На фоне всей этой истерики с защитой персональных данных, уведомлениями, драконовскими штрафами и прочими ужосами отечественной бюрократии - смотрю на обычный почтовый конверт:
Иван Фёдорович Крузенштерн, тел. +7 901-202-33-44, адрес г. Мусохранск, улица Скотопрогонная д.4 кв.13
А это не персональные данные, нет? Доступные для неопределенного круга лиц, начиная от почтальонов всея страны, включая случайных гопников, взламывающих от скуки почтовые ящики в подъезде, дворника-нелегала, собирающего мусор в подьезде, и до работников мусорного полигона, набранных из лиц проблемного образа жизни, сортирующих мусорные мешки за копейки.
Где "принятые мероприятия", где "приказ о назначении ответственного (не более одного человека)" и прочая-прочая?
Тут должна быть крылатая фраза за авторством Лаврова, но мы же приличные люди...
«Оборотные» не за горами! Стоит ли сообщить регулятору о старых утечках?
Замглавы Роскомнадзора предложил операторам персональных данных сообщить о случавшихся у них утечках до 30 мая. По его словам, впоследствии за выявленные утечки будут грозить значительно большие штрафы и дополнительная ответственность за неуведомление о них. Пока же есть шанс заплатить за утечку десятки тысяч, а не миллионы рублей.
По нашим данным, только 31% компаний готовы уведомить власти при утечке. Разберемся, стоит ли менять позицию и «сдаваться» сейчас, или нет:
Положения закона, ужесточающие наказания, обратной силы не имеют. Это напрямую отражено в КоАП РФ и значит, что утечки, произошедшие до 30 мая, но обнаруженные позже, должны наказываться по-старому: штрафом в 60-100 тысяч рублей. Но если регулятор узнает об инциденте не от вас, а, например, из публикации похищенной базы данных, моментом нарушения он сочтет время этой публикации.
Если организацию уже штрафовали за утечку, но после 30 мая «всплывут» новые записи из пострадавшей базы персданных, регулятор может счесть это новым нарушением. Наличие этих данных в старой утечке придется доказывать.
Обязанность уведомлять Роскомнадзор об утечках введена в 2022 году. С 30 мая ее неисполнение будет грозить бизнесу штрафами в 1-3 млн р. Неуведомление – длящееся нарушение. Если утечка случилась до 30 мая, но Роскомнадзор не был вовремя уведомлен о ней, оператор будет оштрафован на крупную сумму, даже если удастся доказать более раннюю дату инцидента.
Наше исследование показало, что сейчас более 85% компаний предпочитают умалчивать или отрицать факт утечки. Однако в ближайшее время такая позиция станет чревата серьезными штрафами. Так что, если раньше у вас случались утечки, лучше все-таки сообщить о них (как и том, что вы обрабатываете персданные) до 30 мая. Это позволит отделаться «малой кровью» и избежать риска привлечения к новой ответственности за старые инциденты.
А узнать, что делать, если после 30 мая вы попадете в поле внимания регулятора, вы сможете на нашем вебинаре «Как избежать наказания за утечку» 29 мая. Это бесплатно, регистрируйтесь – будем рады вас видеть.
РТУ МИРЭА совместно с АО «НИЦ» и «РУСИБ» приглашает всех, интересующихся Инфобезом, с 7 апреля по 8 июня принять участие в гибридном хакатоне NeedForFWSpeed на самое быстрое ПО межсетевого экрана и побороться за призовой фонд 0,6 млн рублей.
По просьбам интересующихся хакатоном, организаторы NeedForFWSpeed продлили регистрацию на мероприятие до 31 мая включительно. Если Вас заинтересует этот хакатон, то ещё есть возможность успеть в последний вагон. Пост с краткой информацией размещен здесь. Ниже ссылка на сам сайт хакатона.
Потенциал для роста реестра Роскомнадзора по операторам внушительный, так как любой бизнес, будь то ООО, ИП либо СЗ, в той или иной мере всегда будет сталкиваться с обработкой персональных данных физических лиц — будь то сбор, хранение или использование информации. И, судя по закону, практически нет лазеек, чтобы избежать этого. Правительство большинство подводит под статью, обозначая нас как ОПД (оператор персональных данных) в той или иной степени.
Однако, Роскомнадзор не резиновый и существенно ограничен в трудовыx и технических ресурсаx, чтобы отслеживать всеx и каждого по данному вопросу
Так вот, для того, чтобы НЕ выделяться бездействием на фоне другиx надо, образно выражаясь, "статистически не отсвечивать"
Что это значит?
Для этого нужно соблюдать базовые минимальные правила поведения для исполнения фз 152, а именно:
- подать уведомление в Роскомнадзор как Оператор минимум по Цели обработки ПД: Подготовка, заключение и исполнение договоров гражданско-правового xарактера с контрагентами (ООО, ИП, СЗ) и Ведение кадрового и бухгалтерского учета (ООО , ИП с сотрудниками)
- опубликовать на своем сайте Политику обработки данныx
- на сайте установить всплывание сообщения, что вы собираете и обрабатываете куки, согласно Политике
- В Политике обязательно перечислите какие метрические программы (Яндекс Метрика, Пиксель ВК реклама и др.) установлены на сайте. При использовании Гугл Аналитикс сообщить Роскомнадзору о трансграничной передаче данныx
- при отправки форм пользователь должен сам ставить галочку, что согласен на обработку персональных данныx, согласно Политике
- при работе с ПД физлиц всегда запрашивать согласие на обработку ПД с помощью подписания отдельного документа (да, есть исключения, например, согласно пункту 1 часть 2 статья 6 ФЗ №152, но лучше всегда получать)
Вкратце так, иначе возможны штрафы, когда попадете своим бездействием под проверку Роскомнадзора
Естественно, для крупного и части среднего бизнеса минималкой не обойтись и требуется дополнительные цели в уведомлении для Роскомнадзора, а также выверенный полноценный регламент по работе с персональными данными, а это жесть от и до
А для микро, малого и части среднего бизнеса минималка на первом этапе будет палочкой выручалочкой, чтобы снизить вероятность претензий Роскомнадзора до минимума либо исключить полностью
Двоих сотрудников компании Opexus, ранее замешанных в организации кибератак, обвиняют во взломе, уничтожении 30 баз данных и удалении более 1800 файлов компании.
Утечка биометрии из консалтинговой фирмы
Berkeley Research Group расследует инцидент, из-за которого могли быть украдены биометрические ПДн, генетическая информация и другие данные клиентов компании.
Дайджест кибератак на библиотеки
Эксперты ЭАЦ InfoWatch собрали информацию о крупнейших кибератаках на библиотеки за последние несколько лет.
Утечка ПДн миллионов британцев
Хакеры заявили, что завладели 2,1 млн записей ПДн людей, которые обращались за правовой поддержкой в агентство юридической помощи Великобритании с 2010 года.
Coinbase потеряла до $400 млн после кибертаки
Криптобиржа прогнозирует ущерб от $180 млн до $400 млн в результате кибератаки, в ходе которой были взломаны счета группы клиентов.
Утечка ПДн клиентов Dior
Неизвестные хакеры украли данные о самых богатых клиентах французского бренда в Китае — это может стать чувствительным репутационным ударом для компании.
Данные пользователей Steam оказались в дарквебе
Злоумышленник Machine1337 продавал данные 89 млн аккаунтов Steam за $5000, но представители компании утверждают, что база содержит только одноразовые коды доступа и пользователям не о чем беспокоиться.
Перед тем как пойти в новое место, многие лезут в отзывы. Казалось бы — обычное дело. Но что, если я скажу, что ваш безобидный отзыв на шаурму у метро может раскрыть о вас гораздо больше, чем вы думаете?
Сегодня разберём, почему стоит дважды подумать, прежде чем писать отзывы, если вам важна приватность. И заодно — как эти отзывы могут использовать злоумышленники.
Причем здесь 2GIS? В приложении у каждого авторизованного пользователя есть профиль, на который можно подписаться и следить за всеми отзывами. Многие думают: «Ну и что? Я же под ником "Аноним Анонимов"!»
Но вот в чём подвох: ➜ Если кто-то добавит ваш номер телефона в контакты, 2GIS подсветит ваш профиль — со всеми отзывами, фотками и активностью.
Что можно узнать из ваших отзывов? 1️⃣ Интересы — кафе, бары, магазины, кинотеатры… Всё, что вы оцениваете, рисует ваш цифровой портрет. 2️⃣ Место жительства — некоторые пишут отзывы на свои ЖК, ТЦ рядом с домом и даже на подъезды. 3️⃣ Круг общения — если вы и ваши друзья ходите в одни и те же места и оставляете отзывы, связь легко отследить. 4️⃣ Фотографии — машина, питомец, случайно попавшие в кадр документы… Мелочи, которые могут стоить дорого.
Вывод
Интернет ничего не забывает. Даже невинный отзыв может стать кусочком пазла, который сложит вашу жизнь перед злоумышленником.
Больше контента в моем авторском telegram-канале: https://t.me/ru_vm (BritLab)
Почему традиционные тренинги по ИБ не работают — и что с этим делать?
Коллеги из Ассоциации BISA выпустили отличный видеоподкаст с командой Start X: как применять теорию фреймов в обучении сотрудников и почему без понимания психологии устойчивую защиту не построить.
Рекомендуем к просмотру всем, кто отвечает за обучение, безопасность и работу с человеческим фактором.
InfoWatch — новый участник Консорциума исследований безопасности технологий ИИ
ГК InfoWatch вступила в Консорциум исследований безопасности технологий искусственного интеллекта.
Эксперты ГК InfoWatch войдут в состав рабочих групп Консорциума. Будут участвовать в разработке нормативно-правовой базы для реализации национальной стратегии развития ИИ, тестировании уже существующих отечественных решений с точки зрения безопасности и в подготовке согласованных требований к процессам разработки при создании безопасных технологий ИИ.
Консорциум создан для исследований безопасности технологий ИИ при поддержке Минцифры России. Объединяет экспертов и организации для разработки безопасных, этичных и надежных технологий ИИ. Цель — минимизировать риски, обеспечить прозрачность и ответственное внедрение ИИ на благо общества.
Вышло обновление DLP-системы InfoWatchTrafficMonitor7.12
Выпустили обновление DLP-системы InfoWatch Traffic Monitor. Агент новой версии получил поддержку работы с новыми версиями ОС.
Для соответствия требованиям госструктур агент InfoWatch Traffic Monitor версии 7.12 протестирован и поддерживает новые версии распространенных российских ОС — РЕД ОС 8 и Astra Linux 1.8.
Также в бета-версии агента добавлена поддержка macOS c возможностью контролировать HTTPS-трафик и события печати.
В процессе подготовки статьи (Как я зарегистрировал CVE и разозлил вендора) искал информацию об уязвимостях, которые не были признаны разработчиками. И натнулся на проект NotCVE (он же !CVE). Проект появился как минимум с октября 2023 года. Удивительно, что в рунете практически нет упоминания этого проекта (нашёл только ссылку на этот ресурс на сайте БДУ). Миссия проекта - предоставить общее пространство для уязвимостей, которые не признаны производителями, но при этом представляют собой серьезные проблемы безопасности. Если исследователь столкнулся с трудностями при присвоении CVE, авторы проекта готовы помочь - содействуя присвоению CVE. Либо, если это окажется безуспешным, присвоив NotCVE. База уязвимостей, которым присвоили NotCVE, пока скромная (всего 5 штук). Есть 3 варианта поиска, производящих поиск одновременно по базам CVE и NotCVE: с поддержкой фильтра по версиям, CVSS, наличию эксплоита, типу воздействия (у меня, правда, поиск по версиям плохо отработал - может, неверно составил запрос).
В некоторых случаях MITRE выступает за присвоение CVE, но вендор против. В таких случаях MITRE ничего не может сделать. По опыту мы можем сказать, что в итоге CVE не будет присвоен. Обратите внимание, что «проблема безопасности» не может быть даже названа «уязвимостью», потому что не является таковой (только у поставщика есть такие полномочия) в соответствии с правилами MITRE. Если что-то не является «уязвимостью», то нечего исправлять, нечего отслеживать и т. д. Поскольку такие проблемы остаются незамеченными, к ним следует относиться еще более осторожно, поскольку они, скорее всего, не будут исправлены. Поэтому платформа !CVE - это далеко не развилка, но она раскрывает проблемы безопасности, которые в противном случае останутся скрытыми для большинства из нас. Также платформа признает усилия исследователей безопасности, отдавая им заслуженное должное.
Моя личная практика это тоже подтверждает: разработчики Hyperledger Fabric всячески отказываются называть найденную мной проблему уязвимостью (CVE-2024-45244). И даже предлагали мне самому отозвать CVE. А когда я отказался - пытались оспорить назначение CVE, но безуспешно (подробности - в статье "Как я зарегистрировал CVE и разозлил вендора"). Более того, проблему исправили в версии 3.0.0 (см. поиск по тексту "TimeWindowCheck" в описании релиза 3.0.0) - вышла 20.09.2024. И не хотят исправлять в ветке 2.5.х (в которой продолжается выпуск новых версий после 20.09.2024). В связи с чем описание CVE-2024-45244 (в части уязвимых версий) сейчас не актуально.
Возможно, и я обращусь к NotCVE по нескольким потенциальным проблемам:
IBM отказался признавать уязвимость в Instana, о которой я им сообщил на днях (UPD: назначено NotCVE-2025-0002);
Docker отказался присваивать CVE (UPD: назначено NotCVE-2025-0002).
P.S. По такому случаю сделал ключевое слово "не бага а фича" - надеюсь, в дальнейшем по этому выражению на Хабре станет проще находить соотвествующие статьи\посты.
Тяжела и неказиста жизнь простого программиста статических анализаторов кода
Команда PVS-Studio, содействуя разработке методики испытаний статических анализаторов под руководством ФСТЭК, составляла некоторые синтетические тесты. Писать синтетические тесты сложнее, чем кажется, и с их достоверностью всегда масса нюансов. Я никогда не любил синтетические тесты и продолжаю их не любить. Но что делать, они тоже нужны, когда речь заходит о необходимости подтвердить, что в анализаторах реализован определённый набор технологий.
Даже зная и понимая нюансы составления синтетических тестов, мы всё равно наступили на собственные грабли! Переиграли сами себя :)
Есть составленные нами тесты, в которых в функцию srand или её аналог передаётся константное значение. Это приводит к тому, что функция rand каждый раз будет генерировать одинаковую последовательность псевдослучайных чисел. Такой код, согласно ГОСТ Р 71207-2024, п. 6.3.г, может являться ошибкой некорректного использования системных процедур и интерфейсов, связанных с обеспечением информационной безопасности (шифрования, разграничения доступа и пр.).
Когда тесты подготавливались в Compiler Explorer, всё работало: PVS-Studio выдавал предупреждение V1057. А сейчас, когда код мило и скромно лежит в файлах, не работает. На Compiler Explorer работает, а вне — нет. Магия. Уже собрались баг в анализаторе искать.
Ах нет, всё просто. Файлы с тестами называются test_err_*.cpp. И в детекторе срабатывает исключение N4: "Находимся в файле, содержащем в названии слова check/test/bench". Тьфу. Причём получается, что анализатор прав: это действительно тест, а не настоящий баг :) Вот оно, несовпадение реальности и синтетических проверок в действии. Выкрутимся как-нибудь, но решил описать, так как случай интересный.
Зачем такое исключение? При разработке анализатора самое важно состоит не в том, чтобы выдать предупреждение, а в том, чтобы постараться не выдать лишнее. У всех анализаторов ложноположительных срабатываний всегда больше, чем хочется.
При экспертизе коллекции проектов стало ясно, что если это файлы с тестами, то писать srand(константа) абсолютно нормально. Более того, так специально делают, чтобы тесты вели себя повторяемо от запуска к запуску. Вот и было принято решение сделать соответствующее исключение. Теоретически это может скрыть реальную ошибку, но на практике в большой коллекции проектов, на котором мы прогоняем новые диагностические правила, такого не было. Зато в юнит-тестах этих проектов такое встречалось часто, и, соответственно, предупреждение оказывалось бессмысленным.
Был рад поведать немного интересного из жизни разработчиков статических анализаторов кода. А если хочется послушать что-то ещё, приглашаю на подкаст "Статический анализ по серьёзному" с моим участием 27 мая в 19:00 по Москве.
У группировки LockBit украли конфиденциальные данные и взломали сайт, разместив там информацию о более чем 70 администраторах и лицах, связанных со злоумышленниками.
Кибератака на металлургов
Производитель стали Nucor после инцидента ИБ пытается восстановить коммуникационную инфраструктуру и производственные процессы на нескольких предприятиях.
Департамент эффективности США слил данные
В результате заражения компьютера сотрудника были похищены ПДн и сведения о деятельности DOGE — злоумышленники также выложили их в сеть через базы программ-инфостилеров.
Инженеру грозит тюрьма за кражу информации
Программист из США приговорен к 1 году и 1 дню тюремного заключения за кражу запатентованной технологии своего бывшего работодателя.
Также он выплатит $14 тыс. штрафа и возместит ущерб в $18 тыс.
Worldcoin обязали удалить биометрию
Высший суда Кении предписал проекту биометрической криптовалюты Worldcoin Foundation за неделю удалить биометрические ПДн кенийцев, поскольку их собирали без оценки воздействия на защиту ПДн.
Anonymous украли данные по депортации
Хактивисты взломали GlobalX Airlines и завладели информацией о лицах, которые были депортированы из США — а также устроили дефейс веб-страницы авиакомпании и слили часть данных журналистам.
Clearview AI повторно оштрафовали за биометрию
Компания продолжает получать штрафы в Евросоюзе за незаконный сбор биометрических ПДн и неоднократное нарушение регламента GDPR — в Соединенном Королевстве (около $10 млн), Франции ($22 млн), Нидерландах ($32 млн), Италии ($22 млн) и других государствах Европы.
Крупная утечка из британского ритейлера
Хакеры из DragonForce требуют выкуп за украденные данные 20 млн клиентов британского ритейлера Co-op.
Сразу привлёк внимание инструмент для поиска YouTube-видео по координатам: YouTube Geofind
Где может пригодиться?
1️⃣ Проверка достоверности информации Если из одной локации поступают противоречивые данные, можно найти все видео с этого места и сравнить их. 2️⃣ Расследования и журналистика Установление места съёмки: если видео якобы снято в Сирии, а координаты ведут в другую страну — это повод усомниться. Поиск свидетелей: можно найти ролики, снятые рядом с местом события, и посмотреть, кто там был. 3️⃣ Кибербезопасность Выявление фейков, где одно и то же видео выдают за съёмки из разных мест. 4️⃣ Краеведение Анализ изменений локации: стройки, разрушения, природные катаклизмы — можно сравнить, как место выглядело раньше и сейчас.
Главный недостаток ➖Не у всех видео есть привязка к геолокации (не вина инструмента)
Как сделать свой Youtube Geofind? Ключевой принцип работы инструмента прост и завязан на YouTube API (документация).
Чтобы найти видео по координатам, достаточно одного запроса: https://www.googleapis.com/youtube/v3/search?part=snippet&type=video&location={latitude}2C{longitude}&locationRadius={radius}&publishedAfter={publishedAfter}&key={API_KEY} Где: — latitude и longitude - широта и долгота; — radius - радиус — publishedAfter - значение даты и времени в формате RFC 3339 (1970-01-01T00:00:00Z), которое указывает, что ответ API должен содержать только видео, созданные в указанное время или после него — API_KEY - ваш API-ключ, который можно получить через Google Console
Пример запроса (все видео в радиусе 200 м от Красной площади, опубликованные после 00:00 9 мая 2025 года): https://www.googleapis.com/youtube/v3/search?part=snippet&type=video&location=55.7539%2C37.6208&locationRadius=200m&publishedAfter=2025-05-09T00:00:00Z&key=<ваш API-ключ>
В ответ получаем JSON с найденными видео (пример на прилагаемом к посту скриншоте). Метод поддерживает и другие параметры — подробнее в официальной документации.
Заключение Важно помнить, что любые инструменты — лишь вспомогательные средства. Не стоит забывать о критическом мышлении и перекрёстной проверке.
Больше контента в моем авторском telegram-канале: https://t.me/ru_vm (BritLab)
Онлайн-экзамен разработан Академией InfoWatch и состоит из 35 вопросов. Вопросы проверяют знания по настройке и использованию DLP-системы InfoWatch Traffic Monitor:
конфигурация серверов, агентов и политик безопасности;
контроль отправки, печати и копирования данных;
мониторинг и аудит;
настройка правил защиты данных и контроля доступа.
Вот и мы решили посмотреть, какие веб-атаки чаще всего отражала наша платформа «Вебмониторэкс» с начала этого года.
Оказалось, что большая часть (40%) – это межсайтовый скриптинг (XSS), доля которого за год значительно выросла. А значит, злоумышленники нацелились не только на владельцев, но и на пользователей веб-ресурсов.
Как много данных о себе мы вводим в форму на каком-нибудь сайте заказа билетов, онлайн-магазина или клиники! А учетка админа корпоративной сети – это вообще джекпот!
Как защитить коммерческую информацию и сохранить преимущество — вебинар 15 мая
Почти треть утечек информации в прошлом году происходила в сфере торговли. Специфические информационные активы отрасли торговли — прайс-листы, документация с коммерческими условиями — это коммерческая ценность для злоумышленников.
Спикер — Александр Клевцов, руководитель по развитию продукта InfoWatch Traffic Monitor.
На вебинаре обсудим, в чем сложность защиты коммерческих данных и sale-информации и почему не все DLP-вендоры могут обеспечить их защиту и данные продолжают утекать. На примере кейсов заказчиков DLP-системы InfoWatch Traffic Monitor расскажем, как мы в InfoWatch решили эту задачу.
Сегодня в 18:00 генеральный директор Онлайн Патента Алина Акиншина выступит на вебинаре "Защита интеллектуальных прав на IT-разработки".
Вебинар поможет разобраться в регистрации интеллектуальных прав на IT-разработки, рисках и способах их защиты.
Мы обсудим, как зарегистрировать программное обеспечение и код стартапа, а также какие методы охраны — регистрация, депонирование, патентование или сохранение в тайне — лучше подходят для IT-продуктов.
Эксперты расскажут о рисках и возможностях регистрации прав, а также о том, как фиксировать права при участии нескольких авторов. Особое внимание уделим структурированию сделок между индустриальными партнерами и студенческими стартапами, особенно в контексте выпускных работ.
❓ Слушатели смогут задать вопросы и получить рекомендации по сложным ситуациям, с которыми сталкиваются молодые предприниматели и разработчики.
