Аналитический центр RPPA

Правительственная комиссия по законопроектной деятельности одобрила поправки в КоАП, ужесточающие ответственность за незаконную обработку персональных данных, сообщил член комиссии, председатель правления Ассоциации юристов России Владимир Груздев.
Предлагается дополнить КоАП статьей 13.11.3, установив ответственность за размещение, обновление банками, МФЦ и иными организациями биометрических персональных данных в ЕБС с нарушением требований законодательства.
Это повлечет административные штрафы для должностных лиц в размере от 100 тысяч до 300 тысяч рублей, для юридических лиц - от 500 тысяч до 1 млн рублей.

Мы продолжаем рассказывать о предстоящем SOC-Forum

Центральным событием SOC-Forum 2023 по традиции станет пленарная сессия, которая состоится 14 ноября.

Представители крупных ИТ-компаний и цифровых корпораций, а также регуляторы обсудят, как обеспечить устойчивое развитие в бизнесе и госуправлении в период новой реальности и постоянного ускорения цифровизации.

К выступлению приглашены: НКЦКИ, ФСТЭК России и Минцифры России, ЦБ РФ и Сбер.

На пленарной сессии вы узнаете, как сегодня выстраивается национальная кибербезопасность на уровне государства и бизнеса, какие меры принимаются в регулировании этой сферы, как перемены последних лет отразились на бизнесе и чем ИБ может помочь российским компаниям

Ассоциация больших данных выступила с инициативой разработки и последующего внедрения добровольного отраслевого стандарта защиты персональных данных в качестве одного из механизмов ухода от оборотных штрафов или их снижения. Авторы стандарта 👇 вводят 26 критериев, каждый из которых должен оцениваться по приведенной в проекте стандарта методике.

Ряд критериев может принимать значения только 0 или 1, а у некоторых возможна градация от 0 до 1 с шагом 0.1, 0.2, 0.3 и т.д. (логика там не очень прослеживается, почему для одного критерия градация из двух значений, для другого из пяти, для третьего из 6, а для четвертого из семи, а для какого-то из восьми).

В зависимости от уровня защищенности, типа обрабатываемых персональных данных и количества записей с ними, определяется одна из 4-х категорий операторов персональных данных, которые должны достичь соответствующего значения эффективности защиты ПДн (>6, >10, >14 и >18 баллов).

В целом, идея введения такого стандарта понятна и ее можно приветствовать, если бы не одно но. Почти все предлагаемые защитные меры уже прописано в обязательном для всех операторов ПДн 21-м приказе ФСТЭК (в приказе их даже больше). Если внедрить стандарт АБД, то получится, что операторы сами признают, что они не выполняли 21-й приказ или делали его по принципу на отвали. Такое себе решение...

ЗЫ. Тут больше надо думать о том, как мотивировать (или стимулировать) выполнять 21-й приказ, а не придумывать новые, добровольные требования.

ЗЗЫ. Скорее предлагаемый стандарт описывает процедуру оценки зрелости реализации 21-го приказа (если туда добавить остальные меры защиты). Я про это 7 лет назад писал ✍️

Сбербанк планирует создать кросс-банковскую платформу для биоэквайринга (оплаты по лицу), которая будет базироваться на уже существующих решениях банка, сказал глава Сбера Герман Греф.

ГИБДД считает, что в следующем сезоне нужно запускать систему идентификации личности на прокатных СИМ.
Ограничения в договорах операторов возрастного ценза (18 лет) по факту не соблюдаются, рассказал замначальника УГИБДД по Москве Евгений Логиновский: многие родители регистрируют аккаунты на себя и потом дают пользоваться детям.
Начальник управления Дирекции фотовидеофиксации ЦОДД Владимир Карпов сообщил о планах расширить пилот по фиксации нарушений камерами. Десять приборов уже выявляют езду вдвоем на электросамокате, отказ пропустить пешехода, переход по «зебре» без спешивания и другие нарушения. Поскольку ЦОДД знает, где в конкретный момент времени находятся все шеринговые самокаты (по ID), при помощи камер легко выяснить, какое именно устройство двигалось с нарушением, пояснил Магомед Колгаев. Соответствующая информация передается оператору, который штрафует пользователя за нарушение условия договора.
Но это временная схема, пояснили в ЦОДД, нужна полноценная система идентификации личности пользователей.
Выявлять и штрафовать нарушителей должны госорганы.

Ассоциация эксплуатантов воздушного транспорта (АЭВТ) вернулась к давней идее «Аэрофлота» о едином черном списке пассажиров для всех перевозчиков. Сейчас у каждой компании он свой и аннулируется через год. Теперь в отрасли хотят отказывать в перевозке за курение и мелкое хулиганство, действие черного списка продлить на три года и дать к нему доступ туроператорам, чтобы у дебоширов не оставалось лазеек в виде чартерных рейсов.

База собственников ТС станет актуальнее.
Законопроект, которые Госдума приняла в первом чтении, разрешит гражданам снимать машину с учета в ГИБДД в день продажи, если договор купли-продажи оформлен через портал госуслуг или у нотариуса. Сегодня это можно сделать не ранее чем через десять дней с момента сделки: в течение этого времени старый владелец получает штрафы за нарушения, совершенные уже новым собственником. Поправка исключит необоснованные штрафы.
Поправки к закону «О государственной регистрации транспортных средств», внесенные главой думского комитета по транспорту Евгением Москвичевым, также позволят регистрировать автомобили без ОСАГО. Евгений Москвичев указывает, что от ограничения можно отказаться, потому что полисы инспекторы проверяют на дорогах. Данную идею раскритиковали в думском комитете по финансовому рынку. Глава комитета Анатолий Аксаков заявил во вторник, что, по оценкам страховщиков, по дорогам передвигается около 6 млн автомобилей без полиса ОСАГО, после принятия поправок их может стать еще больше, а значит, повышается риск, что законопослушные граждане не смогут возместить ущерб в ДТП в рамках автогражданки.

Неполный список иностранных топ-менеджеров, пострадавших за инциденты ИБ или иные связанные нарушения в своих компаниях:
1️⃣ Тимоти Браун, CISO SolarWinds - обвинен Комиссией по ценным бумагам за сокрытие от инвесторов факта о низкой защищенности компании
2️⃣ Джо Салливан, CSO Uber - осужден за сокрытие факта утечки ПДн с последующей выплатой 100 тысяч долларов хакерам "за молчание" и неуведомление клиентов и регуляторов об этом
3️⃣ Амит Бхардвадж, CISO Lumentum Holdings - обвинен Комиссией по ценным бумагам за незаконную торговлю акциями перед объявлением о двух сделках по поглощению и слиянию
4️⃣ Цзюнь Ин, CIO Equifax U.S. Information Solutions - посажен в тюрьму на 4 месяца и оштрафован на 55 тысяч долларов за инсайдерскую торговлю перед объявлением об инциденте с утечкой персданных 140+ миллионов клиентов.
5️⃣ Сюзан Молдин, CSO Equifax, и Дэвид Уэбб, CIO Equifax - покинули компанию после взлома
6️⃣ Бэт Джэкоб, CIO Target - покинула компанию после взлома и утечки платежных данных 40 миллионов своих клиентов
7️⃣ Эми Паскаль, CEO Sony - уволена из компании Sony Pictures после ее взлома. Правда, причиной увольнения стали ее расистские письма, которые и стали достоянием гласности в результате инцидента
8️⃣ Вальтер Стефан, CEO FACC AG - уволен после фишинга от имени гендиректора, приведшего к краже 50 миллионов евро (роль Стефана до конца неясна, но в официальном заявлении говорится о явных нарушениях, которые он допустил и которые стали причиной потери денег)
9️⃣ Миньон Хоффман, CISO Университета штата Сан-Франциско - уволена за сокрытие утечки персданных студентов, произошедшей из-за неустраненной уязвимости в Oracle (отсутствие патча объяснялось заморозкой бюджета и нежеланием ИТ-директора заниматься "ерундой")

МВД разработало законопроект, запрещающий нелегальным мигрантам открывать банковские счета, регистрировать автомобили, заключать брак и совершать сделки с собственностью. https://www.vedomosti.ru/society/articles/2023/11/07/1004467-mvd-predlagaet-zapretit-nelegalnim-migrantam-otkrivat-bankovskie-scheta?

Крупнейшие китайские компании занимают ведущие мировые позиции по числу международных патентов, связанных с технологиями кибербезопасности. В мировом топ-10 находятся шесть компаний из КНР, включая Huawei, Tencent, Alibaba и др.
Huawei вполне ожидаемо сосредоточена на получении патентов по кибербезопасности в области телекоммуникаций, то Tencent активнее ведет себя в таком сегменте, как идентификация пользователей, а Ant Group — язык запросов, используемый при обработке баз данных. Huawei также владеет обширным портфолио патентов кибербезопасности для передачи и обработки данных в автопроме. Компания заявляет о планах заключения патентных лицензионных соглашений с такими европейскими производителями, как BMW и Renault, а также японской Subaru.

МВД РФ хочет в ближайшее время начать проводить дактилоскопию и фотографирование мигрантов в московских аэропортах, сообщила начальник главного управления ведомства по вопросам миграции Валентина Казакова. С 2021 года трудовые мигранты обязаны проходить дактилоскопическую регистрацию и фотографирование в течение одного-трех месяцев в зависимости от категории.

Почему проекты систем видеоаналитики часто не доходят до реализации? Причин масса, подробности в обзоре

В реестре иноагентов, который ведет Министерство юстиции, теперь будут указываться псевдонимы включенных в него лиц и данные о прежних имени, фамилии и отчестве физлиц-иноагентов (если они их меняли).

Неплохой обзор голосовой биометрии, вернее, сфер ее применения: Голосовые ассистенты, распознавание звуков, идентификация по голосу (с этим большие проблемы).

Правительство внесло изменения в Положение о воинском учете — теперь граждане, отбывающие наказание в виде лишения свободы, подлежат учету, который будет осуществляться военкоматами по месту нахождения исправительных колоний (ИК) и следственных изоляторов (СИЗО). В документе нововведение названо особым воинским учетом.

Согласно постановлению правительства, постановка на особый воинский учет будет осуществляться комиссариатами без личной явки, медицинского обследования и психологического отбора. Исправительные учреждения будут предоставлять в военкоматы списки граждан по мере их приема, этапирования или освобождения.

Текст документа тут

Правительство не одобрило законопроект о праве гражданина на запрет доступа к данным о его здоровье.
По его мнению, законодательством РФ уже предусмотрены надлежащие механизмы обеспечения врачебной тайны, исключающие доступ неограниченного круга лиц к такой информации.

В Ассоциации больших данных (АБД), разработали концепцию отраслевого стандарта защиты данных. Документ предполагает и добровольный аудит

За девять месяцев 2023 года объем кибератак, основанных на скомпрометированных идентификационных данных (учетных данных сотрудников), на компании составил порядка 80% от общего числа атак при росте в 10% к аналогичному периоду прошлого года, посчитали в "Инфозащите". Эксперты компании объясняют это кратным ростом утечек данных за год.
При этом сами корпоративные учетные данные попадают в продажу на теневых форумах сравнительно редко, а для взлома почти всегда используются данные пользователей, полученные из других утечек, не связанных с корпоративной сетью, считают эксперты.
Часто люди используют один и тот же пароль на разных ресурсах — например, в корпоративной сети и на каком-нибудь небольшом форуме, говорит коммерческий директор «Кода безопасности» Федор Дбар. Подобные небольшие сайты, уточняет он, регулярно взламывают, а данные участников утекают. «Дальше злоумышленники по учетным записям находят корпоративную почту и попадают внутрь сети»,— резюмирует эксперт.

Минэкономразвития предлагает упростить для гостиниц требования о предоставлении в МВД данных о прибывающих гостях, а также узаконить дистанционную регистрацию гостя и разрешить постояльцам заселяться в гостиницу по биометрическим данным. Кроме того, предлагается расширить перечень документов, позволяющих регистрировать гостей при заселении, включив в него загранпаспорт и военный билет, а также разрешить регистрацию вовсе без паспорта, если гость предоставит удостоверяющие личность сведения через мобильное приложение «Госуслуги».
Об этом говорится в «дорожной карте» по трансформации делового климата в туризме до 2025 г., которую подготовило Минэкономразвития.

В Москве не смогли приобрести 150 мобильных биометрических комплексов для наблюдения за нештатными ситуациями при проведении массовых мероприятий за 225 млн руб., следует из данных электронного аукциона, документация которого была опубликована на портале госзакупок в конце октября.
Поставщик должен был быть определен до 1 ноября, но к 30 октября не было подано ни одной заявки.
Согласно закупке, система должна была быть оснащена функцией «загрузки и ведения баз данных розыска для работы в автономном режиме в местах с отсутствием связи или при наличии систем подавления связи», а также «детекции лиц в кадре и отправки вырезанного лица с метаданными и обзорным кадром».
Так как закупка признана несостоявшейся, это открывает дорогу к закупке у единственного поставщика, законодательство позволяет не делать победителей публичными.