Пятница, а значит самое время обсудить две новости этой недели, которые почему-то идеально укладываются в мою любимую тему: кто, кому, что доверил и кто потом за это всё отвечает 💅

Первая — про ПДн и подрядчиков. 14 октября Госдума приняла во втором и третьем чтениях законопроект № 404786-8 об ИТ-аутсорсинге в финансовом секторе. Банки, страховые, МФО, НПФ и ряд других финансовых организаций смогут передавать внешним исполнителям на обработку информацию ограниченного доступа, в том числе персональные данные клиентов и сведения, составляющие банковскую тайну. Причём отдельное согласие клиента на такую передачу в предусмотренных законом случаях не потребуется.
Круг исполнителей будет ограничен, для банков предусмотрено предварительное уведомление Банка России, операционный аудит исполнителя, требования к размещению информационных систем в России, регулярный контроль показателей защиты информации и операционной надёжности. А об обнаруженном ИБ-инциденте подрядчик должен будет сообщить заказчику в течение двух часов. Законопроект предусматривает вступление новых правил в силу через год после официального опубликования будущего закона, то есть прямо сейчас это ещё не действующий порядок.
И вот здесь начинается моя любимая методология. Можно идеально прописать требования в договоре, приложить NDA, поручение обработки ПДн, перечень мер защиты и результаты аудита. Но если после подписания договора никто не контролирует, какие доступы реально есть у исполнителя, зачем они ему нужны, кто их пересматривает, как выявляются отклонения и что происходит при инциденте, вся эта нормативная красота остаётся просто нормативной красотой.

И почти идеально в эту же тему прилетает история из Франции — только там вопрос ответственности и контроля внезапно вышел далеко за пределы персональных данных и добрался буквально до холодильников.
Злоумышленники получили контроль над холодильными установками примерно в 350 французских супермаркетах и подняли температуру в холодильниках и морозильниках вплоть до 50 °C. В результате магазины массово списывали продукты, были зафиксированы возгорания, а общий ущерб может исчисляться десятками миллионов евро. Расследование продолжается, личность атакующих пока не установлена. Отдельно обсуждается использование устаревшего ПО в системах управления холодильным оборудованием.
Гораздо интереснее вопрос: а чей это вообще актив с точки зрения ИБ? Кто должен был знать, что холодильный контроллер подключён к сети? Кто отвечает за его обновление? Кто контролирует удалённый доступ? Кто принимает решение о сегментации? ИТ? ИБ? Инженерная служба? Поставщик оборудования? Подрядчик, который однажды всё настроил и уехал?

И две совершенно разные новости на самом деле получаются примерно об одном: сторонний исполнитель, облачный сервис, инженерное оборудование или внешняя система не перестают быть частью вашего риска только потому, что организационно находятся где-то ещё.
Если актив влияет на ваши процессы - его надо учитывать. Если подрядчик имеет доступ - его надо контролировать. Если оборудование подключено к сети - кто-то должен отвечать за его защищённость.
Паперсек может сколько угодно жить в документах, но хороший паперсек всё-таки начинается с очень простых вопросов: кто отвечает, за что отвечает, что именно контролирует и чем может доказать, что контроль действительно работает.А холодильники, как выяснилось, тоже попросились в МУ, хихик.

Всех поздравляю с завершением рабочей недели, все умнички — молодцы, всем добра 😍