Полное удаление данных из ГИС и получение сведений о числе и внешности посетителей важного объекта грозило клиенту в случае реальной кибератаки.
В 2024 году 15% кибератак в России были направлены против государственных объектов. ГИС находятся под строгими правовыми нормами и требованиями безопасности. Нарушение правил защиты государственных информационных систем, относящихся к КИИ, влечет серьезные правовые последствия:
- За противоправные действия в отношении КИИ предусмотрено наказание в виде лишения свободы сроком от двух до пяти лет (статья 274.1 Уголовного кодекса РФ).
- Альтернативная мера наказания — штраф в размере от 500 тысяч до 1 миллиона рублей либо эквивалентный доходу виновного лица за один-три года (статья 274.1 УК РФ).
Государственные информационные системы являются объектом повышенного интереса среди злоумышленников ввиду:
- Высокой значимости и чувствительности информации в ГИС
- Общественного резонанса в случае успешной кибератаки
ЗАПРОС КЛИЕНТА:
Провести тестирование на проникновение 10 государственных информационных системах региона
ЧТО БЫЛО СДЕЛАНО ПЕНТЕСТЕРАМИ SIMPLITY:
- Обнаружили уязвимость, эксплуатация которой дает нарушителю доступ в админпанель ГИС: хакер может извлечь данные из базы или полностью их удалить
- Обнаружили 2 уязвимости Zero Day в оборудовании, установленном у клиента. Эксплуатация уязвимостей позволяет злоумышленнику получить информацию о числе посетителей важного объекта и даже их внешности
- Направили информацию об уязвимостях в БДУ ФСТЭК и вендору
- Подготовили пакет рекомендаций по устранению текущих уязвимостей и повышению уровня защищенности Клиента
Что делать с уязвимостями Zero Day?
Zero Day — это ранее неизвестная ошибка в ПО или логике информационной системы, которая ещё не была устранена разработчиками. Такая ситуация означает, что клиент сталкивается с двумя ключевыми рисками:
- Нет механизмов защиты против данной угрозы.
- Существует потенциальная опасность атаки злоумышленников с эксплойтом данной уязвимости.
Специалисты по кибербезопасности Simplity порекомендовали Клиенту ограничить использование уязвимого оборудования до момента выхода официального патча производителя.
РЕЗУЛЬТАТ
- Клиент приостановил использование уязвимого оборудования и снизил риски утечки конфиденциальной информации
- Клиент узнал слабые места системы и приступил к их устранению
- Клиент выполнил регуляторные требования