:
- в марте в реестре появились новые сертифицированные SIEM-система и две СУБД;
- Солар Секьюрити сменил форму собственности с ООО на АО;
- техподдержка для ОС Аврора теперь заявлена до 31.12.2030, а для Аврора Центр - до 31.12.2026;
- сертификат на Libercat Certified переоформлен с ООО «БЕЛЛСОФТ» на АО «АКСИОМ».
Пятый алгоритм HQC дополнит стандарты NIST по постквантовому шифрованию
Национальный институт стандартов и технологий США (NIST) объявил о включении пятого алгоритма — HQC — в свой портфель постквантовой криптографии (PQC). Этот алгоритм станет резервным для ML-KEM и предназначен для механизмов encapsulation (KEM).
https://www.anti-malware.ru/news/2025-03-18-111332/45546
Более трети опрошенных россиян готовы отказаться от традиционных паролей
«Лаборатория Касперского» совместно с «Почта Mail» и Hi-Tech Mail выяснили, как люди относятся к беспарольным способам авторизации — одноразовым и QR-кодам, использованию отпечатков пальца или скана лица и другим способам для входа в аккаунты.
https://safe.cnews.ru/news/line/2025-03-14_opros_bolee_treti_oproshennyh
37% атак на бизнес начались с кражи логинов: число инцидентов растёт
В 2024 году 37% успешных атак на российские компании начались с компрометации учётных данных сотрудников — почти вдвое больше, чем в 2023 году (19%). Одной из причин роста стал всплеск утечек данных, из-за которого злоумышленники получили доступ к корпоративным логинам и паролям.
https://www.anti-malware.ru/news/2025-03-13-121598/45516
Всю импортную электронику в РФ предлагают обложить пошлиной в 30%
С таким предложением к правительству обратилась Ассоциация разработчиков и производителей электроники. В отрасли считают, что такая мера поддержки нужна на случай возвращения ушедших из России иностранных вендоров
Ассоциация разработчиков и производителей электроники (АРПЭ) обратилась к правительству с предложениями по поддержке российских компаний на случай возвращения западных игроков. Свои идеи ее представители изложили в письме, которое направили премьер-министру Михаилу Мишустину в минувший четверг. Копия есть у РБК. Введение 30-процентной импортной пошлины — лишь одна из мер, о которой просят представители отрасли, но, пожалуй, самая впечатляющая.
Как реализовать пакетную подпись PDF-документов
Автоматическое подписание документов электронной подписью используют там, где требуется пакетная подпись документов без участия сотрудника. Это могут быть как небольшие сайты, например по продаже билетов в театр и музей, или порталы с онлайн-обучением при отправке сертификатов о прохождении курсов, так и крупные банковские приложения, например, при генерации выписок по счетам, форм договоров или квитанций. В ЕСИА, СМЭВ, ГИС ЖКХ и других государственных информационных системах также реализована автоматическая подпись.
https://habr.com/ru/articles/890054/
Очередной обзор изменений в законодательстве от коллег из УЦСБ - за февраль 2025 года. По тексту для упоминаемых НПА добавлены ссылки на карточки в Хабе Злонова.
https://hub.zlonov.ru/laws/reviews/2025-02-USSC-review
https://t.me/zlonov_security/Презентации с ИБ АСУ ТП КВО (почти все): https://zlonov.ru/events/2025-03-04-05-ибкво/
Плюс традиционные итоги голосования в канале организаторов: https://zlonov.ru/best-reports-ibkvo-2025/
АРПП Отечественный софт представила 680 решений для защиты КИИ Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» передала в Минцифры и другие государственные ведомства перечень российских программных решений, способных заменить зарубежное ПО на объектах критической информационной инфраструктуры (КИИ).
В списке указаны сведения о программных продуктах, возможных сферах их применения, опыте внедрения, а также наличии сертификатов от регуляторов.
По данным АРПП «Отечественный софт», на 1 января 2025 года лишь 20% объектов КИИ полностью перешли на отечественное программное обеспечение. Еще 15% запланировали миграцию в первой половине 2025 года.
«Для ускоренного перехода критической инфраструктуры на российское ПО мы направили в Минцифры России и другие ведомства перечень из 680 отечественных решений, способных заменить иностранное программное обеспечение. В нем содержатся данные о продуктах, сферах их применения, опыте внедрения и наличии сертификатов ФСТЭК», — говорится в письме, подготовленном ассоциацией.
В документе также отмечается, что предоставленная информация может быть полезна при реализации Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и Указа Президента РФ № 166 «О мерах по обеспечению технологической независимости и безопасности КИИ».
Помимо Минцифры, копии письма были направлены в Минпромторг, Минэкономразвития, Минобрнауки, Минпросвещения, Минстрой, Минздрав, ФСТЭК России, а также в Департамент информационных технологий Москвы, ФГАУ НИИ «Восход», ФГБУ «ЦЭКИ», АНО «Центр компетенций по импортозамещению в сфере ИКТ», АНО «Цифровая экономика» и Ассоциацию КП ПОО.
Впервые АРПП «Отечественный софт» составила перечень программных продуктов для объектов КИИ в 2020 году. С 2022 года список обновляется ежегодно. За этот период его объем увеличился почти в четыре раза.
7 проблем при создании СОИБ АСУ ТП в 2025.pdf
Презентации с ИБ АСУ ТП КВО в публичный доступ, к сожалению, обычно попадают с большой задержкой, так что вот мой вчерашний доклад на ИБ АСУ ТП КВО.
Видеозапись докладов не велась, но, возможно, будут доступны аудиозаписи (надеюсь, наложенные на слайды).
DLBI: цифровизация захватила пароли
Российский сервис разведки утечек данных и мониторинга даркнета DLBI провел ежегодное исследование наиболее популярных у интернет-пользователей паролей. В новом исследовании были проанализированы 6,1 млрд уникальных учетных записей (пар электронная почта/пароль), из них около 581 млн новых, появившихся в различных утечках в течение 2024 г.
https://safe.cnews.ru/news/line/2025-02-28_dlbi_tsifrovizatsiya_zahvatila
2025 февраль
Сбер начал внедрять отечественную систему удаленного доступа Сбер внедрил новую систему удалённого доступа для сотрудников, работающих дистанционно, заменив её на отечественное решение Remote Access VPN. Проект реализуется совместно с компаниями «Амикон» и «ИТ-Экспертиза».
Remote Access VPN представляет собой виртуальную частную сеть (VPN), обеспечивающую защищённое соединение.
Технология шифрует передаваемые данные, снижая риск их перехвата и несанкционированного доступа, что позволяет повысить безопасность удалённой работы.
Новая система охватывает всю корпоративную инфраструктуру банка, включая центральный офис и региональные филиалы. Одним из ключевых требований при её разработке стала совместимость с различными операционными системами.
Google добавила поддержку постквантовых алгоритмов шифрования в Cloud KMS
Компания Google объявила о внедрении стандартов NIST в области квантово-устойчивой криптографии (PQC). Поддержка двух из них добавлена в облачный сервис управления ключами (KMS), третий будет реализован позднее, но в этом году.
https://www.anti-malware.ru/news/2025-02-21-114534/45343
Дипфейки в России могут признать обстоятельством, отягчающим вину
В Минцифры России рассматривают возможность закрепления на законодательном уровне еще одного обстоятельства, отягчающего наказание за совершение преступления, — использование дипфейк-технологий.
https://www.anti-malware.ru/news/2025-02-19-114534/45319
Оплата по биометрии заработает на всех станциях столичного метро до конца года
Платежный сервис с биометрией заработает на всех турникетах в столичном метрополитене до конца 2025 года. Об этом сообщает РИА Новости со ссылкой на Дептранс.
В ведомстве рассказали, что для расширения технологии и поддержки высокой скорости работы в вестибюлях станций появится дополнительное оборудование отечественного производства. При оплате по биометрии пассажирам не понадобятся карты, телефоны или наличные деньги. Также такой способ предполагает самые низкие тарифы на проезд. Система имеет банковский уровень защиты, все данные зашифрованы.
С момента запуска сервиса с биометрией в Москве им воспользовались более 140 миллионов раз, а каждый рабочий день по биометрии совершают свыше 160 тысяч проходов.
https://www.bfm.ru/news/568073
Мощности по выпуску мобильных устройств в России загружены на 20%
Производственные мощности по выпуску смартфонов и планшетов в России позволяют выпускать около 100 тысяч устройств в год, однако их загрузка составляет лишь 20%. По оценке Минпромторга, фактический уровень недозагрузки может быть даже выше.
Как сообщили «Коммерсанту» в холдинге Fplus, совокупные производственные мощности российских компаний позволяют выпускать до 500 тысяч мобильных устройств в год, при этом в отрасли задействованы порядка десяти производителей.
Вице-президент холдинга «Рикор» Сергей Куприянов отметил, что объем поставок российских мобильных устройств в 2024 году остался на уровне 2023 года.
По данным Минпромторга, в реестре министерства зарегистрировано 25 моделей российских смартфонов и 79 планшетов, из которых 50–60 тысяч устройств работают на операционной системе «Аврора». В ведомстве также отметили, что существующие мощности позволяют нарастить производство до 1 миллиона устройств в год.
Несмотря на низкую загрузку, сами производители электроники не рассматривают это как проблему. По их словам, производственные линии легко адаптируются для выпуска другой продукции, такой как серверы или системы хранения данных.
В то же время, как сообщили «Коммерсанту» представители двух производителей, на 2025 год зафиксирован значительный рост числа заказов. Так, в компании ЦТС объем заказов увеличился в 2,5 раза. О росте спроса также заявили в GS Group и «Аквариус».
По данным GS Group, общий объем российского рынка смартфонов в количественном выражении снизился на 3%, но при этом его денежный эквивалент вырос на 6%. Лидирующие позиции занимают бренды Xiaomi, Tecno, Infinix, Apple, Samsung и Realme.
Сегмент планшетов, напротив, демонстрирует рост: по данным «М.Видео – Эльдорадо», их продажи в России увеличились на 22% в количественном выражении. Наибольшим спросом пользуются устройства Huawei, Honor, Samsung, Redmi и Apple.
Россияне смогут использовать биометрию при посадке на поезд
Воспользоваться услугой можно будет после того, как сервис протестируют в закрытом режиме в 2025 году
Правительство разрешило применять биометрию для посадки на поезд, если у железнодорожного перевозчика есть такая техническая возможность. Остальные способы посадки на поезд также сохраняются, пишет «Интерфакс».
Воспользоваться услугой смогут пользователи Единой биометрической системы (ЕБС) после того, как сервис протестируют в закрытом режиме в 2025 году.
Таким образом, с запуском сервиса у пассажиров поездов появится возможность отправляться в путешествие, используя свои биометрические данные. При этом биометрия станет альтернативой предъявлению бумажного билета или паспорта, но не заменит их. Пассажир всегда сможет выбрать наиболее предпочтительный способ получения услуги.
ЕБС — государственная информационная система, обеспечивающая сбор биометрических персональных данных (фото лица и записи голоса), их хранение и использование для аутентификации и идентификации пользователей для получения гражданами государственных услуг и доступа к банковским сервисам.
https://www.bfm.ru/news/567863
Импорт электроники в Россию упал впервые за два года
Импорт электроники в Россию упал впервые за два года. Поставки сократились до 3%. Об этом пишет газета «Коммерсант», ссылаясь на участников рынка. По их словам, раньше сокращение поставок было только в 2014 и 2022 годах, и причиной тому в основном были санкции со стороны США и ЕС. Теперь импорт сократился из-за высокой ключевой ставки Центробанка. Еще одна причина — проблемы с проведением платежей в Китай.
Эксперты указывают: спрос на новую бытовую технику в России сокращается, при этом спрос на подержанный товар вырос почти в два раза. Они прогнозируют, что будет расти спрос и на локализованную электронику, так как она стоит дешевле. При этом иностранные производители в России будут в выигрыше, так как кредитуются в Европе или Китае под меньшую ставку.
7 из 10 москвичей поддерживают верификацию в сервисах аренды электросамокатов через Mos ID
Большинство москвичей поддерживают аренду электросамоката только после прохождения верификации через Mos ID. В опросе сервиса по поиску работы SuperJob приняли участие 1600 представителей экономически активного населения Москвы. Об этом CNews сообщили представители SuperJob.
https://safe.cnews.ru/news/line/2025-02-14_7_iz_10_moskvichej_podderzhivayut
Google Chrome научился самостоятельно менять украденные пароли на сторонних сайтах
В тестовой Canary-сборке браузера Google появилась функция замены скомпрометированных паролей на сайтах. ИИ прочёсывает базы данных украденных логинов и паролей и, находя совпадения, предлагает заменить его. С соглашения пользователя алгоритм генерирует новую комбинацию и меняет её на сайте. Включить опцию можно в разделе «Экспериментальные функции».
Безопасность гарантирует система сверки хеш-префиксов на стороне пользователя. Ни пароли, ни полные хеши третьей стороне не передаются.
reCAPTCHA — не преграда для ботов, зато собирает кучу данных о юзерах
На YouTube опубликован ролик, призванный доказать, что тесты reCAPTCHA v2 и v3 плохо защищают от ботов и используются Google для слежки и сбора пользовательских данных с целью персонализации рекламы.
https://www.anti-malware.ru/news/2025-02-11-114534/45245