Число ИБ-стартапов растет

Совсем недавно я писал о том, что российский рынок ИБ находится еще в стадии становления и на нем практически отсутствуют примеры не только слияний и поглощений, но и появления новых компаний - стартапов. Но вот краткий анализ показал, что ситуация сдвинулась с мертвой точки. За последний год в России появилось сразу несколько компаний-новичков. Основной акцент в их деятельности сделан на консалтинг и другие сервисы в области ИБ. Итак, какие игроки у нас появились: 1. Бюро профессиональных услуг 4x4 2. Центр "Аудит Информационной Безопасности" 3....

Подробнее…

Почему не срабатывают модели разграничения доступа

"В «доисторические» времена, когда персональных компьютеров еще не существовало и даже мейнфреймы были в новинку, контроль доступа, таким, как мы его знаем сегодня, не существовал. Доступ к компьютеру имели единицы проверенных людей в соответствующих ведомствах или исследовательских институтах и ВУЗах. Все знали и доверяли друг другу, и острой необходимости в разграничении доступа не было. Потом пользователей стало больше; надо было считать машинное время, выделяемое каждому из них. И именно в этом момент появился контроль доступа (access control)".Вот...

Подробнее…

О безопасности на уровне процессора

Мы часто и много слышим про безопасность персональных компьютеров, серверов и других оконечных устройств. Антивирусы, защита от утечек, HIPS, шифрование файлов… Все это составляющие защиты современного ПК/сервера. В ряде случае она расширяется за счет возможностей, встроенных в операционную систему. Но… есть одна тема, которая обычно не поднимается или очень мало описана в СМИ. Речь идет о безопасности на уровне материнской платы (motherboard) и дополнительных чипов, которые могут быть интегрированы в эти платы. Поэтому я и написал для журнала...

Подробнее…

Infosecurity Europe 2008 - первые впечатления

Длительный перелет "Сайгон - Москва - Лондон" завершился и вот я прибыл в столицу Объединенного Королевства с целью посещения выставки InfoSecurity Europe 2008. Позволю себе тезисно пробежаться по выставке и представить свои первые впечатления:1. Посетив последние 4 выставки InfoSecurity как в Лондоне, так и в Москве, могу с уверенностью утверждать, что первая является более организованной, более зрелой и более представительной выставкой, чем московская. Это выражается во всем - в предварительной регистрации, в рассылке каталога и бейджа всем зарегистрировавшимся...

Подробнее…

Ударим ЗУБРом по непрофессионализму

Напомню, что в России уже 4 года существует национальная отраслевая премия "За укрепление безопасности России" (ЗУБР) от издательства "Гротек", которая призвана наградить лучших в отрасли безопасности. Премию сложно назвать национальной, т.к. включает в себя только три категории - информационная безопасности, антикриминал-антитеррор и пожарная безопасность. Но дело даже не в этом. Согласно задумке организаторов ЗУБР в виде массивной чугунной уменьшенной копии зубра должен вручаться лидерам отдельных сегментов рынка. Но вот тут и кроется вся загвоздка....

Подробнее…

Психология бизнеса (MUST READ)

Давно на секлабе не было статей, которые бы не просто описывали какие-то сугубо технические детали и не просто были бы полемическими или дискуссионными. Речь идет о статье Шнайера "Психология безопасности" (часть 1, часть 2). В ней автор обратился к очень нетрадиционной теме в области ИБ - восприятие рисков, разница между реальностью и ощущением безопасности. Ну о-о-о-о-чень интересный материал. Многие описываемые моменты позволяют понять, почему принимаются те или иные решения в области безопасности, почему люди готовы открывать опасные вложения,...

Подробнее…

Первые открытые межвузовские соревнования по защите информации

С 25 по 28 апреля 2008 г. Уральский государственный университет им. А.М. Горького (г. Екатеринбург) совместно с Клубом Профессионалов АСУ Урала проводит Первые межвузовские российские студенческие соревнования по защите информации по международным правилам «Capture The Flag» под названием RuCTF 2008.Capture The Flag – игра, в которой проверяются умения участников защищать компьютерные системы. Это первые подобные соревнования в России. В игре несколько команд соревнуются друг с другом. Каждая команда получает от жюри сервер с предустановленным...

Подробнее…

Принят порядок классификации систем обработки персональных данных

В Консультанте появился текст "Приказа трех" "Об утверждении порядка проведения классификации информационных систем персональных данных". Это совместный приказ ФСТЭК, ФСБ и Мининформсвязи. Каковы его особенности, достоинства и недостатки:1. Классификация осуществляется операторами персональных данных. Т.е. не за вас принимают решение об отнесении вас к какому-либо классу, а вы это делаете самостоятельно. Это очень большой плюс. Правда, класс может быть пересмотрен по результатам проверки вас со стороны регуляторов, но проводится они могут не когда...

Подробнее…

О заблуждениях в безопасности, ставших классикой

Опубликовал тут статью "О заблуждениях в безопасности, ставших классикой" про три священных коровы ИБ, которые давно уже "протухли": - ISO 27001 - численная оценка рисков- триада "конфиденциальность, целостность и доступность".Читать...

Подробнее…

Microsoft покупает Касперского?..

Не 1-е апреля все-таки... Поэтому решил сослаться на достаточно интересную заметку про потенциальную покупку "Лаборатории Касперского" Microsoft'ом. Судить о ее правдивости пока рано, но выводы в ней сделаны в общем-то правильные - в предверии выхода на IPO Касперскому продаваться неразумно.ЗЫ. Подозрение вызывает только тот факт, что это единственная запись в данном блоге. Возможно это и утка, чтобы поднять цену на Касперского впредверии выхода на I...

Подробнее…

Почему я выбрал Blogspot, а не LiveJournal

Меня как-то спросили, почему я выбрал Blogspot для своего блога, а не тот же LiveJournal, который и более популярен и данные из него можно автоматически транслировать с помощью различных методов на другие сайты.Можно долго объяснять мотивацию, но сейчас я зашел к Ильмару на блог "Слеза ИБэшника" и нашел доказательство - простое, понятное и легко демонстрируемое ;-)ЗЫ. Обратите внимание на рекламный баннер ;-) Я бы не хотел иметь такой у себя на сайте...

Подробнее…

Свободное ПО - новый российский фетиш

Мининформсвязи опубликовало концепцию развития свободного ПО, одной из целей которой является укрепление национальной и, в частности, информационной безопасности. Произойдет это за счет обязательного предоставления исходных кодов программ. А теперь несколько комментариев к этому интересному решению.Во-первых, такой ход повлечет за собой активное использование такого ПО в госструктурах, которые захотят не платить за софт (возможно за поддержку) или платить гораздо меньше, чем стоит коммерческий "закрытый" софт. И это нормальное желание сэкономить...

Подробнее…

О моделях зрелости, ISO 27001, 15408, ROI в безопасности и многом другом...

Интересная дискуссия развернулась на форуме по ИБ на банковском сайте bankir.ru. Если по поводу моделей зрелости действительно есть, о чем говорить, то другие темы достаточно интересны. Например, что такое ОУД в ISO 15408? Это уровень доверия к объекту оценки, т.е. системе защиты, или к оценке оценщика? Оказывается есть специалисты, которые уверяют, что вторая трактовка единственно верная, что российской аутентичный перевод 15408 не соответствует оригиналу, и что нашим разработчикам стандарта надо еще многому учиться.Аналогичная "битва" развернулась...

Подробнее…