Дайджест новостей по ИБ за 23 апреля – 07 мая 2018г.

Блоги:

Алексей Лукацкий рассказал, как создать макет дашборда по ИБ для руководства (часть 1, часть 2).

Павел Луцик описал возможные подходы к присвоению объектам КИИ категорий значимости.

Опыт прохождения проверки 8 центра ФСБ России по защите ПДн.

Тюнинг сигнатур Cisco IDS (aka Sourcefire / FireSIGHT / FirePOWER) от Артема Агеева.

Статьи:

Обзор изменений в законодательстве за март-апрель 2018.

Правила поведения в социальных сетях для детей.

Energetic Bear/Crouching Yeti: атаки на серверы.

4 метода обхода верификации SSL-сертификатов в Android.

На кого распространяется GDPR.

Paseto как альтернатива стандарту JOSE (JWT и т.п.).

Распространенные проблемы при использовании SIEM и способы их решения (англ.).

Журналы:

(IN)SECURE Magazine Issue 57.5 (май 2018). Тема номера: «RSA Conference 2018» (англ.).

Документы:

OUCH! Осторожно, фишинг! – апрельский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

OUCH! GDPR (Основные требования по защите данных) – майский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Законодательство:

Федеральный закон от 23 апреля 2018 г. N 111-ФЗ "О внесении изменений в Уголовный кодекс Российской Федерации". Ужесточено уголовное наказание за кражу денег с банковских карт.

Федеральный закон от 23 апреля 2018 г. N 102-ФЗ "О внесении изменений в Федеральный закон "Об исполнительном производстве" и статью 151 Федерального закона "Об информации, информационных технологиях и о защите информации"". Закон позволяет судебным приставам требовать блокировки сайтов, на которых размещена порочащая честь и достоинство граждан или организаций информация.

Приказ ФСТЭК России от 22.12.2017 N 236 "Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий".

Информационное сообщение ФСТЭК России от 23 апреля 2018 г. N 240/11/1868 "О разработанных ФСТЭК России Методических рекомендациях по разработке программ профессиональной переподготовки и повышения квалификации специалистов, работающих в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, противодействия иностранным техническим разведкам и технической защиты информации".

Аналитика:

Исследование текущего уровня защищенности финансовых приложений (см. краткий обзор). Источник: Positive Technology.

Глобальное исследование утечек конфиденциальной информации в 2017 году. Источник: Infowatch.

DDoS-атаки в первом квартале 2018 года. Источник: Лаборатория Касперского.

«Доктор Веб»: обзор вирусной активности для мобильных устройств в апреле 2018 года.

The 2017 TLS Telemetry Report - отчет о «криптографическом здоровье» Интернета за 2017 год (см. краткий отчет). Источник: F5.

Ресурсы:

Видео с "BSidesCharm 2018".

Дайджест новостей по ИБ за 16 – 23 апреля 2018г.

Блоги:

Андрей Прозоров сделал сравнительную табличку подходов ФСТЭК и ФСБ к безопасности КИИ.

Судебная практика: за публикацию в статье персональных данных редактору газеты вынесено предупреждение.

Статьи:

Преступления в банковской сфере 1 - 31 марта 2018.

Опубликованы подробности заражения утилиты CCleaner вредоносным ПО.

Внедрение майнера Coinhive через публичные Wi-Fi хотспоты.

Оповещение при добавлении пользователя в группу Active Directory.

Внедрение WAF для крупного интернет-магазина.

Рейтинг антивирусов 2018. Лучшие антивирусы для Windows 10 по версии Роскачества и ICRT.

Характерные признаки заражения компьютера вредоносным ПО.

Изоляция рабочих станций с помощью брандмауэра Windows (англ.).

Документы:
ГОСТ Р 57580.2-2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия". Стандарт устанавливает требования к методике и оформления результатов оценки соответствия защиты информации финансовой организации при выборе и реализации организационных и технических мер защиты инфомрации в соответствии с требованиями ГОСТ Р 57580.1, применяемых финансовой организацией для реализации требований к обеспечению защиты информации, установленных нормативными актами Банка России.

Программное обеспечение/сервисы:

CloneApp 2.0 - утилита для создания резервных копий настроек Windows-программ (см. описание).

InSpectre - рограмма для проверки наличия установленных обновлений, закрывающих уязвимости Meltdown и Spectre на Windows ОС.

Ресурсы:

Презентации с "ICS Security Summit & Training 2018" (март 2018).

Нарушает ли Реестр уведомлений о залоге движимого имущества закон о персональных данных?

Чуть более года назад я обнаружил, что через "Реестр уведомлений о залоге движимого имущества" можно найти информацию о залогодателе, выполнив поисковый запрос по его фамилии и имени. В ответ информационная система вернет уведомление о возникновении залога движимого имущества, которое содержит: информацию о транспортном средстве, в частности, номер двигателя, номер кузова и марку транспортного средства; ФИО залогодателя; дату рождения; серию и номер паспорта, а также адрес регистрации по месту жительства.

Т.е. любой желающий без регистрации на сайте, без авторизации может ввести минимум данных о человеке и узнать более подробную информацию о нем. Если исходить из логики вещей, должно быть наоборот.

Мне показалось это странным, и я задал вопрос Роскомнадзору. В результате пришел ответ, что всё ведется в порядке, установленном законодательством о нотариате.

До сих пор ничего не изменилось.

Что мешает перенести Реестр на "Портал государственных услуг"?

P.S. Поправьте, коллеги, если я не прав.