​​Изменения в Положение о сертификации СрЗИ

ФСТЭК России представила для общественного обсуждения проект ведомственного приказа «О внесении изменений в Положение о системе сертификации средств защиты информации, утверждённое приказом Федеральной службы по техническому и экспортному контролю от 3 апреля 2018 г. № 55».

Некоторое из предполагаемых изменений:
🔸 сертификации не будут подлежать СрЗИ, в отношение которых установлены ограничения или запреты на их использование в РФ;
🔸 прямо указывается, что серийно производимое СрЗИ считается сертифицированным, если оно произведено в период срока действия сертификата;
🔸 прямо указано, что одним из условий действия сертификата соответствия является осуществление его технической поддержки.

Новое мероприятие от Ростелеком-Солар про DLP. Название, правда, напоминает DLP Russia от Инфовотча и DLP Conference от Zecurion, но, видимо, по другому рассказать о DLP и не назвать это решение DLP нельзя; наверное.https://t.co/E3SbtKSALj
— Alexey Lukatsky (@alukatsky) March 22, 2021

https://t.co/DqR9mtuhFR - ФСТЭК предлагает поменять правила сертификации и запретить сертифицировать продукты без официальной поддержки (прощай open source?) и продукты, в отношении которых есть ограничения для России (видимо, имеются ввиду санкции и Крым)
— Alexey Lukatsky (@alukatsky) March 22, 2021

Интересный взгляд на реальность импортозамещения в крупной организации https://t.co/JY0wpU1EMQ
— Alexey Lukatsky (@alukatsky) March 22, 2021

1. 8-й Центр ФСБ запустил "российский вирустотал" - https://t.co/eA1V91CORu, но пока только на 3-х антивирусах, а не 60-ти как у VT. Функциональность пока не очень - за 90 миллионов рублей можно было бы и интерфейс поудобнее сделать
— Alexey Lukatsky (@alukatsky) March 22, 2021

2. Интересно, что он (а точнее 3 антивируса вместе с Каспером и Dr.Web) детектит то, что те же Каспер и Dr.Web не детектят на VirusTotal pic.twitter.com/knTmvYffl4
— Alexey Lukatsky (@alukatsky) March 22, 2021

3. А еще у него классная политика конфиденциальности и обработки персональных данных. Там столько юридических новаций... Просто сказка. 8-й Центр ФСБ, видимо, еще не сталкивался с Роскомнадзором :-) pic.twitter.com/uos6atVUjR
— Alexey Lukatsky (@alukatsky) March 22, 2021

Меморандум Инфофорума-2021. В связи с этим, в рамках требований по защите информации, не составляющей государственную тайну, предлагается рекомендовать ФСТЭК России рассмотреть вопрос о возможной удаленной сборке ПО и анализа исходных кодов с территории РФ по защищенному каналу при фактическим размещении исходного кода в изолированной среде на территории зарубежного разработчика. https://infoforum.ru/memorandum-po-itogam-infoforuma-2021--

Интересное, конечно, предложение от рупора российской прогосударственной ИБ. Обычно такие предложения согласуются заранее, прежде чем их в паблик выкладывать. Возможно, наконец-то, кто-то задумался о том, что помимо "свой" и "чужой" есть и третья категория ПО и железа - которое имеет зарубежные корни, но его могут собирать в России или его исходные коды могут быть представлены России для анализа. А это значит, что у такого ПО и железа должны быть определенные преференции и возможность использования там, где сейчас говорят "да" только импортозамещенным решениям

Презентации ИБ АСУ ТП КВО 2021 https://zlonov.com/2021-03-17-ибкво

Провели первое заседание межфракционной рабочей группы Госдумы по борьбе с IT-преступностью.
Помимо депутатов участие приняли представители всех заинтересованных ведомств (Минцифра, Роскомнадзор, МВД, ФСБ, ФСТЭК, Генпрокуратура, ЦБ), банков и профсообщества.

Много конкретных предложений:
- запрет на использование подменных номеров, в т.ч. невозможность получения звонков из-за границы под российскими кодами и введение ответственности за это;
- введение в законодательства термина «IP-телефония»
- усиление ответственности за нарушение банковской, коммерческой тайны;
- введение в УК РФ дополнительного квалиф.признака «с использованием сети интернет»;
- установление уголовной ответственности за передачу средств связи в места лишения свободы.

Конечно, этот перечень - далеко не исчерпывающий. Работы предстоит много. Необходимо останавливать взрывной рост IT-преступности.

А еще в Госдуме рассматривают инициативу запрета брать интервью у преступников (осужденных, в розыске или сразу после освобождения). В том числе речь идет и о киберпреступниках...

Роскомнадзор выдвинул три инициативы по регулированию персональных данных.
1. Распространить принципы закона о персональных данных на иностранные интернет-площадки.
2. Ограничить трансграничную передачу данных в целях защиты прав граждан.
3. Обязать операторов выплачивать ущерб от утечки ПД (в том числе моральный)

Свежая аналитика от ФинЦЕРТа - https://t.co/0y7lir58ML
— Alexey Lukatsky (@alukatsky) March 23, 2021

Прекрасный финал доклада ФСБ про требования к СКЗИ в ГИС: «Если для облачной среды, в которой размещается ГИС, нет сертифицированных средств защиты или их класс недостаточен для согласованной модели угроз, то ГИС не может размещаться в облаке!»

Из доклада представителя Восхода: «...персональные данные, подписанные от лица Российской Федерации»

Один из озвученных кейсов «электронного паспорта», он же МИГ (мобильный идентификатор гражданина), - получение алкоголя после 23.00, если ты забыл бумажный паспорт дома. Актуально, наверное

А вот слово Russian можно было бы и без ошибок написать

Павел немного лукавит, когда говорит, что ФЗ-152, ФЗ-187 и другие ФЗ требуют использовать ГОСТ TLS при удаленном дрступе