Positive Technologies приняла участие в стандартизации уязвимостей

Positive Technologies приняла участие в стандартизации уязвимостей

Positive Technologies приняла участие в стандартизации уязвимостей

В сентябре этого года Федеральным агентством по техническому регулированию и метрологии (Росстандартом) были приняты два стандарта по описанию и классификации уязвимостей ГОСТ Р 56545-2015 и ГОСТ Р 56546-2015. Документы разрабатывались Центром безопасности информации при активном участии экспертов Positive Technologies.

Стандарты вступают в силу с апреля следующего года.

ГОСТ Р 56545-2015 «Защита информации. Уязвимости информационных систем. Правила описания уязвимостей» определяет состав сведений об уязвимостях, которые разработчики средств контроля защищенности должны включать в базу данных своих решений. При этом документ учитывает уже имеющуюся практику и инструменты описания уязвимостей, такие как классификатор типов уязвимостей Common Weakness Enumeration (CWE), язык формального описания Open Vulnerability and Assessment Language (OVAL), методику оценки степени опасности уязвимости Common Vulnerability Scoring System (CVSS). ГОСТ Р 56546-2015 «Защита информации. Уязвимости информационных систем. Классификация уязвимостей» определяет наиболее распространенные типы уязвимостей, позволяя унифицировать терминологию, используемую пентестерами.

Пока это первые два документа из нового семейства стандартов, еще один находится на согласовании в Росстандарте. Через некоторое время можно ожидать принятия новых документов, в том числе определяющих состав и содержание работ по выявлению уязвимостей. Наличие таких стандартов позволит привести к единым правилам рынок средств контроля защищенности и услуг по выявлению уязвимостей информационных систем.

«До недавнего времени многие организации не рассматривали деятельность киберпреступников в качестве реального источника угрозы, — отмечает Дмитрий Кузнецов, директор Positive Technologies по методологии и стандартизации. — Однако результаты тестов на проникновение, которые проводила наша компания, показали, что хакерские атаки представляют серьезную опасность для предприятий в любой сфере — от банков до нефтеперерабатывающих заводов. Согласно нашему исследованию, в 67% случаев полный контроль над важнейшими ресурсами организаций можно получить с помощью обычных домашних компьютеров, а для атак зачастую используются отработанные типовые решения. Регулирующие органы начали большую и важную работу по защите государства и бизнеса от современных угроз, и одним из ее результатов является создание системы государственных стандартов, полностью отвечающих требованиям времени».

Это не первый опыт участия Positive Technologies в разработке нормативных документов, регулирующих отрасль информационной безопасности. На протяжении нескольких лет специалисты компании принимают активное участие в работе экспертной группы ФСТЭК России, проводят экспертизу проектов нормативных и методических документов, профилей защиты. Кроме того, эксперты Positive Technologies выполняют научно-исследовательские работы, направленные на создание государственной системы обнаружения, предотвращения и ликвидации последствий компьютерных атак (ГосСОПКА). Специалисты компании входят в три технических комитета по стандартизации — «Криптографическая защита информации» (ТК 26), «Стандарты финансовых операций» (ТК 122) и «Защита информации» (ТК 362). С участием Positive Technologies были подготовлены рекомендации в области стандартизации Банка России (РС БР ИББС-2.6-2014).

Авиакомпании, СМИ и магазины: расширен «белый список» интернета

В России расширили так называемый «белый список» сайтов и сервисов, которые продолжают работать даже в периоды ограничений мобильного интернета, вводимых по соображениям безопасности. В перечень добавили сразу несколько десятков новых ресурсов — от госорганов и СМИ до магазинов, авиакомпаний и сервисов повседневных услуг.

На новом этапе в список вошли, в частности, информационный ресурс «Итоги года с Владимиром Путиным», сайты Совета Федерации, МВД и МЧС, движение «Движение первых», а также авиакомпании «Аэрофлот» и «Победа».

Среди инфраструктурных и деловых ресурсов — «Россети», «Росатом Сеть зарядных станций», Московская биржа, оператор связи «Мотив» и портал по поиску работы HeadHunter.

Перечень пополнился и сервисами для повседневных задач: каршерингом «Ситидрайв», логистической компанией «Деловые линии», сетью ресторанов «Вкусно — и точка», онлайн-кинотеатром «Иви», а также крупными торговыми сетями — «ВкусВилл», «Ашан», «Спар», Metro и «Петрович».

Отдельный блок — средства массовой информации. В «белый список» включены как сайты и приложения федеральных телеканалов (Первый канал, НТВ, RT, ОТР, ТВЦ, ТНТ, СТС, «Пятый канал», «РЕН ТВ», «Пятница», «Домашний», «Муз-ТВ», «Мир», «Спас»), так и печатные издания и цифровые СМИ: «Аргументы и факты», «Российская газета», «Ведомости», «Московский комсомолец», а также приложение «Радиоплеер».

Кроме того, список продолжает расширяться за счёт региональных ресурсов. Ранее туда уже входили социально значимые сервисы в сферах здравоохранения, образования, транспорта и региональных госуслуг. Теперь к ним добавились сайты администраций субъектов РФ и дополнительные региональные платформы.

Напомним, что в «белый список» также входят сайты Президента и Правительства России, крупные маркетплейсы (Ozon, Wildberries), сервисы заказа такси («Яндекс», «Максим») и онлайн-кинотеатры («Кинопоиск», «Винк», Kion, Okko). Перечень формируется на основе предложений федеральных и региональных властей и согласовывается с органами, отвечающими за вопросы безопасности. Работа над его расширением продолжается.

RSS: Новости на портале Anti-Malware.ru