| ИБ-сообщество отрицательно отреагировало на призывы отказаться от терминов white hat и в особенности black hat из-за расовых стереотипов после того как вице-президент Google по инженерии Дэвид Кляйдермахер отказался от своего запланированного выступление на конференции Black Hat USA 2020. |
Я согласна с ИБ-сообществом и считаю, что придираться до названий терминов – некорректно, т.к. термины: black hat, white hat были сформированы достаточно давно и подразумевают под собой не желание притеснения какой-либо расы по цвету кожи, а сравнение двух противоположностей, которые сложились задолго до формирования термина "расизм".
Я не знаю причин, по которой данная инициатива от Google была вынесена на широкую аудиторию. Но если компании с мировыми именами и дальше продолжат предлагать подобные инициативы, скоро окажется так, что все спорные ситуации будут превращаться в выискивание поводов для обвинения там, где их не подразумевалось.
Комичность ситуации будет состоять в том, что если инициативу примут и новые термины введут, в ИБ-сообществе появится огромная путаница в терминологии: большинство полезной информации придется переделывать, ведь в интернете сформировался огромный пласт информации, связанный с этими терминами.
МИД: С начала года КИИ России атаковали более миллиарда раз
| Андрей Крутских, директор департамента международной информационной безопасности МИД России, рассказал, что объём кибератак, нацеленных на критическую информационную инфраструктуру (КИИ) страны с января 2020 года превысил один миллиард. |
Эта тенденция напрашивалась сама собой и одним из катализаторов данной ситуации, как ни странно, стала мировая эпидемиологическая обстановка. Наши регуляторы относительно быстро среагировали на эту ситуацию и были выданы адекватные и реалистичные . Вендоры же были готовы предоставить организациям необходимые средства и ресурсы в организации безопасного удаленного доступа. И этим моментом службам ИТ и ИБ надо было воспользоваться. И на моей практике многие так и сделали. По сути, заказчик получил бесплатный пилот комплексной системы безопасности по реализации удаленного доступа. В этой ситуации окажется больше довольных, нежели разочарованных. Посудите сами:
1) Исходя из того, как мы справимся с данной проблемой, можно будет понять, готовы ли мы и наша страна перейти в новую эпоху цифрового развития.
2) Сотрудники могут работать удаленно, и те, кто ценит свою работу, будут выполнять ее ни чуть не хуже, а может, даже и продуктивнее. А те, кто и так был малоэффективен, отсеются сразу.
3) Собственники фирм смогут задуматься об оптимизации расходов по аренде
4) Вендоры получат колоссальный опыт и перспективы расширения бизнеса.
Некоторые компании уже сейчас начали задумываться по переходе на "постоянную удаленку", и в этом нет ничего, страшного или плохого. Мир развивается, технологии идут вперед и мы должны идти вместе с ними.
Не стоит этого бояться, но надо рационально подходить к решению данной проблемы, и уж тем более ответственно подходить к созданию распределенных систем безопасности объектов КИИ.
Данные, которые огласил Андрей Крутских, в очередной раз показывают, что наше бездействие может привести к плачевным результатам, которые могут затронуть не только бизнес, но и жизни людей.
Европейский институт телекоммуникационных стандартов установил новый стандарт кибербезопасности для IoT устройств
| Новый стандарт кибербезопасности для интернета вещей (IoT) был представлен Техническим комитетом по кибербезопасности Европейского института телекоммуникационных стандартов (ETSI). Стандарт получил название ETSI EN 303 645, и он призван предотвратить масштабные атаки на устройства, подключенные к интернету. |
Безусловно, появление стандартов безопасности устройств IoT - это очень позитивное веяние. "Умных" устройств становится больше, количество их пользователей также растёт, а области применения постоянно расширяются: помимо потребительских устройств IoT может использоваться в здравоохранении и производстве. В то же время мы прекрасно помним ботнет Mirai, пользовавшийся неизменёнными паролями учётных записей администраторов. Пустяковая уязвимость привела к заражению огромного количества устройств IoT. Поэтому очень важно обеспечивать безопасность таких устройств, опираясь на лучшие практики. В качестве лучших практик целесообразно использовать стандарты, разработанные компетентными специалистами, и стандарт ETSI EN 303 645 может стать важным шагом на пути к построению безопасных инфраструктур IoT.
ЕСПЧ принял иск о применении системы распознавания лиц в Москве
| Европейский суд по правам человека (ЕСПЧ) зарегистрировал жалобу на незаконное применение системы распознавания лиц, действующей в столице России. Обратившиеся считают, что для функционирования системы распознавания лиц в Москве нет никаких законных оснований, поскольку для её работы используются биометрические данные россиян, которые можно получить только с их согласия. |
Довольно разносторонняя ситуация, которую каждый может интерпретировать по-разному.
С одной стороны, биометрические данные человека характеризуются как персональные данные не ниже 3 категории, а при определённых обстоятельствах могут относиться даже к первой. Это довольно серьезный уровень, поэтому негодование активистов можно понять. Ведь не известно, как обрабатываются эти данные и как хранятся, обеспечивается ли должный уровень защищенности для такой информации.
С другой стороны, данная система призвана обеспечивать безопасность, помогать противостоять терроризму и выявлению потенциальных правонарушителей, поиску беглых преступников. Я думаю, это тоже нужно учитывать.
Как итог, системы распознавания лиц имеют место, но информация, которую такие системы собирают, нужно защищать соответственно ее важности, соблюдая законодательство в сфере ИБ и руководствуясь документами и рекомендациями по защите персональных данных.
Пароль «123456» был обнаружен 7 млн раз среди миллиарда утекших учетных данных
| В рамках одного из крупнейших исследований, посвященного повторному использованию паролей, специалист Ата Хакчил провел анализ более одного миллиарда утекших учетных данных и обнаружил, что каждый 142-й пароль является распространенным "123456". |
Новость стара, как мир, и всё же не утратила своей актуальности.
На самом деле, один из простых и основных компонентов защиты учётных данных пользователей до сих пор находится в "зоне риска", так как при создании паролей используется принцип - "чтобы было быстро запомнить". Это в корне неправильно.
В связи с развитием технологий и вычислительных возможностей компьютера, даже 12 символьные пароли, в скором времени утратят свою актуальность, потому что атаки класса "bruteforce" реализуются злоумышленниками быстрее, нежели раньше. Даже использование специальных символов, цифр и символов верхнего и нижнего регистра не панацея.
Поэтому исходя из опыта внедрения систем аутентификации различной сложности могу рекомендовать пользователям одно хорошее решение – использование парольных фраз. Преимущества данного подхода:
- Парольная фраза может иметь хорошую длину (увеличиваем сложность, благодаря увеличению количества комбинаций для перебора);
- Легче запомнить (например, "ЯкрутоПридумываюПароли!№1" в конечном счёте будет выглядеть как "ZrehnjGhblevsdf.Gfhjkb!№1". Как вам?)
- Можно добавить немного "соли" в виде использования спец. символов и цифр, что не усложнит запоминание пароля (пример, выше).
До встречи в следующем выпуске!
