Минцифры определилось с угрозами для ПДн в информационных системах

Минцифры определилось с угрозами для ПДн в информационных системах

Минцифры определилось с угрозами для ПДн в информационных системах

На портале правовой информации ФСО РФ опубликован приказ Минцифры, устанавливающий единый подход к определению угроз безопасности персональных данных при их обработке. Отныне при создании моделей угроз для ПДн операторы информационных систем, контролируемых Министерством, должны брать за основу список, приведенный в этом документе.

Этот перечень можно сократить или уточнить отдельные позиции с учетом структурно-функциональных характеристик конкретной ИС и используемых технологий. Текст приказа Минцифры от 21.12.2020 № 734 доступен на официальном портале правовой информации с 1 июня.

Согласно приложению к этому документу, российская классификация угроз безопасности ПДн при их обработке в ИС выглядит следующим образом:

  • угрозы, связанные с особенностями функционирования технических, программно-технических и программных средств, обеспечивающих хранение, обработку и передачу информации;
  • угрозы несанкционированного доступа (воздействия) к отчуждаемым носителям персональных данных, включая переносные персональные компьютеры пользователей информационных систем;
  • угрозы воздействия вредоносного кода и (или) вредоносной программы, внешних по отношению к информационным системам;
  • угрозы несанкционированного доступа (воздействия) к персональным данным лицами, обладающими полномочиями в информационных системах, в том числе в ходе создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации информационных систем, и дальнейшего хранения содержащейся в их базах данных информации;
  • угрозы использования методов воздействия на лиц, обладающих полномочиями в информационных системах;
  • угрозы несанкционированного доступа (воздействия) к персональным данным лицами, не обладающими полномочиями в информационных системах, с использованием уязвимостей в организации защиты персональных данных;
  • угрозы несанкционированного доступа (воздействия) к персональным данным лицами, не обладающими полномочиями в информационных системах, с использованием уязвимостей в программном обеспечении информационных систем;
  • угрозы несанкционированного доступа (воздействия) к персональным данным лицами, не обладающими полномочиями в информационных системах, с использованием уязвимостей в обеспечении защиты сетевого взаимодействия и каналов передачи данных;
  • угрозы несанкционированного доступа (воздействия) к персональным данным лицами, не обладающими полномочиями в информационных системах, с использованием уязвимостей в обеспечении защиты вычислительных сетей информационных систем;
  • угрозы несанкционированного доступа (воздействия) к персональным данным лицами, не обладающими полномочиями в информационных системах, с использованием уязвимостей, вызванных несоблюдением требований по эксплуатации средств защиты информации;
  • угрозы целенаправленных действий с использованием аппаратных и (или) программных средств с целью нарушения безопасности защищаемых с использованием средств криптографической защиты информации персональных данных или создания условий для этого.

Нормативы Минцифры обязаны соблюдать операторы Единой системы идентификации и аутентификации (ЕСИА), Единого портала госуслуг (ЕПГУ), сайта правительства РФ, автоматизированных систем «Выборы» (ГАС «Выборы») и «Управление» (ГАС «Управление») и множества других ИС федерального значения, а также Россвязь, Роспечать и Роскомнадзор.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В ExpressVPN для Windows устранили уязвимость слива IP за считаные дни

ИБ-команда ExpressVPN опубликовала информацию об уязвимости, закрытой в Windows-клиенте версии 12. Возможность раскрытия IP-адреса пользователя возникает при установке RDP-соединения на порту 3389.

Уведомление о найденной уязвимости было подано 25 апреля в рамках программы bug bounty, запущенной для ExpressVPN. К 30 апреля вышла сборка 12.101.0.45 с исправлениями; фикс разошелся по всем каналам распределения, получил одобрение автора находки, и к концу июня тикет был официально закрыт.

В появлении проблемы был повинен отладочный код, по недосмотру оставшийся в промышленных сборках VPN-клиента для Windows с 12.97 по 12.101.0.2-beta. Из-за этого трафик на порту 3389/TCP (его также использует RDP) не попадал в VPN-туннель с предусмотренным шифрованием.

В итоге IP юзера ExpressVPN и факт RDP-подключения к конкретному серверу могли быть слиты интернет-провайдерам и другим обитателям сети. История посещения сайтов при этом не раскрывалась, компрометация шифрования трафика тоже была невозможна.

Эксплойт уязвимости возможен лишь в том случае, когда автор атаки о ней знает и удастся спровоцировать трафик на порту 3389 — к примеру, заставить намеченную жертву зайти на вредоносный сайт из-под VPN.

Данная угроза актуальна для организаций: RDP в основном используется в корпоративном окружении.

Полтора года назад в ExpressVPN была устранена другая уязвимость раскрытия информации. Реализация функции раздельного туннелирования привнесла баг, из-за которого на сторону сливались DNS-запросы пользователей и, как следствие, история посещения веб-ресурсов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru