Отдельно стоит отметить Профилактические визиты представителей Роскомнадзор, которые НЕ являются проверками.
Такие визиты проводятся в случаях, когда Организация приступает к обработке ПДн и срок, который указан в Уведомлении об обработке ПДн менее 1 года.
Организация может получить письмо от Роскомнадзор с предложением о проведении Профилактического визита. В соответствии с ч. 6 ст. 52 Федерального закона от 31.07.2020 №248-ФЗ
Оператор вправе отказаться от проведения обязательного Профилактического визита, уведомив об этом Роскомнадзор не позднее, чем за три рабочих дня до его даты проведения.
При положительном ответе Оператора, будут запрошены внутренние документы по организации обработки ПДн, а также проведен опрос ответственных лиц.
По итогам визита Роскомнадзор направляет Оператору письмо рекомендательного характера. Оператор вправе либо принять исправительные меры, либо ничего не делать.
Такие визиты проводятся в случаях, когда Организация приступает к обработке ПДн и срок, который указан в Уведомлении об обработке ПДн менее 1 года.
Организация может получить письмо от Роскомнадзор с предложением о проведении Профилактического визита. В соответствии с ч. 6 ст. 52 Федерального закона от 31.07.2020 №248-ФЗ
Оператор вправе отказаться от проведения обязательного Профилактического визита, уведомив об этом Роскомнадзор не позднее, чем за три рабочих дня до его даты проведения.
При положительном ответе Оператора, будут запрошены внутренние документы по организации обработки ПДн, а также проведен опрос ответственных лиц.
По итогам визита Роскомнадзор направляет Оператору письмо рекомендательного характера. Оператор вправе либо принять исправительные меры, либо ничего не делать.
👍5🍾2
КАК СОХРАНИТЬ ТАЙНУ ПЕРЕПИСКИ? Практическая информация для рядовых пользователей.
Очень часто мошенники используют социальные сети и мессенджеры для выманивания денег или персональных данных. Поэтому необходимо всеми средствами обеспечить уровень приватной переписки в мессенджерах.
Что можно сделать?
Скрытый/ секретный чат. Вид диалога, который хранится в отдельной папке, попасть в которую можно только по паролю.
Пароль для компьютера. Если вы пользуетесь мессенджером в Web-версии, установите PIN-код, если в приложении это возможно. Часто эта опция доступна в настройках.
Исчезающие сообщения. Установите таймер самоуничтожения сообщений, часто в мессенджерах есть оповещения, если кто-то из пользователей успел сделать скриншот.
Статусы. Для большей конфиденциальности можно скрыть статусы «Просмотрено» и «В сети». Другие пользователи не увидят ваш актуальные статус, но и вы его видеть не сможете.
Запросы на переписку. Включите данную функцию, если это возможно и избавьтесь от нежелательных сообщений. Обычно с сообщениями от незнакомцев в мессенджере будет формироваться отдельная папка.
Очень часто мошенники используют социальные сети и мессенджеры для выманивания денег или персональных данных. Поэтому необходимо всеми средствами обеспечить уровень приватной переписки в мессенджерах.
Что можно сделать?
Скрытый/ секретный чат. Вид диалога, который хранится в отдельной папке, попасть в которую можно только по паролю.
Пароль для компьютера. Если вы пользуетесь мессенджером в Web-версии, установите PIN-код, если в приложении это возможно. Часто эта опция доступна в настройках.
Исчезающие сообщения. Установите таймер самоуничтожения сообщений, часто в мессенджерах есть оповещения, если кто-то из пользователей успел сделать скриншот.
Статусы. Для большей конфиденциальности можно скрыть статусы «Просмотрено» и «В сети». Другие пользователи не увидят ваш актуальные статус, но и вы его видеть не сможете.
Запросы на переписку. Включите данную функцию, если это возможно и избавьтесь от нежелательных сообщений. Обычно с сообщениями от незнакомцев в мессенджере будет формироваться отдельная папка.
👍4
ТИПИЧНЫЕ НАРУШЕНИЯ ОПЕРАТОРОВ ИБ
• Нарушение обработки специальных категорий ПДн (ч. 1 ст. 10 закона о ПДн). Это данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состоянии здоровья, интимной жизни;
• Нарушение требований конфиденциальности при обработке категорий ПДн, не являющихся общедоступными (ч. 1 ст. 7 Закон о ПДн);
• Отсутствие у Оператора мест хранения ПДн (п. 13 постановления Правительства РФ от 15.09.2008 №687);
• Несоответствие типовых форм документов, характер информации в которых предполагает или допускает включение ПДн при обработке ПДн без использование средств автоматизации (п. 7 постановления Правительства РФ от 15.09.2008 №687);
• Не назначено лицо, ответственное за обработку ПДн;
• Не ознакомление работников, работающих с ПДн с положениями законодательства, локальными актами по обработке.
Будьте внимательны!
• Нарушение обработки специальных категорий ПДн (ч. 1 ст. 10 закона о ПДн). Это данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состоянии здоровья, интимной жизни;
• Нарушение требований конфиденциальности при обработке категорий ПДн, не являющихся общедоступными (ч. 1 ст. 7 Закон о ПДн);
• Отсутствие у Оператора мест хранения ПДн (п. 13 постановления Правительства РФ от 15.09.2008 №687);
• Несоответствие типовых форм документов, характер информации в которых предполагает или допускает включение ПДн при обработке ПДн без использование средств автоматизации (п. 7 постановления Правительства РФ от 15.09.2008 №687);
• Не назначено лицо, ответственное за обработку ПДн;
• Не ознакомление работников, работающих с ПДн с положениями законодательства, локальными актами по обработке.
Будьте внимательны!
👍3🔥1
О БЕЗОПАСНЫХ ПАРОЛЯХ
Пароли - то, что предусмотрено во встроенных системах безопасности, и даже если система дает Вам подсказки, это не всё, что нужно знать о безопасности.
Обойдем стороной уже стандартные требования и разберем несколько советов по составлению сложных парольных схем:
• Не используйте слова, которые являются сленгом, диалектом или словом из словаря;
• Не используйте слова, набранные в латинской раскладке, но ориентируясь на кириллицу. На данный момент программы перебора паролей, обладая обширным словарем легко “вскроют” это слово;
• Зеркально набранные слова тоже не работают;
• Придумайте алгоритм составления паролей. Например, составьте аббревиатуру из строк любимой песни и добавьте к ней цифры и знаки;
• Замените буквы в схеме похожими цифрами;
• Не используйте один и тот же пароль для всех учетных записей - таким образом расширяется база доступных взломщику данных. Но на аккаунтах внутри учетной записи одинаковые пароли использовать можно: лучше один сложный, чем много простых;
• Меняйте пароль каждые три месяца.
Пароли - то, что предусмотрено во встроенных системах безопасности, и даже если система дает Вам подсказки, это не всё, что нужно знать о безопасности.
Обойдем стороной уже стандартные требования и разберем несколько советов по составлению сложных парольных схем:
• Не используйте слова, которые являются сленгом, диалектом или словом из словаря;
• Не используйте слова, набранные в латинской раскладке, но ориентируясь на кириллицу. На данный момент программы перебора паролей, обладая обширным словарем легко “вскроют” это слово;
• Зеркально набранные слова тоже не работают;
• Придумайте алгоритм составления паролей. Например, составьте аббревиатуру из строк любимой песни и добавьте к ней цифры и знаки;
• Замените буквы в схеме похожими цифрами;
• Не используйте один и тот же пароль для всех учетных записей - таким образом расширяется база доступных взломщику данных. Но на аккаунтах внутри учетной записи одинаковые пароли использовать можно: лучше один сложный, чем много простых;
• Меняйте пароль каждые три месяца.
👍3❤1
РАСШИРЕНИЯ ДЛЯ БРАУЗЕРОВ: УДОБНЫЙ ИНСТРУМЕНТ ИЛИ ВОРОТА ДЛЯ ХАКЕРОВ?
Устанавливая расширение пользователь внедряет в свой браузер сторонний код, который может оказаться зловредным.
Даже официальные магазины Chrome, Web store и прочие не гарантируют безопасного приложения.
Какие угрозы может содержать аддон?
• Контроль действий пользователя в браузере и несанкционированное внедрение рекламы;
• Внесение изменений в настройки браузера;
• Подмена содержания страниц;
• Установка соединения с вредоносной структурой;
Как распознать опасное расширение?
• Источник аддона не официальный;
• Неактуальная дата выпуска;
• Запрос чрезмерных разрешений, которые не соответствуют его функциональности;
Брешами в системе ИБ предприятия могут стать любые приложения, с которыми сотрудники взаимодействуют через браузер.
Поэтому стоит принять следующие меры по предотвращению серьезного ИБ-инцидента в будущем:
• Составить список всех используемых аддонов и отслеживание их работы в папках файловой системы;
• Организация VDI - виртуальных рабочих столов для сотрудников на удаленке, доступ к которому осуществляется через клиентское приложение;
• Внедрение регламента использования браузера работниками организации.
Устанавливая расширение пользователь внедряет в свой браузер сторонний код, который может оказаться зловредным.
Даже официальные магазины Chrome, Web store и прочие не гарантируют безопасного приложения.
Какие угрозы может содержать аддон?
• Контроль действий пользователя в браузере и несанкционированное внедрение рекламы;
• Внесение изменений в настройки браузера;
• Подмена содержания страниц;
• Установка соединения с вредоносной структурой;
Как распознать опасное расширение?
• Источник аддона не официальный;
• Неактуальная дата выпуска;
• Запрос чрезмерных разрешений, которые не соответствуют его функциональности;
Брешами в системе ИБ предприятия могут стать любые приложения, с которыми сотрудники взаимодействуют через браузер.
Поэтому стоит принять следующие меры по предотвращению серьезного ИБ-инцидента в будущем:
• Составить список всех используемых аддонов и отслеживание их работы в папках файловой системы;
• Организация VDI - виртуальных рабочих столов для сотрудников на удаленке, доступ к которому осуществляется через клиентское приложение;
• Внедрение регламента использования браузера работниками организации.
👍2🔥1
⚡Интересна сфера ИБ? Желаешь успешно развиваться в этой сфере?
SecWare поможет в этом! Мы - IT-компания, аккредитованная в Минцифры, занимаемся безопасностью бизнеса различного уровня, а также разрабатываем собственное программное решение.
В Безопасных Программных Решениях есть:
- Рабочий график, который можно выстроить самостоятельно;
- Стабильная заработная плата;
- Бесплатное обучение по интересным направлениям работы;
- Успешный карьерный рост;
- Кофе, плюшки и прочие радости.
🚀Актуальные вакансии - здесь!
SecWare поможет в этом! Мы - IT-компания, аккредитованная в Минцифры, занимаемся безопасностью бизнеса различного уровня, а также разрабатываем собственное программное решение.
В Безопасных Программных Решениях есть:
- Рабочий график, который можно выстроить самостоятельно;
- Стабильная заработная плата;
- Бесплатное обучение по интересным направлениям работы;
- Успешный карьерный рост;
- Кофе, плюшки и прочие радости.
🚀Актуальные вакансии - здесь!
❤4👍1
ДОПОЛНИТЕЛЬНО ОБ ИБ-ПРОГНОЗАХ НА 2023
Кратко об исследовании Jet CSIRT. Аналитика от группы мониторинга внешних цифровых рисков, продолжаем говорить о будущих «трендах» взломов:
Фишинг. Продолжит превалировать и в 2023 году. Украденные данные будут использоваться злоумышленниками для повышения доверия к рассылаемым письмам.
Рост угроз по вине инсайдеров. В 2022 году отмечался значительный рост количества объявлений в даркнете о покупке доступов в российские компании.
AI-технологии. Эти сервисы будут использованы как для защиты информации, так и для проведения кибератак. В частности, ChatGPT уже создает эксплойты для злоумышленников.
Утечки. В 2023 году мы, скорее всего, прочитаем немало новостей про очередные сливы всевозможных баз и пользовательских данных.
Увеличение процента вредоносного программного обеспечения (особенно шифровальщиков), написанного на нераспространенных языках, таких как Rust и Golang. Использование нестандартных языков в коде ВПО может затруднить их обнаружение, а также предоставить некоторые преимущества для их разработчиков.
Кратко об исследовании Jet CSIRT. Аналитика от группы мониторинга внешних цифровых рисков, продолжаем говорить о будущих «трендах» взломов:
Фишинг. Продолжит превалировать и в 2023 году. Украденные данные будут использоваться злоумышленниками для повышения доверия к рассылаемым письмам.
Рост угроз по вине инсайдеров. В 2022 году отмечался значительный рост количества объявлений в даркнете о покупке доступов в российские компании.
AI-технологии. Эти сервисы будут использованы как для защиты информации, так и для проведения кибератак. В частности, ChatGPT уже создает эксплойты для злоумышленников.
Утечки. В 2023 году мы, скорее всего, прочитаем немало новостей про очередные сливы всевозможных баз и пользовательских данных.
Увеличение процента вредоносного программного обеспечения (особенно шифровальщиков), написанного на нераспространенных языках, таких как Rust и Golang. Использование нестандартных языков в коде ВПО может затруднить их обнаружение, а также предоставить некоторые преимущества для их разработчиков.
👍3
❤2
КАК ОБЕЗОПАСИТЬ СЕБЯ ОТ КИБЕРУГРОЗ В 2023 ГОДУ?
Патчинг и управление уязвимостями.
• Проведите инвентаризацию инфраструктурных активов, оборудования и сервисов;
• Просканируйте узлы на предмет обнаружения уязвимостей;
• Спланируйте мероприятия по закрытию обнаруженных уязвимостей в зависимости от приоритета самой уязвимости;
Харденинг. Для повышения уровня защищенности зачастую достаточно вдумчивой настройки политик безопасности на имеющихся средствах ИТ.
Защита резервных копий.
• Обеспечьте резервное копирование критической информации, протестируйте DRP;
• Обеспечьте защиту системы СРК. Сейчас системы СРК уже имеют встроенные механизмы защиты от шифровальщиков: Honeypot, защиту базы данных дедупликации.
Анализ используемого Open Source.
• Внедряйте и используйте процессы безопасной разработки (DevSecOps);
• Проводите аудит используемого ПО с открытым исходным кодом;
• Использование ПО от российских разработчиков.
Сбор и обработка событий ИБ с критичных инфраструктурных активов.
Всевозможные СЗИ, АРМы пользователей, сетевые устройства, приложения — каждый этот элемент является источником событий ИБ.
Внедрение проактивной ИБ.
Поиск цифровых рисков в даркнете позволяет снизить потери компании и своевременно отреагировать на угрозу. Рекомендуется проводить Threat Hunting, Compromise Assesment — меры по проактивному поиску следов уже совершившийся атаки.
Патчинг и управление уязвимостями.
• Проведите инвентаризацию инфраструктурных активов, оборудования и сервисов;
• Просканируйте узлы на предмет обнаружения уязвимостей;
• Спланируйте мероприятия по закрытию обнаруженных уязвимостей в зависимости от приоритета самой уязвимости;
Харденинг. Для повышения уровня защищенности зачастую достаточно вдумчивой настройки политик безопасности на имеющихся средствах ИТ.
Защита резервных копий.
• Обеспечьте резервное копирование критической информации, протестируйте DRP;
• Обеспечьте защиту системы СРК. Сейчас системы СРК уже имеют встроенные механизмы защиты от шифровальщиков: Honeypot, защиту базы данных дедупликации.
Анализ используемого Open Source.
• Внедряйте и используйте процессы безопасной разработки (DevSecOps);
• Проводите аудит используемого ПО с открытым исходным кодом;
• Использование ПО от российских разработчиков.
Сбор и обработка событий ИБ с критичных инфраструктурных активов.
Всевозможные СЗИ, АРМы пользователей, сетевые устройства, приложения — каждый этот элемент является источником событий ИБ.
Внедрение проактивной ИБ.
Поиск цифровых рисков в даркнете позволяет снизить потери компании и своевременно отреагировать на угрозу. Рекомендуется проводить Threat Hunting, Compromise Assesment — меры по проактивному поиску следов уже совершившийся атаки.
👍2
МАСШТАБНЫЕ УТЕЧКИ ПЕРСОНАЛЬНЫХ ДАННЫХ. ЧТО НУЖНО ЗНАТЬ?
Прошедший год - самый масштабный по количеству утечек баз данных и информации.
Анализ опубликованных данных показывает, что хакактивистам удалось взломать более 355 российских компаний и выложить в открытый доступ украденную информацию: в общей сложности это более чем 460 миллионов учетных записей, 33 миллиона из которых - корпоративные.
Дополнительно появилась информация о вредоносного ПО типа «Стиллер», с помощью которого злоумышленники и похищали эти данные.
Наиболее подвержен атакам сектор «Электронная торговля (e-commerce)». На втором месте сектор «IT-компаний», а на третьем - «Сервисы доставки». На последних местах - «Здравоохранение» и «Финансовые организации».
Что касается доменного соотношения попавших в публикации утечек почтовых сервисов, то лидером стал домен «mail.ru» вследствие наибольшей популярности данной почты среди российских пользователей. Следующую позицию в рейтинге заняли сервисы Gmail. Самым безопасным из российских сервисов оказался «Яндекс».
Прошедший год - самый масштабный по количеству утечек баз данных и информации.
Анализ опубликованных данных показывает, что хакактивистам удалось взломать более 355 российских компаний и выложить в открытый доступ украденную информацию: в общей сложности это более чем 460 миллионов учетных записей, 33 миллиона из которых - корпоративные.
Дополнительно появилась информация о вредоносного ПО типа «Стиллер», с помощью которого злоумышленники и похищали эти данные.
Наиболее подвержен атакам сектор «Электронная торговля (e-commerce)». На втором месте сектор «IT-компаний», а на третьем - «Сервисы доставки». На последних местах - «Здравоохранение» и «Финансовые организации».
Что касается доменного соотношения попавших в публикации утечек почтовых сервисов, то лидером стал домен «mail.ru» вследствие наибольшей популярности данной почты среди российских пользователей. Следующую позицию в рейтинге заняли сервисы Gmail. Самым безопасным из российских сервисов оказался «Яндекс».
❤2🔥1
👍5
🖥️ Профессиональный рост в сфере Информационной Безопасности - в SecWare!
Мы занимаемся безопасностью крупнейших российских компаний: Яндекс, РЖД, Райффайзен Банк, Россети и другие бизнесы различной величины!
В Безопасных Программных Решениях есть:
- Рабочий график, который можно выстроить самостоятельно;
- Стабильная заработная плата;
- Бесплатное обучение по интересным направлениям работы;
- Успешный карьерный рост.
🚀 Больше о компании на ХАБР
⚡ TG-канал с вакансиями
Мы занимаемся безопасностью крупнейших российских компаний: Яндекс, РЖД, Райффайзен Банк, Россети и другие бизнесы различной величины!
В Безопасных Программных Решениях есть:
- Рабочий график, который можно выстроить самостоятельно;
- Стабильная заработная плата;
- Бесплатное обучение по интересным направлениям работы;
- Успешный карьерный рост.
🚀 Больше о компании на ХАБР
⚡ TG-канал с вакансиями
👍3🔥3
УГРОЗЫ В OPEN SOURCE. Как это работает?
С начала 2022 года российские компании, взяв курс на импортозамещение, стремятся разрабатывать ПО быстро. Для сокращение сроков разработки разработчики пользуются готовыми решениями - компонентами Open Source. Нередко один продукт может содержать десяток пакетов с открытым исходным кодом.
В связи с мировой политической ситуацией, количество угроз, содержащихся в открытом программном обеспечении, выросло в десятки раз. В программные продукты разработчики-злоумышленники стали внедрять закладки — скрытые элементы программного кода, которые предназначены для нанесения ущерба пользователю.
Такие закладки могут включать в себя, например, код для безопасного для устройства отображения политических лозунгов, так и код, который способен запускать деструктивные процессы для различных данных.
Обнаружить закладки в Open Source достаточно трудно — разработчики- злоумышленники пытаются скрыть деструктивные действия, маскируя их под легитимную активность продукта.
Один из самых знаменитых инцидентов — это обновление в NPM-пакете node-ipc, которое содержало в себе вредоносный код, удаляющий данные с компьютера. Обновленный код node-ipc содержал функции по определению IP-адреса и, если тот относился к зоне «Российская Федерация» или «Республика Беларусь», переходил к деструктивным процессам — уничтожению данных.
Ситуация усугублялась тем, что библиотека широко распространена (например, node-ipc использовал популярный фреймворк Vue.js).
С начала 2022 года российские компании, взяв курс на импортозамещение, стремятся разрабатывать ПО быстро. Для сокращение сроков разработки разработчики пользуются готовыми решениями - компонентами Open Source. Нередко один продукт может содержать десяток пакетов с открытым исходным кодом.
В связи с мировой политической ситуацией, количество угроз, содержащихся в открытом программном обеспечении, выросло в десятки раз. В программные продукты разработчики-злоумышленники стали внедрять закладки — скрытые элементы программного кода, которые предназначены для нанесения ущерба пользователю.
Такие закладки могут включать в себя, например, код для безопасного для устройства отображения политических лозунгов, так и код, который способен запускать деструктивные процессы для различных данных.
Обнаружить закладки в Open Source достаточно трудно — разработчики- злоумышленники пытаются скрыть деструктивные действия, маскируя их под легитимную активность продукта.
Один из самых знаменитых инцидентов — это обновление в NPM-пакете node-ipc, которое содержало в себе вредоносный код, удаляющий данные с компьютера. Обновленный код node-ipc содержал функции по определению IP-адреса и, если тот относился к зоне «Российская Федерация» или «Республика Беларусь», переходил к деструктивным процессам — уничтожению данных.
Ситуация усугублялась тем, что библиотека широко распространена (например, node-ipc использовал популярный фреймворк Vue.js).
❤4❤🔥3