Пост Лукацкого

26 сентября 2023 17:18

С другой стороны инициатива может быть рассмотрена с точки зрения "дилеммы заключенного" ⚖️ из теории игр. Что выгоднее для участников (субъект и оператор ПДн) - договориться хотя бы о минимальной сумме компенсации или стоять на своем до конца? В худшем случае субъект не получит ничего, а оператор ПДн выплатит максимальный штраф. А в лучшем?..

Пост Лукацкого

26 сентября 2023 14:12

Когда я читал прогнозы Сбера, у меня сразу возникло два вопроса к исследованию, - использование Midjourney и излишний пессимизм в отношении нашего будущего ⚰️. И вот в Интернет активно обсуждается тема реального авторства этого отчета. Кто-то говорит, что это утечка из Сбера внутреннего документа. Кто-то считает, что этот отчет - явный фейк 🙃. Кто-то говорит, что авторы отчета (возможно и сам Сбер) просто проверяют реакцию людей. Но ни СМИ, ни сам Сбер официально не подтверждают, но и не опровергают авторство. И вот последнее меня и смущает больше всего. Если бы это был явный фейк и подстава Сбера (а за такие прогнозы им вряд ли морковку дадут), то уже давно бы (а отчет гуляет по Интернет с 7-го сентября) PR Сбера из кожи вон лез, чтобы всем доказать, что это фейк. Но этого нет. А значит, вполне возможно, что отчет и правда их.

Но в любом случае, у меня, кстати, описанное будущее не вызвало вопросов 😊 Оно вполне укладывается в общую канву развития и технологического, и финансового, и даже Сберовского. Но если подтвердится, что это реально был фейк, то это станет прям интересным кейсом, который заставит задуматься о проблеме происхождения информации, которая считается до сих пор нерешенной и США лет 15 назад включили ее в список самых главных тем для НИОКР 🤔 в области кибербеза.

Пост Лукацкого

26 сентября 2023 10:05

Задумывались ли вы, какой смартфон безопаснее: iPhone или Android? 🤔

Алексей Лукацкий, бизнес-консультант по информационной безопасности Positive Technologies, считает, что не существует такого понятия, как «безопасный смартфон». С чем это связано — читайте на карточках.

Ответы на какие вопросы по кибербезопасности вы бы хотели узнать от экспертов Positive Technologies? Напишите в комментариях под этим постом 💬

#вопросэксперту #кибербезопасность #cybersecurity #безопасностьданных @SecLabNews

Пост Лукацкого

25 сентября 2023 20:07

Меня тут в личке спрашивают, буду ли я давать ссылку на бусты, чтобы поддержать канал. Спасибо, коллеги, что хотите его поддержать 🤝, но ссылки не будет. Я не вижу пока смысла в бустинге, сторис и гонке за числом премиум-пользователей в канале. Фотки и видео я и так могу постить, без сторис. А если захочу их поднять на верх, то никто не отменял pin 📌. Хвалиться перед рекламодателями мне тоже не надо, как и монетизировать канал. В общем, пока живем в прежнем режиме 💻

Пост Лукацкого

25 сентября 2023 13:25

На штабных киберучениях, которые я проводил на Сахалине, один из кейсов касался темы недопустимых событий. По легенде заместитель руководителя организации по цифровой трансформации для выполнения требований МинЦифры и получения высоких рейтингов по этой теме должен составить перечень недопустимых событий в своем органе исполнительной власти и для этого он обращается за помощью к руководителю по ИБ. Я спросил, что должен делать последний, чью роль и выполняли участники киберучений.

И тут я вынужден сказать, что если в коммерческом секторе понятие недопустимых событий понимают гораздо лучше, то в госухе с этим сложно ❓. На учениях звучала идея, что надо взять угрозы ИБ 👿, сформированные по методике оценки ФСТЭК, и просто перегнать их в недопустимые события. Кто-то пошел чуть дальше и решил негативные последствия из новой, еще неопубликованной ФСТЭК, но автоматизированной у них на сайте, методики использовать 🫡.

В другом чатике на тему новой методики Минцифры, в которой и упоминаются недопустимые события, представители госорганов требовали предъявить им список НС, чтобы можно было выбрать из него то, что нужно. Но ведь это коренным образом нарушают все логику с определением событий с катастрофическими последствиями. Это должны делать первые лица организации - губернатор, министр и т.п. Но никак не ИБшник, который по привычке потянет за собой киберугрозы. И тут не может быть никакого списка, из которого можно будет выбирать варианты. В общем, Минцифре стоит усилить мероприятия по продвижению этой темы у подопечных...

Пост Лукацкого

25 сентября 2023 06:40

Олег задается рядом вопросов касательно возможной утечки из "Сирена-Трэвел" ✈️ и мне есть что сказать по этому поводу.
🔤Олег пишет, что 16 лет хранения (а именно об этом сроке говорится в утечке "Сирены-Трэвел") - это перебор. Тут, конечно, можно поспорить, так как помимо наших с вами желаний есть еще и требования по транспортной безопасности. И боюсь, что именно ради них все это и хранится так долго. Об этом говорят и поправки в Воздушный кодекс и закон "О транспортной безопасности", которые гласят, что срок хранения информации о пассажирах определяется Минтрансом по согласованию с ФСБ и МВД. И хотя этот закон вступает в силу только с 1-го марта 2024 года, не исключаю, что и раньше ради нацбезопасности данные о перемещениях накапливались достаточно длительное время.
🔤Тот же Аэрофлот в своей политике конфиденциальности не указывает этот срок, ссылаясь на стандартную отписку про "в течение срока, необходимого для достижения соответствующей цели" или "когда закон устанавливает более продолжительный срок хранения". О том же говорит и их политика конфиденциальности в области ПДн. В политике обработки ПДн "Сирены-Трэвел", принятой в мае этого года, аналогичная конструкция.
🔤ИКАО в своих рекомендациях в отношении записей регистрации пассажиров этот срок тоже не устанавливает, отсылая всех к локальному законодательству. Так что вроде запрета на долгое хранение нет.
🔤Система менеджмента ИБ "Сирены-Трэвел" сертифицирована по требованиям ISO/IEC 27001:2013. Сертификат действует с января 2021 по январь 2024 года.
🔤Информационная система персональных данных "Сирены-Трэвел" была в августе 2020-го аттестована по требованиям ФСТЭК. Аттестат закончил свое действие в августе этого года.
🔤В феврале 2023-го "Сирена-Трэвел" была сертифицирована еще и по PCI DSS 3.2.1 (сертификат действует до февраля 2024-го).

Если факт утечки в системе бронирования авиаперевозок ✈️ подтвердится (а семпл позволяет сделать такой вывод), то это будет очередной демонстрацией, что наличие сертификатов/аттестатов никак не гарантирует реальную кибербезопасность и не может служить никаким доказательством, что данные находятся в сохранности. Но и это еще не все.

Пассажиры ✈️ ведь не заключают никаких соглашений с "Сиреной-Трэвел", они свои данные сдают авиакомпаниям, а то и всяким транспортным и туристическим агентствам, которые затем "сдают" их Сирене. И поэтому сразу возникает вопрос ❓ - кому предъявлять претензии, что персональные данные мои или моих детей утекли? Можно ли вообще их предъявлять, если никто официально не подтвердит факт утечки? А что-то пока про это все официальные лица молчат; что тоже понятно, "Сирену" продвигают солидные организации.

ЗЫ. Ну а пока ждем очередных журналистских расследований. Вспоминая то, что писал в свое время Bellingcat, опираясь на данные за меньший период времени, утечка об авиаперевозках за столько лет может всякое раскрыть.

Пост Лукацкого

24 сентября 2023 16:49

Что-то в этом есть 😄

Пост Лукацкого

24 сентября 2023 08:40

Интересно, сейчас все обсуждают утечку почтового архива зама руководитея ФНС, курирующего вопросы информатизации и ИБ (последние письма датированы августом 2023-го года). Но странная ситуация. Все обсуждают, ЧТО утекло, а не ПОЧЕМУ эта информация публикуется в канале, который уже не один год сливает очень чувствительные данные по высокопоставленным чиновникам 🧐

Шалтая-Болтая за схожие фокусы прихватили очень быстро. Проукраинские каналы с утечками ПДн россиян тоже прикрывают регулярно (хотя они также быстро восстают из пепла) ⛔️ А тут канал продолжает работать много лет, сливает не только персданные, но и конфиденциалку и ДСП; и хоть бы что 🤷‍♀️ И все наши депутаты, сенаторы, роскомнадзоры и иже с ними активно обсуждают, что с началом СВО увеличилось число утечек персональных данных российских граждан, что против нас ведется кибервойна, что серый цифровой профиль гражданина регулярно пополняется новыми данными, а про источник утечек гораздо более критичной и более ценной информации - ни слова?..

Cui prodest? Cui bono?

Пост Лукацкого

23 сентября 2023 15:17

Вдруг вспомнилось, что раньше логотип ГосСОПКИ был другой. Но ассоциация с медведем и всяческими группировками, в названии которых встречалось слово Bear (Fancy, Energetic, Cozy...), были уж слишком явные. Наверное, поэтому заменили на радар.

ЗЫ. Хотя вот ЦИБ ФСБ не стеснялся таких ассоциаций и в своем настенном календаре на 2019 год хорошо прошелся по теме медведей и страхов американских военных, на мониторах которых вдруг появляется медвежья морда 😊

Пост Лукацкого

23 сентября 2023 07:47

Кто-то подумает, ну просто сайт взломали и все 😂. Кто-то продолжит мысль, что могли и правда украсть исходники сертифицированной и защищенной по 4-му классу операционной системы. Кто-то задумается, а не внедрили ли чего-нибудь 🧑‍💻 в ПО заранее и не раскатали ли 👨‍💻 это начиненное "разным" обновление по клиентам? Кто-то из клиентов подумает, а не проник ли ко мне уже враг через "защищенную" ОС 👨‍💻 и не надо ли поставить эти узлы на дополнительный мониторинг, а также провести ретроспективный анализ их взаимодействия за последние полтора года (для этого, конечно, надо иметь средство для мониторинга такой сетевой активности)?

Кто-то вспомнит, что это уже 8-й или 9-й публичный случай взлома отечественной компании, работающей на ниве ИБ, и пора бы уже навести порядок в этой сфере, например, потребовав от всех лицензиатов сформировать перечни недопустимых событий для себя, иметь круглосуточно действующий SOC (хотя мониторинг среды разработки - это особое искусство), вывести свой софт на традиционную Bug Bounty, а также запустить Bug Bounty на недопустимые события. А можно и вовсе запустить нечто похожее на взаимное проникновение ИБ в ИБ 😋, то есть пентесты друг друга. Кто как не разработчик в области ИБ знает косяки других разработчиков в области ИБ.

В общем, много выводов можно сделать из простого сообщения в одном проукраинском Telegram-канале. Главное их сделать... 😬

Пост Лукацкого

22 сентября 2023 20:05

Перестал детально отслеживать нормативку и всплывают регулярно интересные моменты. Например, апрельские поправки в 235-й приказ ФСТЭК, в котором заменили «уполномоченное лицо» на «замруководителя субъекта КИИ», увязав его с 250-м Указом.

И тут сразу вопрос возникает с тем, что по мнению Минцифры замруководителя по ИБ может быть один на группу компаний, а по мнению ФСТЭК уже 🤷нет. По ФСТЭК это лицо подчиняется именно руководителю организации, а по Минцифре руководитель ИБ может быть в службе безопасности, директор которой уже подчиняется руководителю организации.

Получается, Минцифры, как инициатор 250-го Указа, следует его духу, а ФСТЭК- букве. Иными словами, один регулятор смотрит буквальное исполнение 250-го, а второй - сутевое 🤔

Пост Лукацкого

22 сентября 2023 13:23

Недостатки, которые ФСТЭК выявляет при категорировании объектов КИИ

Пост Лукацкого

22 сентября 2023 06:40

Находясь на Дальнем Востоке, понимаешь, что мой канал выглядит иногда не совсем так, как ты задумываешь. Если по Москве я публикую первую заметку в 7.40, то в Южно-Сахалинске рабочий день подходит к концу (почти 4 часа вечера). И ты успеваешь прочитать всего 3 заметки в день, все в вечернее время, добирая с утра то, что было мной опубликовано во время дальневосточного сна. Поэтому хочу провести опрос на тему времени и частоты публикаций в канале. Отдай свой голос 🫵

Пост Лукацкого

21 сентября 2023 18:47

Мы перезапустили наш ежегодный сборник аналитических материалов Positive Research, превратив его в полноценное медиа-издание о кибербезе. Стильно, модно, интересно 😊

Встречайте - https://ptresearch.media/

Пост Лукацкого

21 сентября 2023 16:09

Сегодня (или уже вчера по местному времени) на Sakhalin Security 2023 в выступлении представителя НКЦКИ был упомянут Битрикс и массовые атаки на него. Говорилось это все в контексте, что многие пользователи Битрикса были взломаны за полгода до начала массовых атак, установлены шеллы и все такое. И все это прекрасно бэкапилось (резервное копирование - важная штука). После атак, когда все переустановили свои Битриксы из резервных копий... были снова установлены и забэкапленные шеллы и все такое. И снова атаки, снова компрометации, снова подмены страниц с политическими лозунгами, снова утечки информации.

Вдруг находится критическая RCE-уязвимость в Битриксе, позволяющая хакеру выполнить команды операционной системы на уязвимом сервере и, получив контроль над его ресурсами, проникнуть затем во внутреннюю сеть компании-заказчика. Дыра обнаружена 13 сентября и занесена в БДУ ФСТЭК. CVSS - 10. Вы думали Битрикс уведомил об этой уязвимости своих клиентов? Хрен!

Я это уже писал как-то, но повторю. Битриксу надо менять свое отношение к ИБ - и в части архитектуры собственных продуктов (разговоры про то, что нельзя удаленно за клиента обновлять его сервера, - это для бедных), и в части работы по вопросам ИБ со своими клиентами. А то вдруг внесут в законодательство ответственность ИТ-поставщиков за небезопасность их продуктов или выкинуть из реестра отечественного ПО за попустительское отношение к ИБ. А то чего хуже - обяжут на BugBounty выйти.

Пост Лукацкого

26 сентября 2023 16:59

Минцифры в своем канале пишет, что Правительство одобрило инициативу министерства по включению в законопроект об оборотных штрафах идеи про компенсацию 🤑 пострадавшим от утечки определенной суммы денег от оператора ПДн, у которого утечка и произошла. О сумме речь не идет, но судя по тексту заметки, оператор сам определит сумму возмещения, которое он готов выплатить, а задача 80% пострадавших с этой суммой согласиться или нет.

Помните я делал опрос о том, на какую сумму компенсации согласились бы вы, если бы ваши ПДн утекли. Теперь, если предположить, что максимальная сумма штрафа не может быть более 500 миллионов рублей (или 3% от годового оборота, но не более 500 миллионов), то с точки зрения банальной арифметики оператору нет смысла выплачивать компенсации больше максимальной суммы штрафа. Соответственно, если мы поделим 500 миллионов на объем утечки, то получим сумму, выше которой компенсация быть не может (а иначе какой в ней смысл - проще штрафом отделаться).

Можно и наоборот посмотреть - поделить 500 миллионов на сумму желаемой компенсации. И получается, что при желаемой компенсации в 75 тысяч (в опросе это звучало как "больше 50 тысяч") рублей, в утечке не должно быть больше 6666 записей. При сумме компенсации в 1 тысячу рублей (пара чашек кофе ☕️ в центре Москвы), объем утечки не должен быть больше полумиллиона записей. А мы помним, что почти все последние утечки очень часто превышали это значение.

И это я использую схему "либо-либо", то есть либо компенсация, либо максимальный штраф. Но ведь, чтобы заслужить от суда максимальный штраф надо еще постараться. В реальности цифры будут существенно ниже. Вот и получается, что при всей своей интересности инициатива Минцифры малореализуема на практике, так как операторам ПДн она экономически не интересна; только время потратят на процедуру.

Пост Лукацкого

26 сентября 2023 13:33

Выпустил тут Сбер свое видение будущего на горизонте до 2035-го года, почему-то иллюстрируя все положительные его стороны с помощью Midjourney, а все отрицательные с помощью своей нейросети "Кандинский" (у меня были подозрения, что "Кандинский" обучался на депрессивном датасете и, видимо, Сбер это и сам понимает).

Там все про людей и общество, но есть и по нашей с вами теме. Я выделил несколько интересных прогнозов:
🔤Многих специалистов заменит искусственный интеллект. Требуется постоянное обучение в новых форматах (микрообучение, цифровизация обучения, отсутствие фундамента и т.п.)
🔤Погружение в метавселенные, деанонимизация, исчезновение "персональных" данных, цифровые следы, тотальный цифровой контроль, цифровые границы (кто сказал NGFW), оффлайн становится эксклюзивом для богатых.
🔤Рост числа киберугроз, связанных с цифровыми двойниками, цифровыми "слепками", цифровой идентичностью.
🔤Децентрализованные финансы DeFi, повсеместный Интернет вещей, телемедицина, нейротехнологии, киберпротезирование
🔤Расслоение общества на касты, увеличение числа бедных, рост рисков с их стороны, уход их в онлайн и переход на дофаномику (дофаминовая экономика).

Сбер нарисовал просто классический пример киберпанка будущего (никаких "свободы, равенства, братства", "оптимизм" так и "брызжет"). При этом России уготована ведущая роль в восточном цивилизационном анклаве (Китай не спросили, что он об этом думает?) и лидирующие позиции в области ИИ, робототехники, метавселенных и, внимание, кибербезопасности. Ждать ⏳ осталось недолго 😊

Пост Лукацкого

26 сентября 2023 06:40

Хакеры, взломавшие Sony, пытаются выглядеть солидно и преподносят себя как пентестеров; правда, работающих без предварительных договоренностей и договора. Мы вас взломали - заплатите нам 🪙 А нет, мы получим деньги за свою работу иным путем.

Новое в этом кейсе другое. Хакеры заявляют, что работают в полном соответствии с GDPR 🇪🇺, забыв, правда, получить согласие на доступ к чужим персданным 😂 Но дальше вновь проявляется сущность вымогателей. Если не заплатить, то обещают пожаловаться в местный «Роскомнадзор» (интересно, в какой, ведь на Японию GDPR вроде не распространяется) ✍️

Пост Лукацкого

25 сентября 2023 16:57

Если ИБшник не очень хорошо разбирается в бизнесе, который он призван защищать в информационной сфере, то для таких ситуаций регуляторы начали выпускать перечни типовых отраслевых объектов КИИ, которые есть уже, например, для транспорта, энергетики, ТЭК... В них перечислены критические процессы, которые требуют защиты. У ЦБ есть аналогичная история с ключевыми процессами в 716-П по операционным рискам. А там недалеко уже и до общения с бизнесом на его языке 🤑

Не факт, конечно, что у регуляторов стояла такая задача - научить ИБшников понимать их бизнес. Скорее все было не так - регуляторы видели, что все стараются уйти от выполнения требований ФЗ-187, занизить себе категории объектов КИИ, а то и вовсе уйти из под действия закона. Поэтому и родилась идея, что пусть категорируют не субъекты сами себя, а отраслевые регуляторы по четким (насколько это возможно) критериям. Ну а кто, как не отраслевой регулятор, знает свои критические процессы. Так и родились перечни типовых отраслевых объектов КИИ. Но использовать их можно с пользой, раз уж нельзя выйти из под действия регуляторики.

Пост Лукацкого

25 сентября 2023 09:57

На Sakhalin Security НКЦКИ рассказывало о том, что они видят по тем инцидентам, которые попадают в прицел их внимания. То, что было в 2022-м году на мой взгляд не так интересно, а вот наблюдения по 2023-му году гораздо ближе нам и ценнее. Все говорит о том, что время тестирования возможностей прошло и плохие парни по ту сторону баррикад начинают более активные действия:
🔤Координация атакующих вместо разрозненных атак
🔤Реальный ущерб вместо PR на атаках
🔤Больше реальных утечек, а не фейков или компиляций
🔤DDoS не как самоцель, а для маскировки других атак
🔤Атаки не цепочки поставок
🔤Закрепление в скомпрометированной инраструктуре.

Пост Лукацкого

24 сентября 2023 20:12

Раскраски - незаслуженно забытый элемент маркетинга мероприятий по ИБ. Вместо скучных блокнотиков, скапливаемых десятками, лучше бы раскраски раздавали. Все польза во время скучных докладов и пленарок. Да и мелкую моторику рук развивает…

Пост Лукацкого

24 сентября 2023 12:45

2016-й год, если что. С исходной предпосылкой ошибся (на текущий момент), но последствия еще тогда можно было предположить и подумать о вариантах нейтрализации (хотя думать об этом не хотелось). Кто-то подготовился, кто-то нет…

ЗЫ. Первый раз я такой сценарий на штабных киберучениях в 2012-м опробовал, еще до Крыма. Подняли на смех, сказали, что я квасу обпился…

Пост Лукацкого

23 сентября 2023 19:29

vx-underground решили ответить Вазаваке на его идею с мерчем с фото из «Самые разыскиваемые преступники 😈 по версии ФБР» своим мерчем. Все троллят друг друга 😕

Пост Лукацкого

23 сентября 2023 11:46

👱‍♀️🚶‍♂️🛣👅💦

⬆️Это не просто набор эмодзи, а фраза, которую можно использовать в качестве пароля (ChatGPT утверждает, что так в картинках выглядит скороговорка «Шла Саша по шоссе и сосала сушку»).

Да, представьте себе, пароли с эмодзи тоже бывают. Как рассказал на IT-пикнике Николай Анисеня, руководитель отдела перспективных технологий Positive Technologies, у них есть свои плюсы и минусы.

➕ Такой пароль может быть в два раза короче сложнозапоминаемой абракадабры из букв, цифр и символов, но при этом останется не менее устойчивым — это гарантируют существующие 3500 эмодзи.

➖ Вас может предать любимый смартфон, который запоминает и показывает недавно используемые эмодзи. Так что мошенникам останется только собрать их в нужную комбинацию.

Хотите больше знать о паролях (и не только в картинках)? Смотрите полную версии доклада Николая по ссылке.

#PositiveЭксперты

Пост Лукацкого

23 сентября 2023 06:40

Я тут на днях проводил на Сахалине 🌋 штабные киберучения и один из рассматриваемых кейсов был связан с атаками на цепочку поставок и, в частности, с заявлением некой хакерской группировки о взломе отечественного ИБ-вендора 👨‍💻 и кражи исходных кодов его продуктов. Интересно, что участники киберучения как рекомендации по кейсу упоминают про необходимость усиления контроля за обновлениями и установления более жестких требований к поставщикам ПО (стараюсь не спрашивать, а сами они эти требования устанавливают? 🤫). Но вот мысль провести полную ревизию того, что это ПО делает внутри самой компании, которая его использует, и что оно могло делать месяцы назад, не возникает почти никогда.

А ведь мы понимаем, что публикация факта взлома разработчика ПО 🔓 - это уже конец истории, когда хакеров не волнует, что будет дальше (если нет требования выкупа). Да, это может быть просто взлом сайта и слив базы данных всего его пользователей, а также тикетов техподдержки, логи изменений и т.п. А может быть и более глубокая история, а именно компрометация и конвейера разработки и даже внедрение закладки в ПО (вспоминаем SolarWinds). И тогда история примет совсем иной оборот, не так ли?..

И вот свежайший пример. Хакеры "братского народа" 💀 написали, что взломали ✊ компанию РЕД СОФТ (имеет сертификат ФСТЭК по требованиям безопасности) и получили полный доступ к их данным. Выложенный семпл не очень информативен, но, как минимум, ФИО и email сотрудников, а также change log с упоминанием всяческих CVE там точно присутствуют. И вот что дальше?

Пост Лукацкого

22 сентября 2023 16:57

Нарушения, которые выявляет ФСТЭК в рамках госконтроля в састи обеспечения безопасности объектов КИИ

Пост Лукацкого

22 сентября 2023 10:03

Запись моего небольшого выступления "Может ли кибербез приносить ощутимый результат?" с конференции Киберриторика в Санкт-Петербурге 13-го сентября этого года.

Пост Лукацкого

21 сентября 2023 20:12

Моя статья в Positive Research тоже попала 😊

Пост Лукацкого

21 сентября 2023 17:02

Интересная дискуссия на Sakhalin Security 2023 была. Касперский доказывал, что MDR - это нелицензируемый ФСТЭК вид деятельности, так как в его рамках никакого мониторинга ИБ нет и что там просто телеметрия передается и расследования проводятся 🌋 Озадачен 🤔

Понимаю нежелание получать лицензию на то, что предоставляется по унифицированным правилам во всех странах мира. И как аттестовать площадку, которая часть MDR, но располагается в каком-нибудь Сан-Паулу? 🇧🇷 И она не может использовать сертифицированные ФСТЭК средства защиты. Да и требования по квалификации персонала не выполнимы.

Дилемма - либо международный бизнес и уход от лицензирования (кто у тебя зарубежом купит 🤑 сервис, если он имеет лицензию одной российской спецслужбы и аккредитацию центра ГосСОПКИ другой?), либо патриотизм, выполнение законодательства и «прозябание» в рамках одной страны. Либо создание двух веток MDR (для 🇷🇺 и 🌎), что экономически не очень целесообразно.

Пост Лукацкого

21 сентября 2023 13:39

Иногда, смотря судебные решения и доводы сторон, понимаю, что я слишком прямолинеен, чтобы быть юристом в области кибербеза.

Например, представим, что шифровальщик накрыл компанию и у нее украли данные. Налицо утечка ПДн, которая попадает под ст.13.11 КоАП. И какие тут сомнения? Но оказывается, находятся компании, которые считают, что их нельзя привлекать к административной ответственности, так как их вина отсутствует из-за того, что причиной утечки ПДн стали «неправомерные действия третьих лиц, которые получили доступ к информации незаконно с использованием вредоносных компьютерных программ». Как тебе такое, Илон Маск? (с)

Судьи к таким доводам часто глухи, считая, что несанкционированный доступ к информации не имеет значения для квалификации содеянного по ч.1 ст.13.11 КоАП РФ. Но сама постановка вопроса о невиновности оператора, который и так уже пострадал от хакеров, забавна. Вспоминается «Берегись автомобиля»: «Деточкин виноват; но он и не виноват»!

Вспоминая заметку про типы бумажных ИБшников, хочется сказать, что задача ИБ (если не вдаваться в историю принесения прибыли для компании от ИБ) - защищать бизнес от разных угроз и делаться это может разными способами. Приведенная вариант ничем не хуже и не лучше проектов по реализации 21-го приказа ФСТЭК по защите ПДн. Может быть даже дешевле... если дело выиграно 👩🏼‍⚖️