Комитет Госдумы по конституционному законодательству одобрил к принятию в первом чтении поправки в закон «О персональных данных», внесенные в Госдуму еще в 2013 году группой сенаторов, сообщил РБК представитель комитета. Эту информацию подтвердила заместитель председателя комитета Совета Федерации по конституционному законодательству Людмила Бокова, один из авторов поправок.
Законопроект уточняет требования к операторам персональных данных (работодатели, операторы связи, банки, интернет-магазины и другие интернет-площадки, компании, развивающие программы лояльности, и т.д.). В частности, у них появляется обязанность уведомлять уполномоченный орган в случае неправомерного раскрытия или утечки персональных данных. Процедура уведомления не описана; как сообщила РБК Людмила Бокова, авторы документа намерены сделать необходимые уточнения «непосредственно с операторами данных». По ее словам, предполагается, что усилия будут сконцентрированы «только на случаях несанкционированного доступа». Сенатор также отметила, что считает правильным, чтобы об утечке уведомлялись и субъекты персональных данных. Она не исключила, что такие поправки будут подготовлены ко второму чтению проекта,
Количество утечек конфиденциальной информации в России выросло в 2016 году по сравнению с предыдущим на 80%, согласно последнему отчету аналитического центра компании InfoWatch, специализирующейся на кибербезопасности. Всего в стране за прошедший год было зафиксировано 213 подобных случаев, в мире — 1556. Чаще всего утечки связаны именно с кражей персональных данных — на них приходится 85,6% от всех случаев в мире.
В Российской ассоциации электронных коммуникаций (РАЭК), куда входят крупнейшие компании Рунета, поправки поддержали. Как рассказал РБК главный аналитик РАЭК Карен Казарян, на Западе уже действует подобная практика: компаниям определен срок и процедура, в рамках которой они обязаны уведомить пользователя, что его личная информация скомпрометирована; в противном случае оператора ждет штраф. В России за нарушение установленного законом порядка сбора, хранения, использования или распространения персональных данных предусмотрено предупреждение или штраф до 500 руб. для граждан, до 1 тыс. руб. для должностных лиц и до 10 тыс. руб. для юридических. Разработчики поправок считают, что необходимо повысить штраф за утечку данных.
Как сказал менеджер по развитию «Лаборатории Касперского» Кирилл Керценбаум, в США с 2002 года, а в Европейском союзе с 2009-го действует требование раскрывать факты утечек персональных данных не только органам власти, но и пользователям. «Подобная мера — одна из немногих, которые реально защищают права субъектов персональных данных, в отличие от штрафов. Требование позволяет гражданам своевременно узнавать о разглашении персональных данных и предпринимать в связи с этим адекватные меры. Это даст огромный плюс в борьбе с карточным мошенничеством, когда данные банковских карт компрометируются, но в отсутствии обязательного уведомления люди не знают, что нужно карты перевыпускать», — отметил Керценбаум. Он уверен, что для компаний в этом рисков нет, поправки лишь ускорят ужесточение регламента хранения и обработки персональных данных.
Директор по работе с госорганами «МегаФона» Дмитрий Петров согласился, что уведомление об утечках — это норма, заимствованная из законодательства Европейского союза. По его словам, за всю историю «МегаФона» утечек персональных данных у компании не было. «Надеюсь, у нас никогда не будет повода сообщать об утечках, — отметил Петров. — Но это скорее декларативная мера. Практика последних событий в информационной среде показывает, что операторы персональных данных узнают о том, что у них произошла утечка, извне». При этом Петров настаивает, что большинство операторов персональных данных и сейчас понимают, что это один из основных активов для них. «Утечка таких данных — это урон бизнесу, потому что клиенты — это основа бизнеса, потеря данных о них — угроза репутации. В первую очередь поэтому операторы защищают их, а не потому, что законодательство их обязывает», — отметил Петров.
Представители МТС и «ВымпелКома» отказались от официальных комментариев. Источник РБК в одной из этих компаний отметил, что «в России сегодня несколько сотен тысяч операторов персональных данных и согласовывать с уполномоченными органами решение об угрозе безопасности будет сложно технически, да и критериев принятия таких решений нет».
Снять гриф конфиденциальности
В законопроекте также предлагается поменять определение биометрических персональных данных, расширить перечень случаев, когда возможна трансграничная передача персональных данных. Сенаторы предлагают ввести понятие «обработчик» персональных данных. Предлагается не требовать соблюдения конфиденциальности в отношении персональных данных, если их субъект сделал их общедоступными (например, если пользователь опубликовал свои данные в соцсети) или если речь идет об обезличенных персональных данных. Также снимается требование соблюдения конфиденциальности в отношении данных, подлежащих опубликованию по закону, например доходы чиновников.
Сейчас законодательство не содержит четкого списка исключений из требований конфиденциальности, из-за чего возникают разночтения, отметил представитель одного из крупных операторов персональных данных.
Как пояснила Людмила Бокова, применение закона о защите персональных данных выявило ряд пробелов, которые нуждаются в устранении. «Поправки позволят полноценно применять современные технологии биоидентификации человека, снимут вопросы операций с данными, собранными за пределами России, а также конкретизируют меры по защите персональных данных», — сказала она.
Один из участников телекоммуникационного рынка указал среди причин, по которым парламент вернулся к законопроекту четырехлетней давности, «общий интерес к теме персональных данных в последнее время и активность авторов законопроекта, а также общее стремление законодателей «разгрести внесенные в Госдуму проекты».
В 2013 году Роскомнадзор дал отрицательный отзыв на эти поправки, сообщил его представитель Вадим Ампелонский. Он отметил, что с тех пор часть положений проекта была интегрирована в законодательство, а в остальном позиция Роскомнадзора осталась прежней. Ампелонский не стал уточнять, с какими именно положениями не согласны в ведомстве.
На проходящей в Сингапуре конференции Black Hat Asia были представлены два новых способа использования волокон Windows (fibers) для выполнения вредоносного кода. Один из них, Poison Fiber, допускает проведение атаки удаленно.
Автором обоих PoC является независимый ИБ-исследователь Даниел Джэри (Daniel Jary). По его словам, атаки Poison Fiber и Phantom Thread представляют собой улучшенные варианты opensource-разработок: они позволяют надежнее скрыть сторонний шеллкод или другую полезную нагрузку в системе, находящейся под защитой EDR.
Поддержка волокон была введена в Windows 3 и ранних версиях macOS в обеспечение многозадачной работы по упрощенной схеме. В те времена у процессоров было меньше ядер, и разделение рабочей нагрузки на потоки не всегда давало нужный эффект.
Концепция волокон обеспечила более мелкое дробление, уже внутри потоков. При этом они существуют только в режиме пользователя, а планирование осуществляет поток, в контексте которого они выполняются.
Для ядра ОС волокна невидимы (к планировщику заданий обращаются потоки, они и считаются исполнителями всех операций), из памяти их извлечь трудно. Подобные свойства очень привлекательны для злоумышленников: они позволяют внедрить в систему вредоносный код в обход антивирусной защиты.
Волокна и по сей день используются некоторыми процессами Windows, а также облегчают перенос приложений с других платформ. Возможность злоупотреблений проверялась неоднократно; так, в 2022 году были опубликованы PoC-методы сокрытия в волокне шеллкода и маскировки стека вызовов с помощью спящего волокна (добавлен в набор Cobalt Strike).
Разработка Phantom Thread использует второй подход, но при этом возможность обнаружить зловреда сканированием памяти полностью исключена. С этой целью создается волокно, а затем патчится таким образом, чтобы выдать его за поток.
Второй PoC, созданный Джэри (Poison Fiber), перечисляет запущенные процессы Windows и фиксирует потоки, использующие волокна, а затем предоставляет возможность внедрить пейлоад или шеллкод в спящее волокно — такие всегда найдутся на стеке. Вредоносная инъекция защиту не насторожит, как случае с остановом потока, а исполнение запустит легальная программа.
«Атаки через волокна — это не повышение привилегий, не обход UAC, но доставка полезной нагрузки при этом привлекает намного меньше внимания, — пояснил исследователь для Dark Reading. — Их легко реализовать и труднее детектировать, поэтому волокна — прекрасный вариант для любого скрипт-кидди».
Публиковать другие подробности и PoC-коды Джэри пока не собирается, но советует ИБ-службам включить Windows Fibers в список потенциальных векторов атаки, а EDR-защиту постоянно проверять на готовность к новым угрозам.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
