Как я посетил АНБ. Музей, а не то, что вы подумали :-)

Начав недавнюю поездку в США с посещения международного шпионского музея, завершить ее я решил, посетив национальный криптологический музей, расположенный в штаб-квартире АНБ в Форт Миде (40 минут езды от Вашингтона). Он не так посещаем (все-таки сказывается удаленность от столицы), но для меня оказался гораздо более интересным, чем шпионский. Наверное потому, что он мне ближе по роду деятельности (шутки про АНБ отставить :-) Все-таки начинал я свой профессиональный путь как программист СКЗИ, да и потом достаточно тесно был связан с криптографией. Поэтому и было так интересно посмотреть экспозицию музея.

Криптологический музей АНБ небольшой, но описывает практически все ключевые моменты истории американской криптографии - начиная войну южан и северян и заканчивая нашим временем. Каждый из залов посвящен определенной теме (Вторая мировая война, корейская война, Гражданская война 1861-1865 годов, Афганистан и Ирак и т.п.).

Учитывая ведомственную принадлежность музея, в нем нет ничего о древней истории криптологии, но... Музей обладает отличной коллекцией книг-раритетов, которые давно уже стали историей и в особом представлении не нуждаются. "Египетская грамматика" Шампольона, "Полиграфия" Тритемия, "Криптография. Искусство секретного письма" Клюбера, "Криптография" Фридеричи, Opus Novum Сильвестри (старейшая книга в собрании АНБ - 1526 год) и др.

Многие из этих названий (книг и авторов) я использовал в криптографических "Своей игре" и "Брейн-ринге" на РусКрипто.

Кстати, чтобы закончить с книжной темой. В музее представлена и рукопись "Взломщиков кодов" Кана - одного из самых значительных трудов по истории мировой криптографии.

На выходе из музея находится библиотека, основу которой составила коллекция Кана, а позже она пополнялась (и до сих пор пополняется) сотрудниками музея.

 
Глаза, конечно, разбегаются :-) Но книг на русском языке (хотя на других есть) я так и не увидел. Хотя Советскому союзу, КГБ, России книг посвящено немало; среди авторов Судоплатов, Калугин, Гордиевский...

Единственным сувениром, который я купил в шпионском магазине, был шифровальный цилиндр Джефферсона (один из отцов-основателей и 3-й президент США). Его же, а также ряд других связанных с войной северян и южан экспонатов, я видел в музее. Идеи Джефферсона позже были использованы многими странами, в том числе и США, который создали свой шифратор М-94, используемый вплоть до 1943-го года.

Начало 20-го века ознаменовалось Первой мировой войной, в результате которой родилась мощная криптографическая служба Военно-морского флота США (на фото внизу слева первая роторная машина Хепберна).

Обойти историю Энигмы в АНБ не могли и этой странице Второй мировой войны посвящена большая часть экспозиции криптологического музея. Различные варианты Энигмы, Tunny и другие немецкие шифровальные устройства, успешно взломанные английскими и американскими криптоаналитиками.

Устройства для криптоанализа также были представлены в музее АНБ - Colossus, Sturgeon, тьюринговские "бомбы" для взлома Энигмы и т.п. Это, кстати, редкость, - я мало где видел такие экспонаты; обычно все заканчивается немецкой Энигмой или менее известной советской Фиалкой (ее, кстати, в музее АНБ не было :-).

На входе в национальный криптологический музей были представлен еще ряд экспонатов времен Второй мировой войны - различные "ручные" шифровальные и криптоаналитические машины, применяемые в войне с немцами и японцами.

Пёрл Харбор оставил непростой след в истории США и это нашло свое отражение в экспозиции музея АНБ. Японские шифровальные машины Red, и пришедшая ей на смену Purple, а также устройства для их дешифрования. Тут американцам есть чем хвастаться - они участвовали в процессе в одиночку; в отличие от взлома Энигмы, где основную роль сыграли англичане.

В отличие от шпионского музей, "повернутого" на Советстком союзе, АНБ не концентрируется на России - это одна из множества историй, оставивших след в криптографическом "досье" США. Советский союз представлен двумя историями - атомный шпионаж супругов Розенбергов и Великая американская печать. Вторую историю я уже упоминал при обзоре шпионского музея и добавить мне нечего. Разве что в музее АНБ показаны внутренности печати с "закладкой" Льва Термена.

А вот экспонатов по делу Розенбергов (операция "Венона") гораздо больше - ведь это был один из самых больших успехов в истории американских спецслужб. Даже копия изъятой финнами кодовой книги (т.н. "код Победа") представлена.

В одно время с операцией "Венона" начинается и активное применение вычислительной техники в криптологической деятельности. Этому витку истории посвящена отдельная экспозиция, где показаны различные вычислительные машины (Крей - одна из самых известных), применяемых Агентством в своей работе.

Отдельной экспозиции удостоились войны "за демократию" - Персидский залив, Ирак, Афганистан и другие, где также активно применялась криптография, за которую отвечало в том числе и АНБ (помимо шифровальных служб ВВС и ВМФ США).

Меня удивило количество сотрудников АНБ, которые были направлены в эти горячие точки - 5000 сотрудников в Ирак и 8000 в Афганистан!!! Всего же по миру по признанию АНБ разбросано 18 тысяч их сотрудников. Вообще численность спецслужб обычно информация засекреченная (и АНБ не исключение), но мне кажется, что у американцев одно из самых больших в мире подразделений, отвечающих за криптографию и спецсвязь.

Завершалась экспозиция музея АНБ двумя направлениями - кибербезопасность (тут экспонатов не было совсем и как в шпионском музее на стенах висели таблички с текстом о важности этого направления в деятельности АНБ, о Heartbleed, который явился большой угрозой нацбезопасности США, и т.п.) и засекреченная связь чиновников высшего ранга. Во втором случае АНБ пошло по пути наращивания защитного потенциала коммерчески выпускаемых смартфонов функциями, позволяющими вести секретные переговоры. Тут, как мне кажется, АНБ поступило очень здраво - подстраиваясь к тому, что есть на рынке и что удобно секретоносителю, не навязывая своей воли (но это, понятно, тема для дискуссии).

Уже на выходе из музей размещен мемориал славы сотрудников АНБ и шифровальных подразделений иных спецслужб и силовых структур, погибших в деле обеспечения национальной безопасности. Разумеется, без имен. Но заставляет задуматься. Есть ли у нас такая "могила неизвестного сотрудника спецслужб", куда может прийти любой желающий и поблагодарить за безопасность? Не знаю. Интересным, кстати, мне показался стенд о роли женщин в истории американской криптологии. Таких героинь оказалось немало (а сколько осталась под грифом...).

Стены гнева или хотя бы поля для игры в дартс, на которой можно было бы повесить портрет Сноудена, в музее АНБ нет :-) А вот настоящие письма американского математика и нобелевского лауреата Джона Нэша в музее АНБ есть. Этот человек должен быть знаком читателям блога по фильму "Игры разума". Нэш, кстати, первый в мире человек, получивший и Нобелевскую и Абелевскую премии. Вклад Нэша в развитие криптографии не так известен широкой публике, но тем не менее его письма в АНБ, развивающие идеи Шеннона и идущие в части криптостойкости и вычислительной сложности гораздо дальше. Первые публичные работы по этой теме были опубликованы только в 75-м году, а Нэш свои письма в АНБ написал двадцатью годами раньше!

На стенде АНБ на выставке RSAC пару лет назад я увидел занимательные детские книжки с головоломками и загадками. Идеи некоторых головоломок я использовал в "Брейн-ринге" на РусКрипто в этом году. Потом я обнаружил на сайте АНБ раздел для детей. И вот в музее уже я наткнулся на магическую комнату, куда приезжают дети из окрестных школ на различные занимательные занятия, позволяющие воспитывать молодое поколение, прививая ему не только интерес к криптографии, но и выискивая даровитых детей для последующего трудоустройства на работу. Я не знаю, как сейчас обстоят дела у нас, но в последнем классе к нам приходили "сотрудники в штатском" и приглашали, сначала на учебу в Вышку, а потом уже на службу. Меня, как одного из лучших математиков класса, тоже пригласили, но это была перестройка и я не решился связывать свою судьбу с тогда еще КГБ. Кто знает, как сложилась бы моя судьба, если бы я принял тогда приглашение?..

Вот таким был мой визит в Национальный криптологический музей США, расположенный в Форт Миде. Жаль, что в России такого музея нет. Вообще у нас не любят раскрывать историю отечественной криптографической школы. Как-то одно отечественное издание захотело на своих страницах публиковать такую историю в именах и лицах, но "старшие товарищи" запретили это, посчитав несвоевременным и ненужным :-( А жаль. Знать историю очень полезно. Чтобы не совершать ошибок и извлекать уроки. А пока остается только посещать американские музеи с их пусть и интересным, но все-таки однобоким взглядом на развитие мировой истории ИБ и шпионажа.

ЗЫ. Интересующимся историей криптографии могу посоветовать посетить онлайн-музей (не АНБшный). 

Подробнее…

Как я посетил шпионский музей

В марте я написал про заметку про гламурные средства утечки информации, навеянную посещением международного шпионского магазина, который я нашел во время посещения RSAC. И вот на днях мне довелось побывать в международном шпионском музее, который находится в Вашингтоне (еще есть один в Берлине и один в финском Тампере), недалеко от здания ФБР.

Различные шпионские аксессуары, выпущеные КГБ СССР

Надо сказать, что мне музей понравился. Я в своем отрочестве посещал музей МВД и вашингтонский музей в чем был схож с тем, что я запомнил из своей юности. История событий, которые когда-то были тайной за семью печатями и только спустя много лет стали достоянием гласности. Схожая картина с музеем КГБ, который сейчас вроде закрыт, но который тоже повествовал о замечательной истории отечественных спецслужб. Американский музей решает ту же задачу. И хотя он называется международным, все-таки он местами однобоко показывает историю мирового шпионажа - "СССР пытался захватить мир, а доблестные США помешали этому" :-)

Экспонаты "русского" отдела музея

Ни слова о ФСБ, ГРУ или СВР. Только советская история - никаких постсоветских фактов или экспонатов. Понятно, что это музей, но все-таки распад СССР произошел пару с лишним десятилетий назад и за это время произошло немало интересных событий, которые стали публичными и о которых можно было бы в музее рассказать. Доходит до смешного - на стенде с аббревиатурами мировых спецслужб нет ФСБ или СВР (есть НКВД). Все, что напоминает о них - это пара гербов в самом начале экпозиции. Кстати, у некоторых спецслужб герб относится к засекреченной информации.

Начинается музей с маленького задания - на стенах первого зала висят различные "легенды" и вам предлагается заучить их. Имя, фамилия, возраст, место рождения, цель визита, профессия и остальная информация, которую принято называть офицеру пограничной службы при въезде в США. По ходу экспозиции вам предлагают "вспомнить" то, что вы должны были запомнить :-) Я выбрал более простую для меня легенду "Дмитрия Иванова" из Кирова и до конца музея (а ходил я там 2 часа) из 12 пунктов моего прикрытия забыл только 2 (подозрение в отношении себя обеспечил). Помимо этого были и другие квесты. Например, по фотографии определить скрытые сигналы шпионов (разведчиков), места хранения микропленки, наблюдателей и т.п. Достаточно интересные задания даже для взрослых. Есть и отдельная расширенная программа с полноценными часовыми квестами.

Несмотря на статус международного, основной акцент делается на противоборстве прогрессивной Америки и зашоренного коммунизма. Очень много экспонатов, изъятых именно у советских разведчиков в разное время - со времен НКВД и заканчивая 80-ми годами.

Грамоты чекистов

И если уж вначале я вспомнил про первую заметку про гламурные средства утечки, то нельзя не упомянуть про большую коллекцию таких устройств - от пятикопеечных монет-контейнеров до широкого набора микро-фотоаппаратов и диктофон, закамуфлированных под совершенно различные вещи.

Порадовал портрет Ангелы Меркель с встроенной камерой. Американцы умеют троллить (вспоминая историю со слежкой за мобильным телефоном немецкого канцлера). На фото внизу также и другие примеры миниатюрной техники шпионажа - пистолеты в виде тюбиков губной помады и ректальные контейнеры для хранения ядов и микропленок (главное не перепутать). Надо отметить, что с тех пор миниатюризация ушла еще дальше и искать такие средства утечки информации стало еще сложнее.

Пистолет в виде тюбика губной помады (слева) и ректальный контейнер для секретных материалов (справа)

Не могли американцы обойти вниманием историю с великой печатью США из ценных пород дерева, которая была вручена пионерами послу Гаррисону и которую он повесил в своем кабинете в посольстве. Как потом оказалось, в эту скульптуру было встроено уникальное прослушивающее устройство, разработанное русским ученым Львом Терменом (автором терменвокса), которое использовало уникальный принцип работы и не требовало никаких элементов питания или электроники. Проработало оно 8 лет, поставляя КГБ ценнейшую информацию о планах США.

Не могли обойтись в шпионском музее без шифровального отдела, но по своей экспозиции он сильно уступает криптологическому музею АНБ, о котором я расскажу в следующей заметке. Да, Энигма, была представлена :-) Похоже, Энигма - это то, чем действительно гордятся американцы. Они ее упоминают везде и стараются экспонировать на многих выставках, например, на RSAC ее выставляли как раз на стенде АНБ. Роль Великобритании и Тьюринга во взломе Энигмы в музее в Вашингтоне была "малость" преуменьшена.

А вот "компьютерный" отдел меня разочаровал. Какие-то банальные лозунги на стенах, ноутбук Рауля Сильвы из серии бондианы "007: Координаты "Скайфол". Про компьютерный шпионаж, про регулярные кражи информации китайцами, про Сноудена, про взлом Sony ни слова. Даже Google Glass, как современный пример шпионской технологии, не показали. Может спустя какое-то время этот зал расширят разделом про "русских хакеров" (было бы логично).

Завершалась экспозиция музея несколькими залами с рассказом о бондиане, что с одной стороны понятно (все-таки эта голливудская шпионская франшиза одна из самых старейших и успешных), а с другой - залы можно было посвятить и чему-то более реальному и интересному. Но эти залы были полны посетителей, которые активно участвовали в разных конкурсах, повторяющих отдельные "подвиги" Бонда.

На выходе, традиционно находился сувенирный музей, который не поразил меня; от слова "совсем". Какие-то побрякушки, кружки, ручки, брелки, но ничего того, что можно было бы преподнести в качестве настоящего шпионского сувенира. Даже международный шпионский магазин и тот содержал больше интересных вещиц, которые можно было бы купить в виде сувениров. Разве что в магазине был интересный книжный магазин, включая и литературу про "русских шпионов".

Не секрет, что американцы умеют делать деньги из всего. А уж из истории шпионажа и подавно. Очень благодатная тема, которая привлекала, привлекает и будет привлекать посетителей, готовых выложить около полутора тысяч рублей за посещение интересной (а она была таковой) экспозиции. И музей этот решает не только чисто меркантильную задача - заработать денег. У него есть и иная цель (как мне показалось) - патриотическая (смотрите, какие мы, американцы, молодцы). Да и уколоть традиционного геополитического соперника в лице России (все-таки СССР и Россия для американцев это синонимы) американцы любят. В музее же это сделать очень легко, якобы скрывая негатив к нашей стране, в фактах и экспонатах (правильно поданных). Правда, у меня после посещения шпионского музея скорее возникла гордость за СССР, который мог делать просто офигенные штуки - от миниатюрных камер и многозарядных пистолетов в пачке от сигарет (еще во времена НКВД) до закладки в великой печати США.

Жаль, что такого музея нет в России. Я уверен, что он бы пользовался популярностью у туристов. Да и подрастающее поколение было бы интересно туда водить и показывать, что могли и могут российские спецслужбы. А то все Бонд да Борн. А где новые Штирлиц, Тульев (тетралогия о "Резиденте") и Славин ("Тасс уполномочен заявить")? Отечественный музей КГБ когда-то принимал посетителей и пользовался популярностью у туристов, которые приходили посмотреть на секреты одной из самых закрытых спецслужб мира, но сейчас он закрыт :-( А жаль...

Подробнее…

Краткие результаты круглого стола по киберучениям

Продолжим тему двухнедельной давности про киберучения... Вчера я модерировал на конференции "ИБ КВО ТЭК" круглый стол по киберучениям и вот, что по результатам этого круглого стола я, тезисно, могу подытожить:

• РЖД проводило киберучения (в виде "штабных учений"), но на регулярную основу эта тема еще не вышла в этой компании.
• Многие компании еще не дозрели до киберучений (не сталкиваясь и не веря в возможность серьезных инцидентов ИБ), несмотря на проведение учений по гражданской обороне и чрезвычайным ситуациям.
• Отдельные заказчики до сиз пор считают, что обучение по программам повышения квалификации снимает все проблемы и выпущенные по ним специалисты обладают всеми необходимыми навыками (часто люди путают знания и навыки).
• Проводить киберучения надо для разных категорий пользователей (ибшники-технари, рядовые пользователи, линейные руководители и топ-менеджмент).
• Форматы киберучений бывают разные - CTF, "Противостояние" (PHDays), симуляторы (как KIPS) или "штабные учения", и они рассчитаны на разные целевые аудитории. Нет одного предпочитаемого формата - каждому свое. В серьезно подходящей к этому вопросу организации должны использоваться все варианты.

Ниже фотолента, которая сопровождала круглый стол, с примерами проходивших недавно киберучений разного формата.

Киберучения from Aleksey Lukatskiy

Подробнее…

Концепция активной обороны (презентация)

Что-то несмотря на лето (да-да, такое вот фиговое лето) число командировок и выступлений зашкаливает и писать в блог не получалось. Но вот выдалась свободная минутка и я вернулся к эпистолярному жанру :-)  Вчера, на конференции "Информационная безопасность промышленных предприятий и критически важных объектов ТЭК" выступал с темой, посвященной концепции активной обороны, презентацию по которой и выкладываю.

Концепция активной обороны from Aleksey Lukatskiy

ЗЫ. В ближайшем !БДИ еще и краткая статья на эту тему у меня выйдет.

Подробнее…

Впечатления от казанского IT & Security Forum

В прошлом году я уже высказывался, что про казанский ITSF, где я традиционно выступаю уже не первый год, писать и легко и сложно одновременно. С точки зрения контента я не берусь оценивать мероприятие, так как мало какие выступления смог посетить. Однако отмечу все-таки некоторые моменты. У ФСТЭК новый прекрасный (во всех смыслах) спикер :-) Елена Торбенко, которая в этом году начала активно представлять ФСТЭК на разных мероприятиях, неплохо выступила и в Казани, представив взгляд регулятора на нормативное регулирование АСУ ТП и планы по его развитию. Отрадно видеть, что регулятор внял неоднократным замечаниям о качестве выступлений своих представителей и теперь они не только могут выступать без бумажки, но и активно участвовать в секции вопросов и ответов, не уходя от них, как это бывало ранее.

ФСТЭК несет свет знаний во тьме невежества

Отдельно хотел бы отметить пару секций, которые мне довелось модерировать. Первая из них была посвящена SOCам. Дело в том, что ICL вышел в этот сегмент рынка ИБ, анонсировав днем ранее свой собственный центр мониторинга ИБ, и поэтому данная секция по сути должна была показать направление развития компетенций компании-организатора. Но чтобы не скатиться в рекламу себя любимого ICL пригласила в секцию очень много достойных людей - представителей коммерческих SOCов (ЛК, Solar Security, PT и ICL), собственных SOC (Газпром и Газпромбанк), а также регуляторов, в т.ч. и имеющих собственные центры мониторинга своей инфраструктуры (ФСБ и ЦБ). Очень представительная аудитория, которая... и сыграла злую шутку. Тупо не хватило времени на нормальную дискуссию. 9 человек на 1,5 часа. Банальная арифметика подсказывает нам, что на одного человека от силы выделено 10 минут и это если не считать подводок модератора, то есть меня, и вопросов из зала (на них вообще времени не хватило). В итоге желание организаторов дать высказаться уважаемым людям и компаниям привело к тому, что мы не смогли рассмотреть все заготовленные мной вопросы. А жаль, в таком составе не часто удается услышать людей и дать им высказаться :-(

Второй косяк произошел на второй модерируемой мной секции (с Василием Широковым из Check Point). По задумке это должен был быть круглый стол, живая дискуссия на тему нормативного регулирования кибербезопасности АСУ ТП. Но за 20 минут до начала секции я узнаю, что помимо представителей PT, ЛК и Infowatch, которые должны были участвовать в круглом столе, в программу включен доклад представителя одного из институтов при РЖД, который сломал всю изначальную задумку и дальше все пошло вкривь и вкось (так я пытаюсь оправдаться, что утром второго дня было непросто модерировать мероприятие). Мало того, что он решил начать живую дискуссию с доклада на 25 минут, так еще и посвятил он его не кибербезопасности, а рассказу про поезда без машиниста (это, типа, будущее, над которым трудится РЖД). Какое отношение эта тема имела к регулированию ИБ АСУ ТП я не понял; видимо человек был весомый и отказать ему в выступлении организаторы не смогли. По ходу он еще и дискуссию на себя перетягивал, сломав окончательно исходную задумку. И хотя народ все-таки разговорился, произошло это только к началу второго часа (а всего было выделено 1,5 часа). В целом, мне не понравилась ни секция, ни мое модерирование (надо меньше пить).

Теме АСУ ТП вообще был посвящен отдельный поток, а также ряд демонстраций в зоне выставки. У ICL это одно из ключевых направлений деятельности и поэтому они всячески подчеркивают свою компетенцию в этой области.

Зато я в восторге от мобильного приложения конференции, которое содержало всю необходимую участникам информацию.

Отдельно стоить отметить вопросы ИБ в данном приложении. Скачать приложение мог любой желающий, а вот войти в него можно было только, если вы были зарегистрированы на мероприятии. На указанный при регистрации телефон приходил одноразовый код, который и надо было ввести в приложении, чтобы начать им пользоваться. Еще одной интересной фишкой стала возможность заблокировать назойливых участников мобильного приложения (этакая защита от спамеров), которую я нигде больше не видел.

Кстати, насчет безопасности. Не перестаю удивляться тому, как устроена организация ITSF. Например, мой коллега, работающий в интеграторе (не буду упоминать имя), решил зарегистрироваться на мероприятие, но ему отказали, так как ITSF хоть и считается открытой конференцией, но регистрация на нее проходить жесткую модерацию. Никаких интеграторов и конкурентов ICL не допускает и блюдет это правило неукоснительно. Коллега решил пойти дальше и попытался зарегистрироваться от имени весомого заказчика, предварительно договорившись с ним о легенде. Но и этот фокус не прошел - ICL отсек эту попытку пробраться на мероприятие под чужой личиной. Третий раз проникнуть на ITSF был предпринят уже в день начала конференции - коллега попытался зарегистрироваться на месте под чужим именем. И эта попытка оказалась неудачной :-)

Ну и дабы пропеть еще дифирамбы организаторам покажу пару экранов своего телефона. Это организаторы пытались до меня достучаться в день мероприятия, чтобы заранее (за несколько часов до выступления) получить мою презентацию. Настойчивость поражает - около десятка звонков от "куратора зала" (а в каждом он был свой), который хотел убедиться, что я помню про свое выступление и что я заранее списал презентацию на ноутбук, с которого буду читать свой доклад. Обычно, если организаторы и звонят, то один раз и в случае недоступности успокаиваются, надеясь на сознательность докладчиков. Тут же, несмотря на режим "не беспокоить", меня все равно достали, позвонив через reception отеля на телефон в самом номере :-) До сих пор считаю организацию мероприятий со стороны ICL недосягаемой другими организаторами.

В заключении хотелось бы поместить несколько фотографий с культурной части ITSF, в рамках которой был организован концерт группы "Несчастный случай". Было прекрасно :-)

ЗЫ. Презентации с ITSF выложены на сайте.

Казань в 4 утра прекрасна в своем спокойствии

Подробнее…

Microsoft покупает Hexadite

Microsoft 8-го июня подписала соглашение о приобретении израильского стартапа Hexadite, который занимается искусственным интеллектом в области информационной безопасности. Детали сделки не разглашаются, но по слухам цена сделки составила окола 100 миллионов долларов США.

Подробнее…

О запрете VPN (обзор пары законопроектов)

То, о чем я так долго и упорно не раз на протяжении последних лет писал, все-таки произошло, - депутаты все-таки решили окончательно вбить гвоздь в крышку того, что называлось независимый, никем неуправляемый и свободный Интернет. Три депутата (Кудрявцев, Рыжак, Ющенко) внесли в Госдуму два законопроекта - о запрете VPN, анонимайзеров и прокси, а также о штрафе за их рекламу и использование.

Как это часто бывает у людей, которые с Интернетом знакомы только по тому, что видят в браузере, DNS путают с ДПС, а VPN приравнивает к Tor, законопроект получился настолько широким, что под него может попасть все, что угодно, а именно:

• VPN-сервисы и VPN-решения, применяемые для обеспечения конфиденциальности в сети Интернет,
• браузеры с функцией использования динамических прокси-серверов, которые могут быть применены не только для облегчения и ускорения доступа к отдельным Интернет-ресурсам, но и для обхода блокировок, введенных властями разных стран,
• анонимные сети Tor, I2P и др.,
• анонимайзеры,
• прокси-сервера,
• CDNы, кеширующие запрещенный контент,
• DNS-сервисы (да-да, они тоже, так как в зависимости от механизма реализации блокировок тоже могут быть использованы для доступа к запрещенным ресурсам).

Все это депутаты называют “информационно-телекоммуникационными сетями, информационными системами и программами для электронных вычислительных машин для получения доступа к информационным ресурсам, в том числе к сайтам и (или) страницам сайтов в сети “Интернет”, которые могут использоваться на территории Российской Федерации для обхода ограничения доступа“ (дальше для сокращения написания этой длинной фразы я буду использовать слово “ХРЕНЬ”, написанное прописными буквами).

Важно: могут, а не используются. Поэтому я и вынес в список выше столь широкий набор сервисов, систем и приложений, которые и не используются для обхода блокировок, но могут.

Что же говорит новый законопроект, вероятность принятия которого, достаточно высока? Во-первых, он запрещает использовать ХРЕНЬ, а также ХРЕНЬ, которая обеспечивает доступ к ХРЕНИ (например, магазины приложений для мобильных устройств, которые распространяют браузеры Opera, Chrome, Puffin, а также программные клиенты для VPN-сервисов). Операторам поисковых систем также предписано ограничивать в выдаче ресурсы, которые предоставляют ХРЕНЬ или рекламируют ХРЕНЬ, обеспечивающую доступ к ХРЕНИ.

Во-вторых, контроль ХРЕНИ возложен на регулятора, который и так занимается всякой хренью (уже с маленькой буквы), то есть Роскомнадзор, сотрудники которого настолько часто блещут своими познаниями в юриспруденции, что я, считавший раньше, что в свои 40 с гаком уже перестал удивляться, не перестаю удивляться, читая то очередное интервью руководителей РКН, то акты проверок терорганов (от слова "территориальные", а не "терроризирующие") по различным направлениям их деятельности - от контроля СМИ до проверок операторов персональных данных.

В-третьих, для обеспечения своей деятельности РКН должен создать реестр (мля, превращаемся в страну непрерывно создаваемых реестров) заблокированных на территории России информационных ресурсов (вроде у них такая система и так есть), а также разработать методику мониторинга выявления ХРЕНИ и ХРЕНИ, обеспечивающей доступ к ХРЕНИ.

В-четвертых, РКН обязан идентифицировать провайдеров хостинга ХРЕНИ, обеспечивающей доступ к ХРЕНИ, и получать от них (на руском и английском языке) список лиц, которые пользуются ХРЕНЬЮ. Это важный пункт. Он говорит о том, что в России не просто хотят блокировать использования ХРЕНИ, но и хотят выявлять всех тех несознательных граждан, которые эту ХРЕНЬ используют для доступа к запрещенной информации, подрывая тем самым национальную безопасность и обороноспособность нашей, не побоюсь этого слова, великой державы, которой доступ к сайту kinogo или LinkedIn может нанести непоправимый ущерб. Получив эту информацию, РКН требует от несознательных (или сознательных) нарушителей российского законодательства отказаться от свободного доступа к информации с помощью ХРЕНИ, а от владельцев ХРЕНИ, обеспечивающей доступ к ХРЕНИ, перестать обеспечивать этот доступ.

Наконец, РКН направляет операторам связи требование о блокировании нерадивых пользователей и владельцев ХРЕНИ в случае отказа последних от использования ХРЕНИ.

Единственный положительный момент в этом законопроекте, который (законопроект, а не момент) будет сильно мешать становлению и развитию цифровой экономики, о которой так ратуют наши чиновники во главе с Президентом России, - отсутствие необходимости блокировки ХРЕНИ, если ХРЕНЬ используется в рамках трудовых отношений. То есть представительства иностранных компаний, работающих в России, а также российские компании, имеющие представительства зарубежом, смогут использовать ХРЕНЬ в своей работе. Вспоминается история с советскими “Березками”, в которых продавались самые изысканные яства и недоступные обывателю товары, доступ к которым был разрешен только иностранцам или советским гражданам, имеющим право на выезд за границу.

Второй законопроект устанавливает административную ответственность за нарушение требований закона в виде денежного штрафа.

Подробнее…

Практические киберучения НАТО, АНБ и других

4 года назад я уже писал про киберучения и хотел бы вновь вернуться к этой теме, тем более, что совсем недавно (на протяжении последних полутора-двух месяцев) произошло несколько киберучения, в части из которых мне довелось принять участие. Про "Противостояние" на PHDays я уже писал, а вот про остальные хотел бы написать чуть подробнее.

Недавно в соседней Эстонии завершились крупные учения НАТО по кибербезопасности Locked Shield 2017, победила в которых команда Чехии. Я в этих учениях по понятным причинам не участвовал - был занят на другом мероприятии :-). В этом году 800 участников из 25 стран мира защищали различные системы - от дронов до цифровых электростанций, полностью имитируя действия настоящих защитников, противостоящих неназванному противнику, который, конечно же находится на Востоке от "прогрессивной" Европы и судя по СМИ ломает все, что движется и не движется.

Киберучения НАТО

2500 атак, 300 виртуальных систем - таков масштаб учений этого года, в рамках которых участники из различных европейских государств выступали на стороне Blue Team, то есть были защитниками своих информационных систем.

Чуть ранее закончились киберучения АНБ CDX 2017 (Cyber Defense Exercise), которые были похожи на учения НАТО, но меньше масштабом (в США это далеко не единственные киберучения). CDX рассчитан на военные и силовые структуры США - Академию береговой охраны США, Военную академию США, Королевский военный колледж Канады и т.п., которые выступает на стороне защитников - команд Blue Team. Им противостоят "Красные бригады" Red Team, команды "хакеров", осуществляющие свои атаки 24 часа в сутки, имитируя действия настоящих злоумышленников. За "красных" играют специалисты АНБ.

Киберучения АНБ

Однако в отличие от других киберучения, где команды делятся на две стороны "Силы" - Red и Blue Cell, в CDX было введено еще два типа участников. Grey Cell, то есть команда обычных рядовых пользователей, неподкованных в области ИБ, ходящих по левым сайтам, жмущих по фишинговым ссылкам, открывающим вредоносные вложения и т.п. "Серые" делают киберучения еще больше похожими на реальную жизнь. Команда "белых" наблюдает за учениями и штрафует команды за нарушения правил. В этом году выиграла команда Военно-морской академии США, которая последние годы входит в Топ лучших игроков CDX.

В учениях Cisco Cyber Range, облегченную версию которых мы проводили в конце апреля в рамках Cisco Connect, также принимает участие три команды, но вместо "серых" вводится Green Team, задача которой наблюдать за происходящим, изучая методы и нападающих и обороняющихся.

Cisco Cyber Range - это отдельный сервис, который мы предоставляем нашим заказчикам, желающим проверить свои знания и умения на практике. Это трех- или пятидневный тренинг (на московской Cisco Connect мы проводили бесплатный 4-хчасовой вариант таких "военных игр"), в рамках которого реализуется свыше 100 реальных атак и команда Blue Team противостоит им. При этом, в зависимости от длительности учений, участники могут почувствовать себя не только защитниками, но и нападающими, научиться мыслить и действовать как хакеры и понять, насколько легко или сложно проводить атаки, с которыми им приходится иметь дело на повседневной основе.

Если CDX, Locked Shield или "Противостояние" эмулируют реальную жизнь (а наша жизнь - игра) - ночные атаки, социальный инжиниринг и т.п., то Cyber Range носит явно обучающий характер. Участники получают определенные задания, которые надо решить за отведенное время. Победителем считается тот участник (мини-команда), которая быстрее и точнее всех решит поставленную задачу. Потом осуществляется переход к следующему заданию и так до конца киберучений Cyber Range, где победителем признается команда, набравшая максимальное количество баллов.

Помимо Cyber Range, сценарии которых разрабатываются под каждого заказчика, мы регулярно проводим так называемую клинику реагирования на киберугрозы (Cisco Cyber Threat Response Clinic), где за 8 часов участники становятся то на сторону хакеров, то на сторону защитников и по разработанному сценарию знакомятся с настоящим миром безопасности, пробуя реальный инструментарий злоумышленников и защитников. При этом, для лучшего усвоения материала мы облекаем это в красивую обертку - комиксы, инфографика и т.п.

Фрагмент комиксов Cisco Cyber Threat Response Clinic

Чтобы было понятно, на что похожи Cyber Range или CTR Clinic, я напишу отдельную заметку с примерами заданий. По сути Cyber Range и CTR Clinic являются промежуточными этапами перед соревнованиями уровня CDX или Locked Shield, а также они предназначены для повышения квалификации собственных сотрудников, которые может быть и не стремятся на публичные соревнования, где на тебя смотрят все вокруг.

Последним примером киберучений, в которых мне довелось поучаствовать недавно, могу назвать первые "киберигры" в Азербайджане, которые больше похожи на штабные учения, в рамках которых моделируются реальные сценарии атак и в сжатое время (4 минуты) участникам предлагается ответить как можно более полно на описываемую ситуацию. Жюри оценивает ответы и начисляет баллы командам (в последнем случае команд было две, но их может быть и больше). По сути речь идет об аналоге игр "А что если...", которые я уже несколько раз проводил в Магнитогорске, Питере и Москве (и тут). Да, это совсем не похоже на практические киберучения, описанные выше, но это не значит, что не учения и они не имеют никакого смысла. Это просто один из типов учений (которые иностранцы называет Table Top), коих всего насчитывается около десятка. И если CDX и Locked Shield рассчитаны на технарей, то штабные учения больше оиентированы на руководителей по ИБ, которые практически не работают "с консолью", а планируют деятельность своих подчиненных и своего подразделения.

Киберучения Cisco в Баку

В заключение хочу сказать, что наш опыт показывает, что геймификация позволяет существенно улучшить восприимчивость специалистов по ИБ к новым знаниям и гораздо лучше закрепляет навыки, чем обычные курсы по продуктам. Если верить современникам Конфуция, он как-то сказал: “Скажи мне – и я забуду, покажи мне – и я запомню, дай мне сделать – и я пойму”. Именно этой концепции мы придерживаемся, организуя Cisco Cyber Range или Cisco Cyber Threat Response Clinic, а АНБ и НАТО - свои отраслевые или национальные киберучения. По другому сегодня получить бесценный опыт практически невозможно (если не рассматривать вариант с отражением реальной атаки, во время которой и учиться приходиться "по живому", а не "на кошках").

Подробнее…

EDR, STAP или EVC: проблема терминологии и сертификации

Заметка, к которой я подбирался достаточно давно и вот случилось два события, которые подхлестнули мою активность в завершении материала. Во-первых, в пятницу я выступал на семинаре с темой про системы предотвращения вторжений нового поколения (NGIPS) и когда готовился, подумал, что само понятие IDS/IPS уже устарело. Это в 90-х годах прошлого века в этот термин вкладывался вполне определенный смысл - типов средств защиты было немного и поэтому никто не ставил под сомнение терминологию. А сейчас? Типов средств защиты несколько десятков. DLP - это система предотвращения атак, связанных с утечками. Антивирус - это система предотвращения вирусных атак. NTA/NBAD - это системы обнаружения аномалий (IDS или СОВ/СОА по отечественной терминологии это тоже делают.) Так что же такое тогда IPS в ее нынешнем понимании?

Второе событие также произошло на прошлой неделе. Мы получили ответ на сделанный в ФСТЭК запрос, в котором был буквально такой фрагмент: "...под средствами защиты информации понимаются, в т.ч., средства, в которых реализованы средства защиты информации". Средства - это средства, в которых реализованы средства... Эта "рекурсивная" фраза взята из закона "О государственной тайне", где она звучит таким образом: "средства защиты информации - технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации". Убрав часть текста, но сохранив смысл первоначальной версии, получился бред, который так и тянется с 1993-го года без изменений.

Непросто живется регуляторам в условиях, когда они вынуждены опираться на термины 90-х годов. У корпоративных заказчиков все проще; даже у государственных или полугосударственных. Вот, например, в России на самом высоком уровне есть мнение, что нельзя применять термин "кибербезопасность", насаждаемый нам потенциальным противником в лице США. Но это совсем не мешает даже компаниям с госучастием применять в своих корпоративных стандартах этот термин :-) или иногда подменять его термином "киберзащищенность". Регуляторы опять же вынуждены пользоваться устаревшим "защита информации".

Но вернемся к тому, что я хотел написать в заметке. К решениям класса EDR или STAP. Первая аббревиатура была введена в обиход Gartner'ом и расшифровывается как Endpoint Detection & Response. Вторая стала популярной благодаря извечному конкуренту Gartner - компании IDC. Она означает Spealized Threat Analysis and Protection. А еще есть не очень известная в России своими отчетами компания Forrester, которая использует аббревиатуру EVC - Endpoint Visibility & Control. И это помимо всяких NG Endpoint и Advanced Endpoint (так себя называют те, кто не попал в классификацию Gartner или IDC). Несмотря на разность названий, суть этих решений не сильно отличается - продвинутая защита оконечных устройств от широкого спектра угроз. То есть это не просто персональный МСЭ или антивирус, а нечто гораздо большее.

Проблема терминологии с типами средств защиты выводит нас на другую проблему - выработку требований для их сертификации. Ведь многие заказчики ориентируются только на применение сертифицированных решений (а некоторым это явно предписано и запрещено применять несертифицированное). Регулятор же выпускает РД с требованиями для, скажем прямо, не самых новых и инновационных решений по ИБ. МСЭ, IDS/IPS, антивирус, ОС... И не очень оперативно. И что делать заказчикам в такой ситуации? Шашечки или ехать?

Вот допустим есть близкий мне Cisco AMP for Endpoints, который отнесен Gartner'ом в разряд EDR, а IDC в разряд STAP. Он может блокировать сетевые соединения на узле как МСЭ типа "В". А еще он ловит известные вредоносные программы за счет встроенного антивируса. И он отражает атаки как система обнаружения вторжений. И поиск уязвимостей на узле в нем есть, что делает из него сканер безопасности. И песочница в нем тоже присутствует. Как сертифицировать продукты, которые находятся либо на стыке, либо включают в себя разные технологии? Сертифицировать по разным РД (на сканеры или песочницы их до сих пор нет)? Ну это дороговато встанет. А что делать заказчику? Брать то, что является просто антивирусом и имеет бумажку или сертифицировать решение класса EDR/STAP/EVC (без помощи вендора это будет практически невозможно), которое гораздо лучше борется с современными угрозами? Или использовать несертифицированное на свой страх и риск?

На самом деле EDR/STAP/EVC - не единственный пример - их огромное количество. Всяческие GRC, NBAD/NTA, AppSec, Threat/Security Intelligence, Security Analytics, IRP... Достаточно посмотреть на продукты, представляемые на той же RSAC или InfoSecurity Europe, чтобы понять, что мир ИБ гораздо шире, чем описывается в РД ФСТЭК или ФСБ.

И надо признать, что выходов из этой ситуации я вижу не так уж и много (если не рассматривать вариант с ослаблением требований к сертификации, что в текущей геополитической ситуации маловероятно):

• Увеличение числа выпускаемых РД для разных типов средств защиты информации врядли сильно поможет, так как мы упираемся в "пропускную способность" регулятора и расширения спектра разных типов средств защиты.
• Переход на модульную структуру требований по сертификации. Разделы по "доверию" вынести в отдельный документ (может быть путем модификации того же РД на НДВ или созданием нового РД на его основе), а требования к средствами защиты выносить в отдельные модули, которые будет разрабатывать попроще и побыстрее. Правда и тут возникает проблема с пропускной способностью ФСТЭК, которую можно было бы решить привлечением тех же производителей средств защиты, которые могли бы писать проекты РД (профилей) для своих решений и потом отдавать в ФСТЭК или Воронежский институт для финальной доработки, которая займет гораздо меньше времени, чем разработка РД с нуля регулятором.
• Изменение подходов к аттестации систем, в рамках которой допускать применение несертифицированных решений при условии более глубокой их проверки с помощью пентестов, анализа защищенности или иных методов проверки. К слову сказать, все мы знаем, что сертифицированные решения не означают более защищенные. Сегодня бумага с голограммой является не более чем наследием 608-го Постановления Правительства по сертификации средств защиты гостайны 95-го года.

Что-то скатился я вновь к регуляторике, хотя начинал писать заметку про решения EDR/STAP. Ну ничего, в следующий раз напишу.

Подробнее…

"Противостояние" как отражение реалий настоящего мира ИБ

Пора написать о впечатлениях от PHDays, которые дополнят то, что я писал в прошлом году. Для меня PHDays это четыре больших возможности, о каждой из которых я скажу пару слов:

• Возможность посоревноваться в "Противостоянии"
• Возможность послушать
• Возможность встретиться и пообщаться с коллегами
• Возможность поработать (на стенд / на модерация секции / на выступлении).

Вторую возможность я в этом году упустил. Точнее я слушал всего две секции - антипленарку, где выступал и, попутно, слушал коллег с их зажигательными спичами, и секцию "(Не)безопасность Интернета вещей", которую модерировал. Остальные доклады я пропустил, хотя и хотел ряд из них прослушать вживую. Одно радует - есть записи всех потоков, которые можно просмотреть.

В этом году заглавной темой мероприятия стал Интернет вещей, преимущественно промышленный, который нам более привычно называть аббревиатурой АСУ ТП. Про него было много разных секций и докладов, которые местами шли параллельно. Это, кстати, был один из косяков организаторов - секцию по ИБ АСУ ТП поставили в параллель с "моей" про промышленный Интернет вещей, что поделило аудиторию и привело к некоторой рассинхронизации.

"Противостояние" тоже во многом было посвящено атакам и защите АСУ ТП (наряду с рядом других компонентов). С каждым годом стенд Positive Technologies становится все объемнее и интереснее, превращаясь в целый город и становясь все больше похожим на SANS CyberCity.

Возможность встретиться с друзьями и коллегами я смог реализовать в Cisco Coffee Point, которая была устроена на втором этаже, с которого открывался прекрасный вид на весь зал, на команду защитников, на стенд "Противостояния", на снующих туда-обратно людей...

Первоначально я был достаточно зол на организаторов, которые так запрятали вход на второй этаж, что найти его было очень непросто. Позже я оценил все преимущества такого варианта. Получилось тихое и спокойное место для встреч, где можно было поработать, поговорить о делах, просто пообщаться и выпить кофе.

В "Противостоянии" я не участвовал, но сама концепция мне понравилась. Она очень хорошо отражает текущее состояние отрасли ИБ в России - хакеры, защитники, SOCи. Особенно интересно было читать комментарии после окончания соревнований. У меня возникло недоумение по поводу одновременного награждения "хакеров", которые вроде сломали все, и "защитников", которые обеспечили 100%-ю безопасность. Но если вторые защитили, то как первые могли все сломать? А если первые все сломали, то что тогда защитили вторые? Например, упоминание произошедшего в рамках соревнования взлома GSM привело к заявлению одной из команд по эту сторону баррикад, что GSM не входил в scope (в область рассмотрения). Забавно, не правда ли? Хакеры ищут любую лазейку, а защитники обсуждают ТЗ, по которому работать. Еще один забавный случай произошел с взломом банка, со счетов которого сняли чуть ли не все деньги. По словам участников, его, оказывается, в ночь с первого дня на второй никто не защищал и не мониторил (хотя по комментариям других защитников банк вообще никто не защищал и в остальное время). Ну ведь до боли похоже на многие службы ИБ, которые работают только в рабочие часы и ссылаются на отсутствие своей вины во взломе того, что не входило в изначальный scope работ.

Возможно это был косяк организаторов, а возможно GSM и банк остались без контроля специально, но выглядело это все как-то не очень. На следующий год стоит, наверное, включить в список сценариев атаки со стороны инсайдеров (в этом году это частично пытались сделать "хакеры" из победившей команды "ЦАРКА"), а также иные жизненные кейсы, например, приходы регуляторов к защитникам или задержание хакеров :-) Последние два кейса мы отрабатывали в рамках киберучений в Магнитогорске. Да, это будет совсем не CTF, и даже не формат "Attacker-Defense", но зато очень близко к реальности.

Кстати, ребята из "ЦАРКИ" оказались большими шутниками. Они не только под видом представителей СМИ ходили по командам защитников и организаторам и подглядывали за происходящем по эту сторону баррикад, но и всупили в противоборство с командами хакеров, кого-то ломая, у кого-то уведя деньги, ранее украденные из банка.

Одним из провалов PHDays стало мобильное приложение, которое... не делает ничего. Я вообще не понял, зачем его делали. Возможно, идея и была какая-то, но довести ее до ума так и не смогли. Приложение только для новостей и программы мероприятия? Ну не знаю. Ни тебе собственного расписания, ни напоминалок о интересных докладах, ни возможности следить за "Противостоянием", ни материалов с докладов. Даже рекламы спонсоров и то не было.

В целом на PHDays мне понравилось, как и все предыдущие шесть раз. Живенько и незаезженно. Хотя понятно, что мероприятие уже достигло своего максимума. В первый день пришло 4 тысячи человек, а всего вроде как их там было около 6 тысяч. ЦМТ уже не справляется с такой массой людей. А иных площадок в Москве под такое количество участников и нет. Либо надо застраивать (а это дорого) ангары ВВЦ или Крокуса, либо фокусироваться, либо разносить по разным местам города (хакеры и бизнес). В общем на следующий год организаторам предстоит непростая задача. Удачи им в этом.

ЗЫ. В прошлый раз я делился своей взрослой мечтой - увидеть себя лысым. Мы с Алекссем Качалиным в прошлый раз поменялись личностями и нам это понравилось. В этом году мы решили повторить опыт. Посмотрите на меня лысого :-)

Подробнее…

Обязательство банков уведомлять об инцидентах вынесено на уровень закона

30 мая в Госдуму был внесен законопроект, который устанавливает следующие нормы (путем внесения поправок в ФЗ-161 о национальной платежной системе):

1. При выявлении оператором по переводу денежных средств (то есть банком) признаков совершения переводов денежных средств без согласия клиента оператор обязан выполнить ряд обязательных шагов
• Приостановить платеж
• Приостановить использование электронного средства платежа
• Информировать клиента о предыдущих двух шагах
• Предоставить клиенту информацию о выявленных признаках мошенничества и рекомендации по снижению вероятности его повтора
2. Обязательные признаки мошенничества устанавливаются Банком России (в предыдущих редакциях это мог делать и сам банк).
3. Клиент обязан незамедлительно уведомлять банк о фактах несанкционированного доступа или утери электронного средства платежа.
4. Между банком получателя и банком плательщика устанавливаются правила взаимодействия в случае мошеннических операций, включая и возврат незаконно списанных денежных средств.
5. Если будет доказано, что клиент неправомерно заявил о списании средств, то все убытки для получателя несет клиент (плательщик).
6. Все участники НПС, попадающие под действие 27-й статьи (по защите информации в НПС) теперь обязаны соблюдать нормы ЦБ в области противодействия мошенничеству, установленные Банком России (ждем этих норм после принятия законопроекта). В том числе участники НПС обязаны назначать соответствующих должностных лиц, подотчетных СВК (не ИБ).
7. ЦБ обязуется вести базу инцидентов по мошенническим операциям и предоставлять из нее информацию участникам НПС, в названии которых есть слово "оператор".
8. Все участники НПС, в названии которых есть слово "оператор", обязаны уведомлять ЦБ обо всех инцидентах, связанных с мошенничеством. Правила установит Банк России.
9. Специально указано, что информация об инцидентах не относится к банковской тайне.

Также новый законопроект наделяет ЦБ правом устанавливать, по согласованию с ФСТЭК и ФСБ, обязательные для кредитных и некредитных финансовых организаций требования по защите информации, за исключением требований по защите информации, установленных федеральными законами и принятыми в соответствии с ними нормативными правовыми актами.

Ну что можно сказать? Законопроект описывает ровно то, что говорится в дорожной карте, о которой я уже писал ранее. Интересных моментов тут несколько:

1. Роль FinCERTа возрастает еще больше. Тут и активное участие в проверках, и разработка методических рекомендаций и требований для банков, и многое другое. Кстати, недавно у этого подразделения сменился руководитель.


2. Если сейчас обязанность уведомлять об инцидентах установлена только для АРМ КБР (в 552-П), то новые требования говорят уже обо всех видах инцидентов, связанных с мошенничеством. Учитывая оперативность, с которой мошеннические операции должны быть остановлены, срок уведомления будет тоже небольшим (возможно, те же 3 часа, как и в 552-П).
3. Появляется база инцидентов, о которой говорили в Магнитогорске несколько лет назад. И хотя ЦБ говорит, что она будет закрытой, существует вероятность утечек из нее с последующими репутационными рисками для банков-жертв. 
4. ЦБ утверждает, что из этой базы данные если и будут предоставляться участникам НПС, то в ограниченном объеме и, скорее всего, о дропперах. Но тут всплывает старая история про персональные данные, так как информация о человеке (даже о дроппере) относится именно к ним и на их распространение нужно согласие субъекта (под исключения данная деятельность не попадает). Но во внесенном законопроекте про это ни слова.
5. Также в свое время планировалось вносить поправки в УК и УПК, облегчающие расследование мошеннических операций, но и про это в текущем законопроекте ни слова. Видимо не договорились между собой разные участники законодательной инициативы. Прописана только процедура разбирательств в арбитраже.
6. ЦБ наконец-то получает право (если примут законопроект) регулировать ИБ не только в банках и НПС, но и во всех некредитных финансовых организациях. Страховые, негосударственные пенсионные фонды, микрофинансовые организации, брокеры, биржи (глубже, чем сейчас) и другие попадают под руководящую длань Банка России в полный рост.
7. Интересная ситуация с последним пунктом про возможность установления требований по защите информации по согласованию с ФСТЭК и ФСБ. Вспоминаю историю с принятием ГОСТа по базовым защитным мерам - тогда ФСТЭК выступал явно против ГОСТа, а ФСБ - против одной из норм. При этом текст стандарта несмотря на это был утвержден на заседании ПК1 ТК122 и должен быть отправлен в Ростехрегулирование. Но если ФСТЭК и ФСБ не согласуют эти требования, то дальше что?.. По новой запускать процедуру согласования или вносить изменения задним числом уже без согласования с членами подкомитета? Тут вообще сложные материи.

Интересно будет следить за судьбой этого законопроекта.

Подробнее…