1 января 2025 г. завершился переходный период, в течение которого была возможна авторизация пользователей на веб-сайтах, интернет-ресурсах, информационных системах, программах для электронных вычислительных машин (далее – Веб-ресурсы) через почтовые сервисы и сервисы авторизации, принадлежащие иностранным лицам.

Так, если владелец Веб-ресурса является юридическим лицом РФ или гражданином РФ и если Веб-ресурс предоставляет авторизацию в нем пользователям из РФ, то на владельца Веб-ресурса налагаются требования по авторизации пользователей, находящихся на территории РФ (ч. 10 ст. 8 149-ФЗ).

Если к владельцу Веб-ресурса применимы требования, то авторизация пользователей проводиться одним из следующих способов:
1️⃣по мобильному номеру телефона;
2️⃣через Единую систему идентификации и аутентификации;
3️⃣с помощью Единой биометрической системой;
4️⃣через иную информационную систему, обеспечивающую авторизацию пользователей и принадлежащую российскому юридическому лицу (как минимум на 50% находящегося под российским контролем).

В 149-ФЗ отсутствует определение термина «авторизация». При этом согласно пункту 3.50 ГОСТ Р 58833 – 2020, предусмотрено понятие авторизации – предоставление субъекту доступа прав доступа на выполнение определенных действий в информационной системе (ИС), а также предоставление доступа в соответствии с установленными правилами управления доступом.
Авторизации предшествует идентификация – выявление идентификатора, который однозначно определяет этого субъекта, а также аутентификация – подтверждение подлинности субъекта путем сравнение введенного пароля с сохраненным в ИС паролем.

Стоит отметить, что пользователи, которые были зарегистрированы до вступления в силу изменений в 149-ФЗ (1 декабря 2023 г.) на российских Веб-ресурсах с использованием иностранных информационных систем, обеспечивающих авторизацию пользователей, не требуется перерегистрироваться по новым требованиям, т.к. закон не имеет обратной силы.

В следующий раз мы расскажем об особенностях исполнения требований ч. 10 ст. 8 149-ФЗ на практике.

#ИБ

DMZ (Demilitarized Zone, демилитаризованная зона) – это сегмент сети, выделенный для размещения публично доступных ресурсов, таких как, например, веб-серверы, почтовые серверы или файловые серверы. Основная задача DMZ – изолировать серверы, доступные из сети Интернет, от внутренней инфраструктуры компании путем их размещения в отдельной подсети с помощью межсетевых экранов (МЭ). Серверы в DMZ не имеют прямого доступа к внутренней сети и обмениваются данными через ограниченные соединения с отдельными узлами во внутренней сети.
 
Схемы реализации DMZ:
 
1️⃣Конфигурация с одним МЭ (Single FirewallDMZ)

Один МЭ разделяет сеть на три зоны: внешняя сеть, DMZ, внутренняя сеть. Плюсы схемы – простота настройки и низкие затраты из-за использования только одного МЭ. Минус – при компрометации самого МЭ, который доступен из сети Интернет, злоумышленник может попасть во внутренний сегмент сети.
 
2️⃣Конфигурация с двумя МЭ (Dual FirewallDMZ)

Первый МЭ изолирует внешнюю сеть отDMZ и контролирует трафик запросов к ресурсам в сегменте DMZ. Второй МЭ отделяет DMZ от внутренней сети и позволяет предотвратить несанкционированный доступ из DMZ к внутренней сети. Плюс схемы – более высокая степень защиты, обеспечиваемая двумя МЭ. Минус – сложность настройки и администрирования двух МЭ.
 
3️⃣Разделённая DMZ

Вместо одной зоны DMZ создаётся несколько изолированных подсетей, каждая из которых отвечает за разные типы сервисов. Трафик между этими подсетями ограничен. Плюс схемы – высокая степень защиты, обеспечиваемая изоляцией разных типов сервисов друг от друга. Минус – сложность в управлении несколькими подсетями.
 
4️⃣Cloud-based DMZ

В такой архитектуре публично доступные ресурсы размещаются и изолируются в облачных сервисах облачного провайдера, а не в локальной сети компании. Плюс схемы – её масштабируемость путем использования инфраструктуры провайдера. Минусы – зависимость от провайдера и риски при сбоях у него. 
 
Выбор схемы зависит от конкретных требований компании и располагаемого бюджета.

#ПолезноЗнать

Обфускация – техника, делающая исходный код программы сложным для понимания, что затрудняет его обратную разработку и анализ. Она защищает интеллектуальную собственность, усложняет злоумышленникам доступ к логике программы и снижает вероятность её модификации. Обфускация выполняется с помощью специальных инструментов — обфускаторов, которые изменяют код автоматически. 
 
Виды обфускации
1️⃣Лексическая обфускация – упрощённое изменение названий переменных и функций.
2️⃣Обфускация структур данных – усложнение логики обработки данных.
3️⃣Обфускация потока управления – изменение порядка выполнения программы.
4️⃣Превентивная обфускация – защита от автоматического восстановления кода.
 
Стоит учесть, что обфускация имеет ряд недостатков:
▫️Увеличение объема код и длительности его выполнения;
▫️Риск возникновения ошибок и усложнение отладки и тестирования.
 
Обфускация теряет популярность из-за появления более эффективных методов защиты, так как не гарантирует полной безопасности, а лишь делает анализ и взлом долгими и невыгодными.
 
В настоящий момент более эффективными методами защиты считаются:
▫️проверка целостности кода и его подпись;
▫️динамическая защита от отладки;
▫️виртуализация нативного кода (код, выполняемый непосредственно процессором)

#ИБ

Публикуем десятый выпуск «Непропустимых» событий ИБ. Мы активно следим за интересными мероприятиями по тематике информационной безопасности и приватности. Сегодня представляем наши рекомендации на февраль 2025 года.

Подборка мероприятий в файле под этим постом ⬇️

#Непропустимыесобытия

28 января (вторник) в московском офисе Kept пройдёт ежегодное мероприятие Kept Privacy Day.

На мероприятии эксперты Группы по оказанию услуг в области кибербезопасности Kept, а также приглашенные гости из крупнейших российских и международных компаний рассмотрят самые актуальные вопросы в сфере работы с персональными данным (ПДн).

Среди тем для обсуждения:
 
▫️как проходят будни инженера по защите ПДн;
▫️какова задача аудита по защите ПДн внутри группы компании;
▫️какие позитивные тенденции отслеживаются в 152-ФЗ.
 
Помимо выступлений, в ходе мероприятия будут проведены кофе-брейк с квизом и круглый стол по определению роли личности в построении приватности, а завершающим аккордом станет фуршет, где можно будет пообщаться со спикерами и задать интересующие вопросы.
 
Спикерами мероприятия будут:
 
▫️Роман Мартинсон, Kept
▫️Екатерина Басниева, Самокат
▫️Николай Виноградов, Русагро Тех
▫️Игорь Аладьев, Северсталь-инфоком
▫️Галина Алексеева, Северсталь-инфоком
▫️Ирина Кононенко, Альфа-Банк
▫️Ольга Мишина, ОТЭКО
▫️Сергей Тимофеев, Астразенека
 
Участие бесплатное.
 
🗓️ Регистрация доступна по ссылке и возможна до 26 января включительно.
 
Ждем встречи на мероприятии!

#Privacy

30 ноября 2024 г. были внесены изменений в УК РФ, связанные с незаконным использованием персональных данных (ПДн). Ниже мы рассмотрим основные статьи УК РФ, касающиеся ПДн и частной жизни.

Нарушение неприкосновенности частной жизни
Ст. 137 УК РФ устанавливает уголовную ответственность за незаконное собирание и распространение сведений о частной жизни лица без его согласия, либо распространение в публичном выступлении, произведении или СМИ.

Признаки нарушения:
▫️ Способ сбора сведений, не предусмотрен законом;
▫️ Отсутствие согласия субъекта на сбор или распространение сведений;
▫️ Умышленная вина и прямой умысел.

Примеры нарушений:
▫️Установка скрытой камеры в раздевалке с последующим опубликованием видео.
▫️Создание «фейковых» страниц в соцсетях с публикацией интимных фото и видео других лиц, указанием их контактных данных.

Незаконное использование и передача компьютерной информации
Новая статья 272.1 УК РФ устанавливает уголовную ответственность за незаконное использование, передачу, сбор и хранение ПДн, полученных путем неправомерного доступа или иным незаконным способом.

Условия привлечения к уголовной ответственности:
▫️Незаконный способ получения ПДн;
▫️Незаконное использование и распоряжение ПДн.

Повышенная уголовная ответственность предусмотрена в отношении особых категорий ПДн:
▫️ПДн несовершеннолетних;
▫️Специальные категории ПДн;
▫️Биометрические ПДн;
▫️ПДн, сопряжённые с трансграничной передачей.

❗Действие статьи не распространяется на обработку ПДн для личных и семейных нужд.

Важно отметить, что в УК РФ предусмотрены иные преступления против чести и достоинства или касающиеся незаконного доступа к компьютерной информации, которые тоже могут содержать ПДн.

#Privacy
#ПолезноЗнать