Несколько моментов:

• средства защиты сведений, отнесенных к гостайне, должны быть сертифицированы (Закон № 5485-1 «О государственной тайне», ПП 608)
• ведомственные требования в области сертификации СЗИ (в т.ч. определенные ФСТЭК) являются обязательными (ст.5 ФЗ-184)
• средства защиты информации конфиденциального характера, относящиеся к государственному информационному ресурсу или персональным данным, должны быть сертифицированы (ПП 330)
• средства некриптографической защиты указанной информации  подлежат сертификации на соответствие требованиям  ФСТЭК России за исключением объектов ВС РФ,  загранучреждений РФ,  Администрации Президента РФ, Совета Безопасности РФ, Федерального Собрания РФ, Правительства РФ, Конституционного Суда РФ, Верховного Суда РФ и Высшего Арбитражного Суда РФ (Положение о ФСТЭК России)
• ФСТЭК активно ведет изыскания по разработке передовых нормативных документов, например:
• введены в действие нормативный документ «Требования к системам обнаружения вторжений» и 12 методических документов, содержащих ПЗ для СОВ
• подготовлены нормативный документ «Требований к средствам антивирусной защиты» и 24 методических документов, содержащих ПЗ для САВЗ
• готовятся нормативные и методические документы по средствам доверенной загрузки, средствам двухфакторной аутентификации, средствам контроля съемных носителей информации, средствам предотвращения утечек информации (DLP-системы)
• по мере апробации новых документов применение руководящих документов Гостехкомиссии России (по СВТ и МЭ) и технических условий для проведения сертификации СЗИ будет исключаться

Possibly Related Posts:

• Требования к средствам антивирусной защиты ФСТЭК России
• проекты новых Постановлений Правительства РФ по персональным данным
• Перспективы развития новых нормативных документов ФСТЭК России на базе «Общих Критериев»
• ФСБ догнала ФСТЭК. В области лицензирования деятельности по защите конфиденциальной информации.
• OVAL поможет интеграции систем управления иб

Требования к средствам антивирусной защиты будут применяться для проведения работ по сертификации вновь разработанных средств с 1 августа 2012 г.

Для обеспечения выполнения Требований к средствам антивирусной защиты разработаны и готовятся к утверждению в мае — июне 2012 г. 24 методических документа ФСТЭК России, содержащие профили защиты к средствам антивирусной защиты.

Можно добавить, что указанные документы по антивирусам выполнены в стиле Требований к системам обнаружения вторжений, т.е «Общих Критериев».

Possibly Related Posts:

• Важное сообщение ФСТЭК России о работах в области оценки соответствия (сертификации) средств защиты информации
• проекты новых Постановлений Правительства РФ по персональным данным
• Перспективы развития новых нормативных документов ФСТЭК России на базе «Общих Критериев»
• ФСБ догнала ФСТЭК. В области лицензирования деятельности по защите конфиденциальной информации.
• OVAL поможет интеграции систем управления иб

Наиболее критичная из уязвимостей, обнаруженных сотрудниками исследовательской лаборатории Digital Security Research Group – это отказ в обслуживании при обработке XML-пакетов web-интерфейсом приложения SAP NetWeaver ABAP. Вообще в майском обновлении превалируют уязвимости отказа в обслуживании – так, например, компания Core Security выпустила отчет об множественных уязвимостях, обнаруженных в протоколе DIAG. Это основной протокол, используемый в SAP для передачи данных между клиентом и сервером через клиентское приложение SAP GUI. В данном протоколе недавно уже были выявлены проблемы с небезопасным шифрованием, а точнее, кодированием. Теперь в нем обнаружены и другие уязвимости. В результате эксплуатации данных уязвимостей возможен вызов атаки типа «отказ в обслуживании» на сервер приложений SAP NetWeaver, что приведет к остановке работы системы до ее перезагрузки.

Помимо отказа в обслуживании, одна из уязвимостей может привести к выполнению произвольного кода на сервере SAP, то есть к получению доступа ко всем критичным для бизнеса данным и процессам.

В результате исследований, проведенных с целью сбора статистики по наличию SAP-систем в сети Интернет, было обнаружено, что сервис Dispatcher, который обслуживает соединения по протоколу DIAG и должен быть открыт только для доступа внутри корпоративной сети, у некоторых компаний, тем не менее, доступен удаленно через Интернет в обход SAPRouter.

В ходе выборочного сканирования систем по всему миру было обнаружено порядка сотни SAP-систем с доступным для удаленного подключения портом SAP Dispatcher. Наибольшее количество систем было обнаружено в США (30%), Китае (25%), Германии (10%), Колумбии и Корее. Среди обнаруженных систем найдены также и российские IP-адреса.

По неподтвержденным данным, уязвимость можно реализовать только в случае включенной трассировки, что снижает риск. На данный момент всем компаниям, использующим SAP, рекомендуется установить уровень трассировки протокола DIAG в значение 1 или 0 (по умолчанию), а также установить необходимое уведомление безопасности SAP note 1687910.

http://erpscan.ru/press-center/news/%D0%BA%D1%80%D0%B8%D1%82%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B5-%D0%BE%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F-%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8/

Possibly Related Posts:

• В Macintosh вирусов нет?
• Прогноз развития систем управления ИБ-событиями на 2012 г. от PCWEEK.
• Практический аудит безопасности программного кода электронной торговой площадки
• Анонимов скоро не будет
• Невыявленная недекларированная возможность потопила в пучине автоматическую межпланетную станцию «Фобос-Грунт».

В интервью Computer Business Review на выставке Info Security 2012 в Лондоне Евгений Валентинович сказал, что в отношении компьютерной безопасности платформа Mac десятилетиями отставала от Microsoft, и Apple стоит кое-чему поучиться у своего конкурента.

«Они очень скоро поймут, что столкнулись с теми же проблемами, что и Microsoft 10—12 лет назад, — отметил господин Касперский. — Им потребуется произвести изменения в отношении цикла обновлений и тому подобном, также им придётся больше инвестировать в свою проверку безопасности программного обеспечения».

«Microsoft уже сделала это раньше после ряда инцидентов вроде Blaster и других более сложных червей, которые поразили миллионы компьютеров за короткое время, — добавил он. — Им потребовалось провести громадную работу по проверке кода на наличие ошибок и уязвимостей. Теперь пришло время Apple».

Основанием для данных заявлений может служить Flashback, выделившийся из вредоносного ПО для Mac, который в пик своего распространения заразил, по оценкам, свыше 600 тысяч Mac по всему миру. Более свежие цифры указывают, что текущий уровень заражения составляет менее 100 тысяч компьютеров.

Apple исправила уязвимость системы, которую использовал Flashback в своих атаках, и выпустила средство очистки для инфицированных компьютеров. Но Apple была раскритикована экспертами в области безопасности за медленные действия. Компании по обеспечению безопасности, включая «Лабораторию Касперского», также доказали слабую реакцию Apple, выпустив собственные средства определения и удаления вируса раньше появления официальных.

Подробнее: http://www.3dnews.ru/software-news/628524

Possibly Related Posts:

• Компания Эшелон запатентовала свои технологии в области поиска программных закладок
• Иди, лучше тренируйся… на кошках
• О российских анализаторах кода
• Открытый код не уступает по качеству проприетарному
• OWASP: Поддержка открытых сообществ экспертов сегодня — ключ к безопасности завтра

Для тех, кто ещё не видел, – опубликованы проекты новых Постановлений Правительства Российской Федерации по ПДн в ИСПДн на сайте ФСБ России:

• Об установлении уровней защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных (pdf)
• О требованиях к защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных (pdf)

Possibly Related Posts:

• Важное сообщение ФСТЭК России о работах в области оценки соответствия (сертификации) средств защиты информации
• Требования к средствам антивирусной защиты ФСТЭК России
• ФСБ догнала ФСТЭК. В области лицензирования деятельности по защите конфиденциальной информации.
• Новое о лицензировании деятельности по ТЗКИ
• Лицензирование. Смена правил.