Операторов ИС ПДн хотят обязать присоединиться к проекту ГосСОПКА

Операторов ИС ПДн хотят обязать присоединиться к проекту ГосСОПКА

Операторов ИС ПДн хотят обязать присоединиться к проекту ГосСОПКА

В Государственную Думу внесены на рассмотрение поправки к законам, касающимся защиты данных. В частности, авторы инициативы предлагают дополнить список мер обеспечения безопасности, закрепленных Федеральным законом «О персональных данных», формулировками, согласно которым операторы информационных систем персональных данных (ИС ПДн) должны будут в обязательном порядке взаимодействовать с системой ГосСОПКА.

Создание системы обнаружения, предупреждения и ликвидации компьютерных атак на информационные ресурсы РФ (ГосСОПКА) было изначально продиктовано необходимостью надежно защитить критически важные объекты (КИИ) от масштабных угроз вроде Conficker и WannaCry. Первые технические решения в рамках проекта ГосСОПКА были опробованы в 2016 году, позднее ФСБ создало ядро системы и сформировало Национальный координационный центр по компьютерным инцидентам (НКЦКИ) для взаимодействия с субъектами КИИ.

Последнее время сохранность персональных данных сильно беспокоит законодателей, в особенности когда речь идет о представителях высших эшелонов власти. В связи с этим авторы внесенного в Госдуму законопроекта предложили внести изменения в действующее законодательство в целях повышения безопасности ПДн.

В частности, был предложен ряд поправок к закону «О государственной защите судей, должностных лиц правоохранительных и контролирующих органов» (No 45-ФЗ от 20 апреля 1995 года). Авторы законодательной инициативы считают нужным уточнить основания и порядок применения меры государственной защиты в виде обеспечения конфиденциальности сведений о защищаемых лицах и их имуществе.

Закон «Об оперативно-розыскной деятельности» (No 144-ФЗ от 12 августа 1995 года) предложено дополнить статьей 12.1 «Недопустимость разглашения сведений об осуществлении оперативно-розыскной деятельности». Речь идет о содержимом официальных запросов на предоставление ПДн, которое организации не должны сливать на сторону (например, в СМИ) без ведома и разрешения источника запроса.

Внесение изменений в закон «О персональных данных» (No 152-ФЗ от 27 июля 2006 года) касается части 2 статьи 19, определяющей меры, которые оператору следует принять для обеспечения безопасности обработки ПДн. Авторы нового законопроекта предлагают расширить формулировки пп. 6 и 9, дополнив их упоминанием ГосСОПКА как гаранта безопасности ПДн:

  • п. 6, закрепляющий такую меру защиты, как обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, предлагается дополнить словами «, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них»;
  • п. 9, обязывающий операторов ПДн контролировать принимаемые меры по обеспечению безопасности персональных данных и уровень защищенности соответствующих ИС, предлагается дополнить словами «, включая организацию и осуществление взаимодействия с государственной системой обнаружения, предупреждения и ликвидации компьютерных атак на информационные ресурсы Российской Федерации».
Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Каждое четвертое приложение для Android потенциально уязвимо

25% приложений для Android используют уязвимую библиотеку Android Jetpack, которая входит в средства разработки. Брешь позволяет потенциальным злоумышленникам перехватывать контроль над приложениями и получать любые данные, а также использовать устройства для подслушивания и в качестве камеры слежения.

Об обнаружении уязвимости в Android Jetpack, которая позволяет потенциальному злоумышленнику запускать любые фрагменты в навигационном графе, еще в марте сообщил эксперт по безопасности приложений Positive Technologies Андрей Песняк.

Google ограничился лишь предупреждением на странице описания обработки диплинков.

«В нем содержится ссылка на страницу «Conditional navigation», которая описывает очевидные решения с проверкой состояния доступа к запрашиваемому Фрагменту. Но давайте будем честны и подумаем, как часто мы заглядываем в документацию, особенно после того, как функциональность приложения уже написана? Кажется, что чуть реже, чем никогда», — уверены эксперты «Стингрей Технолоджиз» Юрий Шабалин, Веселина Зацепина и Игорь Кривонос.

Юрий Шабалин в комментарии для «Известий» оценил долю приложений для Android, которые подвержены данной уязвимости в 25%. Он предупредил, что ее наличие позволяет открывать фрагменты (экраны) внутри приложения и передавать в него любые данные. При этом абсолютно неважно, что разработчик указывал в коде и какие ограничения устанавливал.

Генеральный директор «Акрибия» Сергей Иванов конкретизировал угрозы:

«Из-за таких брешей злоумышленники могут подменить экран приложения своим и украсть все данные, которые вводит пользователь, — логин, пароль, реквизиты карты. Чтобы выявить проблему, важно обращать внимание на непривычное поведение программы: она не должна запускаться самостоятельно, а ее экраны должны выглядеть привычно».

Ведущий эксперт Kaspersky GReAT Татьяна Шишкова в комментарии для «Известий» также отметила, что Google в сентябре выпустили обновленную версию 2.8.1, где уязвимость была устранена. Она порекомендовала разработчикам или обязательно обновить Android Jetpack, или отказаться от ее использования.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru