Google сама себя сертифицировала по госнормативам ИБ США

Google сама себя сертифицировала по госнормативам ИБ США

На днях в ходе судебных разбирательств, в которые вовлечены американское правительство, корпорация Microsoft и Google, выяснилась странная вещь: поисковый гигант утверждал, будто его "облачный" программный пакет Google Apps for Government сертифицирован на соответствие федеральному акту об организации защиты информации, не имея на то никаких достоверных оснований.


Тяжба началась еще в прошлом году, когда Google подала иск в защиту свободной конкуренции против государства - за то, что американское МВД выбрало систему делегированных вычислений от Microsoft для построения своей новой электропочтовой службы. При этом юристы истца особо подчеркивали, что "облачное" решение Google имеет сертификат соответствия требованиям акта FISMA (Federal Information Security Management Act), которым продукт редмондской корпорации не располагает.

FISMA-сертификация - это серьезный козырь. В этом акте рассмотрены основные вопросы обеспечения надлежащей безопасности данных для государственных ведомств США, и вполне естественно, что отвечающий его стандартам продукт более предпочтителен для такого учреждения, как министерство внутренних дел. В силу этого претензии Google казались вполне обоснованными.

Однако вчера представитель Microsoft Дэвид Говард сообщил в корпоративном блоге компании, что проводимые министерством юстиции США проверки выявили загадочный факт: у решения Google Apps for Government... не оказалось сертификата соответствия FISMA. Это весьма удивительно, тем более что на странице с описанием данного "облачного" продукта Google и по сей день утверждает обратное.

В итоге выяснилось, что сертификат у поискового гиганта все-таки был, но на другой вариант программного пакета - Google Apps Premier; в свою очередь, версия for Government, как объяснили представители истца, является лишь его усовершенствованной и усиленной модификацией. Иными словами, в Google решили, что если продукт Premier прошел проверку на соответствие FISMA, то основанный на нем и более надежный выпуск for Government автоматически будет считаться отвечающим требованиям федерального акта.

Таким образом, компания де-факто сама сертифицировала свое решение, не советуясь с компетентными контрольно-надзорными органами и полагаясь не на существующие нормы и правила, а лишь на свое умозрительное представление о том, какими они могут быть. Чиновники, однако, объяснили представителям Google, что сознание не определяет бытие, и в объективной реальности проверку на соответствие FISMA нужно проходить заново, если сертифицированный продукт был подвергнут модификациям.

Теперь поисковый гигант, конечно, представит необходимые документы по правилам, и вполне вероятно, что решение Google Apps for Government получит свое FISMA-удостоверение. Однако, к сожалению, компания выставила себя не в самом благоприятном свете, использовав в промо-материалах и даже в судебно-исковых заявлениях фактически ложную информацию, основанную на домыслах. Складывается впечатление, что руководство Google рассматривает свою деятельность скорее как игру, нежели как серьезный бизнес; во всяком случае, некоторые аналитики уже намекают, что компании не мешало бы стать немного "взрослее".  

ZDNet

Письмо автору

" />

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Рекордную DDoS-атаку в 11,5 Тбит/с провели с ботнета из 300 тыс. роутеров

Специалисты QiAnXin XLab уже год отслеживают DDoS-атаки с участием AISURU и уверены, что рекордный по мощности флуд, зафиксированный в прошлом месяце Cloudflare, был сгенерирован именно этим ботнетом.

Китайским экспертам удалось выявить трех операторов вредоносной сети. Один из них, с ником Snow, отвечает за разработку DDoS-бота, некто Tom — за поиск уязвимостей для распространения инфекции, Forky — за сдачу ботнета в аренду.

В апреле этого года Tom взломал сервер, с которого Totolink раздает обновления прошивки для своих роутеров, и внедрил вредоносный скрипт (t.sh), выполняющий перенаправление на загрузку AISURU.

В результате численность ботнета за короткий срок перевалила за 100 тысяч. В настоящее время, по оценке исследователей, в его состав входят около 300 тыс. зараженных устройств, способных дружными усилиями создать DDoS-флуд мощностью до 11,5 Тбит/с.

Для распространения AISURU в основном используются уязвимости N-day в роутерах D-Link, Linksys, Zyxel, SDK Realtek, а также в IP-камерах. Конкуренции зловред не терпит: так, он в какой-то момент угнал все видеорегистраторы nvms9000 у RapperBot.

Особой избирательности в выборе целей для DDoS-атак не замечено. Их число может доходить до нескольких сотен в сутки.

 

География мишеней — в основном Китай, США, Германия, Великобритания и Гонконг.

 

В новейших образцах AISURU реализована также прокси-функциональность. С этой целью им придан опциональный модуль для проверки скорости интернета по Speedtest.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru