Обработка ПДн россиян у иностранного работодателя и ФЗ-242

Принятие поправок в 242-ФЗ привело к огромному количеству непонятных пока ситуаций с обработкой ПДн в иностранных компаниях, имеющих в России свои представительства (хотя на представительства ФЗ-152 и не распространяется) и юридические лица. Одной из таких ситуаций, которая касается всех без исключения иностранцев, является обработка ПДн работников. Можно или нельзя передавать ПДн работников в штаб-квартиру, например, для хранения в центральной HR-системе (если она центральная, а не локальная)? А если сотрудника отправляют на обучение или просто в командировку и его ПДн передаются за пределы РФ? А работа систем контроля доступа в офисы компании по всему миру? Ситуаций много, а ответов ФЗ-242 в явном виде не дает? Или дает?..

Вот что считает государственной орган исполнительной власти, уполномоченный определять государственную политику в области обработки персональных данных:

Здраво, по делу и в полном соответствие с буквой закона!

Чем грозит российской ИБ лишение права голоса России в ПАСЕ?

Ничем, мог бы написать я и тем самым ответить на риторический вопрос, вынесенный в заголовок. Но ситуация не так проста, как кажется. Хотя и ее развитие может идти по нескольким сценариям. Вариант "ничего не изменится" я не рассматриваю - с ним и так все понятно. Гораздо более интересен другой вариант.

Допустим, Россия, как уже грозила, выходит из Совета Европы. В этом случае она будет не обязана соблюдать общие правовые нормы и рекомендации, принятые всеми 47-ю государствами-членами. Также в этом случае Россия не обязана будет приводить свое законодательство в соответствие с европейскими нормами (а мы, к слову, ратифицировали свыше 50 различных конвенций Совета Европы). И тогда мы на полном основании сможем отказаться от применения Евроконвенции по персональным данным и включать в ФЗ-152 и подзаконные акты те нормы, которые захочет Россия. Например, она может изменить и сделать более адекватным определение термина "персональные данные". А может ввести в 19-ю статью требование сертификации средств защиты ПДн как формы оценки соответствия. Варианты могут быть разные. А в ноябре на конференции по ПДн, которую устраивал Роскомнадзор, и вовсе прозвучала мысль, что штрафы за нарушение ПДн надо поднять. И пусть это будут не "смешные" 10 тысяч рублей; и не внесенные в Госдуму 500 тысяч (в совокупности). Пусть это будет 5% от годового оборота нарушителя. Несколько лет назад РКН уже пытался провернуть этот фокус; правда, штраф тогда был "всего" 2%. Сейчас же, в условиях дефицита бюджета, Минюст может и разрешить такую поправку...

Но пойдем дальше. Если Россия всерьез примет решение об аннексии ГДР со стороны ФРГ (а в этом процессе было тоже не очень все чисто), а также начнет выполнять угрозу Медведева о реакции "без ограничений", то мы можем стать свидетелями очень интересных юридических споров, которые могут послужить причиной для пересмотра если не всего, то очень большой части международного права.

В прошлом году я делал на одном мероприятии доклад на тему "А что если завтра кибервойна?" И в нем было сделано предположение, что для очередной смены основ международного права нужно серьезное потрясение. И если Россия решит пойти до конца, а Запад полезет в бутылку и не пойдет на попятную (а скорее всего это и произойдет), то это может послужить причиной пересмотра неработающих сейчас норм в области международной безопасности. 

А там, глядишь, недалеко и до разработки единых правил поведения в киберпространстве и норм в области кибервооружений. И все это может произойти в самое ближайшее время.

В интересное время живем, однако... Однако у китайцев пожелание жизни в эпоху перемен считалось проклятьем (хотя достоверных источников, подтверждающих китайское авторство этого "проклятия", до сих пор не найдено). Вот и думай, хорошо это или нет...

Как защищать ГУПы и ФГУПы?

Вчерашний слайдкаст и комментарии к нему напомнили мне, что я забыл упомянуть такую часто всплывающую тему, как защита информации в государственным унитарных предприятиях (ГУПах), а также ФГУПах и МУПах. Специально для ответа на этот вопрос я подготовил коротенький слайдкаст, отвечающий на данный вопрос.

Слайдкаст:



Презентация:



ЗЫ. Слайдкаст применим и к казенным предприятиям, являющимся по законодательству унитарными.

Где установлены требования по защите госорганов? Триптих. Часть I

Затеял я тут слайдкаст на тему "Какие нормативные акты устанавливают требования по защите госорганов?" Тема возникла не на пустом месте - в последнее время регулярно слышу о том, что 17-й приказ распространяется не на все госорганы и не на все информационные системы в них, так как не каждая ИС госоргана - это государственная ИС (ГИС). Тема старая, но всплывающая с завидной регулярностью. Но раз не 17-й приказ, то что? Вот про это я и хотел сделать слайдкаст.

Но начать надо с того, что такое ГИС и почему ряд госорганов и муниципальных учреждений старается уйти от нахождения у себя таких систем? Этому и посвящен первый слайдкаст из триптиха:



Если кто-то предпочитает смотреть обычную презентацию, то я выложил ее на Slideshare:



Во второй части триптиха будут рассмотрены нормативные акты (аж 10 штук, не включая 17-й приказ и СТР-К), устанавливающие требования по защите информации госорганов. Ну а в финальной части триптиха эти требования будут рассмотрены более детально.

Как депутаты пошли против Президента

Пока депутаты рассматривают законопроект Правительства о штрафах в области ПДн (текст которого все-таки был внесен в Госдуму), а многие организации пытаются осмыслить, как же им теперь выполнять требования 242-ФЗ - исходя из позиции Администрации Президента или Минкомсвязи, я решил вспомнить другой документ, который я уже ранее упоминал. Речь идет о Стратегии национальной безопасности, которая постулирует простую мысль - Новый и Старый Свет для нас, в массе своей, враги, и поэтому Россия должна формировать новые блоки с нашими союзниками.

На место таких блоков претендуют сразу несколько организаций, среди которых наиболее активно работы идут в ОДКБ, ШОС, БРИКС и ЕАЭС (не путать с почившим ЕврАзЭС). Особенно интересен последний союз, который стал формироваться семимильными шагами и в который помимо Беларуси и Казахстана теперь входит Армения, а с 29-го мая еще и Киргизия (за ними могут подтянуться Таджикистан и ряд других стран). Согласно принятым документам, уже вступившим в силу, в ЕАЭС обеспечивается свобода движения товаров, а также услуг, капитала и рабочей силы. Иными словами, гражданин России имеет полное право поехать на работу в Казахстан и не будет иметь там никаких проблем (точнее не должен). И открыть счет в белорусском банке тоже россиянин теперь может без проблем. А в Армении теперь можно официально купить недвижимость.

Иными словами, границы стираются. И все это замечательно ложится в идею, неоднократно озвученную Президентом Путиным, - надо формировать блоки с нашими партнерами. Эта простая мысль сейчас вносится во все доктринальный документы - Военную доктрину, обновляемую Доктрину ИБ; она же внесена была в Концепцию внешней политики, в Стратегию национальной безопасности, в основы государственной политики в области международной ИБ и т.п. Иными словами в условиях, когда вокруг России кружат империалистические коршуны, блоки с союзниками нам нужны как воздух.

А вот Роскомнадзор и депутаты категорически против Президента. Иначе я просто не могу понять, как можно было принять ФЗ-242, запрещающий хранение ПДн россиян за пределами РФ? Ведь блоковый статус подразумевает активную передачу разной информации, включая и персональные данные. Вот поедет секретарь ОДКБ в Казахстан для обсуждения очередной инициативы по борьбе с киберпреступностью, а казахские коллеги не смогут хранить его персональные данные на территории Казахстана, ибо это будет нарушать ФЗ-242. Захочет, например, господин Жаров (глава РКН) поехать в Белоруссию обменяться опытом в области защиты прав субъектов персональных данных и тоже не сможет - ни гостиницу забронировать на свое имя (не будет же он под легендой там жить), ни официально представиться; да даже почтой не сможет обмениваться с белорусскими коллегами - ведь в почте есть ПДн. Захочет глава Следственного комитета РФ г-н Бастрыкин полететь в Гюмри для разбора преступления российского военнослужащего и тоже не сможет - хранить его персональные данные в Армении нельзя - депутаты запретили это, а Роскомнадзор должен строго блюсти права россиян.

Странная ситуация. Президент говорит одно, Совет Безопасности вторит ему в своих доктринальный документах, а законодательная и исполнительная власть делает прямо противоположное. Очень странная :-(

Американцы унифицируют законодательство по персональным данным

Президент Обама сделал очередную попытку в части унификации законодательства по защите персональных данных, предложив Конгрессу рассмотреть законопроект  The Personal Data Notification & Protection Act. Это уже не первая попытка Обамы сделать это, но вероятнее всего сейчас она пройдет все препоны и будет принята Конгрессом, что наконец-то приведет к стандартизации в данном вопросе и повышении защищенности персональных данных американцев. По мнению экспертов это позволит стать США на один уровень с Канадой, Австралией и Европой (ближайшими партнерами), имеющих свое законодательство. Пока же Америку сравнивают с Россией (вот удивительно с нашим драконовским ФЗ-152), Индией и Бразилией. И это несмотря на сходные законы в большинстве из штатов США (такие законы есть в 47 штатах и отсутствуют в Алабаме, Нью-Мехико и Южной Дакоте).

Законопроект не очень большой - всего 13 статей на 9 страницах. Из наиболее интересных положений могу отметить следующее:

• Определение ПДн, включающее перечисление того, что считается персональными данными. Никакой "любой информации" - все предельно ясно. Это ФИО или инициал и фамилия в комбинации с любыми двумя элементами - почтовый адрес или телефон, девичья фамилия матери, дата рождения. Также к ПДн относятся еще 5 видов данных:
• номер социального страхования, номер водительского удостоверения, номер паспорта или номер иного документа, удостоверяющего личность
• биометрические данные, такие как отпечатки, голос, радужка глаза или иные уникальные физиологические особенности субъекта ПДн
• уникальный номер счета в банке, номер платежной карты
• имя пользователя или e-mail в комбинации с паролем или секретным вопросом и ответом, которые позволяют получить доступ к учетной записи
• комбинация следующих данных
• имя и фамилия или инициал имени и фамилия
• уникальный номер в банке, номер платежной карты
• любой код безопасности, код доступа, пароль.
• О несанкционированном доступе к ПДн должна уведомить пострадавших любая компания, которая за последние 12 месяцев обрабатывала ПДн более чем о 10000 субъектах.
• Уведомление должно быть осуществлено без необоснованных задержек. Обоснованная задержка не должна быть более 30 дней. Можно больше, но по согласованию с регулятором (Федеральная торговая комиссия). Также можно затянуть с уведомлением в случае уголовного расследования или по требованиям национальной безопасности.
• Можно не уведомлять, если по результатам анализа риска будет доказано, что угрозы субъекту или его ПДн нет.
• Уведомление может быть письменным (по последнему известному адресу), по телефону или e-mail с электронной подписью.
• Дальше идут детали уведомления (или освобождения от него) для разных категорий лиц - судьи, правоохранительные органы, силовики и т.д.
• Несмотря на название, о защите в законопроекте ни слова.

Лично я большого смысла в этом законе не вижу при наличии уже принятых в абсолютном большинстве штатов своих собственных, местами даже более жестких законов. Единственное, что можно поставить в плюс Обаме - попытку унифицировать подходы в данном вопросы и с регионального уровня поднять его на федеральный.

ЗЫ. У нас такой законопроект тоже хотели принять - мы даже один раз рабочей группой собирались по этому вопросу. Но, к сожалению, в связи с покиданием одного из регуляторов ряда достойных людей и конфликтом между некоторыми регуляторами данная тема подвисла в воздухе. Хотя может быть это и хорошо, учитывая как наши законодатели переиначивают все хорошие начинания.

ЗЗЫ. Помимо данного законопроекта Обама планирует анонсировать и ряд других инициатив по кибербезопасности, как результат взлома Sony.

Как определить уровень защищенности ПДн?

Регулярно приходится слышать вопросы о том, как определить уровень защищенности ПДн? Казалось бы, все написано в ПП-1119, но нет, вопросы все равно остаются. Надо ли учитывать НДВ или нет? На каком уровне НДВ у нас могут быть? Чем угроза отличается от типа угроз? Почему классификация ИСПДн по классам К1-К4 больше невозможна?

В принципе, ответы на все эти вопросы я уже давал в блоге. Но там они были разрозненны и не сведены воедино. А там, где были доступны презентации, не все могли из нее подчерпнуть, что я  конкретно имел ввиду. Поэтому решил освоить новый формат - слайдкаст - презентация с озвучкой. Вчера я выложил слайдкаст по проекту требований ЦБ по защите информации для организаторов торговли (бирж). Сегодня пришло время для слайдкаста по определению уровня защищенности ПДн.



Кстати... Раз уж заметка посвящена ПДн, то не могу не включить в нее ссылку на относительно свежий нормативный акт, который не стоит отдельного описания, но и забывать про него тоже не нужно. Речь об Указе Президента от 24 ноября 2014-го года №735 "О сборе биометрических персональных данных иностранных граждан и лиц без гражданства".

Проект требований по защите информации для организаторов торговли (бирж)

Как мы помним, Банк России активно регулирует вопросы защиты информации в Национальной платежной системе и основным документом в этой области (но не единственным) является положение 382-П. Однако данный документ, как это и описано в 27-й статье 161-ФЗ об НПС, распространяется только на тех, у кого в названии встречается термин "оператор" (оператор по переводу денежных средств, оператор платежной системы и оператор услуг платежной инфраструктуры) и на банковских платежных агентов и субагентов. Но НПС не ограничивается только ими. Например, у нас есть биржи, они же организаторы торговли. Какие требования по защите информации распространяются на них и есть ли они? Оказывается есть. Банк России подготовил проект соответствующего документа, который я и решил описать в виде слайдкаста (презентация со звуковым сопровождением).

Топ11 ИБ-прогнозов на 2015 год: резюме

Теперь попытаемся сравнить 3 блока прогнозов (российские, иностранные вендоры и иностранные эксперты/СМИ) вместе:

Сразу отмечу, что на иллюстрации отмечены только ТОП прогнозов, которые набрали большинство "голосов". Общее же число прогнозов из 58 источника составило 144. И, конечно же, считать "наши" прогнозы адекватными не приходится - выборка не совсем репрезентативная :-(

Абсолютная десятка (10-е и 11-е пункты списка из 144 прогнозов поделили между собой 10-е место) выглядит так (для постсоветского пространства я бы исключил 10-й пункт - неактуален он пока для нас):

1. ИБ Всеобъемлющего Интернета, включая и тематику АСУ ТП
2. Безопасность мобильных устройств, включая BYOD
3. Рост числа целенаправленных угроз
4. ИБ облачных вычислений
5. Рост прессинга со стороны регуляторов, включая и рост числа нормативных актов
6. Рост Интернет-мошенничества и угроз мобильным платежным системам
7. Рост числа инцидентов, связанных с уязвимостями в opensource и открытых протоколах
8. Рост числа угроз со стороны государств
9. Visibility & Analytics с точки зрения ИБ
10. Рост числа атак на медицинские системы
11. Рост угрозы со стороны программ вымогателей

Во вторую десятку (указано больше 10-ти прогнозов, потому что последние места во второй десятке поделили сразу несколько предсказаний) входят:

• атаки на банкоматы, PoS-терминалы и киоски оплаты
• рост интереса к безопасности ПО, включая тематику SDLC
• рост угроз электронной почте
• рост интереса к Threat Intelligence, включая необходимость активизация обмена информацией об угрозах в рамках частно-государственного партнерства
• слабость парольной защиты и необходимость обращения к многофакторной аутентификации
• рост интереса к биометрической аутентификации
• милитаризация темы информационной безопасности (кибервойны)
• рост использования теневого Интернета и анонимизации, как угроза ИБ
• постепенный сдвиг в мотивации киберпреступников в сторону кибершпионажа и политики/идеологии (хотя тут скорее речь идет об очередном витке)
• автоматизация, коммерциализация и рост эффективности киберпреступных сервисов (crime-as-a-service)
• рост атак на социальные сети
• национальные ограничения на приобретение ИТ/ИБ-решений.

Как часто бывает с любой высокоуровневой статистикой, вытянуть из нее что-то конкретное и применимое для той или иной организации бывает трудно. Но по крайней мере можно понять, в каком направлении думают многие эксперты и куда будут (вероятнее всего) развиваться игроки рынка ИБ (как минимум мирового). Ну а регуляторы, может быть, смогут учесть это при разработке своих нормативных или методических документов и рекомендаций, а также при выстраивании своих планов действий. А вот отечественным разработчикам есть, на что обратить свой взор с точки зрения предложения решений как на внутреннем рынке, так и на внешнем (в последнем случае с оговорками).

ЗЫ. Думаю, что на основе этих прогнозов составлю себе план заметок для блога - что делать с каждым из трендов.

ИБ-прогнозы на 2015 год от иностранных СМИ и экспертов

Финализиируем анализ ИБ-предсказаний на 2015-й год. На этот раз это будут "независимые" зарубежные издания, консультанты/эксперты и консалтинговые компании:

• Предсказания от SC Magazine
• Предсказания от Джона Олтcика для NetworkWorld
• Предсказания по мобильной ИБ от SecurityWeek 
• Предсказания от InfoSec Institute
• Предсказания от ThreatTrack Security
• Предсказания от USA Today
• Предсказания от TechRadar
• 4 позитивных предсказания от InfoWorld
• Прогнозы от ThreatStream
• 5 прогнозов по безопасности социальных сетей
• Предсказания от Стивена Норткатта
• 9 угроз ИБ в 2015-м году по версии IT World Canada
• Предсказания в области киберпреступности
• Предсказания от Connected World
• Предсказания от CSO Online (и еще тут)
• Предсказания (и тут) от IDC
• Предсказания от Business Insider
• Прогнозы от Forrester (в открытом доступе отсутствуют)
• Прогнозы от Gartner (в открытом доступе отсутствуют)
• Прогнозы от KPMG
• Прогнозы от InformationAge (и тут)
• Прогнозы от CIO Magazine
• Прогнозы GovCloud Network
• Прогнозы от The VAR Guy
• Прогнозы из разных источников

В данной выборке картина поменялась по сравнению с зарубежными производителями средств защиты. На первом месте, однако, остался Интернет вещей и его безопасность. А вот второе место поделили между собой:

• Безопасность мобильного доступа и BYOD
• Рост Интернет-мошенничества и угроз мобильным платежным системам
• Рост угроз со стороны государств
• Рост целенаправленных угроз (APT).

На третьем месте независимые эксперты и СМИ поставили:

• Использование уязвимостей в opensource
• Безопасность облачных вычислений
• Атаки на медицинские системы
• Рост внимание к Threat Intelligence и обмену информацией об угрозах между различными участниками рынка (частными и государственными)
• Шифрование в облаках и на иных разделяемых ресурсах.

Интересно, что зарубежные вендоры, в отличие от СМИ и экспертов, не выделяют APT как серьезную угрозу. Зато они фокусируют внимание на программах-вымогателях (ransomware), которые совсем забыты зарубежными независимыми экспертами. Про угрозы мобильным платежным системам (особенно в контексте Apple Pay), ИБ мобильных устройств и облаков, а также проблемы ИБ open source говорят все, а дальше опять мнения разделились. Иностранные эксперты прогнозируют рост интереса к Threat Intelligence, а сами вендоры эту тему практически не упоминают. Оно и понятно, одно дело обмениваться этой информацией по закрытым каналам между собой, и совсем другое - отдавать наружу, пользователям. Еще одно отличие в прогнозах - в атаках на медицинские системы. Про это говорят все СМИ и эксперты, но совсем не упоминают вендоры. Также интересно смотреть на прогнозы относительно темы compliance и прессинга со стороны регуляторов - для вендоров это вполне реальная проблема (выполнять множество разных требований в разных странах - это не шутка), а многие эксперты, да еще и сидящие в одной стране (обычно США), не всегда адекватно оценивают эту проблему.

Pulse Secure покупает Mobile Spaces

В июле 2014 года Juniper продал свои активы по мобильной безопасности фонду Siris Capital, который достаточно быстро создал на их основе компанию Pulse Secure (у пресс-релиза, правда, нет даты, что немного удивительно). И уже в октябре Pulse Secure сделала свое первое приобретение, которое тогда выпало из моего поля зрения. Pulse купил Mobile Spaces, которая делала виртуальные защищенные контейнеры для мобильных платформ, в которых и запускались приложения.

Новогодний обывательский security checklist

Помятую о сапожнике без сапог и о том, что в новом году надо жить начинать по-новому, решил объединить эти два события и составил для себя список "безопасных" дел для себя любимого. Не могу сказать, что открыл Америку, но зато буду уверен, что защищенность моя повысилась :-) Итак, по порядку:

1. Включить двухфакторную аутентификацию там, где это возможно и там, где я ее еще не включил (iCloud, Google, Facebook и т.п.). Учитывая прошлогодние утечки учетных записей и паролей к ним с популярных почтовых сервисов, будет явно не лишним.
2. Проверить, и местами обновить, контрольные вопросы на Интернет-сервисах (там где нет двухфакторной аутентификации). Набивший оскомину вопрос о девичьей фамилии матери знаю не только я, но и куча окружающих меня людей. А уж если родители зарегистрированы в социальных сетях, то проблема с этим "секретным" вопросом и вовсе стоит очень остро. Поэтому от него стоит отказываться и поменять на что-то более адекватное. Проверяя контрольные вопросы на ряде сервисов, понял, что ответы на часть из них я уже не помню :-) А на часть вопросов ответы не совпадают с тем, что я предположил сейчас :-) Видимо в момент создания такого вопроса несколько лет назад у меня точно было иное мировозрение. Поэтому не лишним будет перепроверить (заодно привести все ответы к единой кодировке/языку - а то где-то на английском, где-то на русском даны ответы).
3. Продлить лицензию на домашний антивирус. Страшилки про APT и неспособность антивируса их обнаруживать я знаю, но это еще не повод отказываться от антивируса. 
4. Проверить, включено ли автоматическое обновление домашнего компьютера и приложений на нем (особенно браузера, Java и Acrobat Reader)?
5. Проверить, срабатывает ли резервное копирование согласно установленному расписанию?
6. Сделать резервные копии мобильных устройств (смартфона и планшетника) и включить автоматичесое резервирование при синхронизации.
7. Проверить настройки домашнего маршрутизатора - нет ли ненужных открытых портов и сервисов на нем? Особенно после приобретения кучи гаджетов и смарт-устройств, подключающихся к Интернет (видеокамеры, ТВ, холодильник и т.д.).
8. Проверить настройки домашнего Wi-Fi? Используется ли WPA2? SSID широковещательный или нет?
9. Проверить, помню ли я пароль администратора на всех домашних устройствах? Обновить его, если давно не обновлялся.
10. Наконец-то создать детям отдельные учетные записи на домашнем компьютере с включением родительского контроля.
11. Провести для семьи краткий тренинг повышения осведомленности по вопросам безопасного поведения в Интернет и пользования мобильной связью.
12. Проверить настройки приложений на мобильных устройствах - что они могут и не могут делать на моем устройстве, взаимодействуют ли с Интернет или нет? Как минимум это полезно для снижения затрат на мобильный Интернет, но и с точки зрения безопасности полезно.

Кажется все :-)

PS. Уже написав эту заметку, наткнулся на схожую по теме статью "Повседневная безопасности: правила для дома" в блоге Neohapsis.

Facebook покупает компанию, занимающуюся голосовой биометрией

Facebook на прошлой неделе объявил о приобретении компании wit.ai, занимающейся технологиями распознавания голоса. Деталей по сделке не сообщается. Точнее об этом сообщил не Facebook, а сама wit.ai. У Интернет-гигантов почему-то не принято сообщать о таких событиях. Так было с Google, купившей Divide и Zynamics. Кстати, по той же схеме Google купил в прошлом году SlickLogin, занимавшуюся звуковыми паролями, т.е. той же голосовой аутентификацией.

Вообще, новые схемы аутентификации и, в частности, биометрическая аутентификация, - это тренд 2015-го года по многим прогнозам.

Основные ИБ-события за новогодние праздники

По традиции публикую ключевые события, произошедшие за новогодние праздники:

• Принятие поправок в части переноса срока вступления в силу закона "о запрете хранения ПДн россиян за границей". Президент подписал 31-го декабря закон 526-ФЗ на эту тему.
• Принятие поправок в 149-ФЗ в части запрета хостинга техсредств государственных информационных систем за рубежом. Президент подписал 31-го декабря закон 531-ФЗ на эту тему. В этом законе стоит обратить внимание на два момента. Он оперирует не понятием "государственная информационная система", что было бы логично, но очередной раз приводило бы к спорам о том, что такое ГИС. Вместо понятия ГИС 531-ФЗ использует "информационные системы, используемые государственными органами, органами местного самоуправления, государственными и муниципальными унитарными предприятиями или государственными и муниципальными учреждениями". За нарушение данного требования предусмотрена административная ответственность в виде новой статьи КоАП - 13.27.1 (штраф на юрлиц - до 50 тысяч рублей). Я про этот законопроект уже писал в марте 2014-го года. Тогда предполагалось, что его рассмотрят только в октябре 2015-го года, но изменение геополитическое ситуации заставило подвинуть сроки вступления закона в силу. Та же ситуация и с изменением сроков по 242-ФЗ.
• Президент Обама подписал указ о введении санкций против Северной Кореи за взлом компании Sony. Тут интересны не детали, а сам факт введения санкций против целого государства за так и недоказанный взлом частной компании. Это что-то новое в международном праве (хотя к США, наверное, нормы международного права сложно применять - они всегда были сами в своем праве). Но хорошо хоть нормы Таллинского руководства не стали применять, а ведь оно разрешает ответить на кибератаку бомабардировкой. В ответ на санкции Северная Корея увеличила вдвое штат своих кибервойск.
• Очередной виток "наездов" на северокорейских хакеров. В западной прессе началась волна материалов (пример), направленных против хакеров из Северной Кореи. Якобы они   совершают атаки на американскую инфраструктуру и поэтому санкции против Северной Кореи вполне обоснованы и не высосаны из пальца. При этом делаются выпады еще и в сторону Китая, под протекторатом которого которого и находятся северокорейские хакеры. Якобы спецподразделение под названием "Бюро 121" находится не в КНДР, а в Китае и последний этому способствует. Нахождение "Бюро 121" в Китае обосновывается тем, что в самой Северной Корее слабая Интернет-инфраструктура. Попутно подозрение падает и на Китай, который в последнее время слишком сильно активизировался в части сопротивления американской гегемонии (Никарагуанский канал, "дружба" с Россией, "крышевание" Северной Кореи и т.п.). А ведь про "Бюро 121" и его нахождение в Китае писали еще в 2009-м году. Видимо "сенсация" нужна была именно сейчас :-)
• Конец декабря 2014-го и начало января 2015-го ознаменовались атаками на немецкие правительственные ресурсы. Сначала был инфицирован лэптоп Ангелы Меркель и, возможно, с помощью Regin были украдены конфиденциальные документы. Спустя неделю пророссийский "КиберБеркут" вывел из строя сайт Меркель и ряда других правительственных структур Германии (КиберБеркут подтверждает сей факт). Последние два события лишний раз подтверждают выводы, сделанные в 2009-м году, что Китай и Россия, наряду с Северной Корее, Ливией, Сирией и Ираном являются самыми опасными в киберпространстве государствами. Последние шаги США по принуждению этих государств "к миру" только подтверждают, что мишени выбраны неслучайно :-)

• 56-тилетний бывший директор по кибербезопасности американского Минздравсоцразвития получил 25 лет за оплату членства на сайтах с детской порнографией и попытки скрыть сей факт путем доступа к таким сайтам с помощью средства анонимизации (в частности, Tor).

Вот такой Топ5 новогодних ИБ-событий.