🫣 Российский ритейл вошел в топ-3 по объему сообщений об украденных данных
🔸По итогам прошлого года доля инцидентов с кражей данных ритейлеров и компаний электронной коммерции по всему миру увеличилась до 74%. Случаи нарушений основной деятельности после атак хакеров выросли до 30%, а прямых финансовых потерь - до 7%.
🔸Как правило, целью злоумышленников становятся персональные данные клиентов - на такие утечки пришлось 46%. Также их часто интересует коммерческая тайна, учетные сведения и информация о платежных данных. Эта тенденция не обошла стороной и Россию: местные ритейлеры попали в топ-3 по объему сообщений об украденных данных и доступов в инфраструктуру на теневом рынке. Более того, 80% объявлений об отечественных торговых компаниях предлагают бесплатную раздачу украденных баз данных, выяснили специалисты Positive Technologies.

🏦 Банкам предложат использовать "Госключ" при удаленном обслуживании физлиц
🔸Комитет Госдумы по финансовому рынку предложил доработать законопроект об удаленной идентификации физических лиц банками и наряду с единой биометрической системой (ЕБС) при открытии счетов и выдаче кредитов в рублях предлагает использовать усиленную неквалифицированную электронную подпись приложения "Госключ".
🔸Речь идет о доработке законопроекта №559494-8, который в конце февраля внесло в парламент правительство. Документ вносит изменения в порядок удаленного обслуживания физических лиц банками. Сейчас банки с универсальной лицензией обязаны обеспечить возможность физлицам открывать счета и брать кредиты в рублях удаленно, с использованием ЕБС и официального сайта банка, а также мобильного приложения. Законопроект убирает норму об обязательности для банков с универсальной лицензией предоставлять данные продукты и услуги удаленно, в новой формулировке говорится только, что в случае предоставления таких услуг удаленно банки должны использовать ЕБС.

🏛️ Электросамокаты в РФ могут оснастить наклейками с QR-кодами и чипами для контроля движения
🔸Средства индивидуальной мобильности (СИМ) в целях контроля их движения могут оснастить учетным номером, который будет из себя представлять наклейку с QR-кодом, и средствами радиочастотной идентификации (чипами) согласно законопроекту, концепция которого обсуждалась на рабочей группе по законодательному регулированию использования СИМ с участием депутатов, представителей Минтранса, Минпромторга РФ и бизнеса.
🔸Каждый учетный номер будет индивидуальным. Кроме того, законопроектом предлагается создать региональную информационную систему средств индивидуальной мобильности "для автоматизации процессов сбора, обработки и хранения информации в целях контроля, надзора и управления движением СИМ". Так, водитель электросамоката перед началом движения должен будет через программное обеспечение на телефоне авторизоваться в этой информационной системе, что "позволит идентифицировать его и увязать водителя с конкретным СИМ, поставленным на учет".

⚡Вице-президентов «Сирена-Трэвел» подозревают в нарушении правил хранения данных
🔸Стали известны подробности уголовного преследования топ-менеджеров АО «Сирена-Трэвел» (разработчик системы бронирования авиабилетов Leonardo) Игоря Ройтмана и Александра Кальчука. По версии следствия, они не обеспечили хранение и защиту компьютерной информации, что привело к получению хакерами персональных данных пассажиров авиакомпаний.
🔸Суд не стал отправлять фигурантов дела в СИЗО, как того требовало следствие, но запретил им работать в компании.
🔸Следствие и СЭБ ФСБ установили, что в период с 25 августа по 15 сентября 2023 года неизвестные, используя программу SSH Bruteforce, нейтрализовали средства защиты компьютерной информации, а затем с помощью программы HEUR:Trojan.WInLNK.Alien.gen получили доступ к информационным системам АО «Сирена-Трэвел», в том числе к системе бронирования авиабилетов Leonardo.

🇺🇸🇮🇳 Amazon откажется от магазинов без касс и терминалов оплаты. Компания реконструирует точки, где работала эта система, и не будет открывать новые, сообщает Bloomberg.
🔸Первый магазин такого типа появился в 2018-м. Покупатель скачивал специальное приложение и на входе сканировал QR-код. Умные камеры и сенсоры отслеживали, какие товары взял покупатель, а деньги списывались автоматически на выходе. Однако портал Engadget выяснил, что действия клиентов анализировал не искусственный интеллект, а 1 тыс. сотрудников в Индии.
🔸Покупатели при этом жаловались, что чеки иногда приходили через несколько часов. Некоторые посетители беспокоились о сохранности персональных данных, в том числе биометрических.

🏦 Ответ ФНС на письмо АРБ "О проблеме раскрытия персональных данных представителей кредитных организаций при оформлении МЧД"
🔸АРБ ранее в своем письмо указало на то, что зная уникальный номер МЧД, ИНН доверителя, ИНН представителя возможно получать персональные данные руководителя банка / ЕИО, а также представителя банка по МЧД в неограниченном доступе и неограниченное количество раз (как при проверке МЧД на действительность на сайте ФНС России (по реестру ФНС), так и путем скачивания МЧД в формате PDF). В формате PDF также подгружается и изображение собственноручной подписи руководителя банка / ЕИО с его собственноручной расшифровкой в читаемом виде (не зашифрованной).
🔸В рамках рассматриваемой проблемы усматриваются существенные риски недобросовестного использования охраняемых действующим законодательством раскрываемых в избыточном объеме персональных данных представителей банков, а также собственноручной подписи руководителя банка / ЕИО, что особо актуально в настоящее время по причине увеличения видов и форм совершения мошеннических действий в финансовой сфере.
🏛️ Ответ ФНС: единое блокчейн хранилище машиночитаемых доверенностей (МЧД) – распределенный реестр ФНС России обеспечивает выполнение всех требований текущего законодательства и нормативных правовых актов Российской Федерации в части отмены, хранения, использования и предоставления машиночитаемых доверенностей.

💡Вопрос: Является ли табельный номер работника его персональными данными?
🏛 Роскомнадзор (ЦА): Необходимо отметить, что в соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», персональными данными является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). На основании вышеизложенного, полагаем, что табельный номер работника может являться персональными данными при условии соответствия вышеуказанному определению.

🔸Ранее Минцифры озвучило позицию, что табельный номер сотрудника (в том числе уволенного) не может быть присвоен другому сотруднику, поэтому данные сведения позволяют идентифицировать конкретное физическое лицо, а, следовательно, являются персональными данными.

🆕 Новый курс RPPA.pro 'AI Governance. Регулирование и комплаенс ИИ-систем'

🗓 Даты: 17 мая - 15 августа 2024 года

👥 Преподаватели: Александр Тюльканов, Анастасия Сковпень, Александр Партин, Екатерина Калугина, Артём Семенов

🏳 Стоимость: 100 000 ₽

🍏 Объем: 11 лекций по 90 минут, 8 семинаров по 90 минут, проверка знаний, домашние задания / кейсы, консультации

⬆️ Первый русскоязычный курс по комплаенсу ИИ, охватывающий сферы регулирования, приватности, интеллектуальной собственности и ИБ от ведущих экспертов отрасли с мировым именем.

⬆️ Интегрирован в единую экосистему образовательных продуктов RPPA.pro и залинкован на компетенции с последующей сертификацией PPCP.pro.

⬆️ Покрывает компетенции IAPP AIGP (домены I-VII)

🌟 Зарегистрироваться

🏛️ В СФ в мае обсудят защиту персональных данных в игровых аккаунтах
🔸"В середине мая мы планируем организовать общественное обсуждение вопроса подготовки мер законодательного регулирования в сфере распоряжения виртуальной игровой собственностью, защиты персональных данных в игровых аккаунтах и зависимости детей и подростков от компьютерных игр", - сказала первый зампред комитета Совета Федерации по конституционному законодательству и госстроительству Ирина Рукавишникова.

⚡Объем утечек в России вырос впятеро
🔸В открытый доступ за I квартал 2024-го утекли 121 млн телефонных номеров и 38 млн e-mail-адресов — в сумме это впятеро больше, чем за аналогичный период 2023-го. Такие выводы содержатся в исследовании сервиса DLBI. Основная доля пришлась на финорганизации. Количество сливов информации в I квартале 2024-го по сравнению с аналогичным периодом прошлого года незначительно сократилось — с 60 до 57.

🏛️ Домены зарегистрируют на «Госуслугах»: администраторам придется подтверждать свои данные через ЕСИА
🔸В Госдуму планируется внести законопроект, вводящий обязательное подтверждение данных администраторов доменов через инфраструктуру «Госуслуг». Сейчас компании и физлица, управляющие доменами в зонах .ru и .рф, должны предоставлять документы по запросу интернет-регистратора. В Координационном центре .RU/.РФ, управляющем национальными доменами, говорят о необходимости исключения для нерезидентов.

🏛️ Роскомнадзор планирует использовать ИИ для ведения реестра операторов персональных данных
🔸Согласно новой версии паспорта программы цифровой трансформации Роскомнадзора, в 2026 году Роскомнадзор намерен наполнять с помощью ИИ реестр операторов персональных данных.
🔸Выявление операторов сопряжено с трудностями, подчеркивает гендиректор разработчика систем анализа данных «Социальная лаборатория» Наталия Тылевич: «Даже если оператор опубликовал юридические документы в виде, удобном для автоматического извлечения, их "чтение" требует глубокого семантического анализа. А ведь, например, интернет-магазин может отображать их только в процессе регистрации пользователя или оформления заказа». В последнем случае, уточняет она, создателям решений придется найти способ автоматической регистрации на сайтах, администраторы которых обычно блокируют подобные действия.

⚡В нижегородских МФЦ заработал сервис «ГосQR»
🔸Чтобы воспользоваться сервисом «ГосQR», необходимо установить на смартфон приложение «Госуслуги», авторизоваться в нём, отсканировать специальный QR-код в отделении МФЦ, дать согласие на использование данных из цифрового профиля для МФЦ.
Согласие действует 12 часов, после чего автоматически отзывается.
🔸Использование «ГосQR» должно ускорить приём граждан в МФЦ, а также сократить вероятность ошибок при заполнении документов.

На ярмарке вакансий RPPA опубликованы три новые позиции:
🔸Юрист по защите персональных данных в СберМаркет
🔸Anti-fraud Engineer в Островок
🔸Brand Protection Engineer в Островок
🇷🇺⚡️👨‍💻 #вакансия #privacy #brand #engineer

⚡Роскомнадзор не получал уведомления об утечке персональных данных от "Агрокомплекса им. Ткачева"
🔸Ранее появились сообщения о крупной и успешной хакерской атаке на "Агрокомплекс им. Ткачева". Атаке подверглись "все IT-системы компании, инцидент привел к краже и шифрованию данных на серверах организации.

🏛️ Предложено ввести обязательную идентификацию абонентов через "Госуслуги" и МФЦ
🔸Зампред Совета по развитию цифровой экономики, сенатор Артем Шейкин направил обращение руководителю Роскомнадзора Андрею Липову с предложением ввести обязательную идентификацию абонента сотовой связи через сайт "Госуслуги" или МФЦ, если он планирует использовать мобильный счет для различных платежей.
🔸Также сенатор предлагает запретить сотовым операторам передавать полномочия по идентификации абонентов коммерческим компаниям. "Кроме того, учитывая распространенную сейчас практику, представляется важным запретить операторам сотовой связи делегировать полномочия по идентификации абонентов по агентским договорам различным коммерческим компаниям, а также предоставление прямого доступа агентам к биллинговой системе оператора сотовой связи, такие факторы создают высокие риски внесения недостоверной информации об абонентах в биллинговые системы операторов", - говорится в обращении Шейкина.

🎙️"Белым хакерам" хотят прописать права
🔸Допустимые действия независимых IT-экспертов, известных как "белые хакеры", хотят прописать в законодательстве. Но меры по легализации не должны снизить порог нетерпимости к утечкам персональных данных, считают специалисты.
🔸Целью пентестов является проверка возможности доступа к этим данным, напомнил Михаил Клименко, заместитель генерального директора "Веб Изи". "В то же время у владельца и оператора информационной системы отсутствует согласие субъекта персональных данных на передачу третьим лицам в результате внешнего аудита тестирования. Также отсутствует и законное основание для передачи этих персональных данных субъекта третьим лицам, что нарушает 152-ФЗ. Получить согласие на обработку персональных данных в случае аудита информационной безопасности в больших информационных системах, например, на каком-то региональном уровне практически невозможно. Возможно в качестве законодательной инициативы прописать в 152-ФЗ, что тот же пентестинг не является распространением персональных данных, и отдельного согласия в данном случае не нужно", - предлагает Клименко.
🔸С этим категорически не согласен Владимир Бенгин, директор по продуктовому развитию "Солар", ранее возглавлявший профильный департамент минцифы.. По его словам, сегодня полностью отсутствуют сценарии, когда в рамках тестов можно получить доступ к персональным данным, а любая попытка размыть эту ответственность приведет к росту угроз утечек. "Тестировщик может запросить тестовые данные из системы и скачать их, если они имеются. Совершенно исключен вариант, когда можно случайно скачать 5 гигабайт персональных данных", - отметил он.

#events #privacy #dataprotection

🔸Кто: Privacy Advocates и Comply
🔸Что: Вебинар. In-house privacy-комплаенс
🔸Формат: запись на YouTube-канале

Адженда:
✅ Критерии приоритизации работы: KPI? Штрафы? Карта рисков/матрица?
✅ С чего начинать на новом месте? План на первые 100 дней
✅ Прайваси-чемпионы или как выстраиваивать privacy-менеджмент на местах?
✅ Автоматизация учета обработок данных и иное - надо ли или как?

Спикеры
🔵 Михаил Ратушный, DPO, Ozon
🔵 Екатерина Липова, DPO, Yandex Cloud
🔵 Алексей Мунтян, СЕО, Privacy Advocates
🔵 Артём Дмитриев, управляющий партнер, Comply

⚡В Сочи и Ростове задержали подозреваемых в краже данных у крупной IT-компании
🔸По данным полиции, злоумышленники получили доступ к базе одной из крупнейших российских IT-компаний и скопировали более 600 000 записей, содержащих персональные данные работников сервисной службы. После чего разместили их в теневом сегменте интернета с целью продажи.
🔸По собранным оперативниками материалам следователем СУ по ЦАО ГСУ СК России по г. Москве возбуждены уголовные дела по признакам преступлений, предусмотренных статьями 272 и 183 УК РФ. В соответствии с ролью каждого фигурантам предъявлены обвинения и избрана мера пресечения в виде подписки о невыезде и надлежащем поведении.