Банк России принял новые меры поддержки для участников финансового рынка: негосударственных пенсионных фондов, управляющих компаний, финансовых посредников и учетной инфраструктуры, следует из информационного письма регулятора.
"В рамках принятия мер по снижению регуляторной и надзорной нагрузки на профессиональных участников рынка ценных бумаг, управляющих компаний, специализированных депозитариев и негосударственных пенсионных фондов (далее при совместном упоминании – участники финансового рынка) (за исключением случаев, требующих неотложного надзорного реагирования) в связи со сложившейся кризисной ситуацией на финансовом рынке Банк России сообщает следующее: Банк России планирует увеличивать срок исполнения предписаний и запросов надзорного характера, направляемых в адрес участников финансового рынка", - сказано в сообщении. В том числе не будут применяться меры воздействия из-за невыполнения требований 757-П

Требования 719-П к оценке соответствия по уровню ОУД4. Разработчики систем дистанционного банковского обслуживания, карточных процессингов и платежных шлюзов в ближайшее время должны провести оценку программного обеспечения по оценочному уровню доверия 4 (ОУД4) ГОСТ 15408. Расскажем, зачем нужна оценка по ОУД4, что в нее входит и как к ней подготовиться.
https://legal-bifit.ru/ocenka_OUD4

В Минюсте зарегистрирован приказ Приказ ФСТЭК России от 28.12.2021 N 207 "Об утверждении формы оценочного листа, в соответствии с которым ФСТЭК России проводит оценку соответствия соискателя лицензии или лицензиата лицензионным требованиям при осуществлении деятельности по разработке и производству средств защиты конфиденциальной информации". Утверждены формы оценочных листов для лицензии на ТЗКИ. Будет полезно ознакомиться лицензиатам и компаниям, собирающимся получать лицензию ФСТЭК на ТКЗИ
Вступает в силу с 01.03.2022.
https://rg.ru/2022/03/01/fstek-prikaz207-site-dok.html

ЦБ опубликовал примерный перечень процессов второго и первого уровня классификации в рамках Положения № 716-П "О требованиях к системе управления операционным риском в кредитной организации и банковской группе" http://cbr.ru/faq_ufr/dbrnfaq/newDocs/

По указу Президента № 250 госорганы и стратегические предприятия должны провести до 1 июля 2022 года оценку защищенности своих информационных систем. Правительство определяет перечень таких предприятий. Недавно Минцифры опубликовало типовое техническое задание на оценку защищенности, фактически, зафиксировав требования к таким работам https://digital.gov.ru/ru/documents/8235/

Депутаты хотят разрешить банкам и биржам аутсорсинг IТ-услуг

Банк проиграл клиенту в суде 27 миллионов рублей из-за «уязвимости в системе «Клиент-Банк».
Дело рассматривалось более двух лет и дошло до Верховного Суда Российской Федерации.
https://legal-bifit.ru/failbank

На сайте Банка России опубликованы методические рекомендации по заполнению 071 формы http://cbr.ru/Crosscut/LawActs/File/6030

Доступны презентации с ноябрьского форума АБИСС по регуляторике информационной безопасности финансовой отрасли. Есть интересные презентации по безопасной разработке ПО, в т.ч. по ОУД4 https://conf.abiss.ru/

Выложили в доступ презентации с форума АБИСС по регуляторике ИБ. Опять актуальны темы безопасной разработки, КИИ, оценки соответствия. https://conf.abiss.ru/?ysclid=loioco0agb590524414

К кому регуляторы предъявляют требования по защите от DDoS-атак? В чем состоят эти требования?
Краткий обзор по ссылке
https://legal-bifit.ru/ddos

Требования Банка России к прикладному ПО: сертификация ФСТЭК или ОУД4?
Кто может делать оценку по ОУД4?
С какой периодичностью проводить оценку?
Что делать, если используется стандартная версия ПО от стороннего разработчика? А если нестандартная?
Ответы на вопросы найдете нашей в статье, в том числе алгоритм действий финансовой организации:
https://legal-bifit.ru/oud4_requirements

Проводится общественное обсуждение новых требований ФСТЭК для ГИС и ЗОКИИ по защите от DDoS-атак http://regulation.gov.ru/projects#npa=149172
По новым требованиям планируется сделать обязательным использование в ГИС и ЗОКИИ собственных инструментов по защите от DDoS или услуг защищенного хостинга, а также подключение к НСПА.
Краткая суть изменений по ссылке https://legal-bifit.ru/ddos_gis_kii

За июль 2024 года на финансовый сектор совершено почти 50 тыс. DDoS-атак

Число DDoS-атак на российские кредитно-финансовые организации в июле 2024 года выросло более чем в 10 раз. Для сравнения, с января по июнь 2024 года на банки совершалось в среднем с 3-5 тысячами DDoS-атак в месяц, то в июле — почти 50 тысяч.

По данным компании «Солар», общее количество DDoS в России за последний месяц также выросло практически в два раза — с 56 тысяч в июне до 96 тысяч в июле 2024 года. Целями атак оказались более 60 банков, среди них — лидеры отрасли.

Как отмечают эксперты, средняя мощность атак на отрасль в июле была в три раза ниже в сравнении с июнем.

Изображение: Adobe Stock

За год продолжительность кибератак увеличилась в 3,5 раза

По данным исследования Qrator Labs, продолжительность DDoS-атак к середине года в пиковые периоды значительно выросла, в сравнении с аналогичным периодом 2023 года. В первой половине 2024 года максимальная продолжительность кибератак составила 72 часа, а годом ранее - 20 часов.

Как отмечают эксперты, большая часть атак во втором квартале пришлась на компании в области финтеха, электронной коммерции, IT и телеком-рынка.

Также аналитики с начала года зафиксировали рост ботнета. Самая большая сеть во втором квартале состояла из 60,5 тыс. устройств против 51,4 тыс.— в первом квартале.

Изображение: Adobe Stock

Исследование от DDoS-Guard об увеличении количества DDoS-атак, уменьшении стоимости организации атаки и ущерба компании от недоступности сайта/инфраструктуры.
https://habr.com/ru/companies/ddosguard/articles/812915/

Количество DDoS-атак на ритейл резко возросло перед началом учебного года

С 10 по 20 августа 2024 года количество атак на российский ритейл увеличилось на 28% по сравнению с аналогичным периодом прошлого года и на 42% по сравнению с 10 по 20 июля этого года, подсчитали аналитики StormWall.

Большинство атак с 10 по 20 августа было направлено на интернет-магазины по продаже одежды и обуви (36%). Также пострадали онлайн-магазины техники (28%), канцелярских товаров (14%), спортивных товаров (8%), мебели (6%), товаров для дома (5%).

«Хакеры использовали для запуска атак на ритейлеров передовую тактику “ковровых бомбардировок”. Средняя мощность атак была небольшой и составляла 90 Гбит/с, а максимальная мощность достигала 700 Гбит/с», – отмечают эксперты.

Средняя длительность атак составила 18 минут, а самая продолжительная атака происходила в течение 55 минут.

Изображение: RSpectr, Freepik, Adobe Stock

Записи эфира AM-Live от 05.03.2025 по теме «Эшелонированная защита от DDoS-атак».
Смотрите выпуск, и вы узнаете:
🔸Какие тенденции наблюдаются в DDoS-атаках
🔸О чем нужно позаботиться на организационном уровне и в ИТ-инфраструктуре
🔸Какие компоненты составляют комплексную эшелонированную систему защиты от DDoS-атак
🔸Как выбрать между внутренними (on-premise) и внешними (облачными) решениями для защиты от DDoS
🔸Как найти баланс между защитой и доступностью
🔸Что такое динамическая настройка фильтров и правил очистки
🔸В какой степени автоматизация и технологии машинного обучения и ИИ могут улучшить способность обнаружения и реагирования на DDoS-атаки
🔸Как провести учения и убедиться, что защита действительно работает
YouTube
VK Видео
RuTube

Записи второго эфира AM-Live от 05.03.2025 по теме «Сравнение облачных сервисов защиты от DDoS-атак».
Вы узнаете:
🔸 В чем принципиальные отличия независимых сервис-провайдеров и подразделений операторов связи
🔸Как устроена инфраструктура облачного провайдера и для чего нужно много региональных центров очистки (scrubbing-центры)
🔸Зачем сервис-провайдерам защиты от DDoS договариваться с телеком-провайдерами
🔸Какие компоненты защиты должны быть в арсенале у зрелого провайдера
🔸Как комбинировать и правильно настроить совместную работу защиты от DDoS с услугой CDN (Content Delivery Network)
🔸Как встать под защиту и какие варианты/режимы подключения существуют
🔸Какие предусмотрены настройки режимов работы защиты
🔸Где провайдеры применяют машинное обучение и AI для фильтрации трафика
🔸Какой уровень SLA гарантируют провайдеры и что будет, если защита все-таки ляжет вместе с защищаемым ресурсом
YouTube
VK Видео
RuTube

Итоги вышеуказанных эфиров AMLive.
Обратите внимание на схему эшелонированной защиты от Mitigator
https://www.anti-malware.ru/analytics/Technology_Analysis/Anti-DDoS-AM-Live-2025