Уральский форум за 15 минут! Многое ли изменилось за прошедший год? Лукацкий Алексей, консультант по безопасности

2 Новости ФСТЭК Усиление внимания к безопасности программного обеспечения Новые требования к СрЗИ 3 ГОСТа по уязвимостям Проект ГОСТа по SDLC конец года База уязвимостей и угроз Методика обновления ПО, включая сертифицированное Принятие законопроекта о безопасности критических информационных инфраструктур затянулось Но финансовые организации (как минимум, крупные) попадут в список КИИ

3 Новости ФСТЭК Планируется обновление 17/21-го приказов Планируемая реализация ФСТЭК и ФСБ надзорных функций в рамках ПП-584 по защите платежных систем не состоялась Готовится методика определения актуальных угроз до конца марта должна быть опубликована

4 Новости ФСТЭК Совершенствование сертификации средств защиты информации Планируется разработка большого количества РД с требованиями к средствам защиты Изменение подходов к сертификации Совершенствование порядка аккредитации органов по сертификации и испытательных лабораторий Совершенствование порядка сертификации А также Требования к средствам защиты виртуализации, BIOS, ОС и СУБД Требования к средствам защиты информации от утечки по техническим каналам

5 Новости ФСБ 378-й приказ опубликован и вступил в силу Произошло изменение подхода к сертификации СКЗИ ГосСОПКА Банки будут связаны с ГосСОПКА через FinCERT и через закон о КИИ Типовых решений СОПКА нет Все засекречено (как обычно) Отечественный HSM в НСПК

6 Новости РКН / персданные Пересмотрен перечень "адекватных" стран Готовящиеся законопроекты по штрафам за несоблюдение отдельных требований ФЗ-152 по изменению ФЗ-152 завис в ГД по ответственности за неуведомление об утечке не будет по запрету отказа от предоставления услуг при отказе от дачи согласия на обработку ПДн не будет Незапланированный 242-ФЗ В марте будет встреча банков с РКН

7 Наиболее актуальные риски и угрозы по мнению ЦБ Неправомерное распоряжение финансовыми средствами Воздействие злоумышленников на ИС и платежные приложения с целью дискредитации участников финансовой системы и препятствования ее устойчивому функционированию Политическое давление на экономику Российской Федерации, путем отключения финансовых сервисов Преднамеренное воздействие на ИС и приложения использующие оборудование и зарубежное ПО и не прошедшее надлежащую оценку соответствия ИБ

8 Новости Банка России Принята новая редакция 382-П Принят новый СТО 1.0 и 1.2 Гармонизация с 382-П и др. Приняты новые РС По менеджменту инцидентов По жизненному циклу Отменены «старые» РС По безопасности ПДн По частной модели угроз Сформирована и согласована с Минкомсвязь России позиция по аккредитации УЦ банков Сдвига в сторону управления рисками не произошло

9 Новости Банка России На подписании находятся РС по ИБ виртуализации и ресурсному обеспечению ИБ ЦБ готовит в гг. РС по предотвращению утечек, по антифроду, по распределению ролей, по облакам и аутсорсингу, по расследованию инцидентов ЦБ планирует пересмотреть СТО БР ИББС-1.1, РС БР ИББС-2.0, РС БР ИББС-2.1, РС БР ИББС-2.2 ЦБ планирует расширить действие СТО 1.0 и 1.2 на все отрасли, которые попали под ЦБ после слияния с ФСФР

10 Новости Банка России Вопрос о слиянии 258-й и 203-й форм так и не решен Т.к. они разработаны для разных целей развития и надзора в НПС Результаты 202-й и 203-й отчетности будут опубликованы в марте Передавать (отменять) 203-ю отчетность под FinCERT пока не планируется И цели у 203-й отчетности иные, и FinCERT пока не заработал

11 Предварительные результаты оценки по 202-й форме Качественная оценка Значение итогового показателя R пс Всего операторов Доля, % ОПДС ОПС ОУПИ Неудовлетворительная 0 < R пс < 0,5 20 2,38% Сомнительная 0,5R пс < 0, ,55% Удовлетворительная 0,7 R пс <0, ,33% Хорошая 0,85R пc < ,95% R пc = ,79% Итого Среднее значение R пс 0,74

12 Предварительные результаты оценки по 203-й форме По платежным картам По системам ДБО Количество несанкционированных операций, ед. Объем несанкционированных операций, млн р. Количество инцидентов, связанных с использованием систем ДБО, ед. Сумма, на которую были исполнены распоряжения, млн р.

13 Новости Банка России Подготовлены изменения в законодательство направленное на противодействие преступлениям в финансовой сфере с применением современных технологий ФЗ-395-1, ФЗ-86, ФЗ-161 В статьи УК РФ, 187 УК РФ, 272 УК РФ, статью 152 УПК РФ, проекты статей УК РФ и УК РФ Изменения в АПК Подготовлены предложения по проекту ФЗ «О внесении изменений в некоторые законодательные акты РФ (в части противодействия хищению денежных средств)»

14 FinCERT Задержка с созданием FinCERT связана с Крымом и текущей экономической ситуацией Не только НПСК Большое количество вопросов, связанных с функционированием FinCERT, порядок предоставления в него информации, ответственности/обязанности, предоставляемой из FinCERT информации Только техническая информация (черные списки, домены, IP, анализ malware, Threat Intelligence и т.п.) или правила антифрода? Интеграция с ГосСОПКА

15 Что выдает FS-ISAC в США?

16 Импортозамещение и санкции В прошлом году про импортозамещение и санкции не говорили Снижение числа импортных средств защиты, прошедших сертификацию в ФСТЭК в 2014-м году С 123 до 113 Появление требований Банка России к отечественному ПО в социально значимых платежных системах Усиление требований к оценке соответствия для средств защиты, применяемых в Банке России и НСПК Отказ от неактуальности угроз 1-го и 2-го типа (по ПП-1119) Бурные дебаты с отсутствием четкого результата Непонимание целей и заказчика импортозамещения, а также отсутствие продуктов-заместителей в должном количестве

17 НСПК Созданы НСПК и СПФС Новая геополитическая ситуация Новые риски Запуск НСПК с повышенными требованиями по безопасности НСПК часть НПС и подчиняется требованиям 382-П Отдельных документов по безопасности НСПК пока не планируется

18 Все в СРО по ИБ Вновь поднимается идея об оценке качества ПО АБС и платежных приложений Распоряжение Совета Безопасности Не до конца проработан механизм оценки через СРО или сертификацию? Кто будет входить в СРО? Разработчики ПО Интеграторы Аудиторы Много открытых вопросов про СРО Как минимум, требуется изменение законодательства

19 За кадром: PCI DSS На форуме ни разу не упоминался стандарт PCI DSS Предыдущая редакция перевод PCI DSS 3.0 и PA DSS 3.0 на сайте PCI Council не выдерживала никакой критики ru.pcisecuritystandards.org В настоящий момент идет очередной виток перевода PCI DSS 3.0 Согласовано с PCI Council Под эгидой АБИСС Перевод осуществляется компанией ООО «Дейтерий»

20 Особенности выступлений: ничего не поменялось Непонимание банковской специфики и потребностей целевой аудитории со стороны интеграторов и производителей Неумение выступать публично и готовить презентации Их часто не видно даже с 1-го ряда Отсутствие тренировки для молодых организмов Голимая реклама

21 Новые фишки форума Мобильное приложение Программа, спикеры, объявления, голосование Закрытая сессия По FinCERT Воркшопы Больше круглых столов Живое общение Бесплатное обучение от УЦ Киберучения Типография Авангард-Про Книги по ИБ

📎📎📎📎📎📎📎📎📎📎