Если ничего не произойдёт, это может стать сигналом другим «активистам» о безнаказанности подобных действий.

Давайте определимся ! 1. автор заметки виновен в том что открыл этот недостаток или все таки 2. в том, что опубликовал его в общедоступном месте когда не увидел понимания проблемы со стороны владельца  или 3. Все равно виновен поскольку проявил недолжный интерес к интернет ресурсам 4. Действия автора оправданы ибо были нацелены на открытость общества и скорейшее устранение недостатков, которые могли повлечь человеческие жертвы  ?

а причем здесь его мотивация? автор умышленно осуществил неправомерный доступ к чужой инфраструктуре и информации. Уже этого достаточно для квалификации уголовного преступления.

Автор совершил КА результатом которой стал неправомерный доступ к охраняемой законом информации.
Всю муть про белых и пушистых хактивистов нужно оставить для детского сада. У РЖД нет багбаунти программы, так что гражданин перешёл границы дозволенного многократно, и влезая в систему, и публикуя в открытых источниках информацию о способе взлома.

Вообще странно видеть в чатах по ИБ разрозненность мнений. Видимо граница проходит между теми кто отвечает за ИБ в организациях и всеми остальными :)

Зато у ржд сразу нашлись силы время и желание это все закрыть

🤣🤣🤣🤣🤣🤣

Целую КА , интересное мнение.  К какому виду/ типу относилась эта КА ?

Вам по какой классификации?

Люди получат три года условно просто за сканирование устройств в интернете. К чему эти споры?

Это не спор. Это обмен мнением и опытом. Мне вот интересно узнать к какому типу коллега отнес данный вид КА , если он вообще был)

Вот это и опасно, поскольку судебная практика очень противоречива и несовершенна.

Она однозначная. Такие действия - это уголовное преступление.

Сканирование портов, подбор аутентификационных данных, эксплуатация уязвимостей и недостатков настройки

Всем доброго времени суток! Подскажите, пожалуйста, какие мероприятия входят в план действий в нештатных ситуациях? О каких именно нештатных ситуациях идёт речь? Спасибо!

Вы где прочитали про этот план?

Приказ 239 Фстэк. ДНС.1

Сотни заключённых в Аризоне имеют право на освобождение, но из-за ошибки в ПО для управления тюрьмами не могут выйти.

Вы сами решаете. Нештатная ситуация - это когда система работает не так, как должна, и это - результат реализации угрозы. В этот момент вы должны уже хотя бы примерно представлять, кто что с ней должен делать.

Соответственно, как минимум, у вас должен быть план действий на случай "хрен знает, что происходит, но что-то не так". И план действий на этот случай простой: "Вот этот человек отвечает за принятие решений, вот эти люди - админы основных компонентов, вот эти отвечают за инфраструктуру. В течение часа они должны собраться, в течение трех часов - диагностировать проблему, в течение шести часов - выдать временное решение, в течение недели - выдать нормальное решение".

В идеале у вас должна быть модель угроз. Если вы будете делать эту модель по методике ФСТЭК, у вас будут понятны возможные базовые действия нарушителя. Соответственно, возможных ситуаций у вас будет больше ("задефейсили веб-морду", "нет доступа к бэкэнду", "шифровальщик все нахрен зашифровал" и т.п.). На каждую такую нештатную ситуацию у вас должен быть примерный план, кому куды бечь.

А план тупо ради "у нас есть ДНС.1" не нужен ни вам, ни ФСТЭК.