Корпоративные мобильные устройства не защищаются в той же степени, что и другие системы, несмотря на то, что они уязвимы перед теми же атаками. 

Опрос, проведенный компанией Verizon, показал, что по сравнению с прошлым годом количество компаний, пострадавших от инцидентов, связанных с мобильными устройствами, выросло на 5%. При этом свыше 80% опрошенных высоко оценивают эффективность мер защиты в их компании, но только 12% сообщают о том, что у них реализованы все четыре основных способа предотвращения взломов: шифрование данных в публично доступных сетях, смена установленных по умолчанию паролей, регулярное тестирование систем безопасности и ограничение доступа к данным по принципу необходимости.

В 80% компаний уверены, что у них есть возможность быстро выявить проблему, но в 63% случаев о взломах сообщали клиенты, партнеры или правоохранительные органы. Почти половина опрошенных сообщает, что их компании приходится жертвовать безопасностью мобильных устройств ради того, чтобы быстрее справляться с работой. Сравнение с результатами аналогичного опроса прошлого года говорит о том, что восприятие уровня безопасности мобильных устройств в компаниях не соответствует реальности, отмечают в Verizon.

Доменная система имен (DNS) является одним из важнейших компонентов инфраструктуры Интернета. Серверы DNS переводят известные пользователям доменные имена сайтов в IP-адреса, которые нужны компьютерам для соединения с сайтом. Система DNS нередко подвергается атакам, в ходе которых злоумышленники пытаются подменить эти адреса на адреса их собственных мошеннических сайтов. Опасность этих и других атак остается чрезвычайно высокой, отмечается в заявлении ICANN, международной организации, ответственной за управление доменными именами и IP-адресами. Поэтому ICANN призывает регистраторов доменных имен активнее реализовывать меры защиты системы DNS — а именно, внедрять технологию DNSSEC, которая позволяет удостоверять адреса цифровой подписью. Корневая зона системы имен была подписана ICANN еще в 2010 году, но лишь около 20% регистраторов имен в мире к настоящему времени использует эту технологию.

В январе Агентство по кибербезопасности и защите инфраструктуры министерства национальной безопасности США выпустило директиву, требующую принятия мер по защите системы DNS. Агентство выявило ряд атак на систему DNS, в ходе которых злоумышленникам удавалось подменять адреса серверов и перехватывать электронную почту и трафик веб-сайтов.

О приватности

Управляющий партнер «Центра цифровых прав» Саркис Дарбинян провел правовой ликбез о том, что нужно знать для защиты приватности. Он рассказал, что объектами защиты могут быть доброе имя человека, его честь и достоинство, деловая репутация, изображения, персональные данные, частная жизнь, конфиденциальная переписка. Защищаются эти объекты разными статьями КоАП, ГК, ТК и УК РФ. Ответственность за нарушения может быть административной, гражданской, дисциплинарной, уголовной. За соблюдением законодательства следят правоохранительные и разные надзорные органы (от МВД до трудовой инспекции и Роскомнадзора), причем многие из них весьма неохотно работают с нарушениями прав на персональные данные, посетовал Дарбинян. Судебной работой занимаются суды общей юрисдикции и арбитражные суды.

Для того чтобы расследовать инциденты, соответствующие уполномоченные органы должны определить правовую природу публикации (является ли она утверждением о факте или мнением), проанализировать, что представляет собой онлайн-ресурс (СМИ это или соцсеть, кто автор, регистратор домена, какова целевая аудитория), зафиксировать нарушения и подготовить доказательства. Здесь в ход идут осмотр сайта нотариусом, электронные копии страниц, заключение специалистов и т.д.

О больших и персональных данных

Исполнительный директор «Центра цифровых прав» Денис Лукаш подробнее рассказал о российском законодательстве в области больших и персональных данных. Большие данные — это и объект, и механизм обработки. Точного определения в российском законе, однако, нет, как нет, соответственно, и специальных правил сбора, обработки, использования и продажи больших данных. По закону «Об информации» большие данные можно охарактеризовать как объект публичных, гражданских и иных правоотношений. Большие данные могут являться персональной информацией или только частично содержать ее. В GDPR, кстати, понятие личных данных расширено и уточнено. Так, ими может стать и результат психологического теста ребенка, ведь по нему модно понять его состояние, особенности, отношение к родителям, профессию последних и т.д. Примечательно, что соцсети, по словам эксперта, не делают данные общедоступными, пусть некоторым участникам рынка и хотелось бы так думать.

Торговля данными продолжает иметь место в России и происходит за счет фактического отсутствия проверок ФСТЭК и ФСБ коммерческих компаний, придуманных перед проверками Роскомнадзора договоров, описывающих притворную сделку, ссылки на то, что обработка персональных данных нужна для исследований, перехода в теневой рынок и других ухищрений. По мнению эксперта, при работе с персональными данными компаниям опасно отрицать, что они персональные, и дейсттвовать без юридической экспертизы и оценки рисков.

О GDPR в России

Старший юрист PwC в России Артем Дмитриев рассказал, что принятый в Евросоюзе Общий регламент по защите данных GDPR может быть применим к российским компаниям напрямую или косвенно. Прямая применимость подразумевает деятельность предприятия в странах ЕС (наличие филиала, дочерней компании), предложение товаров и услуг и мониторинг поведения в местах присутствия (аналитика, контроль за работниками). Косвенная применимость возникает в трех случаях. Первый — наличие совместных операторов, у которых общие с российскими ИТ-системы и др. Второй — оператор в ЕС является обработчиком информации в России. Здесь он арендует серверы и мощности, проводит аутсорсинг корпоративных услуг, оказывает ИТ-услуги. Наконец, третий случай — оператор в ЕС является оператором и в России. Он покупает данные у агрегаторов, взаимодействует с банками, ведет отчетность.

Если российская организация занимается хотя бы одной из вышеперечисленных работ, она подпадает под GDPR. Каким же образом соблюдать его? Спикер обозначил два пути. Это комплексное проведение всей деятельности организации в соответствие с кодексом или, наоборот, локальное внедрение новых норм в отдельные бизнес-процессы. Интересно, что, хоть GDPR и российский 152-ФЗ «О защите персональных данных» и развиваются в одном векторе, между ними, конечно же, есть различия, которые заставляют оператора балансировать между двумя векторами регулирования.

Об утечках в компаниях

Старший консультант PwC в России Николай Дегтярев представил доклад о том, как реагировать на утечку персональных данных клиентов. Он предложил компаниям начать с создания доступного и удобного перечня компетенций по персональным данным, единого центра компетенций по персональным данным и перечня заинтересованных сторон. Реагировать на утечки можно с помощью технических средств, каналов получения информации от людей, мониторинга информационного пространства и внеплановой проверки. При этом очень важно заранее определить и протестировать порядок реагирования.

Если утечка уже произошла, следует идентифицировать ее и создать рабочую группу по реагированию, контролировать промежуточные сроки по выполнению мер на каждом этапе, документировать происходящее вплоть до итоговой отчетности и принять компенсирующие меры. Кстати говоря, документирование реакции на утечку — требование GDPR.

Нельзя забывать об информировании об инцидентах регулирующих органов, а также затронутых субъектов, головного офиса и контрагентов. Особняком в рекомендациях стоит взаимодействие с отделами маркетинга и PR, которые также должны быть готовы отразить информационную атаку, правда уже немного другого свойства.

Регуляторы всех стран в ближайшее время должны сформулировать требования к стресс-тестированию банковских систем к киберугрозам, передает слова зампреда Банка России Василия Поздышева «Коммерсантъ». Требования к стресс-тестированию планируется сделать частью требований к системе управления операционным риском, разработка которой сейчас ведется.

В настоящее время в поправках к положению Банка России №382-П уже имеются требования к ежегодному проведению пентестов. Разница между пентестом и стресс-тестом заключается в том, что первый — способ контроля несанкционированного проникновения в систему, а второй — проверка системы на способность работать при активном противодействии.

Эксперты пока не могут оценить плюсы и минусы возможного нововведения, для этого пока мало информации. Наиболее важным условием успеха является подход регулятора к методикам и инструментарию стресс-тестирования для облегчения реализации требований, считают они. Если все будет хорошо продумано и разработано, исполнение новых правил не станет формальным.

В Госдуму внесены законопроекты по усилению защиты детей от информации, причиняющей вред их здоровью и развитию, сообщает «Интерфакс». Согласно одному из них, владельцы сайтов получат право «применять административные и организационные меры, технические, программно-аппаратные средства защиты детей от информации, причиняющей вред их здоровью и (или) развитию».

Другая инициатива предлагает увеличить вдвое административную ответственность за правонарушения в сфере обеспечения безопасности детей в Интернете. Так, нарушение установленных требований распространения среди детей информационной продукции, причиняющей вред их здоровью и развитию, может повлечь административный штраф на граждан в размере от 3 тыс. до 4 тыс. руб., на должностных лиц — от 10 тыс. до 20 тыс. руб., на юридических лиц — от 40 тыс. до 100 тыс. руб.

Законопроект предлагает вдвое увеличить и штраф за неприменение организатором доступа к распространяемой информации средств защиты детей от информации, причиняющей вред их здоровью или развитию. За подобное предлагается налагать на юридических лиц штраф в размере от 40 тыс. до 100 тыс. руб.

26 февраля Бывший офицер ФСБ Сергей Михайлов и бывший сотрудник «Лаборатории Касперского» Руслан Стоянов получили 22 и 14 лет по делу о государственной измене, сообщает РБК. Суд признал их виновными в раскрытии оперативных сведений спецслужбам США. Помимо тюремного заключения Михайлов также оштрафован на 400 тыс. руб., Стоянов — на 150 тыс.

Согласно версии обвинения, осужденные раскрыли Федеральному бюро расследований США способы и методы ведения оперативно-разыскной деятельности по делу директора компании Chronopay Павла Врублевского. По данным «Коммерсанта», Михайлов, его подчиненные и Стоянов получили за это 10 млн долл. Всего в инциденте замешаны четверо людей. Дело двоих из них, ведущееся отдельно, пока не дошло до суда.

В «Лаборатории Касперского» неоднократно отрицали наличие любых связей с разведкой, выходящих за пределы обычных отношений с поставщиками программного обеспечения.

Защита Стоянова намерена обжаловать приговор.

Банк России намерен признать потери клиентов банков от атак хакеров и мошенников, использующих социальную инженерию, к операционным рискам, пишет «Коммерсантъ». Регулятор будет «накапливать статистику, классифицировать клиентские потери, анализировать их и требовать от банков устанавливать лимиты допустимых потерь». В случае превышения границы ЦБ будет «настаивать, чтобы банк принимал меры».

Эксперты с опаской относятся к инициативе Банка России и видят в идее больше популизма, чем реальной возможности повлиять на операционные банков. Кроме того, если клиент сам совершил операцию, пусть и при использовании против него социальной инженерии, то в отчетность этот случай включается только при обращении клиента в банк и в правоохранительные органы. Всего 4% граждан подают такие заявления.

Самым распространенным видом кибермошенничества — более 80% случаев — в 2018 году стала социальная инженерия – метод получения доступа к информации, основанный на психологии людей, показали результаты исследования Сбербанка. Например, клиент размещает объявление на сайте, от потенциального «покупателя» совершается звонок, в ходе которого клиент сам сообщает ему реквизиты своей банковской карты, зачастую даже предоставляя СМС-пароли для того, чтобы злоумышленник мог совершить все операции от имени клиента.

В дополнительном сборе характеристик операционного риска есть предел разумной целесообразности, за которым этот сбор только усложняет процесс, не принося дополнительной пользы. Поэтому важно соблюдать баланс между защитой и требованиями, заключили эксперты.

Из законопроекта о «суверенном Рунете» планируется исключить требование о создании национального реестра доменных имен на базе Роскомнадзора, сообщает «Коммерсантъ». В комитете Госдумы по информационной политике напомнили, что в России уже есть запасной реестр доменных имен, созданный решением «Координационного центра национального домена сети Интернет», в состав учредителей которого входит Минкомсвязь.

Изменения позволят избежать дублирования функций, считают в КЦ. Технический центр Интернета, который сейчас является оператором базы российских доменов, летом 2018 года уже был передан под контроль «Ростелекома».

12 февраля Госдума приняла в первом чтении законопроект о суверенном Рунете. Его цель — обеспечить устойчивую работу российского сегмента Интернета в случае отключения от инфраструктуры Всемирной Сети. Принятие законопроекта об автономном Рунете может стать причиной катастрофического отказа работы сетей связи в стране, указал глава РСПП Александр Шохин в письме спикеру Госдумы Вячеславу Володину.

В ходе международного форума Cyber Security Forum, прошедшего 14 февраля, эксперты обсудили вопросы кибербуллинга, цифровой грамотности, позитивного контента, фальшивых новостей, персональных данных, программно-технических угрозах и др. Computerworld побывал на некоторых секциях.

Fake news: спасет фактчекинг

Специалист Института развития Интернета Виктор Леванов считает, что люди создают фейки часто непреднамеренно, и очень часто — из-за ошибок СМИ. Так, в Кемерове на записях видеокамеры в сгоревшем ТЦ «Зимняя вишня» увидели человека в черном с сумкой и обвинили в поджоге. Обвинение оказалось ошибочным, но пока это выяснилось, человека успели затравить в соцсетях. Также фейки могут давать непреднамеренный косвенный эффект в плане осложнения работы экстренных служб.

Если же говорить о преднамеренном распространении фальшивых новостей, то делается это с разными целями - посеять панику, совершить мошенничество, нанести медийный урон (причинение вреда репутации) публичным персонам, провести финансовые махинации (например, обрушить акции компании), способствовать лоббизму каких-либо законодательных инициатив и проч.

Бороться с фальшивыми новостями можно с помощью фактчекинга, опровержений, официальных заявлений властей, опровержения через суд, опровержения источником новости. Помимо этого необходимо поощрять волонтерство по борьбе с фейками и повышать свою личную грамотность, считает Ливанов. Однако стопроцентного решения проблемы нет, предупредил эксперт.

Ведущий аналитик РОЦИТ Урван Парфентьев рассказал, как специальная программа, в основе которой лежат нейротехнологии, на видео «подменяет» одного человека другим. Если кратко и упрощенно, автокодировщик сжимает изображения двух персон, и совмещает их, от одного взяв, допустив, черты лица, от другого – мимику и жесты. На выходе получается, что Барак Обама выступает с речью, которую произнес другой человек специально для фальшивой новости. Впрочем, сделать это не так легко, как выглядит на первый взгляд: для правдоподобной подмены требуются до 2 тыс. фото этих людей с разных ракурсов. К слову, данная технология может использоваться не только для мошенничества, но и во благо, например, для реконструирования изображений повзрослевших некогда пропавших детей.

Чтобы не попадаться на удочку фальшивых новостей, эксперт советует каждому лично проводить фактчекинг по официальным каналам, а государству – заняться детектированием оборота такого рода контента.

Персональные данные: GDPR и кодекс этики

Эксперт по защите персональных данных Максим Лагутин рассказал о том, распространяется ли GDPR на Россию. По его словам, если часть какой-то работы отечественной компании проводится за рубежом, задуматься о европейском законодательстве просто необходимо.

Лагутин подметил разницу между российским законом о защите персональных данных и GDPR. Чтобы добиться соответствия требования отечественного законодательства, нужно провести надлежащую работу один раз, в то время как исполнение GDPR — постоянный процесс. Нельзя заполнить бумажки и полагать, что на том заботы о соблюдении GDPR на этом закончились.

Лагутин также полагает, что реализация требований GDPR поможет добиться соответствия 152-ФЗ «О персональных данных».

Член экспертного совета комитета Госдумы по информационной политике, информационным технологиям и связи Марина Рожкова считает, что для регулирования ситуации с персональными необходим этический кодекс. При этом он должен защищать именно людей, а не сами данные. Кому же принадлежат эти данные – до сих пор большой вопрос. По словам Рожковой, законы отстают от экономической ситуации, законодатели пытаются решить вопросы, не понимая их сути, не успев разобраться в них. Но, по мнению эксперта, законодательство и не должно успевать за технологиями. Однако в такой ситуации можно рассчитывать только на добросовестность тех, кто работает с данными, а значит, раз нет законов, сработать может только кодекс этики.

Рожкова объяснила, перед кодексом не ставится задачи все отрегулировать сразу, он должен лишь формулировать вопросы (в том числе и о том, что должно регулироваться) и «позволить рынку оборота данных существовать».

Биометрия: осторожность и внимательность

Директор по исследованиям аналитического центра НАФИ Аймалетдинов Тимур рассказал, что думают о биометрических персональных данных россияне. Во-первых, они не понимают, почему должны делиться сведениями о себе. Во-вторых, считают, что данные не защищены (так ответили 54% опрошенных). В-третьих, стоят на позиции патернализма: данные отдам, но за их безопасность должны отвечать те, кто их собирают.

Наиболее удобными россияне считают идентификацию по отпечатку пальцев (34%) и по сетчатке глаза (17%). Дальше идет распознавание по лицу и по голосу (11% и 7% соответственно). Примечательно, что второй по популярности ответ – 18% — звучит как «ничего из перечисленного». Самыми надежными способами снова указана идентификация по отпечаткам пальцев и по сетчатке глаза (31 и 27%).

62% респондентов признают, что не способны защитить свою персональную информацию в Интернете. 40% испытывают тревогу, когда вводят данные на сайтах, но все же делают это. 17% страхом не терзаются. Больше всего пользователи доверяют банкам (58%), государству (52%) и мобильным операторам, которые заметно отстают от первых двух (33%). Аймалетдинов прогнозирует, что далее борьба государства и банков за доверие клиентов будет возрастать.

В качестве критериев надежности защиты данных респонденты назвали опыт родственников (24%) и знакомых в использовании сайтов, известность бренда (22%) и сложность процедуры входа в личный кабинет (12%). Рейтинг, рекомендации по защите от компании, аудитория, дизайн и пр. не имеют такого значения.

Куратор школы ИТ и безопасности HackerU Алексей Гришин постарался развеять мифы об опасности биометрии. По его словам, биометрические данные не хранятся в чистом виде – это неудобно. Из изображений берутся только ключевые точки, из которых строятся так называемые графы соответствия. Они-то и собираются в базах. Тем не менее стопроцентной безопасности все же не бывает. Так, основная потеря биометрических данных происходит при передаче их по каналам связи. Вторая уязвимость заключается в том, что на каждую логическую операцию требуется время, которое зависит от входных данных. Располагая точными измерениями времени для разных операций, атакующий может восстановить входные данные. Наконец, существуют технологии, позволяющие подменять отпечатки пальцев. Если данные украли, следует изменить алгоритм, которыми модифицировали входные параметры.

Самой главной защитой и здесь остаются осторожность и внимательность самих пользователей.

Специалист в области искусственного интеллекта Игорь Ашманов начал свое вступление с напоминания, какие законы подготавливаются и принимаются для регулирования Интернета. Это документы о плохом контенте, блокировке сайтов, об ответственности блогеров, новостных агрегаторах, устойчивости Рунета и др. Далее Ашманов рассказал про киберстратегию США, которую он трактовал таким образом, что США хотят управлять миром, доминировать в киберпространстве, а открытый Интернет служит средством продвижения американских ценностей. Поэтому, считает Ашманов, закон о регулировании Рунета необходим.

«Не контролировать информационное пространство — не иметь информационного суверенитета. Не иметь информационного суверенитета — не иметь его вообще», — резюмировал эксперт. При этом он признал, что названные им законы технически прописаны плохо, поэтому «бороться» с ними надо. Но все они будут приняты, спрогнозировал Ашманов.

Заместитель директора Департамента информации и печати МИД Максим Буякевич продолжил рассуждать на тему врагов России и на примере ситуации с обвиняемыми международным сообществом в распространении недостоверной информации «Спутником» и Russia Today пояснил, что, по его мнению, сейчас происходит вытеснение отечественных СМИ из западного информационного пространства. По словам выступающего, в западных странах происходит ползучий процесс внедрения цензуры в Интернете, на который российские законодатели должны ответить.

Президент Ассоциации участников рынка больших данных Анна Серебряникова полагает, что опасения в духе «мы среди врагов» приводит к страху абсолютно перед всем и, как следствие, к неэффективным запретам. Например, к запрету иностранного ПО: поддержка отечественного ПО — это хорошо, но новые правила сверх меры ограничивают использование и свободного ПО, а это уже плохо. Серебряникова предложила в техническом аспекте приближаться к мировым лидерам, чтобы не становиться их рабами. Она тоже считает, что информационное пространство — место для войны теперь тоже, и новые законы нужно разрабатывать. Но они не являются ответом на вопрос, как должен быть устроен Рунет. Раскритиковала она и сложившуюся в России практику нормативной работы: сначала мы делаем декларацию, затем смотрим на игроков, потом корректируем инициативу. Это приводит к «выхолащиванию сути» предлагаемой нормы. Серебряникова предложила изначально прорабатывать техническое содержание, прежде всего заботиться о технологиях, лежащих в основе норм, а не о пропаганде, «как бы мы ни хотели, чтобы декларации продвигали идею».

Также Серебряникова обратила внимание на «пагубную привычку» разработчиков законов уверять в экономическом обосновании проектов, что они не требует бюджетных затрат (даже если уверенность в этом отсутствует), дабы инициативы были одобрены.

По ее мнению, необходимо поддерживать разработчиков соцсетей, поисковики, искать инновации. «Давайте приближаться к лидерам, если это наши противники», — повторила она.

Ашманов не согласился с Серебряниковой: ему схема «сначала декларация, потом корректировка» кажется правильной. Модератор круглого стола, директор РОЦИТ Сергей Гребенников высказал компромиссную точку зрения: по его словам, нужен баланс между национальными интересами и тем, сколько может заплатить пользователь.

Директор «Координационного центра национального домена сети Интернет» Андрей Воробьев говорил о Рунете как о части мирового Интернета. Он считает, что в любом начинании должен преобладать здравый смысл, в данном случае это сохранность публичного ядра Интернета (техническая инфраструктура), требующая ответственного подхода государства. Без государственного участия поддерживать Интернет сейчас уже нельзя. Он посетовал, что в глобальных процессах мало российских участников. «Нужно говорить не о том, что нас отключат, а становиться активными участниками, чтобы нас не смогли отключить», — призвал он.

Директор РАЭК Сергей Плуготоренко считает, что эксперты, увидев плоды цифровой экономики, стали более позитивно относиться к принимаемым в этой области законам.