CISO & DPO news #146 (16–22 октября)
CISO & DPO news #146 (16–22 октября) ▫️Роскомнадзор опубликовал обновленный перечень стран, обеспечивающих адекватную защиту персональных данных В список вошли 88 иностранных государств. Передавать персональные данные в страны из перечня можно после направления уведомления Роскомнадзору, не дожидаясь окончания его рассмотрения, при соблюдении остальных требований закона. Приказ вступит в силу 30 октября 2026 г. ▫️Разработчики PHP выпустили срочные патчи для двух критических уязвимостей Из-за утечки сведений об уязвимостях исправления выпустили на день раньше запланированного срока — 21 октября. CVE-2026-109618 и CVE-2026-109619, связанные с управлением памятью и обработкой запросов, позволяли злоумышленникам удаленно захватывать сервисы без авторизации. Инцидент затронул в том числе государственные ресурсы Нидерландов и Финляндии, поэтому американские и европейские ведомства призвали незамедлительно установить исправления. ▫️Ассоциация больших данных готова экстренно разработать правила хранения данных россиян за рубежом Документ определит единые требования к защите информации, срокам ее размещения и порядку трансграничной передачи в дата-центры дружественных стран. Новые правила будут носить временный характер и позволят бизнесу заранее резервировать данные за рубежом, не дожидаясь возможных повреждений локальной инфраструктуры. ▫️Опубликован первый международный стандарт безопасности ИИ ISO 27090 содержит каталог специфичных для ИИ угроз, например отравление данных, кража модели, промпт-инъекции, а также дает практические рекомендации по их выявлению и построению защиты. Важно отметить, что ISO 27090 — методическое руководство, а не сертифицируемый стандарт. Подтверждать соответствие процессов по-прежнему нужно через ISO 27001 или ISO 42001. ▫️Облачные платформы для банков проверят по критериям КИИ Провайдеры и финансовые организации разрабатывают единые стандарты тестирования решений для банковского сектора. Приказ ФСТЭК № 239 устанавливает требования к безопасности значимых объектов КИИ, а не любых объектов КИИ. Публичные испытания запланированы на IV квартал 2026 г. ▫️ЕС хочет упростить GDPR и cookie-баннеры Страны союза рассматривают Digital Omnibus — пакет поправок цифрового законодательства с послаблениями для бизнеса в сфере персональных данных. Одна из главных идей — сократить количество cookie-баннеров. Кроме того, порог уведомления об утечках данных хотят поднять до высокого риска, а срок увеличить до 96 часов. Еще одно предложение — перенести часть правил о доступе к устройству пользователя в GDPR. ▫️Хакер атаковал базу клиентов крупной сети пиццерий Используя фишинг и средства нейтрализации защиты, злоумышленник получал доступ к информации о заказах, адресах и телефонах клиентов, после чего незаконно использовал данные. Киберпреступник — основной участник группировки, чьи атаки отличались скоростью и высокой автоматизацией. ▫️Chrome будет предупреждать об опасных командах из буфера обмена Обновление Google направлено на борьбу со схемами ClickFix, когда мошенники убеждают пользователей вставлять опасные скрипты в системную консоль якобы для исправления ошибки. Режим улучшенной защиты позволит браузеру проанализировать текст и выдать предупреждение, если команда потенциально опасна. ▫️Реклама доставляла шпионское ПО Компания Discover-Tech использовала рекламную инфраструктуру для целевых атак: сам факт показа баннера передавал серверам злоумышленников IP-адрес и идентификатор устройства. Это позволяло доставлять вредоносный код без кликов и скачивания файлов. Рекламные показы были зафиксированы в сетях НАТО, ООН и госорганов.