На 99-й год да, это работало. Сейчас такое деление на мелкие виланы рождает уязвимость ошибочной миграции машин. Поэтому используются или системы на базе NGFW-решений, или же микросегментация. Последняя сложнее, поскольку вместо денег надо применять интеллект. Но один раз на конфигурировании среды, дальше всё это довольно просто поддерживается.
Если вы обратите внимание на КДПВ, то это как раз Linux-версия Wana. Правда, её пришлось специально собирать, но умельцы смогли запустить. Ведь это приложение попало в десятку самых распространённых Win-приложений, нельзя было упускать такой случай.
Цель вносимых законом изменений – это обеспечение работоспособности бизнес-процессов российских компаний в случае возможных проблем с работоспособностью международных сетей и систем.
Логирование не решает проблему, т.к. необходимо обеспечить первоначальное наполнение БД на территории РФ и все последующие модификации с записями в этой базе.
Формально логи «первичной БД» являться не могут, т.к. это именно логи.
Если я правильно понял вопрос, то заблокирован может быть только интернет-ресурс, обрабатывающий персональные данные с нарушениями законодательства (ст.15.5 ФЗ-149).
В случае, если речь о возможных нарушениях в обработке персональных данных во внутренней инфраструктуре (без «лица» в интернет которого в принципе нет), то эти нарушения выявляются в ходе проверок РКН с последующими административными взысканиями.
А это уже совсем другая история!:) А если серьезно, то российские аналоги тоже есть. Например у компании С-Терра, они предлагают технологию удаленного доступа «МАРШ!». Решение позволяет создать изолированную программную среду для безопасной передачи данных при работе с ресурсами удаленной информационной системы. Подробнее здесь.
При подключении по VPN сначала запускается плагин, который осуществляет оперативную проверку ПК на наличие вредоносного ПО, в том числе кей-логеров. Если проверка проходит успешно, то запускается два других плагина – первый, реализующий защищенную среду и второй (запускается внутри первого), собственно организующий сам VPN. Иначе – появляется оповещение о найденных вирусах и накладывается запрет на запуск защищенной среды и организации VPN. В том случае, если антивирусный плагин все же пропустил какой-то вирус, то тот не сможет использовать библиотеки и другие файлы в своей работе, если они предварительно не были явно разрешены к запуску в защищенной среде. При этом, как правило, список разрешенных к запуску файлов сильно ограничивается при настройке системы. Конечно же, 100% гарантии защиты от вирусов подобная схема не дает, но тем не менее сильно увеличивает шансы на победу. Если же нужна 100% победа над вирусами, то можно использовать Check Point GO – это загрузочная флешка со встроенной ОС на базе Linux с предустановленным прикладным ПО, в том числе для организации VPN. Внедрение в это решение вирусов невозможно, т.к. память флешки имеет защиту от изменения, получается что-то наподобие CD/DVD.
Этот апплет заменяет собой рабочий стол пользователя и позволяет осуществлять запуск только заранее одобренных приложений по «белому списку». При этом по умолчанию пользователю могут быть предоставлены такие сервисы, как веб-браузер, RDP, приложения Microsoft Office и другие, что позволяет организовать полноценную рабочую среду без ущерба безопасности.
Например, для проверки такой системы можно включить на тестируемом ПК удаленный доступ (Teaviewer) и запустить java-апплет, такой, как checkpoint secure workspace — удаленный доступ к ПК приостановится (также, как и приостановится работа большинства вредоносного ПО), при этом на ПК будет открыта защищенная рабочая среда, визуально напоминающая интерфейс Windows 7.
Если на вас возложена функция по обеспечению информационной безопасности, это, в частности, значит, что обучением и просвещением заниматься тоже вам. Конечно, ситуация поменяется не за день и даже не за неделю. Но под лежачий камень, как известно, вода не течет. Когда ИТ и бизнес-подразделения не понимают что такое ИБ, задают вопросы типа: «зачем она нам нужна», отпускают реплики типа «она ведь мешает», «это ведь всего лишь антивирус и межсетевой экран и не более того», а ИБ-шники чистые «технари» и говорят на своем, никому не понятном языке, возникает логичный вопрос – а что делают представители ИБ подразделения, чтобы изменить данную ситуацию коренным образом? Предпринимают ли они хотя бы попытки пообщаться с бизнесом/руководством и ИТ на тему информационной безопасности? Пытаются ли говорить на их языке, чисел, рисков, выгоды? Моя практика показывает, что если компания новая на рынке, такое продолжается до первого серьёзного удара.
Смещается акцент защиты. При этом если за защиту своих ПК и серверов мы хоть как-то можем быть спокойны, если действительно применяем меры для защиты, то в случае с Хромбуками остается только доверять Google.
Для базового уровня среднего и малого бизнеса — вполне достойный набор.
Но некоторые из ваших решений совсем не подходят для крупных компаний. И от серьёзных атак не все закроют. Другое дело, что в малом бизнесе таких атак просто нет.
Такие сайты всегда атакуют. Вот в прошлом году мы свой защищали. Направленные атаки были, одна довольно грамотная, но ото всех мы закрылись. В этом году мы партнеры проекта.
Ответ на вопрос в конце топика — да. На час раньше тоже писал про НПС — об особенностях внедрения и неподготовленности законодательства — habrahabr.ru/company/croc/blog/217419/
Совершенно согласен. Наверное, важно добавить, что сейчас уже выдвигаются первые инициативы по внесению изменений в законодательство об НПС, в том числе предусматривающие запрет размещения операционных центров (процессинговых центров) платежных систем за пределами РФ.
Главное для вас — клиент не может перевести с использованием неперсонифицированного средства платежа сумму, превышаю 15 тыс. руб. Общая сумма переводимых средств не может превышать 40 тысяч рублей в течение календарного месяца.
Если по счету клиента банка прошла операция, а он ее на самом деле не проводил, то он должен не позднее следующего дня после дня проведения операции оповестить об этом банк и затем клиент вправе требовать с Банка возвращения всей списанной со счета суммы. И согласно 161-ФЗ Банк обязан возместить все списанные средства. При этом опять же согласно 161-ФЗ Банк обязан оповещать клиента о всех выполненных им платежных операциях. Насколько оперативно и в каком виде банком должно осуществляться это оповещение в законе не прописано, что вызывает в настоящее время большое количество дискуссий.
Еще одна важная особенность 161-ФЗ — необходимость обеспечения всеми участниками НПС отказоустойчивости платежной системы. Грубо говоря если бабушка хочет перевести свою пенсию на счет внуку, то она имеет право сделать это в любое время суток без задержки, а участники НПС соответственно должны обеспечить ей эту возможность. Детали того как это должно быть реализовано в самом законе не прописано. Но в случае подобных нарушений ЦБ имеет право наложить на провинившегося участника НПС определенные санкции, вплоть до приостановления операционной деятельности банка или исключения оператора платежной системы из реестра. Так, оператор платежной системы Migom за нарушения требований 161-ФЗ был исключен ЦБ из реестра операторов платежных систем.
Еще один момент, который будет интересно знать рядовому гражданину: если раньше он мог проводить платежи без участия банка, например класть деньги на номер своего телефона, то сейчас согласно 161-ФЗ все подобные и другие электронные платежи проходят только с участием Банков. Это в первую очередь сделано для того, чтобы, вывести теневые электронные операции из тени и защититься от отмывания денег, полученных преступным путем.
В целом, самая важная проблема для организаций сейчас — это обеспечение ИБ НПС. Если вы являетесь сотрудником одной из компаний, которых это касается, вас ждут изменения как в ПО/ПАК, так и в организационных мерах. Возможно, специалисты по ИБ на следующий год станут более востребованными. Чуть больше деталей мы постарались собрать вот на этой странице: www.croc.ru/promo/nps/index.php?sphrase_id=138316
Основные понятия и принципы регулирования отечественных платежных систем схожи с международными, в том числе с Visa/Mastercard. Но помимо международного регулирования платежных систем (PCI DSS) новый закон (161-ФЗ) ввел и новые отечественные требования. На текущий момент на сайте ЦБ РФ зарегистрировано 29 операторов платежных систем (http://www.cbr.ru/today/?PrtId=rops), среди которых в том числе есть и Visa и Mastercard. Соответственно на них также распространяются все требования 161-ФЗ «О национальной платежной системе» и подзаконных актов, о которых речь идет в статье. Однако в виду последних всем известных событий Visa/Mastercard могут потерять свои позиции в России, и связано это с новой инициативой, которая может запретить отправлять информацию о платежах за границу. Таким образом Visa/Mastercard могут лишиться большого куска бизнеса в России, либо им придется создавать/арендовать на территории России дорогостоящие процессинговые центры. В качестве альтернативы Visa/Mastercard для проведения платежных операций на территории России может стать платежная система ПРО100, изначально создаваемая под проект УЭК.
Логирование не решает проблему, т.к. необходимо обеспечить первоначальное наполнение БД на территории РФ и все последующие модификации с записями в этой базе.
Формально логи «первичной БД» являться не могут, т.к. это именно логи.
В случае, если речь о возможных нарушениях в обработке персональных данных во внутренней инфраструктуре (без «лица» в интернет которого в принципе нет), то эти нарушения выявляются в ходе проверок РКН с последующими административными взысканиями.
Например, для проверки такой системы можно включить на тестируемом ПК удаленный доступ (Teaviewer) и запустить java-апплет, такой, как checkpoint secure workspace — удаленный доступ к ПК приостановится (также, как и приостановится работа большинства вредоносного ПО), при этом на ПК будет открыта защищенная рабочая среда, визуально напоминающая интерфейс Windows 7.
Но некоторые из ваших решений совсем не подходят для крупных компаний. И от серьёзных атак не все закроют. Другое дело, что в малом бизнесе таких атак просто нет.
Если по счету клиента банка прошла операция, а он ее на самом деле не проводил, то он должен не позднее следующего дня после дня проведения операции оповестить об этом банк и затем клиент вправе требовать с Банка возвращения всей списанной со счета суммы. И согласно 161-ФЗ Банк обязан возместить все списанные средства. При этом опять же согласно 161-ФЗ Банк обязан оповещать клиента о всех выполненных им платежных операциях. Насколько оперативно и в каком виде банком должно осуществляться это оповещение в законе не прописано, что вызывает в настоящее время большое количество дискуссий.
Еще одна важная особенность 161-ФЗ — необходимость обеспечения всеми участниками НПС отказоустойчивости платежной системы. Грубо говоря если бабушка хочет перевести свою пенсию на счет внуку, то она имеет право сделать это в любое время суток без задержки, а участники НПС соответственно должны обеспечить ей эту возможность. Детали того как это должно быть реализовано в самом законе не прописано. Но в случае подобных нарушений ЦБ имеет право наложить на провинившегося участника НПС определенные санкции, вплоть до приостановления операционной деятельности банка или исключения оператора платежной системы из реестра. Так, оператор платежной системы Migom за нарушения требований 161-ФЗ был исключен ЦБ из реестра операторов платежных систем.
Еще один момент, который будет интересно знать рядовому гражданину: если раньше он мог проводить платежи без участия банка, например класть деньги на номер своего телефона, то сейчас согласно 161-ФЗ все подобные и другие электронные платежи проходят только с участием Банков. Это в первую очередь сделано для того, чтобы, вывести теневые электронные операции из тени и защититься от отмывания денег, полученных преступным путем.
В целом, самая важная проблема для организаций сейчас — это обеспечение ИБ НПС. Если вы являетесь сотрудником одной из компаний, которых это касается, вас ждут изменения как в ПО/ПАК, так и в организационных мерах. Возможно, специалисты по ИБ на следующий год станут более востребованными. Чуть больше деталей мы постарались собрать вот на этой странице: www.croc.ru/promo/nps/index.php?sphrase_id=138316