Письмо Минобрнауки России от 29.11.2024 № МН-19/1347

«О мерах по повышению защищенности информационной инфраструктуры Российской Федерации»

Департамент цифрового развития Минобрнауки России (далее — Департамент) сообщает, что исходя из анализа сведений об утечках баз данных организаций, не связанных с деятельностью органов государственной власти Российской Федерации (фитнес-клубы, аптеки, интернет-магазины и другие организации), проводимого специалистами ФСТЭК России, в ряде случаев при регистрации на различных сайтах и сервисах в качестве идентификаторов пользователи используют служебные данные (адреса служебной электронной почты, номера телефонов), закрепленные за работниками организаций.

Департамент отмечает, что служебные данные работников могут быть использованы злоумышленниками для проведения целевых фишинговых атак и дальнейшей реализации угроз безопасности информации, связанных с методами социальной инженерии, в отношении информационной инфраструктуры органов государственной власти Российской Федерации.

С целью предотвращения указанных угроз безопасности информации Департамент рекомендует принять следующие организационные меры по повышению защищенности информационной инфраструктуры организаций, подведомственных Минобрнауки России.

1. Запретить работникам сообщать, указывать служебные данные на сервисах (сайтах), не связанных с их служебной деятельностью, а также осуществлять регистрацию с использованием служебных данных на указанных сервисах (сайтах).

2. При необходимости указания служебных данных на стороннем сервисе (сайте) осуществлять проверку достоверности и безопасности данных сервисов (сайтов), обращая внимание на соединение по протоколу HTTPS и наличие действительного SSL-сертификата.

3. Регулярно проводить информирование работников по вопросу безопасного применения электронной почты.

4. Организовать регулярную проверку фактов утечки служебных данных работников с применением сервиса «Проверить утечки» на сайте «Безопасность пользователей в сети „Интернет“ (https://chk.safe-surf.ru).»

5. Организовать работу с электронной почтой под учетными записями пользователей с минимальными возможными привилегиями.

6. Запретить хранение в менеджерах паролей браузеров аутентификационных данных от сервисов (сайтов), где используются служебные данные работников.

Дополнительно информируем о необходимости принятия мер по недопущению распространения настоящих рекомендаций в информационно-телекоммуникационной сети «Интернет».

---