Кибербюро Японии призвало компании закрыть базовые бреши в защите
Национальное бюро кибербезопасности Японии опубликовало восемь мер для компаний, работающих с персональными данными, после серии утечек из-за базовых недочётов.
SUMO· числовая головоломка
Dialo· учите языки, разговаривая
ediviewer· читайте EDI-файлы как документы
giftdetect· подходящий подарок за минутыНациональное бюро кибербезопасности Японии (NCO) при Секретариате кабинета министров 5 ноября опубликовало документ с примерами защиты от утечек персональных данных. Он называется «О мерах против несанкционированного доступа, ведущего к утечке персональных данных: последовательное применение базовых мер для сайтов и мобильных приложений».
В бюро отмечают, что в недавних многочисленных утечках данных клиентов причиной были базовые упущения: уязвимости в ПО и ошибки конфигурации. Восемь мер сгруппированы в три области: эксплуатация и управление, проектирование и разработка, цепочка поставок.
Эксплуатация, проектирование, разработка
На этапе эксплуатации компаниям предлагают учитывать цифровые активы, включая версии и места использования ПО, собирать данные об известных уязвимостях и устранять их; в приоритете серверы и сетевое оборудование. Также нужно регулярно инвентаризировать и сокращать поверхность атаки: открытые панели администрирования, среды разработки и тестирования, неверно настроенный общий доступ к облачным хранилищам. Третья мера — постоянное сканирование уязвимостей и мониторинг подозрительного поведения с помощью ИИ. Оценки ИИ должен проверять человек, он же принимает окончательное решение.
При проектировании рекомендован принцип security by design: моделирование угроз, продуманные аутентификация, авторизация, шифрование и журналирование, а также инструменты SAST, SCA, DAST и IAST. Для API бюро указывает на атаки «App-to-Backend» (A2B) и просит проверить права доступа, учётные данные и лимиты запросов. Перед релизом нужны сканирование и тесты на проникновение; среди примеров уязвимостей — SQL-инъекции, удалённое выполнение кода и SSRF.
Цепочка поставок
Компания может пострадать из-за недочётов подрядчика, даже если её собственная защита в порядке. Поэтому предлагаются многофакторная аутентификация, ограничение IP-адресов, подключение только на время работ, ревизия прав администраторов, требования безопасности в договорах и подход «нулевого доверия». Для open source и внешних библиотек нужны процедуры первичного реагирования на zero-day и требование предоставлять SBOM.
В завершение документ предупреждает, что меры рассчитаны на современные методы атак, а злоупотребление ИИ может стать изощрённее.
Приложения, на которые стоит взглянуть
SUMO: числовая головоломкаВыбирайте нужные клетки, складывайте, достигайте цели. Легко понять, сложно освоить. Бесплатно, для любого возраста.
Dialo: учите языки, разговариваяОбщайтесь с ИИ-собеседником: каждая фраза возвращается исправленной и объяснённой на вашем языке. 9 языков, от A1 до C2.
ediviewer: читайте EDI-файлы как документыОткрывайте сообщения EDIFACT и X12, каждый сегмент объяснён, конвертация в JSON/XML, экспорт в PDF и Excel. Работает локально, без загрузки.
giftdetect: подходящий подарок за минутыВыберите, кому, по какому поводу и с каким характером. Поисковик читает описания товаров местных магазинов и выводит то, что подходит. Бесплатно, без регистрации.
Ещё за этот день
Показать все →
GOG GALAXY через 18 лет выйдет на Linux в нативной версии
Claude Code обвинили в утечке email-адресов пользователей сайтам
Alta Ares выиграла шесть лотов НАТО на защиту от дронов
