Посадят всех и каждого

Посадят всех и каждого

Новый закон о кибербезопасности Малайзии распространяет уголовную ответственность за нарушения ИБ на сотрудников объектов КИИ.

НА УРОВНЕ ГОСУДАРСТВА

Швейцария

Швейцария присоединится к Европейской организации по кибербезопасности (ECSO), сообщило правительство конфедерации. Эти меры направлены на укрепление защиты нейтральной страны от хакеров и кибератак. Благодаря членству в ECSO правительство Швейцарии получит информацию о текущих технологических решениях и разработках, а также доступ к сетям экспертов, говорится в заявлении Берна.

В ECSO входят 300 участников, в том числе корпорации и малые компании, университеты и исследовательские центры, правительства европейских стран.

В 2024 г. Швейцария зафиксировала рост кибератак и фейков, число которых увеличилось в преддверии саммита по Украине.

Малайзия

В Малайзии приняли «Закон о кибербезопасности». Он разработан в рамках национальной стратегии кибербезопасности и вступил в силу 26 августа, после принятия нормативных актов, подготовленных профильным национальным агентством.

Новый закон направлен на повышение кибербезопасности национальной КИИ, к ней относятся любые компьютеры или системы, выход из строя которых может повлиять на национальную безопасность, экономику, общественное здравоохранение или работу правительства. Документ вводит требования по управлению киберугрозами и режиму лицензирования поставщиков услуг кибербезопасности и имеет экстерриториальное применение.

Документ определяет как КИИ правительство, финансовый сектор, транспорт, оборону и национальную безопасность, информационно-телекоммуникационные и цифровые технологии, энергетику и медицину, водоснабжение, канализацию и утилизацию отходов, сельское хозяйство, торговлю и промышленность, сферу науки, технологий и инноваций.

Согласно закону, каждый из секторов КИИ получит своего руководителя, ответственного за ИБ. В его обязанности войдёт разработка отраслевых кодексов и стандартов, касающихся управления кибербезопасностью, и категорирование объектов КИИ. Организацией КИИ может стать госструктура или физическое лицо, владеющие или управляющие объектом КИИ. В обязанности такого субъекта входит информирование руководителя сектора обо всех изменениях в структуре по запросу или самостоятельно в течение 30 дней; реализация отраслевых требований к объектам КИИ и оперативное извещение об инцидентах. Закон не распространяет требования к отчётности на киберинциденты с участием цепочки поставок, куда вошли объекты КИИ.

Документ вводит режим лицензирования для поставщиков услуг кибербезопасности. Работа без лицензии является уголовным преступлением, карается крупным штрафом и/или тюремным заключением на срок до десяти лет.

Наказания за несоблюдение Закона о кибербезопасности варьируются в зависимости от типа и серьёзности нарушения. Ответственность распространяется также на сотрудников и агентов организации-нарушителя.

Венесуэла

Кибербезопасность стала политической проблемой Венесуэлы. 12 августа министр науки и технологий Венесуэлы Габриэла Хименес на заседании Госсовета и Совета национальной обороны страны представила доклад, в котором отмечена уязвимость национальной технологической системы.

Согласно заявлению, с 28 июля атакам подверглись практически все институты Венесуэлы, включая системы Президента республики, Национальный избирательный совет (CNE) и Национальный телекоммуникационный провайдер (CANTV). Пострадали 25 учреждений, расследование инцидентов в 40 организациях продолжается.

Венесуэльские эксперты считают, что эта кибератака стала беспрецедентной для страны и является частью стратегии государственного переворота: на целевые DDoS-атаки пришлось 65% всех атак, были затронуты серверы госучреждений и международные каналы связи; 17% атак — фишинговые, проведена массовая рассылка заражённых электронных писем. В 6,9% случаев происходила подмена DNS, в 3,45% инцидентов был перехват BGP-маршрутов, а в 3,44% инцидентов — дефейс веб-сайтов. Также злоумышленники перехватывали IP-адреса CANTV.

Пик кибератак пришёлся на 29 июля, когда венесуэльские специалисты зафиксировали 30 млн атак в минуту, что совпадает с данными OpenStack Security Advisories (Ossa). 98% DDoS-атак, пиковые нагрузки которых достигали 700 Гб/сек, шли через сервисы бот-ферм с настольных компьютеров, менее 2% пришлось на мобильные технологические платформы. Объём трафика через системы CANTV в пять раз превышал возможности этой ИТ-структуры Венесуэлы. Кибератаки не прекратились и после президентских выборов.

Источник кибератаки, по данным венесуэльских властей, находился в Северной Македонии, где размещаются киберкоманды Пентагона и НАТО. «За кибервойной против Венесуэлы стоит огромная экономическая и технологическая держава», — считает Г. Хименес. Для обеспечения ИБ страны необходима поддержка правительства.

Поэтому президент Николас Мадуро создал Национальный совет кибербезопасности. Министерство науки и технологий и новая структура как будут решать текущие задачи по отражению атак и смягчению их последствий, так и начнут разрабатывать новые стратегии безопасности, учитывая, что киберпространство стало полем для новых гибридных войн.

ИБ В ОТРАСЛИ

Судостроение

Норвежская компания Kongsberg Maritime завершила тестирование систем автоматизации, навигации и динамического позиционирования на соответствие стандарту IACS UR E27 «Киберустойчивость бортовых систем и оборудования», который основан на серии стандартов кибербезопасности в системах автоматизации и управления. Тестирование включает сертификацию по 1-му классу кибербезопасности DNV Cyber Security, который устанавливает требования к судам и морским установкам.

Международная ассоциация классификационных обществ (IACS) ввела два унифицированных требования (UR E26 и E27) для снижения киберрисков. Они стали обязательными для всех судов, построенных после 1 июля 2024 г. UR E26 регулирует проектирование и эксплуатацию судов, а UR E27 применяется к основным бортовым системам и потребует от верфей, проектировщиков и владельцев встраивать решения по кибербезопасности в системы и суда.

В прошлом году компания Kongsberg Maritime решила ускорить сертификацию своей продукции. Она разработала программу, включающую оценку каждого продукта и внедрение необходимых функций и документации для обеспечения соответствия стандартам безопасности, качества, охраны здоровья и окружающей среды. Компания ожидает, что большинство её цифровых продуктов получат одобрение типа DNV на соответствие требованиям к концу августа. Следующим шагом станет расширение сферы применения интеграционных и энергетических систем, силовых установок и оборудования для обработки грузов.

Сертификация об утверждении типа также принесёт пользу верфям при новом проектировании, интеграции, монтаже и испытаниях морской техники Kongsberg, строительстве и модернизации судов. Поскольку продукты уже проходят предварительную проверку на соответствие требованиям ИБ, это значительно сэкономит время на этапах проектирования и тестирования.

Тесное сотрудничество между Kongsberg Maritime и DNV повысило эффективность процедур за счёт создания единого подхода к интерпретации и документированию сертификационных требований. Упрощённый порядок работы позволит ускорить получение разрешений и уделит повышенное внимание тестированию продукции.

Автомобильная промышленность

Мировые автопроизводители готовят стандарты для автомобильного ПО. К отраслевой инициативе по улучшению кибербезопасности автомобилей присоединились японские компании, включая Toyota Motor и Hitachi.

116 компаний, входящих в Японский центр обмена и анализа информации в автомобильной промышленности (Japan Automotive Information Sharing and Analysis Center, J-Auto-ISAC), хотят сформулировать общеотраслевые правила, касающиеся спецификаций ПО (software bills of materials, SBOM), или перечней компонентов автомобильного ПО.

Центр J-Auto-ISAC планирует завершить разработку стандартов к марту 2025 г., чтобы помочь компаниям быстро определять, используют ли они ПО, уязвимое для кибератак.

Требования по безопасности автомобилей, основанные на стандартах ООН, становятся обязательными в Японии и Европе. Многие крупные автопроизводители сотрудничают с поставщиками для разработки собственных программных продуктов. Это привело к тому, что SBOMs компаний различаются, при этом одна и та же программа может быть классифицирована или названа по-разному в разных спецификациях. Это затрудняет поиск компонента, который использует уязвимую программу.

Широкое распространение подключённых к интернету автомобилей, необходимость управления сведениями о транспортных средствах и оказания помощи при вождении приводят к необходимости стандартизации данных. Tesla и автопроизводители из КНР лидируют в производстве подключённых к сети транспортных средств благодаря бизнес-модели, основанной на подписке и частых обновлениях ПО.

Обновления могут улучшить функциональные свойства автомобиля. Но неконтролируемые уязвимости ПО позволяют реализовать кибератаки, которые могут завести двигатель или остановить автомобиль, дать доступ угонщикам, открыв салон удалённо. Нарушение безопасности также может привести к краже данных о поездках и ПДн. Злоумышленники смогут угонять транспортные средства, как только автономное вождение станет распространённым явлением.

Ожидается, что объём кодирования в автомобильном ПО будет расти по мере усложнения функций помощи водителю. Стандартизация узлов для устранения уязвимостей ПО также поможет контролировать затраты на разработку.

В мае этого года технический комитет J-Auto-ISAC, куда входят автопроизводители Toyota и Mazda Motor, производители запчастей Aisin и Denso, промышленная группа Hitachi, подготовил предложение по единым правилам SBOM. Ведётся совместная работа с Ассоциацией производителей автомобилей Японии и другими структурами по оценке применения предлагаемых норм на практике. Ожидается, что после окончательного согласования новые стандарты будут приняты в 2025 году.

В альянс автопроизводителей Auto-ISAC, помимо японских и американских компаний, также входят европейские концерны, например Mercedes-Benz. J-Auto-ISAC уже начал координировать свою деятельность с Automotive ISAC из США, который взял на себя ведущую роль в разработке единых отраслевых правил для инвентаризации ПО.

ОБРАЗОВАНИЕ И КАРЬЕРА

Университет Нового Южного Уэльса провёл Australian Cybersecurity Games. Конкурс, организованный Австралийской сетью педагогов и специалистов по кибербезопасности SECedu, прошёл со 2 по 30 сентября 2024 г. и привлёк внимание студентов всей страны.

SECedu возникла как результат партнёрства университета из Сиднея и Commonwealth Bank, организация объединила усилия австралийских педагогов и крупнейших команд по кибербезопасности Австралии для подготовки нового поколения ИБ-специалистов.

Australian Cybersecurity Games направлены на сотрудничество, инновации и развитие навыков среди студентов, выбирающих карьеру в области кибербезопасности. Цель игр — предоставить студентам площадку для получения новых навыков у экспертов отрасли, демонстрации полученных навыков, общения с коллегами и профессионалами. Студенты приняли участие в практических занятиях и состязаниях, в т. ч. имитирующих реальные сценарии кибератак и защиты, изучили методы криптографии, сетевой безопасности и работы с веб-уязвимостями.

«Australian Cybersecurity Games подчёркивают важность образования в области кибербезопасности и побуждают студентов расширять границы своих знаний и креативности, — заявил директор SECedu и профессор университета Ричард Бакленд. — Игры ставят студентам реальные задачи, чтобы помочь развить практические навыки и образ мышления, столь необходимые будущим специалистам по кибербезопасности».

По оценке экспертов, подобные соревнования способствуют не только индивидуальному росту и успешной карьере их участников, но и защите цифровых активов страны и национальной безопасности в целом.

СПОРТ, СПОРТ, СПОРТ!

Олимпиада и чемпионат Европы по футболу

Главные спортивные события 2024 года принесли не только радость любителям спорта, но и головную боль специалистам по кибербезопасности. Чемпионат Европы по футболу и Олимпийские игры в Париже стали центром притяжения для киберпреступников. Согласно обзору Human Risk Review 2024 от SoSafe, любой ажиотаж способствует манипулированию людьми. Атаки с использованием социальной инженерии были успешно реализованы и масштабированы с помощью ИИ. 79% опрошенных сотрудников службы безопасности с тревогой оценивают растущее влияние генеративного ИИ. Киберпреступники рассылают фишинговые email, обещая бесплатные билеты или ставки на игры с привлекательными призами. Эти эмоционально насыщенные предложения используют чувства и азарт спортивных болельщиков и легко заманивают их в ловушку.

ИТ-инфраструктуры, необходимые для организации крупных мероприятий, часто особенно уязвимы из-за их сложности и большого объёма обрабатываемых данных. Инфраструктуры включают не только системы, используемые для управления мероприятиями, но и сети для связи, продажи билетов и трансляции мероприятий. Личная и финансовая информация миллионов посетителей, участников и организаторов чрезвычайно ценна для киберпреступников и может быть использована для различных видов кибератак, включая фишинг, программы-вымогатели и кражу данных.

Перед чемпионатом Европы по футболу МВД Германии и УЕФА предупредили об атаках на систему продажи билетов, поскольку в этом году впервые использовались исключительно электронные билеты. Ещё до начала первого этапа продаж от компьютерных ботов были получены миллионы недействительных запросов, которые парализовали работу системы или вводили в систему фальшивые билеты.

Не спортом единым

Во время Олимпийских игр хакеры предприняли атаку с использованием программ-вымогателей на музеи Парижа. Хакеры атаковали систему, которая централизует финансовые данные магазинов и бутиков музеев по всей Франции. Они заблокировали доступ и пригрозили обнародовать данные, если учреждения не заплатят требуемый выкуп в криптовалюте.

По оценкам исследователей, за атаками стоят как отдельные киберпреступники, стремящиеся к финансовой выгоде, так и субъекты, поддерживаемые иностранными государствами и движимые политическими или экономическими мотивами. Поэтому внедрение комплексной стратегии безопасности сложных мероприятий должно быть приоритетом у организаторов. Эта стратегия должна охватывать не только технологические меры, но и весь персонал. В 74% случаев киберпреступники нацеливаются на сотрудников, чтобы получить доступ к системам.

Устойчивая защита в цифровой среде возможна только в случае, если кибербезопасность станет частью повседневной жизни, напоминают ИБ-эксперты.

Футбольные клубы

Итальянский «Ювентус» и компания Fortinet, мировой лидер в области кибербезопасности, подписали соглашение о том, что Fortinet является новым официальным ИБ-партнёром футбольного клуба на ближайшие два сезона. «Ювентус» будет использовать платформу Fortinet Security Fabric для идентификации и решения сетевых проблем и проблем безопасности на объектах клуба до 2026 г.

Домашний стадион клуба Allianz является примером устойчивого развития и одним из развлекательных центров и туристических достопримечательностей Турина. «Ювентус» внедрит решения Fortinet в районе Continassa, включая штаб-квартиру клуба, дата-центр стадиона, отель, медицинский и тренировочный центры первой команды Италии.

Платформа Fortinet Security Fabric позволяет объединять сетевые технологии и безопасность, повысит прозрачность, производительность и сократит среднее время реагирования на инциденты.

Представители клуба уверены, что сотрудничество с Fortinet станет ключевой вехой для «Ювентуса», позволит создать устойчивую сеть, даст возможность добиваться успехов на поле и за его пределами. А партнёр «Ювентуса» по кибербезопасности видит новые горизонты сотрудничества в области киберзащиты одного из самых технологически продвинутых объектов в мире.