Если вдруг 🙅‍♂️ вам захочется послушать все, что говорилось на сочинском Инфофоруме ☝️, то на Youtube выложено несколько часов трансляции.

Самое занятное, конечно, это то, что трансляция Инфофорума велась на Youtube 😂, спикерский ПК был на Винде 😂, а все презентации показывались в MS Office или Acrobat Reader 😂. При этом весь форум, все спикеры как один, говорили об импортозамещении, как важной составляющей цифрового суверенитета страны 🙆

Ну что тут можно сказать? Показательно 🤪
_______
Источник | #alukatsky

Последние нашумевшие взломы (Uber, Okta, Microsoft, LastPass, Cisco и т.п.) объединяет одно - обход многофакторной аутентификации. Не пора ли выбросить ее на свалку или все-таки у этой защитной меры есть шанс на достойное существование и надо просто правильно ее использовать?
_______
Источник | #alukatsky

РКН доработал проект методики по оценке вреда субъектам ПДн в случае нарушения закона о персональных данных. Я, конечно, надеялся что в РКН хоть как-то напрягут извилины или пригласят экспертов по оценке ущерба или хотя бы скопипастят у иностранцев (ну а почему нет), но нет 😭 Получили банальщину - три степени ущерба (классический светофор), где за каждой просто скрывается набор статей ФЗ и ПП в области ПДн, нарушение которых и считается вредом субъектам, 99% которых про закон о защите их ПДн слыхом не слыхивали 🤮
_______
Источник | #alukatsky

В истории взлома ГРЧЦ есть три занятные линии. Во-первых, организация заявляет, что взлом был контролируемый и специалисты организации специально дали хакерам Союзного государства возможность делать свое черное дело, чтобы изучить их техники и тактики. Прям не ГРЧЦ, а honepot масштаба организации какой-то. Это прям новация в ответах для СМИ.

Во-вторых, в утекших данных имеются персональные данные, которые неправомерно были переданы за пределы оператора ПДн, а следовательно ГРЧЦ должен был в течение суток уведомить РКН об инциденте, а в течение 3-х - прислать результаты внутреннего расследования. Интересно, они это сделали? Как писал РКН в отношении произошедшей на днях утечке из Whoosh, "Согласно изменениям в законодательстве о защите персональных данных с 1 сентября 2022 года оператор, допустивший утечку, в течение суток обязан уведомить об этом Роскомнадзор. По состоянию на 18:00 14 ноября 2022 года от владельца сервиса Whoosh такое уведомление в Роскомнадзор не поступило. Указанное обстоятельство будет учтено при проведении проверки". Интересно, как отреагирует РКН на этот раз?

Ну а в третьих, ГРЧЦ заявляет, что доступа к закрытой информации хакеры не получили. А ПДн своих работников они к какой информации относят? К общедоступной? А информация о средствах защиты, установленных для сотрудников паролях и т.п. не относится к информации указанной в упомянутом вчера приказе ФСБ №547?
_______
Источник | #alukatsky

Если вам лень читать приказ ФСБ №77 об уведомлении НКЦКИ об инцидентах с ПДн, то его краткое содержание таково:
1⃣ Вступает в силу с 1-го марта 2023 года
2⃣ Разработан во исполнение 152-ФЗ, который требует от 6 миллионов операторов ПДн (все ЮЛ и ИП в России) уведомлять об инцидентах с ПДн.
3⃣ Субъекты КИИ и ФСТЭК направляют данные об инцидентах в ГосСОПКУ в течение 24 часов с момента обнаружения инцидента по каналам и форматам, определенным НКЦКИ. Порядок такой же, что и для субъектов КИИ
4⃣ Остальные операторы ПДн направляют данные об инцидентах в течение 24 часов с момента обнаружения инцидента через сайт Роскомнадзора. Роскомнадзор передает затем эти данные в НКЦКИ.
5⃣ Операторы ПДн могут обратиться в НКЦКИ за помощью в реагировании на инциденты.
_______
Источник | #alukatsky

🔥 Бот для скачивания видео и музыки
🌔 Купи и заработай в StarCitizen
🤖 Бесплатно ChatGPT с AnnAi
⛵️MidJourney в Telegram

Вчера многие стали писать про то, что ФСТЭК хочет ограничить доступ иностранных IP-адресов к важным узлам и сетям КИИ, запретить open relay и даже блокировать взаимодействие e-mail-серверов с иностранных IP.

Ну что я могу сказать по этому поводу? Все немного не так, как об этом пишут те, кто пересказывает скачанную из Интернет презентацию Елены Торбенко из ФСТЭК, которая выступала на конференции ИБ АСУ ТП КВО. Речь не идет о запрете - всего лишь о рекомендациях, которые еще и применяются не ко всем без разбора и не во всех случаях. Регуляторам дает субъектам КИИ совет, что можно сделать, а не что обязательно надо сделать.

Более того, часть из этих советов не новы - их еще в прошлом году ФСТЭК в своих письмах рассылала. Но не надо во всем искать злой умысел - надо трезво смотреть на рекомендации и применять к себе то, что применимо.
_______
Источник | #alukatsky

Приобрети подписку на год до конца марта.
Получи 200 генераций в MidJourney v5 в подарок

Олег задается рядом вопросов касательно возможной утечки из "Сирена-Трэвел" ✈️ и мне есть что сказать по этому поводу.
🔤Олег пишет, что 16 лет хранения (а именно об этом сроке говорится в утечке "Сирены-Трэвел") - это перебор. Тут, конечно, можно поспорить, так как помимо наших с вами желаний есть еще и требования по транспортной безопасности. И боюсь, что именно ради них все это и хранится так долго. Об этом говорят и поправки в Воздушный кодекс и закон "О транспортной безопасности", которые гласят, что срок хранения информации о пассажирах определяется Минтрансом по согласованию с ФСБ и МВД. И хотя этот закон вступает в силу только с 1-го марта 2024 года, не исключаю, что и раньше ради нацбезопасности данные о перемещениях накапливались достаточно длительное время.
🔤Тот же Аэрофлот в своей политике конфиденциальности не указывает этот срок, ссылаясь на стандартную отписку про "в течение срока, необходимого для достижения соответствующей цели" или "когда закон устанавливает более продолжительный срок хранения". О том же говорит и их политика конфиденциальности в области ПДн. В политике обработки ПДн "Сирены-Трэвел", принятой в мае этого года, аналогичная конструкция.
🔤ИКАО в своих рекомендациях в отношении записей регистрации пассажиров этот срок тоже не устанавливает, отсылая всех к локальному законодательству. Так что вроде запрета на долгое хранение нет.
🔤Система менеджмента ИБ "Сирены-Трэвел" сертифицирована по требованиям ISO/IEC 27001:2013. Сертификат действует с января 2021 по январь 2024 года.
🔤Информационная система персональных данных "Сирены-Трэвел" была в августе 2020-го аттестована по требованиям ФСТЭК. Аттестат закончил свое действие в августе этого года.
🔤В феврале 2023-го "Сирена-Трэвел" была сертифицирована еще и по PCI DSS 3.2.1 (сертификат действует до февраля 2024-го).

Если факт утечки в системе бронирования авиаперевозок ✈️ подтвердится (а семпл позволяет сделать такой вывод), то это будет очередной демонстрацией, что наличие сертификатов/аттестатов никак не гарантирует реальную кибербезопасность и не может служить никаким доказательством, что данные находятся в сохранности. Но и это еще не все.

Пассажиры ✈️ ведь не заключают никаких соглашений с "Сиреной-Трэвел", они свои данные сдают авиакомпаниям, а то и всяким транспортным и туристическим агентствам, которые затем "сдают" их Сирене. И поэтому сразу возникает вопрос ❓ - кому предъявлять претензии, что персональные данные мои или моих детей утекли? Можно ли вообще их предъявлять, если никто официально не подтвердит факт утечки? А что-то пока про это все официальные лица молчат; что тоже понятно, "Сирену" продвигают солидные организации.

ЗЫ. Ну а пока ждем очередных журналистских расследований. Вспоминая то, что писал в свое время Bellingcat (признан иноагентом), опираясь на данные за меньший период времени, утечка об авиаперевозках за столько лет может всякое раскрыть.
_______
Источник | #alukatsky
@F_S_C_P
Генерируй картинки с ⛵️MIDJOURNEY в Telegram

Пока у нас все с нескрываемым любопытством обсуждают совершенно непонятных кандидатов в будущие президенты или концовку сериала "Слово пацана", в Европе 🇪🇺 происходят не менее любопытные вещи. А именно на уровне всего Евросоюза хотят заставить разработчиков браузеров включить в них 250 корневых УЦ из Европы (с сертификатами, конечно) и запретить их удалять без разрешения локального правительства. Можно только представить себе, во что это выльется с точки зрения легализованного перехвата данных или выпуска мошеннических сертификатов 🤠
_______
Источник | #alukatsky
@F_S_C_P
Генерируй картинки с ⛵️MIDJOURNEY в Telegram

Тут история с взломанным сервисом генетических исследований 🧬 23andMe продолжается развиваться. В сети выложили письмо, которое нанятые 23andMe юристы рассылают по клиентам и иным заинтересованным сторонам. Тут надо напомнить, что сначала хакеры написали, что они взломали 23andMe, но компания отказывается с ними взаимодействовать, еще и заявляя, что "ви фсё врете". Потом выложили генетические данные 14 тысяч клиентов, но компания продолжала все отрицать ❌.

В декабре 23andMe подтвердила, что хакеры смогли получить доступ к данным 6,9 миллионов, то есть половине своих клиентов. И когда уже падать некуда, компания доказывает, что ее недооценивали 👎 В своем письме она утверждает, что во всем виноваты... сами клиенты, которые вовремя не обновляли свои пароли (MFA? Мониторинг аномалий? нет не слышали), чем и воспользовались злоумышленники. Только после атаки 23andMe сбросила всем пароли и потребовала использовать MFA, которая раньше была опциональной.

На TechCrunch интересная дискуссия идет по поводу инцидента. Многие комментаторы тоже считают, что взлома не было 🤌
Продолжаю следить за историей, как неумелое PR-сопровождение инцидента приводит к серьезным последствиям для компании. И 30 исков к ней - это пока еще цветочки... Можно спорить, инцидент это ИБ или нет, но рынок ☝️ пока не на стороне 23andMe...
_______
Источник | #alukatsky
@F_S_C_P
Генерируй картинки с ⛵️MIDJOURNEY в Telegram

ЛАНИТ, IBS IT Services, IBS Infinisoft, IBS Soft, IBS Expertise, ГК "Астра", Secret Technologies, Aladdin RD, Центр кибербезопасности (Cybersecurity Center), РАМЭК-ВС, К-Технологии... Вот новый список компаний, имеющих отношение к ИБ, кто попал под очередной пакет американских санкций 🫵
_______
Источник | #alukatsky
🐾 @F_S_C_P

-------
поддержи канал
-------

Выступал я вчера на Саммите Развития на тему биометрии (видео моего выступления смотреть с 57-й минуты). И хотел бы тезисно повторить свою мысль, которая прозвучала после выступлений представителей власти и бизнеса, которые ратовали за активное внедрение биометрии, которая должна защитить нас от мошенников и вообще сделать нашу жизнь более безопасной:

🔤 Биометрия - это не про безопасность. Это про удобство идентификации граждан, но ни в коем случае нельзя считать, что этот механизм поможет улучшить безопасность сам по себе. Только в совокупности с другими факторами и не как основной инструмент, и при наличии мер мониторинга и антифрода, который, кстати, существует далеко не во всех сценариях, куда хотят прикрутить биометрию.

🔤 Утекший пароль можно поменять. Скопрометированный сертификат ЭП можно перевыпустить. Даже украденный паспорт можно получить новый. А биометрию поменять невозможно!

🔤 Когда мы слышим про аттестацию ЕБС или использование самой крутой русской криптографии - это подмена понятий и попытка переложить ответственность на других. Аттестация - это бумажка с печатью, которая не гарантирует реальной безопасности (достаточно вспомнить, что все крупные взломанные ГИСы в последнее время тоже имели аттестаты). А в лоб криптографию никто не ломает. И когда кто-то называет систему невзламываемой, то сразу находятся желающие продемонстрировать обратное. Вопрос стоит не "если взломают", а "когда взломают".

🔤 Говоря про безопасность биометрии все смотрят на проблему точечно, со своих позиций (банк, ЦБТ, МФЦ, оператор связи и т.п.), а смотреть надо на весь жизненный цикл. Если кто-то придет в МФЦ с фальшивым паспортом на мое имя и сдаст за меня биометрию, то для ЕБС именно мошенник будет Алексеем Лукацким, а не я сам. И доказывать потом, что я не верблюд, будет очень сложно.

🔤Безопасность биометрии определяется не тем, насколько хорошо все работает, а тем, что произойдет, когда случится что-то плохое. Если я внезапно получу уведомление, что кто-то от моего имени и с "моей" биометрией получил кредит и приду в банк разбираться, то как я докажу, что я этого не делал? Почему меня будут футболить банк, который выполнил все регламенты и соответствует требованиям по ИБ, ЦБТ, который выполнил все регламенты и тоже соответствует требованиям по ИБ?

🔤 Кто несет ответственность за неверное принятие решений на базе биометрии? Какова процедура разбора конфликтов и куда обращаться гражданину, чтобы его не отправляли в суд или "где биометрию сдавали, туда и идите"? Почему все государственные проекты по безопасности не имеют никакой процедура разбора конфликтов и вообще плана реагирования на нештатные ситуации и на инциденты? Почему государство и его структуры не несут никакой ответственности за результат и за проекты, которые часто не носят добровольного характера?

🔤 Почему государство, утвердив различные модели угроз биометрическим персональным данным, "забыло" включить в него дипфейки? Ведь если мошенники уведут у меня деньги с помощью дипфейка, то предъявить претензии я не смогу. Формально угроза дипфейка не считается актуальной и защищаться от нее никто не обязан.

#биометрия #дипфейк

_______
Источник | #alukatsky
@F_S_C_P

-------
Секретики!
-------

Ограниченное?… 🤔 Инцидент с Keenetic. Стоить обновить пароли и другую чувствительную информацию.

Мля, они 2 года ждали, чтобы сообщить об инциденте, потому что считали, что ничего серьезного 😨 Помнится, когда нашли уязвимость на сайте Cisco, которая могла (только могла) привести к несанкционированному доступу к личным кабинетам пользователей на сайте, были принудительно сброшены 2 миллиона паролей. А тут… «риск низкий» 😮

#инцидент

_______
Источник | #alukatsky
@F_S_C_P

-------
Секретики!
-------