CISO & DPO news #121 (24–30 апреля)
CISO & DPO news #121 (24–30 апреля) Более 70% уязвимостей в российских компаниях возникают из-за типовых ошибок со стороны ИТ-разработки Основные риски на внешнем периметре связаны не с целевыми атаками, а с базовыми нарушениями практик безопасности. Усиливает риски рост атакующего ИИ. В 2026–2027 гг. тенденция продолжится: кратно вырастет количество уязвимостей и скорость эксплуатации цепочек уязвимостей с применением ИИ. И это только одна из опасностей использования искусственного интеллекта. ИИ-сервисы лидируют по уровню критичности уязвимостей На их долю пришлось 5% от общего числа уязвимостей в российских компаниях за первый квартал 2026 г. — против 2% годом ранее. При этом критичность уязвимостей в среднем составляет 9,2 балла из 10, это самый высокий показатель среди всех типов продуктов. Отдельные уязвимости позволяют обходить встроенные политики безопасности чат-ботов, что может привести к утечке персональных данных пользователей. Правительство смягчило ряд требований законопроекта о регулировании ИИ Для обучения моделей теперь можно использовать любые доступные данные. В первоначальной версии законопроекта госинформсистемы и объекты критической информационной инфраструктуры были обязаны работать только с доверенными моделями из специального реестра. Однако участники рынка отметили, что релевантных данных на русском языке в открытых источниках недостаточно. Кроме того, новые правила позволяют разрабатывать суверенные и национальные модели иностранным гражданам. Российский рынок кибербезопасности снизил темпы роста Выручка отечественных ИБ-компаний в 2025 составила 387,9 млрд руб., показав рост всего 12,7% — почти в два раза меньше, чем предсказывали аналитики. Компании стараются максимально сокращать расходы и покупают только самые необходимые сервисы. На топ-5 игроков — «Лаборатория Касперского», «Газинформсервис», Positive Technologies, ГК «Солар» и BI.ZONE — приходится 47,7% от общей выручки. Чиновника в Краснодарском крае оштрафовали за утечку данных Замглавы администрации Абинского района привлекли к административной ответственности за трансграничную передачу персональных данных участников СВО и членов их семей без уведомления Роскомнадзора. Сервисы ведомства обрабатывали данные интернет-ресурса, интегрированного с платформой компании из США. Штраф составил 100 тыс. руб. Хакеры из КНДР используют ИИ для атак через вредоносные npm Вредоносный код обнаружили в пакете npm — его добавили в качестве зависимости к проекту Solana. Зараженный пакет написан с помощью генеративного ИИ Claude Opus от Anthropic и впервые загружен в репозиторий в октябре 2025 г. Основная цель — кража конфиденциальной информации из скомпрометированной среды. Особенностью атаки, помимо применения вайб-кодинга, является встраивание зловредных пакетов в цепочки зависимостей легитимного ПО. Claude Mythos от Anthropic способна находить уязвимости за несколько минут В результате «окно уязвимости» — короткий промежуток времени, за который компании могут установить исправления и обеспечить защиту после раскрытия информации об уязвимости, — теперь практически равно нулю. Стремительный рост возможностей ИИ подрывает институциональную стабильность и целостность во всех отраслях. Mythos также обнаружила проблемы в старом программном обеспечении, которые были упущены в течение десятилетий проверок безопасности.