В ноябре специалисты по ИБ зафиксировали нетипичную активность на сетях российских компаний: к ним заглянул бот OpenAI — GPTBot. Что он ищет на российских ресурсах — разбиралась в колонке.

Введение уголовной ответственности за кражу, распространение и использование персональных данных может отразиться на бизнесе компаний, работающих с большими данными. Этот вопрос беспокоит IT-стартапы и экспертов по кибербезопасности.
Принятие закона, внесенного в Госдуму 4 декабря, может также привести к серьезному замедлению развития искусственного интеллекта, для которого используются большие объемы информации. В Госдуме этот риск понимают, однако все равно считают борьбу с утечками приоритетной задачей.

На Bug Bounty выходит новый регион

Bug Bounty на государственных IT-системах становится все популярнее, причем как ни странно — не у федеральных ведомств, а в регионах. По крайней мере публично.
Вслед за Ленобластью тестирование своих «Госуслуг» запускает Московская область.

Но интереснее, как мне кажется, появление механизма выплат вознаграждений за найденные уязвимости тестировщикам из других стран. К госсистемам их, скорее всего, не допустят, а вот бизнес иностранной экспертизой воспользоваться сможет.

GPTBot, о котором я писала колонку неделю назад, добрался до Роскомнадзора

Ведомство направило ряду хостинг-провайдеров письмо о выявлении поискового робота от OpenAI. РКН рекомендует заблокировать возможность бота просматривать и анализировать интернет-страницы для «исключения сбора информации о критических уязвимостях ресурсов», которые находятся в зоне ответственности компаний.
В заметке разбирались уже более предметно: к чему могут привести такие ограничения — и в России, и в мире.

Разговоры о зарплатах IT-специалистов ведутся давно. Их любят сравнивать с предложениями зарубежных компаний или с общей ситуацией на рынке. Но редко когда о них спрашивают самих сотрудников компаний, а это может дать неожиданный результат. Как, например, показал опрос Российской ассоциации электронных коммуникаций (РАЭК).
Интересно в нем то, что исследователи не сравнивают объем окладов или условия работы в тех или иных организациях. Ответы респондентов — про самоощущение, которое не всегда измеряется суммами.

Итоги года устойчивости сетей

Россия укрепила свои позиции в рейтинге стран с наиболее устойчивым национальным сегментом интернета. Максимальный процент возможного отказа сетей в стране составил 5,34%, хотя годом ранее — 5,50%. Это значит, что меньшее число сетей в России потеряет доступность при отказе национального оператора связи.

Лидерами среди стран остались Бразилия, Германия и Нидерланды, Россия по итогам 2023 года на 13 месте — поднялась на одну позицию после того, как в 2022 году потеряла четыре.
Результаты операторов — в тексте.

Пятничная колонка — о параллелях российского и европейского регулирования ИБ

На неделе ЕС опубликовал регламент обеспечения кибербезопасности организаций, который закрепил общие для всех стран-участников методы защиты данных. Документ во многом перекликается с российским регулированием в области кибербезопасности последних полутора лет. Решила выяснить, с чем это может быть связано. Спасибо за помощь Алексею Лукацкому и Олегу Шакирову.

А здесь — сам документ.

С началом нового рабочего года!🦾
Оно не прошло без сообщения об утечке персональных данных — на этот раз клиентов Альфа-Банка. Вроде бы ничего необычного: публикация злоумышленников, следом комментарий компании о том, что данные не ее. Но с приближением введения крупных штрафов за утечки это повод задуматься — а что делать компании, если данные действительно ложные, а резонанс в СМИ уже поднялся и начались разбирательства?

Кстати, хотя Альфа-Банк инцидент отрицает, в картотеке уже можно увидеть иск к компании по статье о хранении персональных данных🤔

За год цены на российский софт выросли на 10–20%

В целом это укладывается в утвержденный в прошлом году Минцифры и IT-рынком механизм регулирования цен (индекс потребительских цен + 15%). Но так как на цены влияет рост стоимости разработки решений (кадры) и ряд других факторов, в Минцифры сейчас обсуждается создание нового механизма, который должен контролировать стоимость ПО, но в то же время отвечать интересам разработчиков.

Страховщики оценивают киберриски

Пока в правительстве обсуждают регулирование рынка киберстрахования, то есть страхования компаний от последствий кибератак, сами профильные организации наращивают объемы страховых премий. По итогам 2023 года их оценивают в 1,3 млрд руб., что больше на 80%, чем годом ранее.
Но пока это новая услуга, и у участников рынка кибербезопасности вопросы вызывают проведение специализированных аудитов при покрытии инцидента и текущее отсутствие регулирования.

Снова про оборотные штрафы и утечки

Общественная организация «Деловая Россия» направила в Госдуму предложения по смягчению ответственности операторов персональных данных за утечки, в частности по уменьшению штрафов на порядок — с 500 млн до 50 млн руб.
Но самое интересное, что организация предлагает разделять ответственность допустившей утечку компании с поставщиком решений в области защиты данных. Согласно предложению «Деловой России», в законопроект стоит добавить пункт об аналогичных штрафах для вендоров, если со стороны оператора персональных данных не было нарушения в использовании ИБ-систем, но инцидент все же произошел.
Правда сами участники рынка считают предложение спорным, хотя и не все.

Совфед, где разрабатывается законопроект о страховании компаний от киберрисков, решил сфокусироваться на покрытии убытков только от утечек данных. Причем как для компаний, так и для граждан. В текущей версии предусмотрено три формы страхования:

• обязательный денежный фонд для компенсации вреда субъектам данных внутри компании
• покрытие риска через страховую организацию
• наличие банковской гарантии покрытия последствий инцидента

Страхование может стать обязательным для всех операторов персональных данных, а их сейчас более 900 тыс. Правда, такими темпами может стать меньше.

📞Мошенники меняют операторов

В начале 2024 года заметно изменилась ситуация с пропуском мошеннического трафика операторами связи. Если в прошлом году для фрода преимущественно использовались номера малых операторов и звонки с подменных номеров, то сейчас — нумерация крупных телеком-компаний.
Сами операторы признают, что с запуском системы «Антифрод» подмена номера усложнилась, и мошенники начали использовать доступные абонентские продукты. При этом установленная законом процедура верификации абонента может занимать до 48 дней, в это время пользователь сохраняет анонимность.

Тестовое задание — написать законопроект✍🏼

https://www.tg-me.com/radio_tishina/1367

День Рождения немного затянулся, но я всех-всех вижу и обязательно всем отвечу🤍
Спасибо!

https://www.tg-me.com/radio_tishina/1372

«Безопасный город» в лицах

Давно не писала о проекте «Безопасный город» — это аппаратно-программный комплекс систем мониторинга большого количества показателей, который планируется развернуть во всех регионах России.
Частью реализации проекта была научная работа (НИОКР), результаты которой принимали в МЧС. Но пятый этап работ вызывал споры, и сейчас проект заморожен на время суда между МЧС и Центром, который проводил НИОКР.
Сейчас, например, Центр получил одобрение своего ходатайства о привлечении к делу третьих лиц — компаний, выступавших ранее подрядчиками: дочерняя структура «Ростелекома» и др.

И процесс может затянуться, несмотря на то, что без признанных результатов работ над методиками анализа данных и нормативной базой проекта сам «Безопасный город» полноценно развиваться не может. В частности, комплекс так и не развернули в приграничных районах, где контроль обстановки наиболее востребован. Официальное поручение об этом было дано еще в июле 2022 года.

Все продается и все покупается

Стоимость незаконного получения информации о гражданах в России выросла к началу 2024 года в 2,5 раза, до 44,3 тыс. руб. Данные операторов связи, например детализация разговоров абонента, дорожают в зависимости от компании, но в среднем в 3,3 раза. За банковские данные (выписка по пользователю за месяц) теперь просят в 1,5 раза больше, чем год назад, несмотря на многочисленные утечки. Да и спрос на такую информацию никуда не делся.

Минцифры собиралось ввести категорирование объектов КИИ еще в 2022 году, объясняя это тем, что многие компании преуменьшают свою значимость и уходят от жестких мер защиты инфраструктуры.

В итоговой версии законопроекта, который сегодня внесли в Госдуму, без присвоения категории никто не остался: и объекты критической информационной инфраструктуры, и их IT-решения. А ведь регуляторам потом разбирать все данные, которые компании будут обязаны им предоставлять. Ждем новые реестры!