Kept | Cyber

В каком случае допустимо в качестве правового основания обработки ПДн использовать законный интерес? Организация видеонаблюдения для обеспечения безопасности Законный интерес – это предусмотренное п. 7 ч. 1 ст. 6 Федерального закона № 152-ФЗ (152-ФЗ) правовое основание для обработки ПДн, которое необходимо для следующих целей: 1) осуществления прав и законных интересов оператора, 2) осуществления прав и законных интересов третьих лиц, 3) достижения общественно значимых целей – при условии, что при этом не нарушаются права и свободы субъекта ПДн.   В законодательстве строго не регламентированы…

CISO & DPO news #146 (16–22 октября) ▫️Роскомнадзор опубликовал обновленный перечень стран, обеспечивающих адекватную защиту персональных данных В список вошли 88 иностранных государств. Передавать персональные данные в страны из перечня можно после направления уведомления Роскомнадзору, не дожидаясь окончания его рассмотрения, при соблюдении остальных требований закона. Приказ вступит в силу 30 октября 2026 г. ▫️Разработчики PHP выпустили срочные патчи для двух критических уязвимостей Из-за утечки сведений об уязвимостях исправления выпустили на день раньше запланированного срока — 21 октяб…

Какую информацию можно обнаружить в цифровом изображении? Служебная информация файла, следы редактирования и скрытые вставки Цифровое изображение является не просто набором пикселей, которые формируют видимое содержание, – это сложный файл-контейнер, в котором рядом с пикселями хранится множество служебных данных. Основной пласт такой информации — метаданные стандарта EXIF, которые камеры, телефоны и программы редактирования записывают автоматически. В EXIF фиксируются модель устройства, серийный номер, параметры съемки (выдержка, диафрагма, ISO, фокусное расстояние), дата и время, а при нали…

CISO & DPO news #145 (9–15 октября) ▫️В Россию начали поставлять смартфоны со встроенными вирусами Китайские бренды Doogee и Cubot, а также подделки под Honor и Samsung продаются с вредоносным ПО, встроенным в заводскую прошивку. Вирус подключает гаджет к ботнету для проксирования трафика и участия в DDoS-атаках, а еще незаметно накручивает рекламные клики в фоновом режиме. Удалить его самостоятельно практически невозможно. Зараженные смартфоны уже свободно реализуются на маркетплейсах. ▫️Число DDoS-атак в России выросло на 140,7% за девять месяцев 2026 г. Главный удар пришелся на финтех — 4…

«Тренинг превзошел ожидания»: отзывы участников об интенсивах по работе с персональными данными Читайте в карусели отзывы тех, кто уже прошел обучение в Академии Kept, и участвуйте в тренинге по работе с персональными данными в ноябре. Авторы тренинга реализовали более 100 проектов в области персональных данных для российских и международных компаний и поделятся этим опытом с вами. В рамках курса участники научатся: 🔸определять корректное правовое основание обработки ПДн в рамках кейсов; 🔸находить ошибки в формах согласий на обработку ПДн; 🔸анализировать сайты на соответствие требованиям…

Каким способом злоумышленник может несанкционированно проникнуть на территорию организации? Пройти вслед за сотрудником через турникет или дверь, не предъявляя собственного пропуска Для проникновения на охраняемую территорию злоумышленнику не всегда требуется взламывать замки или подделывать пропуска. Иногда достаточно воспользоваться невнимательностью или доверчивостью сотрудников. Один из распространенных методов — Tailgating («проход следом»), когда посторонний человек проникает в контролируемую зону вслед за сотрудником, имеющим право доступа. Для повышения защищенности организации след…

Что представляет собой горизонтальное/боковое перемещение (Lateral Movement) в рамках пентеста и как минимизировать риски его реализации? Горизонтальное перемещение — это этап тестирования на проникновение реальной кибератаки, в ходе которого специалист, получив первоначальный доступ к одному из узлов корпоративной сети, последовательно расширяет присутствие и контроль над другими системами с целью достижения критических активов организации (контроллеров домена, баз данных, финансовых или технологических систем). В рамках пентеста проверка движения по сети проводится для моделирования сценар…

В каком из перечисленных случаев компания не обязана получать письменное согласие субъекта на обработку его персональных данных? Компания проводит собеседование кандидатов перед принятием решения о приеме на работу Согласие на обработку персональных данных (ПДн) в письменной форме требуется только в закрытом перечне случаев, установленном законодательством. Если ситуация не подпадает ни под один из них, согласие может быть получено в любой форме, позволяющей подтвердить факт его получения (ч. 1 ст. 9 152-ФЗ).   Согласие на обработку ПДн в письменной форме должно быть получено в следующих случ…

CISO & DPO news #142 (18–24 сентября)   ИИ-модель от Google взломала три реальные компании во время тестов Во время майских испытаний одна из моделей семейства Gemini получила несанкционированный доступ к защищенным системам трех организаций. Причины — ошибки в изоляции тестовой среды и совпадение названия вымышленной компании с реальной. В одном случае модель подобрала пароль методом перебора, в двух других — нашла учетные данные в публичных репозиториях через обычные поисковые запросы. В Google заявили, что модель остановилась, как только поняла, что вышла за пределы симуляции. Фактического…

Что такое физический пентест и для чего его проводят?   Физический пентест – это проверка защищенности объектов, помещений и инфраструктуры организации от несанкционированного физического доступа. В отличие от классического тестирования на проникновение информационных систем, в данном случае специалисты оценивают, насколько злоумышленник способен попасть на охраняемую территорию, получить доступ к оборудованию или обойти действующие физические меры безопасности.   В рамках физического пентеста специалисты моделируют действия потенциального нарушителя в заранее согласованных пределах. Проверке…