Оплата за квартиру и ПДн

Я всегда оплачивал квитанции за квартиру через интернет-банки различных банков можно сказать не глядя. Сейчас же решил, что этот процесс можно контролировать, благо благодаря нашему третьему Президенту автоматизация идет немереными темпами потихоньку развивается. Вот, что имеем на сегодня в МСК.

1.       Мосэнерносбыт

Личный кабинет здесь. Зарегистрироваться очень просто, достаточно ввести лицевой счет, номер счетчика и e-mail. По почте приходит пароль. Платежный сервис осуществляет этот банк. И никаких проблем. Присутствуют также следующие ПДн: ФИО, адрес, домашний и мобильный телефоны.

2.       МГТС

Личный кабинет здесь. Зарегистрироваться несложно. В качестве логина используем номер телефона. Для получения пароля звоним в их контактный центр и называем телефон, адрес и ФИО. Для входа даже есть виртуальная клавиатура. Платежный сервис осуществляет как бы этот банк, так как интерфейс интернет-банка к интерфейсу МГТС не прикручен. Но никаких проблем. Из ПДн присутствует только ФИО и телефон.

3.       ЖКУ

Личный кабинет здесь. Однако, зарегистрироваться на сайте и получить пароль в данном случае нельзя, и вот их объяснение почему:

В соответствии с Федеральным законом Российской Федерации от 27 июля 2006 года № 152-ФЗ  "О персональных данных" необходимо согласие пользователя (гражданина) на обработку его персональных данных, поэтому при получении доступа к Личному кабинету на данном ресурсе необходимо лично обратиться в ГКУ ИС района с документом, удостоверяющим личность и подписать согласие на обработку персональных данных.

Звоним, уточняем, после чего идем ногами к ним и получаем заветный логин/пароль. Подписывать никакого согласия не потребовалось. Я даже спросил, нужно ли что-то подписывать и получил отрицательный ответ.

Платежный сервис предоставлен этой компанией, причем нерезидентом в России, однако имеющей комплаенс по PCI DSS. Насколько это само по себе безопасно для страны судить не берусь. А вот дальше начинается самое интересное. Привожу скриншот страницы с оплатой:

- нет никакого HTTPS

- присутствуют все поля для ввода критичных карточных  данных

- внизу приписка, что шифруется не всё подряд, а только, по-видимому, фрейм с карточными данными.

Может ли быть шифрование части страницы, я не знаю. Но с точки зрения потребителя услуг это полный ахтунг, так как гарантии, что при оплате включается шифрование ноль.

Пользоваться сервисом рекомендую только для контроля единых платежных документов, но ни в коем случае для оплаты.

Сколько нужно учиться по 313-ПП

Ну, во-первых, меня очень удивило название Постановления Правительства, как говорится многабуковниасилил, но цитирую:

«Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя).

А, во-вторых, я сделал разбивку по Перечню в зависимости от часов обучения руководителя работа по ИБ, а также стажа руководителя работ по специальности.

В номинации 1000 часов и 5 лет стажа присутствуют следующие работы:

• 1. Разработка шифровальных (криптографических) средств;

• 4. Разработка средств изготовления ключевых документов;

• 5. Модернизация шифровальных (криптографических) средств;

• 6. Модернизация средств изготовления ключевых документов;

• 16. Ремонт шифровальных (криптографических) средств;

• 19. Ремонт, сервисное обслуживание средств изготовления ключевых документов.

Сразу хочу отметить, что подход разумный. Те, кто руководят данными направлениями работ, должны обязательно быть «образованы» не какой-нибудь 72-х часовой корочкой, а на уровне специальности ВУЗа.

В номинации 500 часов и 3 года стажа присутствуют следующие работы:

• 2. Разработка защищенных с использованием шифровальных (криптографических) средств информационных систем

• 3. Разработка защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем

• 7. Производство (тиражирование) шифровальных (криптографических) средств.

• 8. Производство защищенных с использованием шифровальных (криптографических) средств информационных систем.

• 9. Производство защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.

• 10. Производство средств изготовления ключевых документов.

• 11. Изготовление с использованием шифровальных (криптографических) средств изделий, предназначенных для подтверждения прав (полномочий) доступа к информации и (или) оборудованию в информационных и телекоммуникационных системах.

• 12. Монтаж, установка (инсталляция), наладка шифровальных (криптографических) средств.

• 13. Монтаж, установка (инсталляция), наладка защищенных с использованием шифровальных (криптографических) средств информационных систем.

• 14. Монтаж, установка (инсталляция), наладка защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.

• 15. Монтаж, установка (инсталляция), наладка средств изготовления ключевых документов.

• 17. Ремонт, сервисное обслуживание защищенных с использованием шифровальных (криптографических) средств информационных систем.

• 18. Ремонт, сервисное обслуживание защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.

• 20. Работы по обслуживанию шифровальных (криптографических) средств, предусмотренные технической и эксплуатационной документацией на эти средства (за исключением случая, если указанные работы проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя).

• 25. Предоставление услуг по шифрованию информации, не содержащей сведений, составляющих государственную тайну, с использованием шифровальных (криптографических) средств в интересах юридических и физических лиц, а также индивидуальных предпринимателей.

• 26. Предоставление услуг по имитозащите информации, не содержащей сведений, составляющих государственную тайну, с использованием шифровальных (криптографических) средств в интересах юридических и физических лиц, а также индивидуальных предпринимателей.

• 27. Предоставление юридическим и физическим лицам защищенных с использованием шифровальных (криптографических) средств каналов связи для передачи информации.

• 28. Изготовление и распределение ключевых документов и (или) исходной ключевой информации для выработки ключевых документов с использованием аппаратных, программных и программно-аппаратных средств, систем и комплексов изготовления и распределения ключевых документов для шифровальных (криптографических) средств.

Здесь присутствует основной пул мероприятий по криптографии. Мое мнение, что не хватает признания у руководителя работ профильных сертификатов по ИБ, например, всё тех же: CISA, CISM, CISSP, а может быть и других менее значимых.

В номинации 100 часов присутствуют следующие работы:

• 21. Передача шифровальных (криптографических) средств.

• 22. Передача защищенных с использованием шифровальных (криптографических) средств информационных систем.

• 23. Передача защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.

• 24. Передача средств изготовления ключевых документов.

А вот здесь мне не понятно, зачем нужны 100 часов или обучения никогда не бывает много? У многих и так уже есть корочки на 72 часа, которые при необходимости можно довести до 100 часов, путем дообучения оставшимися часами.

Курсы по СКЗИ

В информагентстве блоге Лукацкого появился пост о заключении Минкомразвития на проект ПП РФ о лицензировании разработке и производству СКЗИ.

Согласно тексту ПП для проведения работ организация должна иметь в штате:

-        руководителя с образованием по ИБ или на худой конец 500 часов по ИБ

-        специалистов с образованием по ИБ или на худой конец 100 часов по ИБ

Я какое-то время назад заканчивал 72-часовые курсы по теме СКЗИ, поэтому эта тема мне знакома. Смотрим классификатор специальностей по нашей теме. Мне только не понятен код 090108. Может быть это не высшее образование?!

Вот самый интересный курс по теме переподготовки на специальность ИБ,  а также чтобы набрать нужные «свыше 500 аудиторских часов». Это «Академия Айти» - CSO. Программа профессиональной переподготовки руководителей и специалистов в области информационной безопасности 540 часов / 8 мес. с ценником 126 000 руб. А вот их косяк из буклета по курсам ИБ:

Я год назад интересовался этим курсом, даже запросил информацию о преподавательском составе и опыте их работе. Удивительно, но Академия мне эту информацию предоставила! До сих пор регулярно звонят с предложениями об этом курсе.

По 72-часовым курсам по теме СКЗИ сейчас есть следующие интересные предложения, на «выходе» которых помимо знаний будет документ о переподготовки государственного образца:

УЦ «Информзащита» только предлагает сумму из двух курсов:

-        БТ01. Безопасность информационных технологий. 5 дней с ценником 28 950 руб. и

-        Т010. Использование ЭЦП и PKI на основе "Удостоверяющего Центра "КриптоПро". 4 дня с ценником 29 810 руб.

«Академия Айти» - ИБ011. Обеспечение информационной безопасности с использованием шифровальных (криптографических) средств. 9 дней с ценником 35 000 руб.

УЦ «Маском» - М 7.0. Криптографическая защита информации в организации. Очно-заочное обучение 5+5 дней с ценником 42 800 руб.

Сейчас же предлагается увеличить количество часов с 72 до 100 часов! 100 часов это 12 дней. В принципе, можно уложиться и в 2 недели, как это сделано в Маскоме (трюк с заочными часами обучения). К чему это может привести:

-        нальют дополнительной воды в программу

-        увеличат ценник как минимум на треть

Что делать тем, кто уже имеет такие корочки? На мой взгляд, закон обратной силы не имеет и получится, так сказать, обратная совместимость. А, может быть, всё не так плохо как кажется? Ведь обучения знаний никогда не бывает много. Известна ведь фраза «Учиться, учиться и еще раз учиться» (с) Ленин, которую я полностью разделяю.