Profit Security Day 2021 Весна. Прямой эфир конференции по информационной безопасности в Казахстане

[@ProfitKazakhstan]

Читайте репортаж с основными выводами конференции - profit.kz/news/61415/PROFIT-Security-Day-2021-kiberugrozi-v-novoj-realnosti/

[@anok.05]

Видно, слышно, Алматы)))

[@ProfitKazakhstan]

Как будет осуществляться сбор перс данных в рамках нацпроекта DigitEl? Ответ МЦРИАП: Требования по сбору персональных данных отражены в законодательстве РК о персональных данных и их защите. Сбор и обработка персональных данных указанным проектом будет осуществляться с учетом требований вышеназванного законодательства.

[@ProfitKazakhstan]

Куда и как обращаться при обнаружении, что твои ПД были «слиты» 3им лицам? Ответ МЦРИАП: Комитет является уполномоченным органов в сфере защиты персональных данных и в соответствии с пунктом 1 статьи 692-2 КоАП РК рассматривает дела об административных правонарушениях, в том числе, предусмотренные статьей 79 КоАП РК. Для возбуждения административного производства в обращении должны содержаться достаточные данные, указывающие на признаки административного правонарушения - материалы, подтверждающие факт нарушения, субъект, допустивший правонарушение и сроки его совершения. Далее, после рассмотрения дела об административном правонарушении, уполномоченный орган в сфере защиты персональных данных выносит решение о наложении административного взыскания или прекращении производства по делу согласно действующему законодательству и уведомляет заявителя о принятых мерах. Анонимные обращения и обращения, не отражающие суть вопроса (нарушения) и конкретного правонарушителя согласно законодательству не подлежат рассмотрению.

[@ProfitKazakhstan]

Как часто происходят утечки персональных данных с гос ресурсов?? Ответ МЦРИАП: Факты утечки персональных данных из государственных информационных систем единичны и в основном связаны с человеческими факторами.

[@ProfitKazakhstan]

Есть ли у ЕСЭДО, которую сопровождает НИТ, документы о соответствии требованиям ИБ? Ответ МЦРИАП: ИС «Единая система электронного документооборота с web- интерфейсом» имеет акт испытании на соответствие требованиям информационной безопасности от 14 августа 2020 года (www.gov.kz/memleket/entities/mdai/documents/details/139801?lang=ru).

[@ProfitKazakhstan]

Почему вопрос организации центра биометрических данных не обсуждался? Компрометация его ресурсов будет катастрофой Ответ МЦРИАП: Заинтересованными государственными органами прорабатывается вопрос создания подобной системы.

[@ProfitKazakhstan]

Почему ГТС требует, чтобы наименование документов совпадали с наименованием документов из единых требований? Ведь самое главное это наличие утвержденных процедур. Ответ МЦРИАП: Наименование технической документации по информационной безопасности прописано в постановлении Правительства Республики Казахстан № 832 «Об утверждении единых требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности».

[@ProfitKazakhstan]

Планируется ли разработка исчерпывающего перечня сведений, которые будут отнесены к персональным данным ограниченного доступа? Ответ МЦРИАП: Персональными данными ограниченного доступа являются персональные данные, доступ к которым ограничен законодательством Республики Казахстан. Следовательно, отнесение каких-либо персональных данных к персональным данным ограниченного доступа определяется законодательством Республики Казахстан даже в случае исключения. Таким образом, в настоящее время отсутствует необходимость разработки перечня персональных данных ограниченного доступа.

[@ProfitKazakhstan]

Можно ли в отрытом доступе посмотреть перечень ИС, имеющих акт о прохождении испытаний ИБ? Ответ МЦРИАП: Перечень ИС, имеющих акт испытания на соответствие требованиям информационной безопасности, можно посмотреть на официальном интернет-ресурсе Комитета по информационной безопасности (www.gov.kz/memleket/entities/mdai/documents/details/139801?lang=ru). Информация, размещенная на сайте содержит подробные сведения по наименованию информационной системы и организации заявителя и дата выдачи акта о прохождении испытаний ИБ за последнее три года.

[@ProfitKazakhstan]

Государственная организация (для примера региональное Управление образования или здравоохранения - подключена к сети интернет через ЕШДИ Необходимо ли устанавливать аппаратный фаирвол с функциями предотвращения атак или уже весь трафик передаваемый является безопасным? Ответ МЦРИАП: Единым шлюзом доступа к Интернету является аппаратно-программный комплекс, предназначенный для защиты сетей телекоммуникаций при доступе к Интернету и (или) сетям связи, имеющим выход в Интернет. Таким образом, передаваемая информация по сетям телекоммуникаций, подключенным к ЕШДИ, является защищенным. При этом допускается установка дополнительных аппаратно-программных комплексов с функциями предотвращения атак.

[@ProfitKazakhstan]

Законно ли, что банк без уведомления клиента запрашивает кредитную историю и потом предлагает ему кредиты? Ответ МЦРИАП: В соответствии Законом Республики Казахстан «О персональных данных и их защите» сбор и обработка персональных данных, а также доступ к персональным данным осуществляются с согласия субъекта или его законного представителя, за исключением случаев, предусмотренных статьей 9 Закона. При отсутствии согласия субъекта на сбор и обработку персональных данных, а также иных законных оснований в действиях Банка будут усматриваться нарушения законодательства Республики Казахстан о персональных данных и их защите.

[@ProfitKazakhstan]

Отменили ли бессмысленное требование для КВОИКИ о централизованном хранении резервных копий ИС? Ответ МЦРИАП: В соответствии с подпунктом 4) пункта 2-1 статьи 17 Закона «Об информатизации», владелец КВОИКИ обязан осуществлять передачу резервных копий электронных информационных ресурсов на единую национальную резервную платформу хранения электронных информационных ресурсов в порядке и сроки, которые определены уполномоченным органом в сфере обеспечения информационной безопасности, если иное не установлено законами Республики Казахстан. Кроме того, в соответствии с пунктом 4 Правил функционирования единой национальной резервной платформы хранения электронных информационных ресурсов (Приказ Министра оборонной и аэрокосмической промышленности Республики Казахстан от 16 марта 2018 года № 44/НҚ. Зарегистрирован в Министерстве юстиции Республики Казахстан 2 мая 2018 года № 16857.) НКЦИБ обеспечивает безопасность, непрерывность и отказоустойчивость работы ЕНРП, гарантирует владельцу КВОИКИ целостность, конфиденциальность и доступность его резервных копий ЭИР, хранящихся на ЕНРП. Вместе с тем Комитет готов рассмотреть частные случаи невозможности предоставления резервных копий для принятия нормативно-правовых исключений.

[@alexandrkolomiyets436]

Алматы

[@ProfitKazakhstan]

Есть ли в Казахстане единая биометрическая система? Ответ МЦРИАП: В настоящее время у государственных органов отсутствует данная система.

[@ProfitKazakhstan]

Почему вообще используется российская платформа Телеграм в нарушение ЕТ о размещении АПК на территории РК? Мои персональные данные уходят на зарубежные серверы, кто за это ответит? Почему КИБ допускает такое? Ответ МЦРИАП: Вопрос хранения персональных данных регламентирован законодательством Республики Казахстан о персональных данных и их защите. При этом согласие на трансграничную передачу персональных данных с последующим хранением на территории иностранных государств предоставляется самим субъектом персональных данных. Тем самым, защита персональных данных осуществляется интернет-сервисом. Необходимо отметить, что в настоящее время Комитетом во исполнение требований Закона Республики Казахстан «О персональных данных и их защите» по размещению баз на территории Республики Казахстан прорабатывается вопрос размещения баз данных таких интернет-сервисов на территории РК или ЕАЭС. Поскольку для администраций иностранных мессенджеров вопрос размещения базы данных граждан Республики Казахстан на территории РК является трудоемким и нерентабельным с точки зрения необходимости, то решением этого вопроса мы видим вышеуказанное предложение прорабатывать в рамках ЕАЭС.

[@iBakytbek]

Хоть скажите, какая пасхалка с девушкой?)

[@ilyasbakirov]

Пасхалка не в девушке было, насколько я знаю. А в диване

[@oksanapi]

Девушка с вопросом

[@gafurkoja386]

И формат мероприятия и доклады больше на шоу похоже, никакой полезной информации не получил, тема с непонятными конкурсами (найди посхалку) только отвлекает и забирает время. Для меня бесполезная потеря времени, рекомендую перейти к серьезному формату.

[@IllarionOvcharov]

Согласен, что тема очень серьезная. В вопросе, как же нам подать серьезную тему, чтобы понравилось всем участникам остается открытым... Большое спасибо Вам за отзыв и более того, если бы выдали рекомендации, а быть может и посоветовали формат проведения, чтобы бы было серьезно и слушатели не уснули, то вы сделали бы неоценимы вклад в развитие ИБ в РК.

[@mariyatelitsina7008]

и с ремнём непонятная история )

[@TTrimasova_life]

Не все выступавшие компетентны в теме своего доклада. Удивил парень, сравнивавший ИТ и промышленные системы. Похоже он не видел ни того, ни другого. Не имеет понятия о процессах оценки рисков ит систем.

[@AlmazAmir]

не согласен, мне понравилось, интересный доклад.

[@Ernibek]

Критиковать легко. Но на самом деле было очень интересно и познавательно. Может быть у вас есть огромный практический опыт, которым вы готовы поделиться со всеми?

[@IllarionOvcharov]

Чего правда не хватило, так это кейсов. Если вы являетесь экспертом ИБ высокого уровня, то добро пожаловать с вашим практическим кейсом. Доклад об опыте применения тех или иных подходов в ИБ будут полезны каждому. Добро пожаловать.

[@TTrimasova_life]

@@IllarionOvcharov дело не в кейсах, а в том, что докладчик в глаза не видел производственные системы. И таки да, опыт есть.