CISO & DPO news #136 (7–13 августа)

Киберзащиту будут оценивать по уровню зрелости
ФСТЭК опубликовала методику, которая оценивает не только наличие локальных документов и средств защиты, но и эффективность процессов информационной безопасности. Организации смогут определить уровень зрелости по 21 направлению — от управления угрозами и уязвимостями до реагирования на инциденты и обеспечения непрерывности.

25% российских компаний делятся клиентскими данными с подрядчиками
Еще четверть организаций предоставляют доступ к коммерческой информации, корпоративным файловым хранилищам и данным сотрудников. Внешние компании также работают с облачными сервисами и ИТ-инфраструктурой, корпоративными системами и внутренними базами данных. Среди главных рисков такого сотрудничества — передача данных третьим лицам, человеческие ошибки сотрудников подрядчика и утечки конфиденциальной информации.

Популярный VPN-менеджер оказался бэкдором
Бесплатный open-source инструмент FirewallFalcon Manager при установке загружает скрытый модуль с правами root, внедряет поддельный сертификат и перенаправляет весь трафик на серверы злоумышленников, что дает атакующим полный контроль над данными пользователей. Скомпрометировано уже больше 650 серверов. Целевая аудитория — продавцы SSH-туннелей и операторы сервисов бесплатного интернета, которые помогают обходить ограничения мобильных операторов.

Медицинскому порталу запретили публиковать персональные данные врача
Конституционный Суд не стал рассматривать жалобу медицинского сайта, который разместил данные врача без его согласия. При этом личная информация была опубликована на сайте медорганизации, где работает специалист. Однако Суд пояснил, что делиться ранее раскрытыми сведениями при определенных условиях могут сетевые СМИ, но не сайты без соответствующего статуса.

ФСТЭК актуализировала требования к защите информации в госсистемах
Ключевое изменение касается расширения периметра контроля. Согласно официально опубликованному приказу, компаниям теперь необходимо защищать информационно-телекоммуникационные системы при использовании технических средств, программ для электронных вычислительных машин и баз данных. Новые правила вступают в силу 1 сентября 2026 г.

PETs могут упростить обучение ИИ
Ассоциация больших данных попросила Минцифры закрепить технологии повышения приватности (PETs) в законодательстве и разрешить использовать их для обработки данных при разработке и обучении ИИ без согласия граждан. PETs объединяют математические и программные методы, которые не позволяют идентифицировать конкретного человека при корректном применении. Также ИТ-компании предлагают разделить данные на два типа: бесплатные для исполнения требований закона и платные для коммерческого использования.