В 2024 году законодатели сосредоточились на защите информации, уделяя особое внимание безопасности персональных данных. Еще одним ключевым направлением законотворчества стала разработка НПА, направленных на дальнейшее развитие технологической независимости и импортозамещение иностранных разработок в сфере ИБ.
Хакеры традиционно атаковали сферу телекоммуникаций, торговую сферу, а также не обошли своим вниманием ИТ-инфраструктуру государственных органов. По итогам года в сеть утекли большие объемы информации с персональными данными россиян, в связи с чем, по мнению некоторых экспертов, теперь в интернете можно найти информацию практически о каждом гражданине страны.
Новое в законодательствеОсновным направлением законотворчества в сфере ИБ в 2024 году стало последовательное ужесточение ответственности и усиление контроля государства в части защиты ПДн.
Итоги года в законодательствеКлючевым документом, принятым по итогам года можно считать . Этот нормативный акт усиливает ответственность оператора за утечки ПДн, так как предусматривает повышение штрафов для юр.лиц до 3-500 миллионов рублей (в зависимости от числа утекших идентификаторов и того, было ли нарушение первым или повторным). Кроме того, закон предусматривает наказание вплоть до реального лишения свободы. Ожидается, что документ станет одним из «стимулов» дальнейшего развития российской сферы ИБ.
Также стоит обратить внимание на следующие НПА, подписанные в 2024 году:
Документ дает право ограничивать доступ к размещённой на сетевых ресурсах информации как на основании требований федеральных законов, так и в соответствии с актами Президента РФ. Закон устанавливает обязанность осуществлять мониторинг социальной сети для владельца самого сайта, ИС или программного обеспечения, которое используется для распространения информации.
. Наделяет Роскомнадзор правом ограничивать доступ к «зеркалам» иностранных интернет-сайтов. При этом признавать тот или иной ресурс копией заблокированного сайта Роскомнадзор имеет право самостоятельно.
. Запрещает использовать СрЗИ и сервисы обеспечения ИБ, разработанные в недружественных странах. Указ вступает в силу с 01.01.2025 года. Действие документа распространяется как на государственные, так и на коммерческие организации.
Росстандарт регламентирует управление учетными записямиСоответствующий введен в действие 20 декабря 2024 года. Документ определяет:
- содержание процессов, которые подлежат автоматизации;
- перечень рекомендаций касательно систем управления правами доступа и учетными записями;
- состав участников процесса автоматизации.
ГОСТ предназначен как для компаний, которые разрабатывают и внедряют автоматизированные системы управления учетными записями, так и для тех организаций, которые их только используют (либо планируют использовать в будущем).
Период действия требований по защите сетей связи устанавливает Минцифры9 декабря 2024 года опубликован ведомства, определяющий период, в течение которого будут действовать по защите сетей связи. Новый Приказ вступит в силу 01.09.2025 года и будет действовать в течение 6 лет.
Банк России информируетВ декабре 2024 года Банк России опубликовал сразу несколько информационных сообщений:
- 9 декабря Департамент информационной безопасности Банка опубликовал , произошедших при переводе денежных средств в III квартале 2024 года. В частности, было отражено более 16 миллионов кибератак и предотвращено хищение почти 5 триллионов рублей.
- о противодействии мошенническим операциям по итогам III квартала 2024 года.
ТК 26 представил . Документ распространяется на криптографическую защиту информации. Рекомендации распространяются на организацию подвижной радиотелефонной связи и вступают в действие с 01.01.2025 года.
ФСБ регламентирует формы документации, необходимой для лицензированияВедомство официально опубликовало , вносящий корректировки в некоторые документы, используемые при лицензировании, а также вводит несколько дополнительных форм. В их число вошли:
- заявление юр.лица / ИП о предоставлении лицензии;
- заявление юр.лица / ИП о внесении изменений в соответствующий реестр;
- заявление юр.лица / ИП о прекращении лицензируемого вида деятельности;
- заявление о предоставлении сведений о лицензии.
Также документ устанавливает форму заявления об исправлении допущенных ошибок, если они носят технический характер.
ФСТЭК займется профилактикойСлужбой был опубликован , утверждающий программу, в соответствии с которой будет осуществляться профилактика нарушений лицензионных требований. Это касается лицензиатов ФСТЭК по технической защите конфиденциальной информации и разработчиков СЗИ. Документ содержит анализ состояния лицензионного контроля, данные о проведенных ФСТЭК проверках и их результатах.
ФСТЭК представляет программу проф.переподготовкиВедомство представило о разработке программы профессиональной переподготовки. Программа предназначена для обучения руководителей в части организации и обеспечения ИБ в компаниях и разработана в рамках исполнения положений .
ФСТЭК усилит требования к ИБ государственных ИСбыл размещен на Федеральном портале нормативных правовых актов 28.12.2024 г.
Документ вводит в действие ряд требований, в том числе:
- устанавливает временной интервал для восстановления функционирования ИС 1 класса - он будет составлять 24 часа;
- срок устранения критических уязвимостей - 24 часа (за исключением относящихся к высокому уровню опасности - на их устранение дается неделя);
- допускается использовать доверенные технологии моделей ИИ при мониторинге угроз;
- показатели уровня зрелости ИБ необходимо оценивать каждые 2 года;
- оценка текущего состояния защиты информации должна проводиться как минимум 1 раз в полгода;
- в договорах с подрядными организациями госорганы должны прописывать необходимость исполнения требований согласно действующей политике ИБ.
Документ вступит в действие 01.09.2025 г. Исключение составляет только п.52 Приказа, вступающий в силу 01.09.2027 г. До момента вступления в действие документа следует руководствоваться требованиями, предусмотренными
Изменение базовой модели угроз безопасности информации в интеллектуальных системах учета электрической энергии (ИСУЭ)Минэнерго совместно с Минцифры, ФСБ РФ и ФСТЭК РФ о внесении изменений в разработанную во исполнение абзаца 4 пункта 2 Правительства Российской Федерации от 19 июня 2020.г № 890 «О порядке предоставления доступа к минимальному набору функций интеллектуальных систем учета электрической энергии (мощности)».
Теперь в трехуровневой ИСУ при применении прилагаемых к Модели угроз компенсирующих мер угрозы УБИ.069 и УБИ.083 могут быть нейтрализованы без применения средств криптографической защиты информации в приборах учета электрической энергии.
В двухуровневой ИСУ необходимость использования средств криптографической защиты информации в приборах учета электрической энергии будет определена после проведения дополнительных испытаний в соответствии с пунктом 2 раздела 1 протокола совещания у Заместителя Председателя Правительства Российской Федерации А.В. Новака от 08.12.2022 NАН- 51-131 пр.
Киберинциденты и события в сфере ИБ – декабрь и итоги годаУтечки, взломы и атаки – чем запомнился год
В России за 2024 год было зафиксировано более с использованием разнообразных вредоносных программных средств. В это количество не включены атаки с использованием фишинговых рассылок и DDoS-атаки. «Лаборатория Касперского» отмечает, что принципиального роста общего количества атак не наблюдается, однако количество киберинцидентов, связанных с устройствами под управлением ОС Android, выросло на 12%.
Объектами DDoS-атак в большинстве случаев становились следующие сферы (по итогам IV квартала):
- телекоммуникации – 28% атак ;
- ИТ-сфера (сегмент облачных технологий) – 21% атак;
- торговый сектор – 18% атак.
В 2024 году также фиксировались крупные утечки данных. По Роскомнадзора в течение года было выявлено более 130 утечек, причем в открытый доступ попало более 700 миллионов записей о пользователях из России. Самые масштабные утечки пришлись на февраль, когда в сеть попало более 500 миллионов записей в результате всего одного инцидента.
По разным оценкам в настоящее время в сети можно найти персональные данные около 90% россиян.
Крупная утечка базы данных «Почты России»В начале декабря 2024 года в открытом доступе в сети , содержащий информацию о получателях (ФИО, телефон, частичный адрес), дату и вид отправления, а также его почтовый идентификатор.
Предполагается, что полная версия базы данных относится к апрелю 2024 года и содержит около 26 миллионов строк, включая данные о наименованиях и ИНН отправителей (речь идет об ИП и юр.лицах).
Представители «Почты России» проводят аудит безопасности в связи с выявленной утечкой.
Злоумышленники против Александра ХинштейнаВ декабре 2024 года во время проведения прямой линии врио губернатора Курской области пресс-служба разместила Действия злоумышленников привели к частичному обрушению телефонии, из-за чего многие жители Курской области не смогли дозвониться во время прямого эфира с врио губернатора Александром Хинштейном. Ведущая эфира сообщила, что ответы на вопросы, которые не прозвучали в эфире, позднее будут обязательно опубликованы в письменном виде.
Киберпреступники атакуют «Миранду»25 декабря 2024 года массированной хакерской атаке подверглись сервисы «Миранда-медиа» – крымского оператора связи. Абоненты столкнулись с рядом трудностей, в том числе были сложности с предоставлением доступа к услугам мобильного интернета. Службам ИБ оператора удалось оперативно предпринять меры для отражения атаки и минимизировать ее последствия для пользователей.
Щелкунчик и бот-атакаСтарт продаж билетов на постановку «Щелкунчик» в Большом театре ознаменовался не только традиционным ажиотажем и некоторым недовольством стоимостью билетов, но и возникшими затруднениями со входом в личный кабинет Большого театра. Пресс-служба Большого театра , что причиной проблем с доступом к личному кабинету пользователей стала бот-атака.
Массированная атака российских госучрежденийВ середине декабря 2024 года киберпреступники предприняли против объектов КИИ и государственных органов. Основным инструментом злоумышленников стала рассылка электронных сообщений с вредоносными вложениями в разных форматах. Учитывая период проведения рассылки, наименования для вложений были выбраны вполне обычные для деловой переписки, например, «Отчет_2024», «Перечень услуг», «Отправка в МНТЦ» и т.п. Рассылки приходили как от имени государственных органов, так и от юридических и физических лиц.
Хакеры против праздникаНакануне Нового года атаковали интернет-страницы салонов красоты и сервисы доставки продуктов / готовой еды. Основным инструментом преступников стало массовое создание фальшивых заказов для перегрузки логистических систем. Для салонов красоты злоумышленники активно создавали фейковые записи на услуги, лишая настоящих клиентов возможности посетить мастеров индустрии красоты.
Злоумышленники не сделали исключения и – в этот период с мощными атаками ботов-парсеров столкнулись онлайн-ретейлеры и маркетплейсы. Зафиксированная частота запросов достигала около 750 тысяч в минуту.
Кроме того, хакеры предприняли ряд попыток взлома онлайн-касс, сосредоточившись на самых востребованных в праздники направлениях – крупных ретейлерах, компаниях сферы телекоммуникаций и магазинах, торгующих алкогольными напитками.
