📢Уже в 11:00 начнётся вебинар «Безопасная разработка для промышленных предприятий».

На вебинаре Александр Моисеев, ведущий консультант по ИБ AKTIV.CОNSULTING, рассмотрит отраслевую специфику и нюансы внедрения БРПО для предприятий из сфер промышленности.

❗Если вы не успели зарегистрироваться, мы обязательно расскажем здесь в ближайшее время об основных моментах вебинара и выложим ссылку на запись.

💬tg_AC

🗣Вчера вышла новая версия популярного дистрибутива Kali Linux, которая активно используется специалистами по ИБ для тестирования на проникновение, аудита безопасности, исследования уязвимостей. Новая версия призвана расширить их возможности.

🛡По словам команды разработчиков, основное внимание в этом релизе было уделено переработке инфраструктуры Kali Linux в связи с выходом Debian 12. Цель этих изменений — повысить надёжность дистрибутива и оптимизировать его компоненты.

💬tg_AC

⚠️👁👁👁Не забудьте отправить до 1 сентября информацию о доменных именах и IP-адрес информационных ресурсов компании, а также электронную почту уполномоченного лица от организации.

❕11 мая приказом ФСБ России №213 утвержден Порядок осуществления мониторинга защищенности информационных ресурсов, принадлежащих ФОИВ, высшим исполнительным органам государственной власти субъектов РФ, госфондам, госкорпорациям и иным организациям, созданным на основании федеральных законов, стратегическим предприятиям, стратегическим акционерным обществам и системообразующим организациям российской экономики, юридическим лицам, являющимся субъектами КИИ РФ либо используемых ими.

Согласно тексту документа мониторинг защищенности осуществляется Центром защиты информации и специальной связи ФСБ в целях оценки способности информационных ресурсов организаций противостоять угрозам ИБ.

Мониторинг осуществляется только в отношении информационных ресурсов, имеющих непосредственное подключение к информационно-телекоммуникационной сети «Интернет» и /или сопряженных с нею с использованием технологии трансляции сетевых адресов.

⏺Эксперты AKTIV.CОNSULTING напоминают, что до 1 сентября 2023 организации – субъекты КИИ, информационная инфраструктура которых имеет такие подключения (сопряжения), должны направить на адрес электронной почты monitoring@fsb.ru следующую информацию:

✅Доменные имена и внешние сетевые адреса информационных ресурсов, принадлежащих организациям либо используемых ими;

✅Адреса электронной почты, предназначенные для ведения переписки с органами безопасности по вопросам осуществления мониторинга защищенности.

🖇Подробнее ознакомиться с текстом приказа можно по ссылке.

💬tg_AC

📣Новостной дайджест прошедшей недели

🗣Минцифры ввело параметр информационной безопасности в рейтинг цифровой трансформации госорганов
Теперь федеральные и региональные ведомства должны ежемесячно предоставлять информацию о мерах защиты своих IT-систем.

🗣Госзаказчики снижают инвестиции в средства обеспечения кибербезопасности
В основном это коснулось СЗИ, услуг по мониторингу безопасности информсистем, шифрованию информации, не содержащей государственную тайну.

🗣Минюст поддержал введение оборотных штрафов за утечки персональных данных
Также в министерстве считают, что нужно предусмотреть возможность добровольной компенсации операторами ПДн предполагаемого вреда и учитывать это как смягчающее обстоятельство.

🗣ЦБ: во II квартале 2023 российские банки отразили более 6,5 млн атак на счета клиентов
Размер ущерба сократился на 6% по сравнению с показателями за прошедшие четыре квартала.

🗣Сбер опубликовал рекомендации для операторов персональных данных
В банке пояснили, что эта информация может быть полезна при создании системы обработки и защиты персональных данных.

🗣IT-специальности стали самыми популярными среди абитуриентов 2023 года
На направление «Информационная безопасность» было подано 175 тысяч заявлений.

🗣Количество утечек информации в мире за первые полгода 2023 года выросло в 2,4 раза
Чаще всего злоумышленники охотятся за персональными данными, а также сведениями, содержащими коммерческую и государственную тайну.

💬tg_AC

⚡️Доступна запись вебинара AKTIV.CОNSULTING, в рамках которого ведущий консультант по ИБ Александр Моисеев рассмотрел отраслевую специфику и нюансы внедрения БРПО для предприятий из сфер промышленности.

Среди рекомендуемого набора мер для обеспечения безопасности при разработке эксперт выделил:

✅управление доступом к среде разработки;
✅формирование рекомендаций по безопасному программированию;
✅установление требований ИБ в отношении сторонних компонентов и коллективов разработки;
✅управление уязвимостями в сегменте разработки и продуктовой среде;
✅тестирование на проникновение;
✅фаззинг.


Также на вебинаре Александр Моисеев:

⏩рассказал про особенности разработки ПО в промышленных организациях;

⏩перечислил методы и средства обеспечения безопасности;

⏩описал эталонную модель жизненного цикла ПО, связанного с функциональной безопасностью (МЭК 61508);

⏩подробно разобрал методы т.н. «серого ящика» для проверок безопасности «унаследованного» ПО;

⏩ответил на вопросы слушателей вебинара и т.д.


▶️Смотреть вебинар


Презентацию к вебинару прикрепляем в сообщении ниже.

💬tg_AC

🖇Презентация Александра Моисеева, ведущего консультанта по ИБ AKTIV.CОNSULTING, с вебинара «Безопасная разработка для промышленных предприятий».

💬tg_AC

🗣Яндекс первым в России запустил технологию создания видео с помощью нейросети для пользователей.

💡Пользователи нейросети "Шедеврум" получили возможность создавать короткие видео, которые могут стать основой для музыкальных клипов и динамических аватарок в социальных сетях. Для создания видео необходимо отправить в приложении описание, в ответ пользователи получат четыре варианта первого кадра и набор анимационных эффектов для создания движения.

В данный момент функция работает в тестовом режиме.

💬tg_AC

​​🗝 ГОСТ. Протокол защищенного обмена для индустриальных систем

Техническим комитетом по стандартизации «Криптографическая защита информации» (ТК 26) проводятся обсуждения (до 28.10.2023) по проекту ГОСТ Р «Информационная технология. Криптографическая защита информации. Протокол защищенного обмена для индустриальных систем».

🫥Обеспечение безопасности КИИ – сегодня общая задача профессионального ИБ-сообщества. За последний год можно выделить три важных регуляторных события, которые сильно повлияли на всех участников рынка:

▶️изменение правил категорирования;
▶️требования по импортозамещению;
▶️требования по формированию службы ИБ и ответственности руководства организации за обеспечение информационной безопасности.

В этом и последующих постах мы подробно разберем каждое из перечисленных событий.

Изменение категорирования

💡Осенью 2022 года вышло Постановление Правительства об изменениях в правилах категорирования объектов КИИ, а это значит, что организации из тринадцати отраслей должны пересмотреть принадлежность своих информационных систем к значимым объектам. Признание ИС значимым объектом КИИ влечет за собой для организации серьезный пересмотр ИБ-процессов и необходимость внедрения требований ФСТЭК России.

Серьезные изменения коснулись экономических критериев значимости. Например, один из показателей устанавливает пороговое значение оценки ущерба бюджетам Российской Федерации. По сути, речь идет о рисках недополучить в бюджет налоговые отчисления от субъекта КИИ в случае приостановки его деятельности из-за реализации инцидентов ИБ. Изменение этого критерия для ряда организаций грозит присвоением первой категории для принадлежащим им объектам КИИ.

📌Помимо изменения критериев значимости, важным является включение в нормативный документ ссылки на перечень типовых отраслевых объектов КИИ. Эти перечни будут устанавливаться отраслевыми регуляторами и включать в себя список типовых для конкретной отрасли информационных систем, которые в обязательном порядке должны войти в список категорируемых.
#КИИ

💬tg_AC

💡26 июля 2017 года был принят Федеральный закон №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», который в настоящее время считается одним из основных нормативных актов в вопросе защиты КИИ.

Но основной – не значит первый!

✅Александр Моисеев, ведущий консультант по ИБ AKTIV.CОNSULTING, в статье для портала Cyber Media наглядно представил, как развивалась и изменялась основная регуляторика КИИ в нашей стране.

Эксперт сделал ретроспективу нормативно-правовых актов по теме безопасности критической информационной инфраструктуры (за исключением регуляторики, связанной с ГосСОПКА, эта тема требует отдельного рассмотрения в дальнейшем).

Читать статью

💬tg_AC

⌨️Обнаружен новый вектор атаки — «MalDoc in PDF», позволяющий уйти от детектирования путём встраивания вредоносных документов Word в PDF.

Один из таких файлов, который попался японским исследователям, выглядит в глазах большинства антивирусных движков документом в формате PDF. При этом офисные приложения могут открыть его как обычный Word (.doc).

Такие файлы называются «полиглотами». Они могут быть использованы злоумышленниками для ухода от детектирования или запутывания различных анализаторов. В одной части такого документа может находиться абсолютно безобидный код, в другой — вредоносная нагрузка.

❗️Эксперты AKTIV.CОNSULTING напоминают, что нужно внимательно и серьезно относиться к присылаемым извне файлам, в том числе в форматах .doc и .pdf.

Запускать их следует только убедившись в том, что источник является доверенным. Если есть сомнения, рекомендуем использовать средства безопасного тестирования и предварительного просмотра («песочницы»).

Подробнее

💬tg_AC

⚡️В государственный реестр сертифицированных средств защиты информации ФСТЭК России были внесены изменения, а именно возобновлены некоторые сертификаты соответствия.

Так, к примеру, срок действия программного комплекса VMware vSphere with Operations Management 6 продлен до 21 ноября 2024, хотя ранее его действие было прекращено 31 марта 2022 года.

▶️В списке изменений также значатся сертификаты следующих производителей: Huawei, Cisco, Oracle, FortiGate, SAP, Microsoft и других.

📌Проверить сроки действия сертификатов можно по ссылке.

Источник: Zlonov

❗️UPD: Вероятно, была допущена некая ошибка. Государственный реестр сертифицированных СрЗИ был вновь обновлен, и сроки прекращения действия сертификатов были возвращены к исходным значениям.

💬tg_AC

💡11 мая приказом ФСБ России №213 утвержден Порядок осуществления мониторинга защищенности информационных ресурсов, принадлежащих ФОИВ, высшим исполнительным органам государственной власти субъектов РФ, госфондам, госкорпорациям и иным организациям, созданным на основании федеральных законов, стратегическим предприятиям, стратегическим акционерным обществам и системообразующим организациям российской экономики, юридическим лицам, являющимся субъектами КИИ РФ либо используемых ими.

Согласно тексту документа мониторинг защищенности осуществляется только в отношении информационных ресурсов, имеющих непосредственное подключение к информационно-телекоммуникационной сети «Интернет» и /или сопряженных с нею с использованием технологии трансляции сетевых адресов.

🗣Алексей Филиппов, методолог по ИБ AKTIV.CОNSULTING, специально для BIS Journal рассмотрел Приказ ФСБ № 213 и напомнил, что до 1 сентября 2023 года (т.е. уже до завтра!) организации – субъекты КИИ, информационная инфраструктура которых имеет такие подключения (сопряжения), должны направить на адрес электронной почты monitoring@fsb.ru следующую информацию:

✅Доменные имена и внешние сетевые адреса информационных ресурсов, принадлежащих организациям либо используемых ими;

✅Адреса электронной почты, предназначенные для ведения переписки с органами безопасности по вопросам осуществления мониторинга защищенности.

📍Читать статью

💬tg_AC

⚡️⚡️⚡️ Важное дополнение к новости выше.
Вероятно, была допущена некая ошибка. Государственный реестр сертифицированных СрЗИ был вновь обновлен, и сроки прекращения действия сертификатов были возвращены к исходным значениям.

https://reestr.fstec.ru/reg3

🫥Мы продолжаем рассказывать про важные регуляторные события, которые сильно повлияли на всех участников КИИ.

Сегодня рассмотрим роль ИБ при импортозамещении.

Тема импортозамещения и Указа Президента №166 о технологической независимости за последний год стала базовой в вопросах обеспечения безопасности КИИ. Рядом стоит Указ Президента №250, который обязывает, в том числе, субъекты КИИ переходить на российские средства защиты информации. В этой связи для многих роль службы ИБ зачастую ограничивается именно вопросами импортозамещения СЗИ.

Какова же роль службы ИБ при импортозамещении именно прикладного ПО, на котором построены основные технологические и/или бизнес-процессы?

🚩 В условиях стихийного перехода на новые решения необходимо оценивать риски информационных угроз, связанные с самим переходом и его последствиями. И здесь служба ИБ должна если не курировать вопросы безопасности, то быть частью группы, сопровождающей изменения.

🚩 Много опасений вызывает скорость, с которой разрабатываются или дорабатываются отечественные решения для целей импортозамещения. С одной стороны, нужно обеспечить необходимую функциональность, с другой – соответствовать требованиям безопасности, тем более есть конкретные указания ФСТЭК России по использованию в ЗО КИИ прикладного ПО, которое соответствует требованиям безопасной разработки (БРПО).

🚩 Отдельно можно выделить проблему безопасности Open Source. Не секрет, что большинство современных решений использует открытый код, но не все разработчики тестируют его должным образом. Минцифры говорят о создании российского репозитария с внедренным процессом анализа уязвимостей, что в перспективе повысит уровень безопасности. Сейчас же можно выстраивать процессы БРПО в случае собственной разработки или ограничиться взаимодействием только с вендорами, которые могут подтвердить внедренные процессы безопасной разработки.
#КИИ

Продолжение следует…

💬tg_AC