Внесены изменения в закон о персональных данных

Внесены изменения в закон о персональных данных

...

Федеральный закон принят Государственной Думой 5 июля 2011 года и одобрен Советом Федерации 13 июля 2011 года. Федеральным законом уточняются сфера действия Федерального закона «О персональных данных», используемые в нём основные понятия, принципы и условия обработки персональных данных. Существенно переработаны действующие законодательные нормы, касающиеся трансграничной передачи персональных данных, мер по обеспечению безопасности персональных данных при их обработке, прав и обязанностей оператора, взаимоотношений оператора и субъекта персональных данных.



В частности, предусматривается, что нормативные правовые акты по отдельным вопросам обработки персональных данных могут принимать не только государственные органы, как это установлено в настоящее время, но и органы местного самоуправления, а также Банк России. Такие акты принимаются во исполнение федеральных законов и в пределах полномочий указанных органов и Банка России, сообщает сайт kremlin.ru.

В принципах обработки персональных данных акцентируется внимание на законности их обработки, соответствии содержания и объёма обрабатываемых персональных данных заявленным целям обработки.

Подробно регулируются вопросы, связанные с обращением к оператору субъекта персональных данных и уполномоченного органа по защите персональных данных, а также с поручением оператора другому лицу осуществлять обработку персональных данных, включая ответственность оператора перед субъектом персональных данных в случае такого поручения.

Федеральным законом разделяется порядок трансграничной передачи персональных данных иностранным государствам, являющимся и не являющимся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Перечень иностранных государств, не являющихся сторонами указанной Конвенции, утверждается уполномоченным органом по защите прав субъектов персональных данных.

В целях выполнения обязанностей по обработке персональных данных оператору предписывается принимать необходимые и достаточные для этого меры, к которым могут относиться: определение политики в отношении обработки персональных данных; назначение лиц, ответственных за обработку персональных данных; принятие локальных нормативных актов; осуществление внутреннего контроля или аудита соответствия обработки персональных данных федеральному законодательству и требованиям к их защите; оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения указанных требований.

Существенное внимание уделяется мерам по обеспечению безопасности персональных данных при их обработке. Федеральным законом определяется перечень таких мер, а также предусматривается, что уровни защищенности персональных данных при их обработке в информационных системах персональных данных, требования к их защите, а также к материальным носителям биометрических персональных данных и технологиям их хранения вне информационных систем устанавливаются Правительством Российской Федерации. Ассоциации, союзы и иные объединения операторов с учётом осуществляемой ими деятельности вправе определять дополнительные меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Федеральным законом также определяются федеральные органы исполнительной власти, осуществляющие контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных при их обработке.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Зараженные RapperBot устройства почти сразу подключаются к DDoS-атакам

Ведущий эксперт BitSight Technologies представил результаты тестирования образца DDoS-зловреда RapperBot, обнаруженного на видеорегистраторе (NVR), который использует его домашняя система безопасности.

Подвергнутый анализу семпл оказался больше похож на Mirai, чем версии RapperBot, разобранные три года назад в Fortinet. Он нацелен в основном на NVR и DVR и распространяется через эксплойты.

В данном случае для заражения использовалась уязвимость нулевого дня, классифицируемая как path traversal (выход за пределы рабочего каталога). Полученный с ее помощью учетные данные админа обеспечили загрузку поддельного обновления прошивки на порту 34567/TCP.

Этот фейк подключает удаленный NFS-ресурс и запускает пейлоад — непосредственно в памяти, чтобы скрыть вредоносную активность. Подобный трюк применяется, видимо, из-за скудости инструментария встраиваемых устройств: многие IoT не имеют wget, curl, ftp, но зато поддерживают монтирование NFS.

Вместо вшитых IP командного сервера новейшие версии RapperBot используют зашифрованные записи DNS TXT. Вредонос произвольным образом генерирует три составных части полного доменного имени (поддомен, основной домен, TLD) и пытается по приданному адресу DNS получить TXT-запись со списком C2.

Ее расшифровка тоже осуществляется в памяти зараженного устройства. После установки соединения с центром управления (чаще всего на порту 4444) зловред получает команды на поиск других уязвимых устройств и проведение DDoS-атак.

Сканирование IP-адресов осуществляется в основном на порту 23. Создаваемый поток мусорных пакетов представляет собой UDP-флуд, с этой целью используется порт 80.

Примечательно, что новобранцы в составе ботнета немедленно пускаются в ход: после перезагрузки устройства вредонос исчезает, и заражение приходится повторять. Исследователи также обратили внимание на высокую ротацию IP-адресов сканера, репозиториев вредоносного кода и C2-серверов (выявлено более 60).

 

В прошлом месяце правоохране США при поддержке крупных ИТ- и ИБ-компаний удалось установить контроль над ботнетом, позволяющим проводить атаки до 6 Тбит/с (текущий рекорд DDoS по мощности — 11 Тбит/с). На Аляске выдвинуты обвинения против предполагаемого администратора DDoS-сервиса на основе RapperBot, собравшего десятки тысяч жертв в 80 странах.

В результате в BitSight заметили, что зараженные устройства безуспешно пытаются вернуть C2-связь, однако передышка может оказаться кратковременной: ботнет вновь оживет, если злоумышленники сменят ключевые адреса.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru