Новости законодательства и отраслевого регулирования
- 29 июня 2015 года Президент России подписал Федеральный закон № 193-ФЗ «О внесении изменений в статью 183 Уголовного кодекса Российской Федерации», в соответствии с которым увеличивается размер штрафов за незаконное получение, разглашение или использование сведений, составляющих коммерческую, налоговую или банковскую тайну, без согласия их владельца лицом, которому она была доверена или стала известна по службе или работе. Михаил Емельянников опубликовал заметку, где рассмотрел основные поправки, которые вносит данный закон.
- Опубликованы методические рекомендации 8 Центра ФСБ России по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности.
- Президент Владимир Путин подписал документ, вносящий изменения в федеральные законы «Об информации…» и «О контрактной системе в сфере закупок…», которые вступят в силу с 1 января 2016 г. Первый из меняемых законов описывает создание реестра отечественного ПО и аспекты его формирования, изменения ко второму закону коснутся установки запрета или ограничения на допуск зарубежных товаров и услуг к участию в госзакупках.
- Минкомсвязи готовит законопроект о создании специальной базы данных с исчерпывающей информацией о развитии отрасли связи. Регулятор намерен учредить Государственную информационную систему, благодаря которой органы власти, частные компании и т.п. смогут получить исчерпывающую информацию о состоянии и перспективах развития услуг связи, а также телекоммуникационной инфраструктуры на территории страны.
Новости ИБ
- ЦБ РФ выпустил статистику несанкционированных переводов денежных средств в 2014 году. Обзор составлен на основе сведений отчетности по формам 0403203 и 0409258, представляемом в Банк России организациями, и содержит данные о количестве и объеме несанкционированных операций, совершенных с использованием электронных средств платежа (включая платежные карты, системы ДБО), а также об инцидентах, произошедших вследствие нарушения требований к обеспечению защиты информации при осуществлении переводов денежных средств
- Команда исследователей HP Zero Day Initiative (ZDI) опубликовала код эксплоита, который может быть использован для эксплуатирования бреши в браузере Internet Explorer после того, как компания Microsoft отказалась выпускать исправление уязвимости.
- Центром управления системами воздушных и морских войск США заключили с Microsoft годовой контракт на сумму $9,1 млн в июне 2015 г. для того, чтобы продолжить получать обновления безопасности для Windows XP, Office 2003, Exchange 2003 и Windows Server 2003. В общей сложности армия США может заплатить $30,8 млн, чтобы получать обновления этих продуктов до 2017 г.
- Китайское правительство приняло новый закон о безопасности, согласно которому власти КНР получают контроль над интернет-инфраструктурой, в том числе над любыми персональными данными китайских пользователей. Закон, принятый 1 июля, охватывает широкий спектр областей, включая военную оборону, безопасность пищевых продуктов и технологический сектор.
- Устройства обеспечения безопасности, поставляемые компанией Cisco, используют дефолтный SSH-ключ, что позволяет атакующему подключиться к устройству и исполнить любое действие по своему выбору. Представители компании заявили, что уязвимости подвержены все версии Web Security Virtual Appliances, Email Security Virtual Appliances и Content Security Management Virtual Appliances.
- 1 июня свою работу начал Центр мониторинга и реагирования на компьютерные атаки в финансовой сфере, созданный в Банке России как структурное подразделение управления безопасностью и защиты информации. Центр будет заниматься сбором информации от финансовых учреждений об инцидентах, связанных с информационной безопасностью с целью профилактики преступлений в этой сфере.
- Несколько антивирусных продуктов компании ESET содержат критическую уязвимость, эксплуатация которой может привести к полной компрометации системы. По словам эксперта, сообщившего об уязвимости, некорректная конструкция кода обнаружена в эмуляторе – компоненте антивируса, которая отвечает за распаковку и выполнение потенциально опасного кода внутри безопасной среды.
Интересные посты русскоязычных блогов по ИБ
- Михаил Емельянников опубликовал заметку о формировании единого реестра проверок выполнения требований законодательства о персональных данных, находящегося в ведении Генеральной прокуратуры РФ.
- Артем Агеев рассказал о позиции Роскомнадзора относительно 242-ФЗ, в частности о том где должна храниться главная база данных, а где дубликат, кто должен переносить базы в Россию и как будет осуществляться проверка выполнения требований.
- Опытом разработки организационно-распорядительной документации в области обеспечения безопасности информации поделился Сергей Борисов, а также рассказал о требованиях, предъявляемых к разработке комплекта документов приведенных в лучших практиках.
- Алексей Лукацкий рассказал историю формирования отраслевой модели угроз безопасности персональных данных Банка России, а также провел сравнительный анализ проекта с проектом модели угроз 2013 года.
- Андрей Прозоров поделился презентацией про Модель зрелости DLP (DLP Maturity Mode) после проведения InfoWatch вебинара в рамках серии «DLP Hero».
Интересные посты англоязычных блогов по ИБ
- Fred Cohen рассказал о нетехническом подходе к противодействию инсайдерским угрозам, а также о психологии подобных злоумышленников. Автор отмечает, что одним из самых эффективных средств является умение правильно реагировать на уже произошедшие и обнаруженные инциденты.
- Pete Herzog рассказал о проблемах и трудностях, с которыми можно столкнуться при автоматизации процессов обеспечения безопасности, а также о преимуществах использования человеческих ресурсов с целью управления системой защиты.
- david b. поделился собственными мыслями относительно важности проведения тестирования на проникновения и о необходимости использования для автоматизации этого процесса сканеров уязвимостей.
- Branden Williams в Security Bloggers Network рассказывает об изменениях в программе получения статуса QSA и ужесточении требований к кандидатам.
Исследования и аналитика
- Международная антивирусная компания ESET, в результате опроса выяснила, что 84% компаний серьезно пострадают в случае заражения троянами-шифраторами. При этом 31% респондентов признались, что в случае заражения они будут вынуждены заплатить вымогателям. Альтернатива оплаты выкупа – потеря всех корпоративных данных, зашифрованных вредоносной программой.
- Компания Digital Security провела исследование, в результате которого выяснилось, что только 2 из 10 известных сервисов используют строгую политику выбора паролей. Лучшими оказались такие популярные ресурсы, как Gmail, Apple Store, MEGA, WebMoney, eBay.
- Согласному последнему отчету Global DDoS Threat Landscape компании Incapsula атаки на сетевую инфраструктуру растут как по силе, так и по длительности. При этом эксперты связывают этот рост с увеличением количества зараженных компьютеров, которые входят в ботнеты.
- Специалисты Trend Micro рассказали о схеме работы нигерийских киберпреступников, использующих обычный кейлогер для атак на малые и средние предприятия. Для начала злоумышленники собирали базу контактов и реквизитов, а дальше перехватывали платежные операции и перенаправляли платежи на собственные счета.
Громкие инциденты ИБ
- «Лаборатория Касперского» предотвратила DDoS-атаку, направленную на федеральную электронную торговую площадку ММВБ «Госзакупки», целью которой, очевидно, был срыв проводившегося в этот день аукциона. Максимальная мощность атаки составила 92 Гбит/с.
- По сообщениям Lenta.ru, нападению хакеров подверглись администрация Гарвардского университета и факультет искусств и наук. Учащихся и сотрудников учебных заведений, которые пострадали от атаки, попросили сменить пароли и обновить доступ к своим аккаунтам в сети Гарварда на всех устройствах: настольных ПК и мобильных гаджетах.
- Как сообщают РИА Новости хакеры вывели из строя сайт Канадской службы разведки и безопасности (КСРБ). При нападении киберпреступники использовали DDoS-атаку.
- В Интернете появилось несколько снимков российских знаменитостей, которые были похищены неизвестным хакером. По сообщениям Threatpost, злоумышленник украл снимки, которые звезды шоу-бизнеса отправляли по почте со своих личных смартфонов. Судя по опубликованным изданием фото, от действий хакера пострадали Анастасия Стоцкая, Анатолий Вассерман, Андрей Минин, Валерия Гай Германика и некоторые другие.
- Неизвестные злоумышленники взломали компьютерную систему польской авиакомпании LOT, которая выдаёт планы полётов. В результате чего десять самолётов авиакомпании осуществили вынужденную посадку в аэропорту Варшавы, а ещё для 12-ти был задержан вылет.
Обзор событий предстоящих недель
Посетить:
- 18 июля, Одесса – первая security-конференция dec0de.
Послушать:
- 9 июля, 14:00 – Вебинар «MiTM Mobile: как ломали GSM на PHDays V» от Positive Technologies.
- 9 июля, 12:00 – Вебинар «КИБ Searchinform» от компании «SearchInform».
- 15 июля, 11:00 – Вебинар «Symanitron ViPNet 100. Давайте познакомимся!» от NGS Distribution.
- 23 июля, 14:00 – Вебинар «SDLC в два клика» от Positive Technologies.