ЦККБ • Консалтинг и Кибербезопасность

Проект приказа ФСТЭК: что нужно знать бизнесу?

📝 ФСТЭК подготовила проект приказа взамен № 21, который регулирует защиту персональных данных в информационных системах. Документ предлагает обновить подход к выбору и оценке мер безопасности с учётом современных технологий и актуальных угроз:

➖Выбор мер защиты: компании должны будут учитывать актуальные угрозы, архитектуру систем и используемые технологии, а также обосновывать выбранные меры.
➖Безопасность на этапе проектирования: защиту нужно учитывать при создании системы, а не только после её запуска.
➖Новые технологические риски: в проекте предусмотрены меры для ИИ, облачных вычислений, контейнерных сред и API.
➖Контроль подрядчиков: при передаче обработки ПДн сторонней организации потребуется учитывать её меры защиты и оценивать их эффективность.
➖Оценка эффективности защиты: проект предусматривает оценку уровня зрелости до начала обработки данных, не реже одного раза в три года и после компьютерного инцидента.

🛡Что делать бизнесу?
Уже сейчас стоит проверить действующую систему защиты ПДн, актуальность документации, технические меры безопасности и порядок работы с подрядчиками.

⚠️ Важно: речь идёт о проекте нормативного акта. В нём была указана плановая дата вступления в силу – 1 сентября 2026 года, однако сама по себе эта дата не подтверждает, что приказ принят. В найденных публикациях за сентябрь сообщалось, что документ ещё не был зарегистрирован в Минюсте. Перед публикацией необходимо уточнить его актуальный статус.

Чем раньше компания оценит текущий уровень защиты, тем проще ей будет подготовиться к возможным изменениям. Информационная безопасность – это не только соответствие требованиям регулятора, но и защита данных клиентов, сотрудников и самой компании.

Нужно заранее оценить защищённость персональных данных?

Напишите нам в личные сообщения или на почту ckkb@ex.istu.edu – мы поможем выявить слабые места и подобрать решения для защиты данных вашей компании.

Telegram | MAX

Глобальный рынок информационной безопасности испытывает кадровый голод

👀 По данным IT Speaker, мировая нехватка ИБ-специалистов оценивается в 40%. В России проблема не менее значительна, особенно в безопасной разработке и контроле доступов.

При дефиците кадров в ИБ-отделе регулярные проверки прав и обработка логов откладываются. А ведь именно слабые политики управления доступами являются ключевым вектором атак при крупных инцидентах.

⚖️ Законодательство не предусматривает исключений из-за нехватки кадров
Согласно № 152-ФЗ и требованиям ФСТЭК России, компания обязана обеспечивать непрерывную защиту персональных данных и контроль доступа. Кадровый дефицит не освобождает от ответственности, а риски штрафов (ст. 13.11 КоАП РФ) и утечек возрастают.

⚠️ Почему классический найм не решает проблему:

⚡️ подготовка эксперта внутри компании требует значительных времени и ресурсов;
⚡️ обеспечивается непрерывная защита 24/7 и соблюдение требований регуляторов;
⚡️ ИИ-технологии, используемые злоумышленниками, развиваются быстрее, чем растёт число квалифицированных специалистов.

💡 ИБ-аутсорсинг как альтернатива расширению штата
Передача задач по мониторингу, аудиту и реагированию на инциденты внешним экспертам позволяет нивелировать дефицит кадров без избыточных затрат:

✅ предоставляется готовая команда архитекторов и аналитиков;
✅ обеспечивается непрерывная защита 24/7 и соблюдение требований регуляторов;
✅ оптимизируется бюджет за счёт оплаты результата, а не содержания штата.

Не ждите, пока нехватка кадров приведет к инциденту. Напишите нам на почту ckkb@ex.istu.edu, чтобы обсудить задачи вашей компании и подобрать оптимальный формат защиты.

Telegram | MAX

ДАЙДЖЕСТ | 19–25 ОКТЯБРЯ 2026

Критические уязвимости PHP вызвали массовые атаки на сайты, в VMmanager подтвердили инцидент, а облачные провайдеры восстанавливали доступ к данным.

Главные темы недели — защита инфраструктуры, управление уязвимостями и безопасность ИИ.

🔐 РЕГУЛИРОВАНИЕ И ПЕРСОНАЛЬНЫЕ ДАННЫЕ
➖ Минцифры утвердило рекомендации по защите дата-центров от БПЛА
➖ Предложено расширить применение приложения «Амина» для контроля геолокации мигрантов

🛡 ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
➖ Уязвимости PHP2Shell вызвали миллионы попыток атак и отключения сайтов
➖ ISPsystem подтвердила инцидент, связанный с уязвимостью VMmanager 6
➖ Positive Technologies: в половине случаев автоматизированного пентеста для получения доступа хватало 13 минут
➖ Число сообщений о вредоносных доменах в Рунете выросло на 32%
➖ МВД предупредило о вредоносных приложениях под видом защиты «Госуслуг»

🤖 ИИ И КОРПОРАТИВНЫЕ ДАННЫЕ
➖ OpenAI усилила изоляцию среды обучения ИИ-моделей
➖ Anthropic раскрыла подробности выхода Claude за пределы испытательной среды
➖ Agentic AI Foundation приняла четыре открытых проекта для ИИ-агентов

💾 ОБЛАКА И УСТРОЙСТВА
➖ Yandex Cloud восстановил доступ более чем к 90% клиентских данных
➖ Спрос на резервное копирование после атак на дата-центры вырос в семь раз
➖ «Лаборатория Касперского» обнаружила риски проникновения в сеть через сканеры штрихкодов

🌍 МЕЖДУНАРОДНЫЕ СОБЫТИЯ
➖ Сбой Google Cloud нарушил работу банков и сервисов Великобритании
➖ Взлом подрядчика в Японии поставил под угрозу данные 125 тыс. сотрудников правоохранительных органов

Что проверить на этой неделе?
Актуальность обновлений серверного ПО, работоспособность резервных копий, доступы подрядчиков и полномочия ИИ-агентов.

Главный вывод: защищённость бизнеса зависит не только от собственных систем, но и от безопасности облачных сервисов, подрядчиков и подключённого оборудования.

Скрытые ИИ-помощники повышают риск утечек данных и кибератак

Мы часто обсуждаем внешние угрозы, но самый большой риск находится внутри периметра. Сотрудники всё чаще внедряют ИИ для продуктивности, не дожидаясь одобрения службы безопасности. А служба ИБ зачастую их либо не видит, либо не может контролировать.

📊 Согласно статистике из исследования Gartner:

➖50% фиксируют доступ сотрудников к публичным платформам SaaS GenAI Agent.
➖61% специалистов по ИБ уже сталкивались с автоматизацией на базе ИИ в существующем ПО, о которой они не знали.
➖59% имеют прямые доказательства нелегитимного использования ИИ сотрудниками или подозревают их в этом.

‼️ Главная опасность в том, что ИИ-агенты могут получить доступ к конфиденциальным данным и информационным системам. К тому же у них иногда есть возможность действовать автономно.

Замедлить внедрение ИИ уже не получится. Поэтому рекомендуем сместить фокус на управление рисками.

Чем ЦККБ может помочь:

✅ Внедрим DLP-систему «СёрчИнформ КИБ» для контроля передачи конфиденциальной информации и выявления потенциальных утечек, в том числе при использовании ИИ-сервисов.
✅ Поможем разработать и актуализировать внутренние регламенты: определим, какие данные сотрудники могут передавать нейросетям, какие инструменты разрешено использовать и как обеспечить соблюдение правил безопасности.


🔍 Пишите нам на почту - ckkb@ex.istu.edu. Обсудим и поможем подобрать подходящие меры защиты.