1⃣ Использование российских процессоров в электронике теперь необязательно, чтобы оборудование считалось отечественным, говорится в новых критериях оценки Минпромторга.

Мне кажется или действительно после встречи Байдена и Путина число атак якобы русских хакеров на американцев возросло?
— Alexey Lukatsky (@alukatsky) Jul 7, 2021

Когда ты уже думаешь, что прошел аудит ИБ, и начинаешь праздновать ;-) https://t.co/xBVR9647NA
— Alexey Lukatsky (@alukatsky) Jul 7, 2021

Новости законодательства

1️⃣ Утверждено Положение Банка России от 20.04.2021 №757-П "Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций”. Оно пришло на смену Положению Банка России №684.

2️⃣ Опубликован проект Постановления Правительства “О внесении изменений в раздел II Правил согласования и утверждения инвестиционных программ организаций, осуществляющих регулируемые виды деятельности в сфере теплоснабжения, а также требований к составу и содержанию таких программ (за исключением таких программ, утверждаемых в соответствии с законодательством Российской Федерации об электроэнергетике)”, согласно которому к субъектам КИИ планирует отнести (очень странным юридическим образом) организации сферы теплоснабжения.

3️⃣ Утвержден приказ Федеральной службы по техническому и экспортному контролю от 15.03.2021 №46 "О внесении изменений в Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 14 марта 2014 г. № 31”. Изменения касаются применения сертифицированных средств защиты информации, соответствующих тому или иному уровню доверия, в зависимости от класса защищённости автоматизированных систем управления. Ничего нового - просто приведение нормативки к единому знаменателю.

4️⃣ Официально опубликована обновлённая Стратегия национальной безопасности Российской Федерации: Указ Президента Российской Федерации от 02.07.2021 №400 «О Стратегии национальной безопасности Российской Федерации». Там в очередной постулированы определенные нормы, связанные с кибербезопасностью, КИИ и импортозамещением.

5️⃣ Опубликован проект приказа ФСТЭК России "Об утверждении Перечня должностных лиц ФСТЭК и ее территориальных органов, уполномоченных составлять протоколы об административных правонарушениях”, согласно которому выписывать штрафы субъектам КИИ смогут теперь заместители начальников отделов.

 6️⃣ ФСТЭК России информирует об утверждении Требований по безопасности информации к средствам обеспечения безопасной дистанционной работы в информационных (автоматизированных) системах. Утверждённые требования предназначены для разработчиков программно-технических средств защиты информации, обеспечивающих безопасную дистанционную работу, заявителей на осуществление сертификации, а также для испытательных лабораторий и органов по сертификации, выполняющих работы по сертификации средств на соответствие обязательным требованиям по безопасности информации. Сами требования непубличные и не опубликованы.

7️⃣ Утверждено Постановление Правительства Российской Федерации от 29.06.2021 №1046 «О федеральном государственном контроле (надзоре) за обработкой персональных данных», который вводит ряд новаций, среди которых риск-ориентированный надзора, ограничение области надзора только 152-ФЗ и подзаконных актов, инспекционные визиты, . Хотя само Постановление изобилует кучей ошибок, как грамматических, так и юридических, но когда это и кого останавливало из регуляторов.

#дайджест

8️⃣ Опубликован проект постановления Правительства Российской Федерации «О порядке осуществления федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, контроля и надзора за выполнением органами, организациями, индивидуальными предпринимателями, нотариусами, указанными в части 18.2 статьи 14.1 Федерального закона от 27 июля 2006 г. № 149-ФЗ, организационных и технических мер по обеспечению безопасности персональных данных и использованием средств защиты информации, указанных в части 18.3 статьи 14.1 Федерального закона от 27 июля 2006 г. № 149-ФЗ»”. Проект касается средств защиты информации при подключении к ЕБС.

9️⃣ Министерство труда и социальной защиты Российской Федерации представило для общественного обсуждения проект профессионального стандарта «Специалист по информационной безопасности в кредитно-финансовой сфере».

1️⃣0️⃣ ФСТЭК России уточняет порядок представления субъектами критической информационной инфраструктуры, осуществляющих деятельность в сфере здравоохранения, сведений о результатах присвоения объектам критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения им одной из таких категорий.

#дайджест

Ввел тег #дайджест для поиска дайджестов по проектам и принятым НПА по кибербезопасности

Как защититься от взятия кредита на ваше имя через Госуслуги?!

Судя по новостям, число историй, когда мошенники берут кредиты на людей через Госуслуги, растет и тому есть объяснение. В прошлом году, в рамках борьбы с COVID-19 Центробанк и Минцифры запустили эксперимент по возможности получать финансовые услуги не после личного присутствия в офисе банка, микрофинансовой организации или страховой компании, а удаленно. Подтвердить личность клиента в этом случае можно будет через Госуслуги, что и отккрывает широкие возможности для мошенников, которым теперь надо ломать не банковские системы, защищенные достаточно неплохо, а портал Госуслуг. Хотя и взломом-то это тоже назвать нельзя, так как мошенники крадут, подбирают или перехватывают пароли пользователей, под именем которых затем и заходят на портал Госуслуг, на котором изменяют контактную информацию и впоследствие получают все уведомления и запросы на подтверждение финансовых операций на свои собственные телефоны и e-mail, а не на принадлежащие жертве. В итоге человек узнает о том, что на его имя взят кредит, только после того, как к нему приходят коллекторы или судебные приставы.

Причина этого заключается в том, что пользователи Госуслуг не включают подтверждение входа в свою учетную запись по СМС, а используют только один пароль, который легко украсть, подобрать или перехватить. Для того, чтобы защититься от описанного мощенничества, достаточно выполнить всего один шаг - включить подтверждение входа на Госуслуги по СМС, что делается в профиле учетной записи. Достаточно просто кликнуть на ФИО в правом верхнем углу страницы Госуслуг (при доступе через браузер) и выбрать меню "Настройки и безопасность". После этого, чтобы войти в Госуслуги надо будет вводить не только пароль, но и код из присланной СМСки. Это сильно усложнит жизнь злоумышленникам.

Еще одной "проблемой с Госуслугами" являются истории про "участие" граждан в праймериз одной непопулярной политической партии. Согласно описанным в Интернет историям пользователи сталкивабтся с тем, что кто-то менял их регистрационную информацию и от их имени участвовал в региональных праймериз. Для защиты от этого вида мошенничества необходимо не только включить подтверждение входа по СМС, но и регулярно отслеживать выданные разрешения на доступ к вашей учетной записи в Госуслугах. Это делается также через меню "Настройки и безопасность".

Дополнительно можно включить уведомление о входе в учетную запись Госуслуг по e-mail, что позволит вам узнавать о попытках входа от вашего имени на портал госуслуг. Но для этого вам предварительно надо включить подтверждение входа в учетную запись по СМС (иначе мошенники смогут изменить контактный e-mail и вы не узнаете о попытках входа).

Чуть больше деталей о том, как происходит с мошенничеством через Госуслуг вы можете прочитать на https://www.sravni.ru/text/2021/7/8/polzovateli-gosuslug-zayavili-ob-oformlennyh-na-nih-kreditah-posle-vzloma-akkauntov-kak-zashhititsya-ot-moshennikov. От себя хочу добавить, что ввиду роста роли портала Госуслуг в цифровой жизни гражданина, нужно чуть более внимательно относиться к своей кибербезопасности. Тем более что предлагаемые выше рекомендации очень просты в реализации и занимают всего несколько минут.

Если я когда-нибудь открою свою онлайн-школу, то назову ее ВЫШИБАЛА - Высшая Школа по ИБ Алексея Лукацкого!
— Alexey Lukatsky (@alukatsky) Jul 10, 2021

RT @Kasparov63: If a few billion dollars of looted assets disappeared from Putin & his oligarch pals' accounts, these ransomware attacks wo…
— Alexey Lukatsky (@alukatsky) Jul 11, 2021

Смело, конечно

Вообще Позитив, имея 20-тилетнюю историю и под 1000 сотрудников, столько лет как-то умудрялся иметь имидж стартапа. А тут, бац, и IPO

Опубликованный Gartner’ом магический квадрат по SIEM вызвал волну критики как со стороны «нишевых» вендоров типа Elastic, так и экспертного сообщества ;-)

Флориан замутил небольшой тред о том, что услуги по мониторингу Darkweb излишне разрекламированы и не соответствуют их цене - https://twitter.com/cyb3rops/status/1414695172177383427?s=21

Рафик обновил свою майндкарту по навыкам/областям внимания/контроля CISO. Из всех таких майндкарт только Рафик продолжает ее обновлять из года в год