Свежий обзор законодательства по ИТ и ИБ от моих коллег из Аналитического центра УЦСБ вдумчиво проработан и оптимизирован под формат Хаба Злонова: https://hub.zlonov.ru/laws/reviews/2025-01-USSC-review

Небольшой тизер:
- Расширен перечень случаев использования биометрических ПДн, размещенных в ЕБС с использованием мобильного приложения. Например, теперь они могут использоваться для осуществления продажи алкогольной, табачной продукции, тонизирующих, энергетических напитков и т.д;
- Банк России опубликовал рекомендации по проведению пентеста объектов информационной инфраструктуры организаций финансового рынка;
- Представлена Концепция государственной системы противодействия противоправным деяниям, совершаемым с использованием информационно-коммуникационных технологий;
- ФСТЭК России подготовила рекомендации по повышению безопасности СрЗИ, в состав которых входят средства контейнеризации, интерпретаторы, веб-сервера и сервера приложений;
- Вступило в силу положение о Гособлаке.

Презентации с ИБ АСУ ТП КВО в публичный доступ, к сожалению, обычно попадают с большой задержкой, так что вот мой вчерашний доклад на ИБ АСУ ТП КВО.

Видеозапись докладов не велась, но, возможно, будут доступны аудиозаписи (надеюсь, наложенные на слайды).

Презентации с ИБ АСУ ТП КВО (почти все): https://zlonov.ru/events/2025-03-04-05-ибкво/

Плюс традиционные итоги голосования в канале организаторов: https://zlonov.ru/best-reports-ibkvo-2025/

Очередной обзор изменений в законодательстве от коллег из УЦСБ - за февраль 2025 года. По тексту для упоминаемых НПА добавлены ссылки на карточки в Хабе Злонова.

https://hub.zlonov.ru/laws/reviews/2025-02-USSC-review

Давно хотел как-то автоматизировать отслеживание изменений в реестре сертифицированных ФСТЭК России средств защиты информации и вот, наконец, дошли руки доделать скрипт, который:

- проверяет наличие нового файла с перечнем сертификатов на сайте https://reestr.fstec.ru/reg3 (по дате обновления);
- скачивает новый файл при наличии;
- проводит построчное сравнение версий файла;
- оформляет результат сравнения в виде списка с тремя группами: Исключены/Добавлены/Изменены.

Заодно добавляются ссылки на карточки соответствующих СрЗИ в Хабе Злонова (при наличии).

Результат работы скрипта можно посмотреть тут: https://zlonov.ru/fstec-registry-changes/

Скрипт пока вряд ли лишён ошибок, да и над представлением результата можно ещё поработать, но что-то уже и сейчас он позволяет быстро выявить без ручного анализа.

Например:
- в марте в реестре появились новые сертифицированные SIEM-система и две СУБД;
- Солар Секьюрити сменил форму собственности с ООО на АО;
- техподдержка для ОС Аврора теперь заявлена до 31.12.2030, а для Аврора Центр - до 31.12.2026;
- сертификат на Libercat Certified переоформлен с ООО «БЕЛЛСОФТ» на АО «АКСИОМ».

Весьма ностальгично... #пятничное

Похоже, основные баги скрипта, сравнивающего версии реестров сертифицированных СрЗИ, отловлены. Скрипт, правда, не сохранил версию реестра от 28 марта (а она точно была), но эта ошибка уже исправлена и больше не должна повториться.

Пока из нерешённого - периодическое отсутствие доступности сайта ФСТЭК России при запуске скрипта (возможно - дело в IP-адресе, с которого он обращается к сайту) и не самое удобное отображение результатов сравнения.

Из наблюдений:
- реестр обновляется по пятницам, причём еженедельно;
- обновляется каждый раз примерно полтора десятка сертификатов;
- оказывается, существовал Межсетевой экран «Гарда FW», но сейчас разработчик ООО «ТехАргос» переименовал его в «Агрос FW»;
- количество сертифицированных СУБД продолжает расти.

Результат работы скрипта: https://zlonov.ru/fstec-registry-changes/

Обзор законодательства от Аналитического центра УЦСБ за март с проставленными ссылками на НПА в Хабе Злонова: https://hub.zlonov.ru/laws/reviews/2025-03-USSC-review

В обзор (так как он формально мартовский) пока не попали свежие изменения в законодательстве о безопасности КИИ, но зато есть интересный обзор судебной практики.

Написал краткую инструкцию как локально сохранить себе для работы все нормативно-правовые акты по информационной безопасности из Хаба Злонова: https://zlonov.live/blog/legislation-personal-knowledge-base/

Обзор законодательства от Аналитического центра УЦСБ за апрель: https://hub.zlonov.ru/laws/reviews/2025-04-USSC-review

Краткое содержание:

● изменения в 187-ФЗ “О безопасности КИИ”
● новые методические указания по категорированию объектов КИИ в сфере связи
● Постановление Правительства РФ о случаях формирования составов обезличенных ПДн и проекты новых Поставновлений по этой же тематике
● новые государственные образовательные стандарты по специальностям 09.02.11 и 09.02.12
● обзор деятельности ФСТЭК России
● и прочее

Yes, IT IS conf(erence)! Совсем скоро — 19-20 июня 2025 — уже в шестой раз в Екатеринбурге пройдёт моя любимая конференция о трендах в ИБ и ИТ: IT IS conf.

Почему любимая? Не из-за практической пользы (хотя её будет много!), не из-за шанса снова увидеть столицу Урала и даже не из-за статуса «Коммьюнити-партнёр» для моего Telegram-канала =)

Всё дело в атмосфере: живое общение с единомышленниками и лидерами отрасли плюс отличная организация и деловой, и неформальной программы.

В этом году конференция стала ещё масштабнее (35+ докладов), поэтому забронируйте в календаре сразу два дня. Участвовать можно и онлайн, но лучше приехать — эмоции будут ярче!

Мероприятие бесплатное, детали и регистрация на сайте: https://itisconf.ru/

Буду рад встрече!

#пятничное в четверг

В персональную базу знаний по законодательству теперь включены более 100 нормативно-правовых актов про электронную подпись: https://zlonov.live/blog/legislation-on-digital-signature/

Крутейший менеджер паролей, архитектурно не подверженный онлайн-взломам =)

В майском обзоре изменений законодательства от коллег из УЦСБ:

● отраслевые особенности категорирования объектов КИИ сфер связи и недвижимости;
● изменения в технических требованиях к биоПДн в ЕБС;
● увеличение штрафов за нарушения требований о защите информации, в том числе за использование несертифицированных СрЗИ;
● план мероприятий по реализации Стратегии развития отрасли связи РФ на период до 2035 года;
● и другое.

Кстати, свой вариант обзора законодательства начал готовить Департамент консалтинга UDV Group.

Изменения законодательства за июнь: https://hub.zlonov.ru/laws/reviews/2025-06-USSC-review

● КИИ: проекты отраслевых особенностей категорирования объектов КИИ, проекты перечней типовых отраслевых объектов КИИ и изменения в Правилах категорирования объектов КИИ;
● ПДн: законопроекты в сфере ПДн граждан РФ при трансграничной передаче данных и о расширении возможностей использования биометрических ПДн при проходе на территории организаций, требования о необходимости оформления согласия на обработку ПДн отдельно от иных документов, изменения в 152-ФЗ, а также правила взаимодействия Минцифры России с операторами ПДн, формирования составов обезличенных ПДн и предоставления доступа к составам обезличенных ПДн;
● Закон о создании ГИС по противодействию преступлениям, совершаемым с использованием информационных технологий.
● Требования о защите информации, содержащейся в ГИС, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений, которые придут на смену приказу ФСТЭК России № 17;
● Свежая судебная практика в области ИБ;
● и другое.

Добавление: Все упомянутые в обзоре новые нормативно-правовые акты добавлены в Персональную база знаний по законодательству https://zlonov.live/blog/legislation-personal-knowledge-base/

Пока изучал изменения в 187-ФЗ О безопасности КИИ, внесённые в этом году, опробовал ещё один инструмент Obsidian - холст (canvas). Оказалось - вполне удобно и достаточно наглядно. Итоговый результат: в виде картинки, в формате PDF с распознанным текстом одной страницей и в виде многостраничного файла. Ссылки на нормативные акты вручную проставлять не стал - слишком утомительно. Попозже подумаю, как лучше добавить этот холст в ПБЗ.

Изменения законодательства за июль: https://hub.zlonov.ru/laws/reviews/2025-07-USSC-review

● КИИ: проекты постановлений Правительства об отраслевых особенностях категорирования объектов КИИ в сфере здравоохранения и ракетно-космической промышленности;
● ПДн: совместный приказ ФСБ России, СВР России, МО России, ФСО России и МВД России, устанавливающий порядок доступа к ИС и (или) БД, содержащим ПДн специальных служб и лиц, находящихся под госохраной;
● Приказы ФСТЭК России о лицензионном контроле деятельности по технической защите конфиденциальной информации (ТЗКИ) и по разработке и производству средств защиты конфиденциальной информации (СЗКИ);
● Требования к техническим и программным средствам, используемым ФОИВ при организации видео- и веб-конференций;
● и другое.

Собрал в Хабе Злонова все опубликованные проекты постановлений Правительства об утверждении отраслевых особенностей категорирования объектов КИИ: https://hub.zlonov.ru/tags/отраслевые_особенности_категорирования

Мне неизвестно, по какой причине проекты нормативно-правовых актов на regulation.gov.ru не открываются по прямым ссылкам (https://regulation.gov.ru/projects/158031), хотя если на главной станице вбить в строку поиска его номер (158031) и перейти по такой же ссылке, то проблемы не возникает, так что Хаб - вполне себе вариант быстрого доступа к текстам этих проектов.