По информационному письму ФСТЭК от 2 июля 2017 г. N 240/22/3171

    Посыл регулятора понятен, особенно с учетом позднего реагирования на вирусные атаки - аттестованные системы не должны были пострадать,а инциденты есть.  Посмотрим по отчетам ФСТЭК за 2017 год, повлияло ли это как то на количество и качество проверок.
     Интересные моменты из сообщения:

1. Признано регулятором, что пострадали от WannaCry, Petya, Misha и их модификаций информационные системы органов государственной власти.

2. ФСТЭК считает, что выполнение 17, 21 и 31 приказа достаточно для защиты от данных угроз. И никаких упоминаний об информационных системах, аттестованных по РД и СТР-К.

3. Непонятно, почему ФСТЭК считает, что указанные в информационном сообщении меры необходимы при выполнении этих приказов.( В том же 21 приказе для УЗ-4 и УЗ-3 совсем не требуется «периодическое резервное копирование информации на резервные машинные носители информации и обеспечение возможности восстановления информации с резервных машинных носителей информации» и т.д.).

4. Требование о выполнении меры «обнаружение и реагирование на поступление в информационную (автоматизированную) систему незапрашиваемых электронных сообщений (электронных писем, документов);» - это ОЦЛ.4 и это просто «антиспам» система, что совсем не гарантирует защиту от этого ПО. И опять же, данные системы не обязательны для УЗ-4 и УЗ-3.

5. Пишут, про «за счет эксплуатации уязвимости операционной системы Windows и пакета программ Microsoft Office (BDU:2017-01034), а также уязвимостей протокола SMB v.1 (BDU:2017-01095, BDU:2017-01096, BDU:2017-01097, BDU:2017-01098, BDU:2017-01099, BDU:2017-01100), позволяющих нарушителю выполнить произвольный код.» и возникает у меня такой вопрос – ведь существуют сертифицированные версии Windows.