Моя презентация с GDPR Day Russia 2021

Выложил в канал в Телеграме (https://t.co/8X7C6zNoES) свою презентацию с GDPR Day Russia 2021 pic.twitter.com/9KFyJact4j
— Alexey Lukatsky (@alukatsky) May 25, 2021

О непонятных индикаторах, связанных с Solarwinds, было известно за 2 месяца до того, как инцидент «обнаружила» Fireeye - https://t.co/z4g8sjTGVs pic.twitter.com/tBmUweFgb0
— Alexey Lukatsky (@alukatsky) May 25, 2021

По этому посту можно делать выводы о планах деятельности/активности Роскомнадзора

🗓 Сегодня состоялось итоговое заседание коллегии Роскомнадзора. Ведомство отчиталось за год работы и сообщило о будущих планах.

Основные темы, которые поднимались на заседании:

🔺 Необходимость защиты персональных данных россиян, и, как следствие, контроль за их сбором и обработкой, ужесточение наказаний за утечки и разглашение конфиденциальной информации, а также изменение законодательства для эффективного выполнения этих целей.

🔺 Защита граждан от противоправной информации: расширение мониторинга экстремистского контента, упрощение процедуры подачи жалобы на противоправный контент, диалог с IT-компаниями для оперативного удаления запрещённого материала.

🔺 Цензура российских граждан и СМИ на иностранных интернет-площадках и борьба с этим явлением.

🔺 Обеспечение независимости российского сегмента интернета.

🔺 Борьба с пиратским контентом.

🔺 Пресечение распространения «серых» сим-карт.

🔺 Контроль за распространением на территории РФ материалов иноагентов.

🔺 Цифровая трансформация ведомства.

Требования по безопасности информации к средствам обеспечения безопасной дистанционной работы в информационных системах утверждены приказом ФСТЭК N32 от 16 февраля 2021 года.

Хорошо, что не 31-й, коих по ИБ у ФСТЭК уже два (2014-го и 2017-го годов)— Alexey Lukatsky (@alukatsky) May 26, 2021

Сваял табличку по свежему 141-ФЗ от 26.05.2021 по внесению изменений в КоАП, который устанавливает штрафы в области безопасности КИИ

"Отнесение объектов государственного контроля к определенной категории риска осуществляется на основании критериев отнесения объектов государственного контроля к определенной категории риска"!

Да вы что? Вот это новость!— Alexey Lukatsky (@alukatsky) May 26, 2021

Вообще ФСТЭК в последнее время освоила тонкое искусство троллинга в официальных ответах.

Пригласить к работе над документом, а через 3 месяца переписки ответить, что документ был утвержден 3 месяца назад. И они были бы рады, но увы. Приходите в следующий раз— Alexey Lukatsky (@alukatsky) May 27, 2021

https://www.securitylab.ru/news/520640.php - так вот в чем подоплека-то известной истории «Илья и таксисты» ;-)

Эта идея появляется ежегодно на протяжении последних 4-х лет. И каждый раз как будто заново. И все от разных ведомств https://t.co/kgSd79mfxk
— Alexey Lukatsky (@alukatsky) May 27, 2021

Что-то стремно доверять информационную безопасность людям, которые не смогли не с ПДн разобраться, ни с блокировками

Кто из пентестеров/redteam’ров первым начнет в своих отчетах указывать не только техники MITRE ATT&CK, но и техники ФСТЭК, а еще и сценарии реализации угроз из них составлять, тот порвет рынок и получит кучу денег
— Alexey Lukatsky (@alukatsky) May 28, 2021

А если я использую ПО ScanOVAL от ФСТЭК (https://t.co/2SMrKc84o0), должен ли я ФСТЭК включать в свою модель угроз как разработчика ПО?
— Alexey Lukatsky (@alukatsky) May 30, 2021

Если ScanOVAL (https://t.co/2SMrKc84o0), разработанный ФСТЭК, это средство контроля защищенности (а поиск уязвимостей относится именно к этой категории), то почему на ScanOVAL нет сертификата ФСТЭК и как можно его использовать в ГИС/МИС, для которых он и предназначен?
— Alexey Lukatsky (@alukatsky) May 30, 2021

Чем больше погружаешься в методику моделирования угроз по ФСТЭК, тем больше понимаешь, как там много магии https://t.co/xMqlWG7GAM
— Alexey Lukatsky (@alukatsky) May 31, 2021

При увольнении сотрудника хорошей практикой является блокирование его учетной записи или смена паролей для учеток (например, административным), к которым он имел доступ.