Tekhnonacional

Недавний пост об утечках  показал высокий интерес подписчиков к теме. Наша редакция решила рассказать более подробно об одном из самых распространенных каналов утечек – электронной почте, взлом которой до сих пор является прибыльным киберпреступлением. Через взлом персональной или служебной электронной почты можно похитеть не только данные, секретную внутреннюю информацию компании, но даже и финансовые средства.

В этой статье  расскажем про различные почтовые сервисы и уровень их безопасности.  Отметим, что вы всегда можете дополнительно защитить любую электронную почту аппаратным токеном.

Начнем с главного: Google не безопаснее, чем  Rambler или MailRu

Администраторы почтовых сервисов имеют возможность доступа к вашим сообщениям, но обязуются не передавать эти данные другим лицам. Однако это не обязательно гарантирует конфиденциальность. Например, может возникнуть сценарий, при котором почтовый сервис получает запрос от правоохранительных органов. И информация вашего почтового адреса быстро оказывается в «папочке». Кроме того, существует автоматизированная обработка информации, извлеченной из сообщений пользователей. Поэтому глобально, ни Gmail,  ни Yahoo никак не отличаются от Rambler. Почтовая служба может быть помечена как конфиденциальная, если ни одно лицо, включая владельцев и рекламных ботов, не имеет возможности получить доступ к переписке пользователей.

Тут, внезапно,  стоит обратить внимание на рекламу внутри ваших почтовых ящиков. Как показывает практика,  реклама как таковая в личном почтовом ящике никого не настораживает. На самом же деле, наличие «подборочек» и актуальных товаров означает лишь одно – рекламные боты имеют доступ к вашей персональной информации и переписке. Для снижения проникновения к вашей персональной информации необходимо потратить 20-30 минут и вручную кропотливо отключить всех ботов в почте mail[.]ru. Автоматического отключения всех 50+ различных рекламных ботов нет.

Надежные почтовые сервисы

Критериев оценок защищенности почтовых сервисов много, поэтому рейтинг мы делать не будем. Ниже мы просто перечислим почтовые сервисы, которые доказали свою надежность на международном уровне по различным показателям. Следует помнить, что выбирая любой из нижеследующих почтовиков, нужно быть уверенными, что они принимают дополнительные средства ИБ-защиты, аппаратные токены, для 2FA.

Protonmail (Австрия)

Плюсы Protonmail:  отсутствие логов (электронных журналов записи данных); зашифрованные сообщения можно отправлять кому угодно; передовой механизм сквозного шифрования; надежная страна для размещения серверов; открытый исходный код; импорт контактов в формате CSV; самоуничтожающиеся электронные письма; услуги VPN включены в тарифный план.

Минусы Protonmail:  не поддерживается протокол POP; может регистрировать IP  пользователя, если его подозревают в совершении преступления; метаданные и тема письма не шифруются.

Tutanota (Германия)

Плюсы Tutanota: отсутствие электронных журналов; шифрование метаданных и темы письма; отсутствие IP-адреса и email отправителя в метаданных; эффективный спам-фильтр; открытый исходный код; есть приложение для ПК; возможность синхронизации десктопных и мобильных приложений; дешевые тарифы.

Минусы Tutanota:  серверы расположены в Германии (входит в разведывательные альянсы); не поддерживается шифрование PGP; нет поддержки протокола IMAP.

Mailfence (Бельгия)

Плюсы Mailfence:  поддержка PGP и других алгоритмов шифрования; встроенные цифровые подписи; поддержка всех основных почтовых протоколов: SMTP, POP3, IMAP; наличие двухфакторной аутентификации; поддержка WKD для поиска ключей на внешних доменах; техническая поддержка даже для бесплатных аккаунтов; возможность интеграции с почтовыми клиентами (например, Thunderbird); удаление IP-адресов из метаданных.

Минусы Mailfence: ведение логов с минимальным сбором технической информации,

код недоступен, что затрудняет проверку конфиденциальности;  серверы расположены в Бельгии (входит в разведывательные альянсы).

Как защитить электронную почту?

1. Сложный пароль

Самой важной практикой защиты учетной записи электронной почты является защита учетных данных для входа в систему. Для этого необходимо выбрать надежный пароль. Лучше всего для этого подойдут генераторы паролей, которые быстро «придумают» длинную уникальную комбинацию. Пароль – самое уязвимое звено в цепочке защиты электронной почты.

2.Используйте двухфакторную аутентификацию (2FA)

После того как вы выбрали надежный пароль, включите 2FA, чтобы максимально защитить свой вход в систему. Это одна из самых важных передовых практик, которой часто пренебрегают, так как считают, что это занимает слишком много времени.

Данные для входа в систему можно хранить и на самом устройстве, если вы уверены, что никто их не похитит. Наиболее важной частью добавления двухфакторной аутентификации является защита учетной записи электронной почты от удаленных вредоносных атак, таких как фишинговые атаки.

Выбирайте почтовые сервисы, которые поддерживают 2FA через использование аппаратных токенов, а не через SMS.

3. Отсутствие сброса пароля по электронной почте

Сброс пароля по электронной почте - одна из самых больших угроз для вашей онлайн-безопасности. Функция сброса пароля по электронной почте позволяет легко завладеть вашими учетными записями с помощью целенаправленной атаки, например, грамотно составленного фишингового письма. Злоумышленник может обмануть вас, заставив поверить, что вы просто сбрасываете пароль, нажав на ссылку в фишинговом письме, которое выдает себя за письмо со сбросом пароля.

Согласно известному указу президента , с 1 января 2025 года должно прекратиться использование иностранного софта на объектах КИИ. То есть отечественная критическая инфраструктура полностью переходит, вернее должна перейти, на отечественные же аппаратные решения.

Тем не менее, оценки развития рынка СЗИ разняться, в том числе нет уверенности, что решения в области информационной безопасности будут закрывать все его потребности. В зависимости от отрасли существенно различается баланс между использованием зарубежных и отечественных ИБ решений.

На данном этапе эксперты утверждают, что импортозамещение неоднородно и развивается разными темпами в зависимости от отрасли. На данный момент по мнению отечественных экспертов в вопросах кибербезопасности существуют определенные «серые» зоны. А именно ИБ-решения, которые требуют серьезных доработок и глубокой адаптации в российскую инфраструктуру. В общем и целом, практически для всех типов ИБ-продуктов есть отечественные аналоги, вопрос лишь в функциональности и стабильности работы.

По данным TADVISER соотношение иностранных и российских технологических решений в 2022 году было 50/50. За последний год темпы импортозамещения ускорились. Однако, как и многие развивающиеся страны, Россия сталкивается с дефицитом программно-технических СЗИ, поскольку отсутствует база отечественного «железа». Также большие проблемы наблюдаются при попытках модернизации АСУ ТО в силу большого количества проприетарного ПО для управления промышленными контроллерами. К факторам, которые тормозят импортозамещение, следует также отнести стоимость отечественных разработок и кадровый «голод».

Стоимость российского ПО увеличилась к середине 2023 года на 30-40%. Крупные потребители услуг связывают это с резким уходом иностранных компаний с российского рынка после февраля 2022 года. В результате, «передел» рынка привел к формированию монополий. Если регуляторы не вмешаются в процесс, то рост цен продолжится.

По данным «Ъ», в Минцифре поднимали вопрос о переговорах с разработчиками о завышении рыночных цен По мнению министерства «IT-отрасль и так пользуется достаточным количеством льгот и преференций». Правда, контроль цен в РФ в целом не в ведении Минцифры, этим занимается ФАС.

Достижение независимости в сфере информационной безопасности от иностранных поставщиков станет реальностью после установления комплексной информационной экосистемы, которая обеспечит взаимодействие между отечественным аппаратным обеспечением, российскими операционными системами, драйверами, системными утилитами, прикладным программным обеспечением и средствами защиты информации. В течение многих лет инфраструктура компаний была построена на основе зарубежных решений, и замена её не может быть осуществлена мгновенно. Этот процесс действительно сложен и требует согласованных усилий всех участников: клиентов, интеграторов, производителей и логистических компаний. Не стоит недооценивать и роль государства, которое имеет механизмы для стимулирования развития стартапов и СМБ в области ИТ.

Искусственный интеллект (ИИ) преобразует IT  отрасль и, как следствие, его влияние на рынок труда в сфере электронных технологий сложно игнорировать. Развитие ИИ приводит к автоматизации некоторых задач и созданию новых возможностей, что меняет требуемые навыки и доступные роли в сфере IT. В этой статье мы рассмотрим основные способы, которыми ИИ воздействует на рынок труда в данном секторе экономики.

В связи с усовершенствованием технологий ИИ наблюдается растущий спрос на специалистов по этому самому искусственному интеллекту. Компании ищут профессионалов, обладающих навыками в области машинного обучения, анализа данных и разработки алгоритмов. Специалисты по ИИ играют важную роль в интеграции искусственного интеллекта в различные отрасли науки. Сегодня для специалистов по ИИ развиваются нишевые направления: инновации, оптимизации процессов и решения сложных бизнес-задач, медицина, обучение и т.д. Это приводит к следующему пункту нашего списка – трансформации ролей.

Спрос на ИИ-кадры во всем мире подтверждает, например, опрос  LinkedIn Emerging Jobs Report, где еще в  2020  году позиции в области искусственного интеллекта ставились на первое место в списке самых многообещающих вакансий.  По разным оценкам количество ИИ-специалистов в мире растет на 50-70% ежегодно и тем не менее их по-прежнему остро не хватает.  В России в 2022 году в сфере ИИ было занято 202 тыс. человек. Предполагается , что в этом году для реализации Национальной стратегии развития искусственного интеллекта число специалистов должно вырасти до 242 тыс.

Технология ИИ изменяет традиционные роли в ИТ-секторе путем автоматизации рутинной работы. Когда машина способна решать обычные задачи, ИТ-специалисты вынуждены адаптировать свои навыки для выполнения задач более высокого уровня, требующих критического мышления. Некоторые исследователи рынка полагают, что теперь ИТ-специалисты могут (или вынуждены?) сотрудничать с технологиями искусственного интеллекта для повышения производительности и принятия решений. Здесь возникает потребность в новых ролях, которых до этого просто не существовало;  ролях, которые обеспечивают этические, операционные и технические аспекты внедрения ИИ. Например, специалисты по этике ИИ, тренеры ИИ и инженеры данных искусственного интеллекта, позволяют учитывать этические аспекты, обучать модели ИИ и управлять потоками данных ИИ. Эти специализированные роли необходимы для ответственного внедрения технологий искусственного интеллекта, соблюдения регулятивных требований и обеспечения целостности систем ИИ.

Как мы уже упоминали выше, искусственный интеллект активно интегрируется в уже существующие отрасли. Например, команды кибербезопасности используют ИИ для обнаружения и реагирования на угрозы в режиме реального времени. IT -специалисты должны обладать знаниями и навыками, связанными с интеграцией ИИ, чтобы обеспечить беспроблемное внедрение и оптимизацию технологий искусственного интеллекта в существующую цифровую инфраструктуру. Такая интеграция требует сотрудничества между IT -специалистами и системами ИИ для обеспечения повышенной безопасности и эффективности.

ИИ трансформирует рынок труда в сфере IT технологий, создавая новые возможности, изменяя традиционные роли и требуя специальных навыков. В последние несколько лет появилось множество уникальных должностей, которые существуют на стыке технологий и гуманитарных знаний.

Вообще же современные тенденции показывают, что в мире  возникающих и быстро меняющихся технологий IT -специалистам приходится учиться на протяжении всей жизни,  постоянно повышая квалификацию в новых смежных дисциплинах.

Российская экономика переориентировалась на восток  и сфера Информационной безопасности не является исключением. Выбор географических направлений огромен. От совсем «экзотических» направлений до ближнего зарубежья. Особенный интерес вызывают рынки постсоветских республик: компании активно выстраивают новые деловые контакты и развивают уже имеющиеся. Одним из лидеров по развитию собственной инфраструктуры информационной безопасности является Казахстан. Он всегда был открыт к сотрудничеству как с Россией, так и с зарубежными странами в области обмена технологий. При этом в Казахстане успешно применяются технологии Электронных Подписей. Об этом мы и поговорим.
Получить ЭП в Казахстане достаточно просто. Нерезиденты также могут получить ЭП удаленно или персонально при предоставлении необходимого пакета документов. Получение ЭП в Казахстане осуществляется через сайт https://egov.kz/. Это аналог нашего сайта Госуслуг. Далее вас попросят подтвердить личность через базу мобильных граждан (БМГ). Это единая база номеров мобильных телефонов пользователей, необходимых для оказания государственных услуг, отправки SMS-паролей при авторизации или подписании услуг, с помощью одноразового пароля. Подтверждение по данной базе проходит через указание ИИН. Это индивидуальный идентификационный номер, или казахстанский документ удостоверяющий личность. То есть все базируется на стандартном наборе: документ удостоверяющий личность (ИИН) и телефонный номер. Нужно отметить, что с 1 января 2019 года все абонентские устройства (мобильные, сотовые телефоны, планшеты, часы с функцией связи и пр.) регистрируются строго у операторов сотовой связи под ИИН владельца устройства. Круг замкнулся.
Следующее необходимое условие работы с ЭП в Казахстане – наличие специального ПО NCALeyer, которое нужно установить на свой ПК. Это программа-посредник между браузером, криптопровайдером и ключами ЭП. Запомним, что ПО NCALeyer разработано и принадлежит Национальному удостоверяющему центру Республики Казахстан (РК). Это важно для понимания дальнейших событий. При подтверждении всех необходимых требований: присутствие в базе данных, подтверждение личности через веб-камеру и наличие ПО – вы получаете ЭП удаленно без особых проблем.
Также существует вариант мобильного приложения электронного правительства eGov mobile. С октября 2022 года у приложения появилась функция «QR-подписания», то есть для генерации ЭП ты используешь QR-код. Тут то и обнаружилось «слабое место».
В конце года министр цифрового развития, инноваций и аэрокосмической промышленности (МЦРИАП) Багдат Мусин сообщил о том, что ЭП в Казахстане «всех заколебала» и пора прислушаться к требованию населения и сделать ЭП более простой и доступной. (https://bizmedia.kz/2022/10/15/eczp-oficzialno-otmenen-ego-zamenyat-qr-m/)  Во всех выступлениях министра по этому вопросу отсутствовала какая-либо техническая аргументация. Основной упор был сделан на эмоцию и на то, что пользование ЭП, якобы,  неудобно. Одновременно с этим, казахские эксперты утверждают, что министерство занимается подменой понятий и пользуется служебным положением в преследовании своих (пока непонятных) целей.

В следующих постах будем разбираться, почему дискуссия про QR коды и ЭП обрастает слухами и предположениями.