Общее. Wi-fi wardriving на службе у Роскомнадзора


Последние два месяца территориальные отделения РКН готовили и многие уже выложили планы деятельности на 2018 год. Но месяц назад заместитель Роскомнадзора О.И. Иванов разослал поручение включить в планы мероприятий контроль за Wi-Fi.

В результате в планы деятельности управлений пополнились серьезным количеством проверок публичных wi-fi точек доступа. Пример тут 

Чем заканчивается подобный мониторинг? Примерно следующим.

 

Кто попадает под проверки? Кафе, рестораны, гостиницы, крупные торговые и бизнес-центры, публичные мероприятия/выставки, развлекательные и спортивные центры, автосалоны, аэропорты и жд вокзалы и т.п.   В принципе попасть может любая организация, использующая публичный wi-fi для доступа в сеть Интернет.  

Даже если вход в здание строго ограничен, но wifi доступен с улицы – этого достаточно. Получаем ip -> Проверка Whois/whoami -> если диапазон за интернет провайдером, официальный запрос за какой организацией числится данный публичный ip-адрес.   



Примеры судебных дел по статье 6.17 ч.2 с участием wi-fi. Таких много.


Как же удастся территориальным отделениям РКН провести более 500 выездных проверок Wi-Fi точек доступа? Для сравнения, проверок по персональным данным в плане на порядки меньше: 10-15.

Дело в том, что на помощь РКН приходит Wi-Fi WarDriving, технология за десятки лет, отработанная любителями открытого интернета: авто + заряженный ноутбук + хорошая антенна + скрипты для автоматического подключения на недетские и запрещенные сайты. Этого достаточно для того чтобы за пару дней выявить сотню нарушителей. Да и заниматься этим гораздо интереснее, чем проверять бумажки по ПДн 

А ещё и энтузиасты помогают. Вот и получается у РКН, большой объём проверок малыми средствами. 




Организациям, предоставляющим wi-fi для посетителей и сотрудников,  рекомендую проверить как обстоят дела с ограничением доступа в данный момент, подписаться/внедрить на сервисы идентификации клиентов, подписаться на сервисы фильтрации запрещенного и недетского контента (есть и бесплатные), настроить оборудование на использование этих сервисов.  


Комментарии

Отправить комментарий

Популярные сообщения из этого блога

СКЗИ. НПА. Некоторые вопросы применения криптографии

Изображение
Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп...
Далее...

КИИ. Категорирование объектов, часть 3

Изображение
Продолжаем проводить категорирование объекта КИИ на примере организации сферы здравоохранения. На предыдущем этапе мы выявили критические процессы организации. Теперь определяем объекты КИИ и отправляем их на согласование (этап простой и очевидный, но постараюсь добавить несколько полезных моментов) 3. Определение объектов КИИ Продолжаем начатое на прошлых этапах (а можно и совместить 1-3) общение с руководителями подразделений. Спрашиваем какие ИС или АСУ обрабатывают информацию, необходимую для обеспечения выявленных критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов. Отдельно в ИТ подразделении получаем полный перечень ИС (он должен был готовится в рамках мероприятий по ПДн) и АСУ, совместно с ИТ выкидываем из перечня ИС, не связанные с критическими процессами (как правило, кадровые, бухгалтерские, отчетность, банк-клиенты). В результате, того, что данные об ИС и АСУ получены не из одного источника, гарантируется его ...
Далее...

Модель угроз безопасности клиента финансовой организации

Изображение
  Уже более 2 месяцев как вступил в силу методический документ ФСТЭК по моделированию угроз, а ни одного публичного примера модели угроз информационной безопасности сообществом не было опубликовано. Как мы обсуждали на межблогерском вебинаре по моделированию угроз ИБ , такой пример мог бы сильно помочь ответственным лицам, обязанным руководствоваться данной методикой. Пример модели угроз обещал сделать Алексей Лукацкий, но пока у него получилась серия публикаций про проблемы моделирования и примера ещё нет. В УЦСБ в рамках услуг по моделированию угроз, коллеги уже провели необходимую аналитику и подготовили внутренние средства автоматизации для разработки МУ, что уже говорит о возможности моделирования угроз по новой Методике.  К последнему межблогерскому вебинару по безопасности клиентов финансовых организаций я решил проверить насколько адекватной получится модель угроз для типового сегмента клиента ФО (а для данной статьи ещё и обновил графическое оформление). ...
Далее...