Опубликован текст проекта постановления Правительства РФ "О реализации пилотного проекта по обеспечению технологической независимости КИИ РФ в атомной и космической отраслях".

Деталей пока немного, но задумка впечатляет масштабами:

Задачами пилотного проекта являются:
- разработка и апробация критериев технологической независимости [...];

- разработка [...] правил формирования и ведения реестра доверенных ПАК для КИИ;

[...]

- формирование предложений по изменению и принятию новых нормативных правовых актов [...];

- организация и полномасштабное развертывание системы испытательных полигонов атомной отрасли [...], включая вычислительную технику, телекоммуникационное оборудование и АСУ ТП, на их соответствие требованиям по надежности, функциональности, производительности и совместимости [...];

- проведение тестирования и апробации технических решений [...];

- внедрение доверенных ПАК на значимых объектах КИИ в атомной и космической отраслях.

https://regulation.gov.ru/projects#npa=138119

Ох, не перевелись ещё пентестеры на Руси... =)

Мда... Далеко ещё виртуальным юристам на базе искусственного интеллекта до опытных участников чата КИИ 187-ФЗ =)

Ссылка на виртюриста: https://alliesverse.io/#functions

Ссылка на новость: https://www.vedomosti.ru/technology/news/2023/05/24/976570-v-rossii-na-baze-iskusstvennogo-intellekta-sozdan-virtualnii-yurist

Ссылка на ответ на вопрос: https://t.iss.one/KII187FZ/91869

Обзор изменений в законодательстве за май 2023

- Обработка ПДн в Роскомнадзоре
- Мессенджеры, посредством которых запрещается передача ПДн
- Правила принятия решения о запрещении или об ограничении трансграничной передачи ПДн
- Угрозы безопасности ПДн в сфере транспорта
- Перечень лицензиатов ФСТЭК России
- Руководство по управлению уязвимостями
- Изменения в положение о лицензировании ФСБ России
- Независимость КИИ в атомной и космической отраслях
- Концепция ИБ детей
- Профессиональные стандарты
- Стандарты по криптографии
- Стандарт АСУ ТП железнодорожного транспорта
- Положение о ЕБС и ее региональных сегментах
- Методика проверки биометрических ПДн
- Перечни угроз безопасности, актуальные при обработке биометрических ПДн
- Об аккредитации госорганов и ЦБ РФ для осуществления аутентификации с использованием векторов ЕБС
- Порядок обработки биометрических ПДн в ЕБС и в информационных системах аккредитованных госорганов, ЦБ и ряда организаций
- Аккредитация организаций для осуществления аутентификации
- Требования к деловой репутации владельцев коммерческих биометрических систем
- Перечень случаев, когда аутентификация с использованием коммерческих биометрических систем не допускается
- Размещение биометрических ПДн с использованием мобильного приложения
- Случаи и сроки использования биометрических ПДн, размещенных с использованием мобильного приложения
- Информирование о необходимости удаления векторов ЕБС
- Стоимость использования ЕБС
- Штрафы за незаконную обработку биометрических ПДн

https://www.ussc.ru/news/novosti/obzor-izmeneniy-v-zakonodatelstve-za-may-2023/

Подборка подкастов по информационной безопасности на русском языке.

https://zlonov.ru/information-security-podcasts/

Вполне ожидаемо:

Российские госкомпании с 2025 года должны перейти на отечественные ОС и офисные пакеты

«Президентом подписано поручение было, 12 июня, в праздник, о том, что по всем госкомпаниям к 1 января 2025 г. обеспечить тотальное замещение операционных систем, офисного пакета, систем виртуализации, систем управления баз данных», – сообщил Шадаев. Он уточнил журналистам, что ранее аналогичное требование действовало только к объектам критической информационной инфраструктуры (КИИ).

https://www.vedomosti.ru/technology/news/2023/06/17/980961-goskompanii-dolzhni-pereiti-otechestvennie-os

Обзор основных запретов на использование иностранного программного обеспечения и оборудования на объектах критической информационной инфраструктуры: https://zlonov.ru/no-foreign-for-kii/

Браузер с поддержкой сертификатов от Минцифры (и свободным доступом к российским сайтам с такими сертификатами) появился в App Store.

Новость: В App Store появился браузер «Луна»
Официальный сайт: https://www.loonabrowser.ru

Обзор проекта приказа Минэнерго об утверждении требований по обеспечению безопасности для дистанционного управления в электроэнергетике: https://zlonov.ru/remote-control-minenergo-draft-requirements-for-zokii/

Видеозаписи докладов семинара УЦСБ «Безопасная разработка программного обеспечения: зачем нужен DevSecOps», прошедшего 14 июня:

- Безопасная разработка ПО: зачем нужен DevSecOps
- Модуль 1. Проектирование. Построение ssdlc в команде разработки
- Модуль 1. Проектирование. Эффективность внедрения решения по управлению требованиями
- Модуль 2. Разработка. Пайплайн безопасной разработки – чем помогает на этапе разработки
- Модуль 2. Разработка. Безопасная аутентификация в Web и мобильных приложениях
- Модуль 3. Тестирование. Как мы встроили fuzzing тестирование на GO
- Модуль 4. Деплой. PolicyEngine в Kubernetes – что, как, зачем?
- Разбор онлайн-тестов по основам безопасной разработки

Пресс-релиз: https://www.ussc.ru/news/novosti/eksperty-o-polze-devsecops-smeshchenie-fokusa-proverok-na-bolee-rannie-etapy-razrabotki-ekonomit-vre/
Плейлист целиком: https://www.youtube.com/playlist?list=PLvxhSg-LXXAe1448Zzp7JE7loO3hCDJAF

Минцифры России предлагает всем желающим записаться на бесплатный курс «Профессия — белый хакер»

Новость: https://digital.gov.ru/ru/events/45197/
Запись на курс: https://cyber-ed.ru/professiya-hacker/#form_block_id

Любопытный способ хранить мнемонические (seed) фразы для восстановления доступа к криптокошелькам.

Позволяет хранить до 24 слов длиной не более 4 букв, чего достаточно, если использовать специальный словарь BIP39, в котором первые 4 буквы позволяют однозначно определить слово целиком.

Цена в России около 5 000 руб. Не такая большая сумма за помощь злодею в однозначном определении того, что у него в руках именно мнемоническая фраза =)

Официальный сайт: https://safepal.com/en/store/cypher

Видеоролик с демонстрацией: https://www.youtube.com/watch?v=0tBYyYHR2bo

«Руководство» с кривым переводом: https://safepalsupport.zendesk.com/hc/en-us/articles/8623510621979-Руководство-пользователя-SafePal-Cypher

Словарь BIP39 для английского языка: https://github.com/bitcoin/bips/blob/master/bip-0039/english.txt

TelecomDaily провёл исследование (опрос пользователей и экспертов) по определению того, кто из мобильных операторов эффективнее всего защищает от мошенников и спама.

Краткие тезисы:
- снижение его [спама] частоты
- порядка 46% жертв телефонного мошенничества не верят в эффективность правоохранительных органов и не обращаются к ним после хищения средств
- 54% пострадавших пытаются вернуть деньги, но удалось это лишь каждому пятому (10,6%)
- 94% абонентов убеждены, что защиту должен брать на себя именно оператор связи
- В экспертном голосовании победил «Тинькофф Мобайл», который на пяти сервисах из шести возможных набрал 326 баллов. МТС с таким же количеством сервисов получил 319,6 баллов, «МегаФон» — 319,4.

Пресс-релиз TelecomDaily: https://telecomdaily.ru/news/2023/06/30/iaa-telecomdaily-kto-iz-operatorov-effektivnee-zashchishchaet-ot-moshennikov-i-spama-v-2023

Пресс-релиз Тинькофф Мобайл: https://www.tinkoff.ru/about/news/30062023-tinkoff-mobile-is-again-recognized-safest-mobile-operator-in-russia/

Онлайн игра-пародия на парольные проверки: https://neal.fun/password-game/

У меня пока дальше 16-го правила пройти не получилось =)

На моём сайте ZLONOV.ru есть полузабытый (даже мной) раздел "Каталог средств защиты информации", в котором в своё время систематизировал (больше - для себя) имеющиеся на рынке СрЗИ. Тем не менее, раздел, судя по всему, посещается и посещается, в том числе, маркетолагами компании Индид, которые(-ая) и прислали(-а) мне описания продуктов для включения в Каталог. С большим удовольствием разместил всё присланное: https://zlonov.ru/catalog/vendors/#%D0%B8%D0%BD%D0%B4%D0%B8%D0%B4-%D0%BE%D0%BE%D0%BE.

#пятничное в четверг

Если вдруг вам было интересно, что внутри коробки от антивируса Касперского (с) Aligafriend

#пятничное во вторник

Какая нестандартная угроза реализовалась =)

Восстание 3D-принтеров: часть напечатала что-то странное, а часть — сломалась

В ночь на 15 августа популярные 3D-принтеры Bambu X1C или P1P внезапно начали сходить с ума. Часть из них без каких-либо команд со стороны пользователей начала печатать либо прошлые заготовки, либо вообще что-то странное.

На английском: https://www.theverge.com/2023/8/16/23064592/bambu-print-asleep-cloud-outage

На русском: https://wylsa.com/vosstanie-3d-printerov-ne-okazalos-uspeshnym-chast-napechatala-chto-to-strannoe-a-chast-slomalas/

Пост одного из пользователей: https://www.reddit.com/r/BambuLab/comments/15rznpy/printer_started_printing_by_itself_damaged_itself/

Простейшая схема работы VPN #пятничное в среду

Внезапно: в реестре ФСТЭК России многие сертификаты на средства защиты информации (в том числе иностранных производителей), действие которых ранее было прекращено, вновь возобновлены: VMware, CyberArk, Huawei, Symantec, Microsoft, Cisco, Oracle, FortiGate, SAP и проч.

https://reestr.fstec.ru/reg3