Исследуя конкурентов

Рассуждений пост: о будущем OSINT-аналитики в России. Часть 2⚡️ Продолжаем рассуждать о будущем OSINT-аналитики в России. Сегодня поговорим о судьбе независимых OSINT-исследователей, а также о рынке OSINT-услуг в России. 🔽Начнем с рынка OSINT-услуг. В ранее рассмотренном фрагменте дискуссии представитель ФСТЭК Виталий Лютиков обозначил позицию относительно предоставления услуг по анализу цифрового следа компаний и сотрудников компаний сторонними организациями. По сути все просто - важно заключение договора на оказание услуг такого характера. Наиболее подходящим из существующих ОКВЭД для таких услуг является группа ОКВЭД 63.99 "Услуги информационные прочие, не включенные в другие группировки", в частности: ▶️63.99.10.110. Услуги по поиску информации за вознаграждение или на договорной основе ▶️63.99.10.130. Услуги по сбору и обобщению фактов и информации, кроме списков адресатов ❗️Обратим внимание, что в рамках дискуссии речь шла о поиске информации в отношении заказчика.

Т.е. я (компания) обращаюсь за услугами по анализу цифрового следа к исполнителю и эти мероприятия проводятся именно в отношении меня (компании).

Во всех остальных случаях, по мнению Виталия Лютикова - это "не законная история". Я не согласен с мнением Виталия. Как минимум в двух случаях можно вполне легально оказывать такие услуги: ▶️OSINT может рассматриваться как один из элементов системы должной осмотрительности компаний при проверке контрагентов. Тут есть вопрос в границах применения, но все же. ▶️OSINT может рассматриваться как инструмент сбора доказательств в рамках судебного разбирательства. Об этом говорила Ангелина Балакина, а также об этом не плохо написал в своих постах Игорь Бедеров: [1], [2]. ▶️Третий случай - это как раз анализ цифрового следа физических лиц и сейчас это самая сложная относительно правового обоснования история. ❗️При этом, обратим внимание на следующее. OSINT в рамках дискуссии рассматривается как инструмент информационной безопасности, в частности тестирования на проникновение. Тестирование на проникновение является лицензируемым видом деятельности, кстати лицензирование по данному виду деятельности проводит именно ФСТЭК. Добавьте к этому слова представителя ФСТЭК, сказанные относительно лицензирования OSINT, и вы поймете почему окончательного решения о лицензировании пока нет. Для них это одно и тоже. Но это если вы работаете в легальном поле. Если OSINT-аналитик работает "из тени" в условиях личной анонимности, то его это не касается. И это очень глубокая мысль. Услуги в области OSINT сейчас - это в большей части теневой сектор экономики. Оценить его объем довольно сложно, также как сложно оценить качество предоставляемых услуг. Вместе с тем. Сам факт наличия на рынке предложений по оказанию OSINT-услуг приводит нас к следующей цепочке рассуждений: Если есть услуги, то они должны быть оказаны качественно ▶️ качество определяется исходя из критериев оценки результата▶️ наличие критериев оценки результата неизбежно приводит нас к вопросу сертификации, поскольку качественный результат может получить только специалист, который понимает, что значит качественно ▶️ необходимость сертификации приводит нас к вопросу изучения и осмысления дисциплины OSINT на другом уровне относительно текущего. На уровне образовательного стандарта. 📑Не профессионального стандарта, который прямо скажем - так себе, а на уровне систематизации знаний, умений и навыков. Про курсы. Ни один из курсов, которые сейчас представлены на рынке, не то чтобы не дотягивает до уровня образовательного стандарта - у них просто другая цель. Какая? 💰 🔖Сейчас умения OSINT-аналитика можно оценить только на практике. Других вариантов нет. И то, на практике может оказать, что человек просто обратился за помощью к сообществу, чтобы решить тестовое задание. Это ещё одна проблема - проблема оценки квалификации. 🔖Если говорить о заказчиках, то сейчас работает модель "сарафанное радио", когда заказчик приходит по рекомендации от друзей или коллег, которые уже имели опыт работы с отдельными специалистами и клиентский опыт их устроил.

Рассуждений пост: о будущем OSINT-аналитики в России. Часть 1 ⚡️ Вчера в рамках PH Days 2024 прошла очень интересная дискуссия, которая носила название OSINT по-взрослому. Запись можно посмотреть тут, а список участников дискуссии тут. Прослушав дискуссию и перечитав интервью с Ангелиной Балакиной у меня сложилось некоторое концептуальное видение о будущем OSINT в России, и о том как можно работать OSINT-аналитику в рамках правового поля. Хочу поделиться с Вами мыслями по этому поводу и ещё обсудить кое-что важное. Данный пост будет опубликован в трех частях: ▶️В первой части мы поговорим о применении OSINT компаниями в отношении самих себя в части обеспечения информационной безопасности. ▶️Во второй мы поговорим о деятельности независимых OSINT-аналитиков, а также затронем тему рынка OSINT-услуг в России. ▶️В третей мы поговорим об OSINT концептуально и пофантазируем, о том каким мог бы быть следующий шаг на пути к законодательному регулированию OSINT в России. Важное примечание. Описанное далее касается только тех специалистов и компаний, которые хотят работать в легальном поле. 💬 Общая канва дискуссии свелась к использованию OSINT в рамках мероприятий по информационной безопасности и легитимизации данных действий, что логично учитывая тематику форума. При этом, по моему мнению, тема обсуждения взята крайне узко, поскольку сами спикеры не раз говорили о том, что OSINT применяется не только в рамках мероприятий по информационной безопасности. Общее впечатление, сложившееся от дискуссии отлично описал мой коллега Sсhwarz_Osint, поэтому переходим к самому интересному - мнению регулятора, которое озвучил представить ФСТЭК Виталий Лютиков. Видео-фрагмент тут. Что важно подчеркнуть: ❗️ OSINT-мероприятия, проводимые компанией в отношении самой себя, должны быть регламентированы и отражены в документах компании ❗️ OSINT-мероприятия в отношении работников компании должны быть документально оформлены, сотрудник должен быть предупрежден о проведении таких мероприятий и дать свое согласие на их проведение Это кончено не официальные письменные рекомендации, но с этим уже можно работать. По сути, если компания использует OSINT как инструмент обеспечения собственной информационной безопасности, то для ведения этой деятельности в правовом поле нужно сделать условно две вещи: 🔖Разработать регламент проведения OSINT-исследований, в котором будет четко прописано для чего, как, при каких условиях и в каких рамках проводится OSINT-исследование, какие инструменты и типы данных будут использоваться, как должен оформляться отчёт об исследовании и т.д. Аналогичные пункты необходимо внести в положение о проверке контрагентов при необходимости. 🔖Внести в форму "Согласия на обработку персональных данных" пункт примерно такого содержания:

..даю согласие на проведение в отношении меня мероприятий по сбору, обработке и анализу данных, находящихся в открытых источниках

Исследование проводится согласно регламенту. 🔽 Кстати согласие на обработку персональных данных подписывают не только работники, но и клиенты, а также соискатели при трудоустройстве. Такой подход позволит закрыть множество рабочих вопросов, но нужно согласовывать с юристами. Безусловно, в рамках разработки регламента нужно учесть множество нюансов, но в итоге Вы получите рабочий документ, который на данном этапе развития индустрии OSINT в России сможет обезопасить компанию и её работников от возможных правовых рисков при использовании OSINT в решении профессиональных задач. ❓ Почему компанию и её работников? Потому что я по себе знаю, что многие задачи в рамках рабочего процесса ставятся неформально (без документального подтверждения). Формально если нет письменного задания от руководства, то OSINT-аналитик как-будто ищет информацию по собственному желанию. Есть нюансы, но со стороны это выглядит именно так. Разработка регламента снимает данный вопрос. Процедура проводится по регламенту и в определенных случаях.

Борьба с агрегаторами утечек персональных данных в свете законопроекта о привлечении к уголовной ответственности ⚡️ В декабре 2023 года в Государственную Думу России был внесен законопроект, предусматривающий уголовную ответственность за незаконные использование и передачу, сбор и хранение компьютерной информации, содержащей персональные данные. 🔽Законодатели предлагают дополнить УК РФ статьей 272.1 "Незаконные использование и(или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее незаконного хранения и (или) распространения". ❗️Из сути законопроекта становится понятно, что в первую очередь он направлен на пресечение деятельности агрегаторов утечек персональных данных (ботов для "пробива"). Ни для кого не секрет, что агрегаторы утечек персональных данных, на ряду с другими источниками данных, используются некоторыми OSINT-аналитиками в рамках проведения различных исследований. ❓Учитывая данный факт возникает множество вопросов относительно возможности привлечения к уголовной ответственности OSINT-аналитиков за использование утечек данных, а также в принципе возможности привлечения к уголовной ответственности за использование персональных данных в рамках OSINT-исследований. ▶️Об этом и иных юридических тонкостях законодательства в области персональных данных поговорили с руководителем практики юридической фирмы Orlova\Ermolenko, членом "Ассоциации российских специалистов по защите данных" - Ангелиной Балакиной.

Некоторые выводы из нашего с Ангелиной разговора оформил в виде карточек для удобства восприятия. Советую также ознакомится с полным текстом беседы, в котором Вы сможете найти множество интересных инсайтов относительно использования персональных данных.

🌐Ссылка на статью. P.s. Отдельное спасибо за помощь в организации данного интервью хотел бы выразить директору по PR и внешним коммуникациям компании Versus.legal - Алексею Заварзину. Спасибочки 🫶 👁

Детали проверки иностранных компаний 💼 В ходе исследования компаний, которые ведут бизнес в России, Вы можете встретить такие компании, о которых нет сведений в ЕГРЮЛ. Сегодня расскажу о том, в каком случае это возможно. На территории России могут вести бизнес не только отечественные, но и иностранные компании. В пределе существует три возможных сценария как иностранная компания может вести дела в России: ▶️Зарегистрировать дочернее предприятие. В этом случае иностранная компания или её представители (или номиналы) будут являться учредителями новой компании, которая будет носить статус налогового резидента Российской Федерации (подробнее ст. 246.2. НК РФ).

Налоговое резидентство - это юридический статус, который определяет, является ли лицо налогоплательщиком определенной страны, в нашем случае - Российской Федерации.

Информация о таких компаниях есть в ЕГРЮЛ. ▶️Открыть филиал иностранной компании на территории России. Механика следующая. На территории России создается обособленное структурное подразделение иностранной компании, которое является его составной частью (филиал / представительство), регистрация нового юридического лица - не требуется. Каждой иностранной организации присваивается ИНН, который обязательно начинается с цифр: 9909... Так их можно идентифицировать при первичном анализе документов. ⚡️Информацию об аккредитованных филиалах иностранных компаний можно найти в соответствующем реестре ФНС. Рисунок выше. ▶️Открытие расчетного счёта в российском банке. Иногда для сотрудничества с партнерами из (в) России иностранным компаниям достаточно открыть счёт в российском банке для получения (отправки) платежей. В этом случае компания является НЕрезидентом. ❗️ При открытии счёта также происходит постановка компании на учет в качестве налогоплательщика (ИНН 9909...), но сведения о такой компании в открытых источниках найти крайне сложно. Максимум, что можно найти - это сам факт постановки на учёт такой компании. Сделать это можно через ЕГРН.

Друзья, всем привет! 👋 Давненько ни чего не публиковал, извиняюсь за долгое отсутствие. За последнее время успел провести несколько не публичных исследований, написать пару статей, одну из них вы можете прочитать выше, но это не самое главное. 🔽 Буквально в прошлую пятницу мы с коллегой из юридической фирмы Orlova\Ermolenko разобрали законопроект внесения изменений в УК РФ в части неправомерного доступа к компьютерной информации, содержащей персональные данные. В сообществе его уже окрестили как законопроект по борьбе с ботами для "пробива". Скоро выпустим материал по этой теме. ❗️Тема архиважная для каждого OSINT-аналитика и тем более для компаний, которые держат в штате таких специалистов. Таких компаний, кстати, не мало. Следите за обновлениями.

Вышел в свет майский номер журнала для генеральных директоров и собственников компаний "Безопасность компании". Главная тема номера – Дробление бизнеса: налоговые последствия и инструменты идентификации Сегодня мы предлагаем вам ознакомиться со статьей Владимира Лазарева на эту тему. В ходе своего ежегодного послания к Федеральному собранию Президент России Владимир Путин отметил ключевые направления работы и стратегические задачи, над которыми в ближайшее время предстоит работать органам государственной власти. Одной из тем, которой Президент уделил особое внимание, является налоговая нагрузка на бизнес, в частности, использование бизнесменами механизмов налоговой оптимизации посредством искусственного дробления бизнеса. В данной статье мы поговорим о том, почему бизнесмены прибегают к механизму налоговой оптимизации через дробление, подробно разберем работу данного механизма, рассмотрим правовую сторону вопроса, а также произведем оценку рисков работы с такими компаниями с точки зрения экономической безопасности. 📜Прочитать статью Ознакомиться с другими интересными статьями вы можете на нашем сайте www.sec-company.ru Продолжается подписка на издания ИД «Советник», 2024 г. Также Вы можете оформить подписку на наши издания в редакции на любой период с предоставлением полного пакета документов для бухгалтерии: - по тел.: +7(977) 953-20-53, +7(499) 404-21-71 - e-mail: [email protected] При оформлении годовой подписки - Вы уже сейчас сможете читать вышедшие номера за все года в формате "Доступ к электронным журналам". Ознакомиться с условиями ПОДПИСКИ На сайте Вы найдете много интересной и полезной информации в разделах "ПОЛЕЗНОЕ", "Публикации" и "Новости".

Получение копий учредительных документов 📑 Наконец-то тот самый сервис, о котором я писал ещё в начале года, начал стабильно функционировать. Я говорю о сервисе ФНС, позволяющем получить копии учредительных документов 🥳🥳🥳

Ради справедливости будет сказано, что получить копии учредительных документов можно было и раньше, но это требовало направления официального запроса в управление ФНС по месту регистрации юридического лица.

❓ Как работает запрос документов? По сути все просто: поиск сведений о юридическом лице осуществляется по ОГРН, далее Вы выбираете из списка представленных документов необходимые, ставите галочку и нажимаете кнопку "Получить". 💡Зачем анализировать учредительные документы? [тут будет ссылка на статью, уже пишу] ❗️ Из минусов: вход в сервис осуществляется через "Госуслуги". Хотя, возможно, это даже и хорошо. 🌐 Ссылка на сервис P.s. Cервису однозначно - лайк, ФНС - моё почтение! 👁

Данные дропов, обслуживающих нелегальные казино 💳 ❗️ Хочу поделиться с Вами крайне интересной и важной информацией. Проект "Платежный ЩИТ" собирает базу банковских карт p2p-дропов, которые используются нелегальными казино и беттинговыми компаниями для приема и вывода средств. 🔽 Сама по себе база представляет собой Google документ, доступ к которому вы можете получить по ссылке ниже. На данный момент в базе насчитывается 50,7 тыс. номеров карт различных банков с привязкой к онлайн-казино, в которых они используются. Практически каждый день база пополняется новыми данными.

Как вообще в принципе можно найти такую информацию? Пополнение счёта на сайте онлайн-казино происходит через мерчант-аккаунт - это специальный счёт, который позволяет казино принимать платежи с помощью банковских карт. Номера данных карт и коллекционируют коллеги из проекта "Платежный ЩИТ".

В чем мотивация? В том, чтобы у сотрудников банковской сферы, а также госструктур была возможность оперативно выявлять и блокировать такие карты, тем самым пресекая нелегальную деятельность.

P.s. В моем представлении данная база - это ценнейший источник данных, который поможет идентифицировать дропов в рамках OSINT-исследований. Регулярно делаю back up данной базы на всякий случай. 🌐 Ссылка на документ

Поиск информации о физических лицах: США

Принято считать, что США - это одна из тех стран, в которых довольно сложно искать информацию о физических лицах. На самом деле это не совсем так. Сегодня я хочу поделиться с Вами одним сервисом, который ни раз выручал меня в части поиска информации о сотрудниках компаний и фрилансерах из США.

🔖Free Background Check - это агрегатор данных о физических лицах США, полученных из различных открытых источников. В основном, кончено, государственных реестров. Данный сервис предоставляет данные по следующим категориям: ▶️Поиск по адресу недвижимости ▶️Ордера на арест ▶️Записи о рождении ▶️Судебные протоколы ▶️Судимости ▶️Поиск по электронной почте ▶️Протоколы арестов ▶️Записи о браке ▶️Поиск людей по ФИО ▶️Обратный поиск по номеру телефона ▶️Поиск по номерному знаку ▶️Поиск заключенного ... etc ❗️ Не спешите радоваться, всегда есть нюансы. Доступ к данному сервису - платный и просто так зарегистрироваться не получится. Нужно обращаться в службу поддержки, заключать договор и т.д. ⚡️Но вы же понимаете, что просто так я бы не стал о нем рассказывать? Дело в том, что данный сервис также является крупнейшей библиотекой, содержащей ссылки на открытые государственные реестры США по большей части выше обозначенных категорий. Т.е. агрегатор взымает плату за составление отчётов в автоматическом режиме, а в ручном вы можете собрать самостоятельно и совершенно бесплатно.

Друзья, всем привет! 👋 👥 Коллеги из "Северной Пальмиры" подготовили интересное чтиво на выходные. В проведенном ими OSINT-исследовании идет речь о деятельности приступного сообщества, которое в СМИ назвали Fujian Gang. 🔽 Насколько я понял из текста расследования, речь идет о том, что группировка организовала незаконный игорный бизнес, который "крышевался" крупными чиновниками камбоджийского истеблишмента. P.s. В террариуме единомышленников, который ещё называют OSINT community, очень мало взаимной поддержки. Меня лично не репостят даже те, кто часто обращается за помощью. Поэтому, хоть я уже долгое время не являюсь членом команды "Северной Пальмиры" решил поддержать коллег и рассказать об их исследовании. Делайте больше, делайте лучше!