Google Analytics в мобильных приложениях как угроза нацбезопасности или почему госорганы плюют на ФСТЭК и Роскомнадзор
…__ закон, с позиции которого я бы хотел посмотреть на работу государственных мобильных приложений, - это ФЗ “О безопасности критической информационной инфраструктуры”. __
__И если в самом законе ни слова не сказано о том, где можно или нельзя хранить данные субъектов КИИ и куда могут подключаться объекты КИИ, то в приказе ФСТЭК №239, в пункте 31-м прямо говорится, что __
__“входящие в состав значимого объекта 1 и 2 категорий значимости программные и программно-аппаратные средства, осуществляющие хранение и обработку информации, должны размещаться на территории Российской Федерации (за исключением случаев, когда размещение указанных средств осуществляется в зарубежных обособленных подразделениях субъекта критической информационной инфраструктуры (филиалах, представительствах), а также случаев, установленных законодательством Российской Федерации и (или) международными договорами Российской Федерации)”. __
То есть и эта ветка отечественного законодательства по ИБ запрещает использование (правда, не для всех объектов КИИ) зарубежных трекеров.
__
Интересно, что скажут на этот счет регуляторы, призванные следить за законностью в своих сферах компетенции - ФСТЭК и Роскомнадзор? Тут, как говорил бывший вице-премьер Рогозин, “или крест сними, или трусы надень”. Или для всех одни требования (закон-то для всех один), или их надо менять. А то как-то некрасиво получается…__
Минцифры разработало требования к отечественному программному обеспечению (ПО) и оборудованию, на которые с 2023 года должны переходить объекты критической информационной инфраструктуры (КИИ). Соответствующий проект постановления Правительства размещён на федеральном портале проектов нормативных правовых актов.
С 4 по 5 февраля 2021 года в Москве пройдет 23-й Национальный форум информационной безопасности «Инфофорум-2021».
Пленарное заседание форума будет посвящено теме «Устойчивое развитие России в цифровую эпоху: преодоление рисков информационной безопасности». В рамках пленарного заседания будут обсуждаться в том числе вопросы безопасности критической информационной инфраструктуры, текущее состояние и проблемы.
Минцифры вновь представило для общественного обсуждения проект постановления Правительства Российской Федерации «Об утверждении требований к программному обеспечению, телекоммуникационному оборудованию и радиоэлектронной продукции, используемым на объектах критической информационной инфраструктуры, и порядок перехода на преимущественное использование российского программного обеспечения, телекоммуникационного оборудования и радиоэлектронной продукции».
Изменения в Правила субсидирования на создание центров ГосСОПКА
Утверждены изменения в Правила предоставления субсидий из федерального бюджета на создание отраслевого центра государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) и включение его в систему автоматизированного обмена информацией об актуальных киберугрозах.
Официально опубликовано постановление Правительства Российской Федерации от 26.01.2021 № 50 «О внесении изменений в Правила предоставления субсидий из федерального бюджета на создание отраслевого центра государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) и включение его в систему автоматизированного обмена информацией об актуальных киберугрозах».
Дума одобрила введение штрафов за нарушения при защите критической IT-инфраструктуры
Согласно пояснительной записке к законопроекту, “размеры предлагаемых штрафов учитывают размер средней заработной платы руководителей структурных подразделений по обеспечению информационной безопасности”.
Дума одобрила введение штрафов за нарушения при защите критической IT-инфраструктуры
Согласно пояснительной записке к законопроекту, “размеры предлагаемых штрафов учитывают размер средней заработной платы руководителей структурных подразделений по обеспечению информационной безопасности”.
Forwarded from Валерий Комаров @blog_ruporsecurite
Алексей Лукацкий собирает вопросы для ФСТЭК (Лютиков В.С.) по 187-ФЗ. “17 февраля на Магнитке замдиректора ФСТЭК Виталий Лютиков будет отвечать на самые острые вопросы профессионального сообщества. Если вам есть, что спросить регулятора, то задайте свой вопрос по ссылке https://ib-bank.ru/uralcyber/#formats, а уже на форуме вопрос будет озвучен регулятору”
Импортозамещение информационных технологий в госкомпаниях как бег с препятствиями. Обзор TAdviser
Государственным структурам и компаниям с госучастием установлен дедлайн по переходу на отечественный софт. В соответствии с целями национальной программы «Цифровая Экономика РФ», к 2024 году доля российского ПО в госорганизациях должна превысить 70%, а в государственных компаниях - составить не менее 50%. Речь идет о разработках, включенных в Единый реестр российских программ для электронных вычислительных машин и баз данных (запущен Минкомсвязи в 2016 году). По состоянию на конец 2020 года он содержит более 7500 отечественных продуктов.
Процесс миграции до 2020 года шел несколько медленнее, чем планировалось. Его ускорению будет способствовать, в том числе, 187-ФЗ «О безопасности критической информационной инфраструктуры» - в 2024-2025 годах на отечественные решения должны перейти организации, подпадающие под его действие (в том числе, многие крупные промышленные и финансовые компании).
ВЫПИСКА из Программы национальной стандартизации на 2021 год в части разработки национальных стандартов в рамках деятельности технического комитета по стандартизации “Защита информации” (ТК 362)
Комитет по государственному строительству и законодательству Государственной Думы РФ рекомендовал принять законопроект “О внесении изменений в КоАП в части установления административной ответственности за нарушение законодательства в области обеспечения безопасности КИИ” в первом чтении, есть несущественные замечания. Комитет Госдумы по ИТ и связи оказал полную поддержку** **законопроекту.
Ассоциация разработчиков и производителей электроники подготовила для Минцифры отчет о положении дел в российской электронной отрасли с точки зрения возможности импортозамещения «железа» используемого в критической информационной инфраструктуры. Ситуация в отрасли, наглядно отображенная в таблице с цветными маркерами, неоднородная; для полного изгнания зарубежных решений необходимо потратить годы и получить инвестиции в сотни миллиардов рублей.
Кто хотел решение суда об отнесении организации к субъектам КИИ на основании экспертного заключения? Вот пример подобного. В качестве эксперта - доцент с кафедры информационной безопасности Волгоградского государственного университета. Подача документов в ФСТЭК или решений комиссий организации суду не интересны.
В мае я уже писал про проекты двух примечательных по своей значимости и некомпетентности проектов нормативных актов, которые обязывают всех субъектов КИИ перевести все свои объекты КИИ на отечественное ПО и железо. И вот на днях на портале regulations.gov.ru был выложен обновленный текст проекта Постановления Правительства “Об утверждении требований к программному обеспечению, телекоммуникационному оборудованию и радиоэлектронной продукции, используемым на объектах критической информационной инфраструктуры, и порядка перехода на преимущественное использование российского программного обеспечения, телекоммуникационного оборудования и радиоэлектронной продукции”. Ранее, в ноябре был выложен обновленный проект Указа Президента. Давайте посмотрим, что там изменилось?
28 января Госдума рассмотрит в первом чтении поправки Правительства к КоАП об административной ответственности за нарушения законодательства в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации (законопроект № 1048574-7)
https://sozd.duma.gov.ru/download/3A173BBA-D628-474C-954B-7B7B95F047BB
⚡️НКЦКИ предупреждает об угрозе проведения целенаправленных компьютерных атак⚡️
В условиях постоянных обвинений в причастности к организации компьютерных атак, высказываемых в адрес Российской Федерации представителями США и их союзниками, а также звучащих с их стороны угроз проведения «ответных» атак на объекты критической информационной инфраструктуры Российской Федерации, Национальный координационный центр по компьютерным инцидентам (НКЦКИ) рекомендует принять следующие меры по повышению защищённости информационных ресурсов.
Приведите в актуальное состояние имеющиеся в организации планы, инструкции и руководства по реагированию на компьютерные инциденты.
Проинформируйте сотрудников о возможных фишинговых атаках с использованием методов социальной инженерии.
Проведите аудит сетевых средств защиты информации и антивирусных средств, убедитесь в их корректной настройке и функционировании на всех значимых узлах сети.
Избегайте использования сторонних DNS-серверов.
Используйте многофакторную аутентификацию для удаленного доступа в сеть организации.
Определите перечень доверенного программного обеспечения для доступа в сеть организации и ограничьте использование не входящих в него средств.
Удостоверьтесь в корректном журналировании сетевых и системных событий на важных элементах информационной инфраструктуры, организуйте их сбор и централизованное хранение.
Удостоверьтесь в наличии и корректной периодичности создания резервных копий данных для важных элементов информационной инфраструктуры.
Удостоверьтесь в корректности имеющихся политик разграничения прав доступа для устройств в сети.
Ограничьте доступ к сервисам во внутренней сети средствами межсетевого экранирования, при необходимости предоставления общего доступа к ним организуйте его через демилитаризованную зону.
Для работы с внешними ресурсами, в том числе в сети Интернет, используйте терминальный доступ через внутренний сервис организации.
Обновите пароли всех пользователей в соответствии с парольной политикой.
Обеспечьте анализ входящей и исходящей электронной почты средствами антивирусной защиты.
Осуществляйте мониторинг безопасности систем с повышенной бдительностью.
Следите за наличием необходимых обновлений безопасности для Вашего программного обеспечения.
⚡️НКЦКИ предупреждает об угрозе проведения целенаправленных компьютерных атак⚡️
В условиях постоянных обвинений в причастности к организации компьютерных атак, высказываемых в адрес Российской Федерации представителями США и их союзниками, а также звучащих с их стороны угроз проведения «ответных» атак на объекты критической информационной инфраструктуры Российской Федерации, Национальный координационный центр по компьютерным инцидентам (НКЦКИ) рекомендует принять следующие меры по повышению защищённости информационных ресурсов.
Приведите в актуальное состояние имеющиеся в организации планы, инструкции и руководства по реагированию на компьютерные инциденты.
Проинформируйте сотрудников о возможных фишинговых атаках с использованием методов социальной инженерии.
Проведите аудит сетевых средств защиты информации и антивирусных средств, убедитесь в их корректной настройке и функционировании на всех значимых узлах сети.
Избегайте использования сторонних DNS-серверов.
Используйте многофакторную аутентификацию для удаленного доступа в сеть организации.
Определите перечень доверенного программного обеспечения для доступа в сеть организации и ограничьте использование не входящих в него средств.
Удостоверьтесь в корректном журналировании сетевых и системных событий на важных элементах информационной инфраструктуры, организуйте их сбор и централизованное хранение.
Удостоверьтесь в наличии и корректной периодичности создания резервных копий данных для важных элементов информационной инфраструктуры.
Удостоверьтесь в корректности имеющихся политик разграничения прав доступа для устройств в сети.
Ограничьте доступ к сервисам во внутренней сети средствами межсетевого экранирования, при необходимости предоставления общего доступа к ним организуйте его через демилитаризованную зону.
Для работы с внешними ресурсами, в том числе в сети Интернет, используйте терминальный доступ через внутренний сервис организации.
Обновите пароли всех пользователей в соответствии с парольной политикой.
Обеспечьте анализ входящей и исходящей электронной почты средствами антивирусной защиты.
Осуществляйте мониторинг безопасности систем с повышенной бдительностью.
Следите за наличием необходимых обновлений безопасности для Вашего программного обеспечения.
Вакансия в ЛУКОЙЛ-Ухтанефтепереработка:
Специалист по обеспечению безопасности объектов КИИ
Зарплата**:** от 50 000 руб. до 75 000 руб.https://joblib.ru/view/3730726.html
Из 16 (без учёта повторных после апелляций) уголовных дел, возбуждённых по статье 274.1 (неправомерное воздействие на КИИ), по состоянию на сегодня только 4 были прекращены, по 10 вынесены обвинительные приговоры и ещё по двум решение публично пока недоступно. https://zlonov.com/kii/criminal_cases
Из 16 (без учёта повторных после апелляций) уголовных дел, возбуждённых по статье 274.1 (неправомерное воздействие на КИИ), по состоянию на сегодня только 4 были прекращены, по 10 вынесены обвинительные приговоры и ещё по двум решение публично пока недоступно. https://zlonov.com/kii/criminal_cases
В прошлом году по привлечению к уголовной ответственности за нанесение вреда КИИ РФ с неожиданной стороны выступило РЖД. Два приговора за попытку нечестно сдать экзамены.
И вот третий приговор за уже типовое преступление, но как же отличается концовка приговора!
Летом 2020 года за аналогичные преступления суд приговорил к двум годам (условно). А в конце осени 2020 года за все тоже самое - 15 000 рублей штрафа (все три преступления совершены в мае 2019 года)!
Для общественного обсуждения очередной раз опубликован разработанный Минцифры проект постановления правительства об утверждении требований к программному обеспечению, телекоммуникационному оборудованию и радиоэлектронной продукции, используемым на объектах критической информационной инфраструктуры (КИИ), и порядка перехода на преимущественное использование российского ПО, телеком-оборудования и радиоэлектронной продукции; от предыдущей версии документ отличается редакторскими правками.
Когда следишь сам, не хочется давать следить другим =)
__Власти Москвы хотели развернуть слежку за передвижениями каждого пешехода по MAC-адресам их мобильных устройств. Подрядчик проекта уже смонтировал всю необходимую аппаратуру, но планам столичных властей помешали Google и Apple – они выпустили апдейт для Android и iOS, блокирующий отслеживание MAC-адресов. Теперь весь проект может быть свернут, хотя на него уже потрачено свыше 60 млн руб. __
Межведомственная комиссия Совбеза России по информационной безопасности отметила стремительное нарастание угроз в информационной сфере в 2020 г., сообщает ТАСС с ссылкой на пресс-службу ведомства.
“USSC-SOC является корпоративным центром ГосСОПКА класса А, соответствует требованиям законодательства РФ в области ИБ, обладает лицензией ФСТЭК России на мониторинг ИБ средств и систем информатизации, а также подключен к Национальному координационному центру по компьютерным инцидентам (НКЦКИ) и ФинЦЕРТ”.
В заключительный день прошлого года были опубликованы три приказа ФСБ России, касающиеся вопросов электронной подписи https://vk.com/wall-88373861_1180
