Современные ИБшники перестали посещать курсы обучения или почему я больше не пишу книг

На днях в зарубежном Твиттере один из пользователей поднял вопрос о том, какие каналы чаще всего используются при обучении современные специалисты по ИБ. Варианты были даны следующие - книги, блоги, презентации/доклады или что-то иное (Twitter не позволяет в опросе использовать более 4-х пунктов). Интересно, что курсы обучения в список вариантов даже не попали, что само по себе интересно (либо они попали в Talk, либо в Something else). В любом случае на них приходится не так много голосов - основной способо обучения сегодня представляют блоги. Причины тут, на мой взгляд, просты. Подчерпнуть новые знания из блога можно очень быстро и не вставая с дивана (ну или с борта самолете или из зала ожидания в аэропорту). Приятно, что второе место отдано книгам, но оно все-таки второе, а не первое :-(

Я решил "украсть" идею и спросил тоже самое у своих подписчиков в Твиттере и в Телеграме (в Фейсбуке число вариантов ограничено всего двумя, поэтому я не стал там спрашивать). В Телеграме "Олимп" также заняли блоги. На втором месте прочно обосновались курсы, а третье отдано книгам (хоть в тройку вошли). 

В Твиттере (я надеюсь с Телеграмом аудитория голосовавших не пересекалась) блоги вырвались гораздо дальше, чем в Телеге или у "иностранцев". Второе и третье места также были поделены между курсами и книгами соответственно.

Глубокие выводы делать на основе этой статистики, наверное, не имеет смысла, но парочка напрашивается само собой. Во-первых, абсолютное большинство безопасников по-прежнему предпочитает читать, но уже не длинные тексты, а что-нибудь покороче. Не зря после поколения NEXT появилось поколение SMS, которое любит короткие тексты.

Отсюда следует второй вывод - писать сегодня книги по ИБ не имеет большого смысла. Разумеется при условии, что книга пишется как источник знаний. Порадовать маму или потешить свое самолюбие - вполне себе мотивы для написания книги, но не более. Если вы пишете книгу ради денег, то разочарую, на этом много денег не сделаешь. Свою первую книгу "Обнаружение атак" я писал в 2000-м году и потратил на нее около года, а гонорар составил меньше моей месячной зарплаты. Второе издание далось мне быстрее, но на полученные деньги ни год, ни даже месяц прожить было нельзя. Английское издание, а также соавторство в "Атаке из Интернет", не принесло мне ни копейки (это вообще две отдельные истории и хороший урок).

В России с книгами ситуация обстоит еще хуже, чем на Западе. Там просто огромный выбор книг на разные темы и от разных авторов. У нас же нормальных книг по ИБ не было оооочень давно (это я так мягко говорю) - авторов гораздо меньше, а интересно пишущих тем более. Поэтому фокус меняется на блоги - способ быстрого поглощения информации. Отсюда можно сделать третий вывод - формат блога очень востребован и жаль, что у нас не так много пишущих безопасников; знания не накапливаются и не передаются.

Интересно, что презентации у нас тоже не очень хорошо заходят как источник информации. Причина тут тоже лежит на поверхности - все устали от рекламы, которая превалирует на многих конференциях. Что-то интересное приходится выискивать по крупицам. Частично эту задачу выполняет Сергей Борисов, который на своем портале выкладывает избранные видео-презентации. Ну и большой потенциал у портала "Код ИБ. Академия", где выложено несколько сотен презентаций и видео со всех мероприятий Код ИБ (в том числе и "Профи"), но доступ к ним платный. Есть еще YouTube, но выискивать в нем что-то ценное непросто.

Подробнее…

Говорите на бизнес-языке?.. А что это?

И у меня в блоге, да и вообще, часто используется фраза "говорите на языке бизнеса", которую вроде все понимают, но не все и не всегда и не так :-) Собственно, когда я сам себе попробовал ответить на этот вопрос, то я сначала спасовал. А потом я вспомнил как учил иностранный язык, когда, среди прочего, помимо правил грамматики, я заучивал распространенные слова, которые должны позволить поддерживать беседу с иностранцами. Собственно в случае с изучением бизнес-языка, помимо умения правильно использовать нужные слова (в нужное время и в нужном месте), нужно знать, как минимум, сами слова. В итоге составил список бизнес-терминов, которые неплохо понимать любому безопаснику, который хочет, чтобы его понимал бизнес.

На полноту не претендую. К тому же я планирую его дополнять; а если хватит времени, то еще и добавлю толкование этих терминов применительно к кибербезопасности. Большая часть терминов есть в Википедии и там они достаточно неплохо описаны. Помимо указанных, общих для всех бизнесов, терминов, есть еще и сугубо отраслевая специфика, список терминов которой каждый должен составить уже себе сам.

Ну и если уж начали говорить про бизнес-язык, то могу посоветовать еще и книжку "Сам себе MBA", которая является неплохим руководством для тех, кто хочет понимать основы бизнеса, но не может потратить 2 года на программу MBA.

Подробнее…

Давненько не брал я в руки... перо и не писал книжек

Последняя моя книжка вышла в 2008-м году. С тех пор минуло уже 10 лет и вот я вновь в обойме пишущих длинные связанные тексты :-) По приглашению Клуба Топ-менеджеров 4CIO я принял участие в написании учебника CIO - проекта, стартовавшего в 2010-м году, и переживающего сейчас уже свою третью версию. Именно в третьей, последней версии, я и участвовал, занимаясь написанием главы по информационной безопасности.

Работа была непростой - в отличие от самостоятельной книги, которая может быть любого размера и ты сам волен решать, что писать, а что нет, данный учебник подразумевал только одну главу про ИБ, так как в деятельности CIO это всего лишь одно из направлений деятельности (и далеко не всегда главное). При этом отношение к ИБ у айтишников тоже разное - кто-то действительно погружен в эту тему по самое "не хочу", кто-то делегировал все своим безопасникам, а кто-то уживается с ними, живущими в своем мире compliance, угроз и проверок регуляторов. Вот это все я и пытался вместить в одну главу, сделав ее и практически полезной и интересной для чтения.

Не мне судить, что получилось, но вроде как целостная картина должна вырисовываться - от борьбы с угрозами и выполнения нормативных требований до попытки выйти на уровень бизнеса. В основе главы мои заметки в блоге, презентации, статьи, написанные в разное время и объединенные общей канвой - кибербезопасность в деятельности CIO.

Прошлые версии учебника выкладывались в электронном виде на сайте клуба - думаю и с этой будет тоже самое и в ближайшее время эта полезная в деятельности CIO и ИТ-специалистов книга будет доступна широкому кругу читателей. 

Подробнее…

Книги про проектирование, построение и эксплуатацию SOCов

А мы продолжаем нашу эпопею, посвященную SOCам. Вообще, сегодня, в день проведения SOC-Forum, я не хотел ничего писать про них, отдав место под другую публикацию. Но совершенно случайно, хотя очевидно, что Google подсовывает в выдаче явно не случайную выборку ссылок, я наткнулся на опубликованную неделю назад книжку "Security Operations Center: Building, Operating, and Maintaining your SOC".

Я ее читал еще до публикации и могу поделиться краткими впечатлениями. Книга разбита на пять частей, первая из которых вводная, а остальные 4 посвящены четырем этапам жизненного цикла SOC - планированию, дизайну, построение и эксплуатации.

Первая часть посвящена обзору проблем с ИБ, описанию 4-х поколений SOCов (чем сложнее атаки, тем более взрослое поколение SOCов позволит эти угрозы обнаруживать и нивелировать), моделям зрелости, оценке эффективности SOC, сложностям реализации и другим вводным и обзорным темам. В ней же приводится и обзор технологий, используемых современными SOCами, - сбор данных, управление уязвимостями, Threat Intelligence (я про это сегодня на SOC-Forum буду рассказывать), соответствие требованиям, управление кейсами и взаимодействие.

4 поколения SOC

В остальных частях более подробно раскрываются каждые из рассмотренных в первой части тем - с примерами, описанием нюансов реализации, плюсов и минусов, областью применения. Плюс книги - в ее свежести. Опубликованная на днях, она написана в этом году и поэтому базируется на самых последних достижениях в этой области.

Разумеется не обошлось и без погружения в терминологию, о которой я уже тут писал, и о которой вчера написал Эльман Бейбутов на Anti-Malware. Не буду сейчас описывать, что же авторы книги имели ввиду, говоря про SOC, SIEM, SIM, SEM, CSIRT и другие термины, а то опять погрязнем в терминах, забыв о главном.

Ну и нельзя не сказать, что в книге много примеров "про Cisco". Поэтому книга может быть вдвойне интересна тем, кто строит свою инфраструктуру на решениях этой компании (два из трех авторов трудятся в Cisco), и чуть менее интересна всем остальным. Хотя в ней немало и вендор-независимых советов и рекомендаций.

Раз уж нашлась одна книга, стал искать и другие. Нашел. Но только еще одну. Называется "Designing and Building a Security Operations Center".

Эта книга совершенно иная - в ней 11 частей, каждая из которых посвящена своей теме:

• Эффективные операции 
• Идентификация целевой аудитории для SOC
• Инфраструктура SOC
• Оргструктура
• Персонал и взаимодействие с другими людьми
• Ежедневные операции
• Тренинги
• Метрики
• Threat Intelligence
• Аутсорсинг.

В отличие от предыдущей книжки, систематизированной по этапам жизненного цикла центра управления ИБ, данный манускрипт больше похож на свод правил "делай так и не делай вот так". Такое впечатление, что автор свои записи "по теме", сделанные на стикерах, просто собрал вместе, как-то разбил по главам, и опубликовал в виде книги. Не скажу, что книга от этого стала хуже - даже наоборот; она интересна именно своей практичностью и примерами.

Пример главы "Ежедневные операции"

Завершает книгу перечень всех функций SOC, которые должны быть реализованы в от одной и до четырех областей - сеть, узел, приложение и данные.

Резюмируя, скажу, что выделить какую-то из этих двух книг я не могу; они обе хороши. Одна своей систематизацией; вторая - набором практических советов (хотя они безусловно есть и в первой книге). Поэтому использовать их можно в паре.

С содержанием обеих книг можно ознакомиться с помощью сервиса Google.Books:

• Security Operations Center: Building, Operating, and Maintaining your SOC
• Designing and Building a Security Operations Center

Подробнее…

Security for Dummies

Все, наверное, видели книжки из серии "для чайников" (for Dummies). На Западе это достаточно популярная серия, насчитывающая за сотню различных наименований по различным направлениям. Есть такие книжки и по теме информационной безопасности (это, кстати, неполный перечень - на Amazon есть еще). Но помимо платных изданий, существует практика выпуска и бесплатных книг, распространяемых в маркетинговых целях и спонсируемых той или иной компанией. Но при этом содержание в них вполне адекватное. Вот небольшой список таких книг:

• IT Security for Dummies 
• Web Application Security for Dummies
• Getting Started with Networking, Wireless and Security for Dummies
• Security Configuration Management for Dummies
• Converged Network Security for Dummies
• NetFlow Security Monitoring for Dummies
• Network Security in Virtualized Data Centers For Dummies
• VoIP Security for Dummies
• Cybersecurity for Dummies
• Securing Smartphones & Tablets for Dummies
• Big Data Security for Dummies
• Mobile Security & BYOD For Dummies
• DDoS for Dummies
• Next-Generation Firewalls for Dummies
• Unified Threat Management for Dummies
• Modern Malware for Dummies
• Intrusion Prevention Systems for Dummies
• Key Management for Dummies
• Network Security for Dummies
• Windows Vista Security for Dummies
• Mobile Device Security for Dummies
• Cryptography for Dummies
• CISSP for Dummies
• Windows 2000 Server Security for Dummies
• Hacking Wireless Networks for Dummies
• Computer Viruses for Dummies
• Rootkit for Dummies
• Network Access Control for Dummies
• Data Leaks for Dummies
• Identity Theft for Dummies
• Biometrics for Dummies

Обновление:

• Firewalls for Dummies
• Stopping Zero-Days Exploits for Dummies
• PCI Compliance for Dummies
• Hacking for Dummies
• IT Policy Compliance for Dummies
• Mobile Device Management for Dummies

Обновление:

• Point-of-Sale Security for Dummies
• Encrypted Traffic Management for Dummies

Обновление:

• Threat Intelligence for Dummies
• Trustworthy IT Business Partners for Dummies

Обновление:

• Endpoint Detection and Response for Dummies
• Advanced Persistent Threat Protection for Dummies
• Advanced Persistent Threat Protection for Dummies (это другая книгка с тем же названием)
• Integrated Threat Management for Dummies
• Endpoint Threat Detection, Response and Prevention for Dummies
• Next Generation Endpoint Protection for Dummies
• Network Security Management for Dummies

Обновление:

• Cloud Security for Dummies
• Vulnerability Management for Dummies
• Malware Isolation for Dummies

Обновление:

• Ransomware Defense for Dummies

Обновление:

• Industrial Cyber Security for Dummies
• Network Visibility for Dummies
• Network Visibility at Scale for Dummies
• Network Monitoring & Troubleshooting for Dummies
• Security Delivery Platforms for Dummies

Обновление:

• Secure Remote Access for Industrial Machines for Dummies
• Least Privilege Cybersecurity for Dummies
• Privileged Account Management for Dummies
• Cybersecurity for Dummies (это другая книгка с тем же названием)
• Website Security for Dummies
• DNS Security for Dummies

Обновление:

• Crowdsourced Pen Testing for Dummies

Подробнее…

Как уничтожать данные в электронном виде?

Знаем как уничтожить данные, зафиксированные на бумаге? Ну, наверное, да, - скажут многие. Шредер, сжигание, химическое уничтожение, закапывание... Кто-то использует эти методы, кто-то просто выбрасывает данные в мусорную корзину. А как обстоит дело с данными в электронной форме? Знаем ли мы как уничтожать то, что хранится в базе данных или просто в файле на жестком диске? Нажав "крестик" в "Проводнике" мы не уничтожаем данные, а всего лишь помечаем их и перемещаем в "Корзину", откуда данные элементарно восстановить. Но даже очищая корзину, данные не уничтожаются, и с помощью специализированного ПО их можно восстановить. Так как завершить жизненный цикл информации, подлежащей защите?

Ответ на этот вопрос очень неплохо описан в книге специалистов компании Cicada Security Technologies "Best Practices for the Destruction of Digital Data". Авторы начинают с того, что описывают в какой форме могут существовать данные в компании/ведомстве, чтобы учесть это в политике уничтожения. По их мнению данные могут быть "живые" (на хранении, в процессе передачи по защищенной и незащищенной сети) и устаревшие (достигшие срока своей жизни, сохранившиеся на вышедшей из строя технике или на носителях, которые подлежат апгрейду).

Затем авторы рассматривают 3 уровня уничтожения электронных данных (обычно уровень уничтожения зависит от уровня классификации информации):

• Очистка (clear), ярким примером которой является перезапись данных на носителях, содержащих уничтожаемую информацию. В лабораторных условиях такие данные можно восстановить.
• Очищение (purge), ярким примеров котором является Secure Erase из спецификации жестких дисков ATA или размагничивание. В лабораторных условиях восстановление уничтоженных таким образом данных считается невозможным.
• Разрушение (destroy), т.е. физическое уничтожение носителей путем сжигания, измельчения, плавления, расщепления, распыления и т.п.

Поскольку уничтожение данных - это непростой процесс, требующий не только регулярности, но и затрат, то вопрос, который надо задать первым: "Зачем надо уничтожать данные?" И на него авторы тоже дают ответ, рассматривая различные нормативные акты, требующие уничтожения данных - канадский PIPEDA, американский HIPAA и GLBA, международный PCI DSS, Евроконвенция по ПДн и т.д. Вообще обзор нормативных актов в книге неплохой; правда, американизированный донельзя. Но это и понятно. Авторы американцы, компания их американская и аудитория тоже.

Затем делается обзор стандартов уничтожения данных. Например, стандарт NISTа SP 800-88 "Guidelines for Media Sanitation" или документ американского МинОбороны DoD 5220.22-M. Среди других рассмотренных стандартов - канадские B2-001, G2-003 "Hard Drive Secure Information Removal and Destruction Guide" и ITSG-06 "Clearing and Declassifying Electronic Data Storage Devices". Вообще, книга очень часто ссылается на документ NIST. Например, из него взято очень неплохое дерево принятия решения о выборе метода уничтожения данных.

После приведенного анализа конструкции современных жестких дисков (концентрируются только на ATA и SCSI, не рассматривая внешние носители или современные жесткие диски на базе SSD) авторы много внимания посвящают неудачным или неэффективным по их мнению методам уничтожения данных - удалению файлов, форматированию и изменение разделов жесткого диска. Потом авторы освещают роль полного шифрования жесткого диска в процессе уничтожения данных, касаясь как программного, так и аппаратного шифрования.

Вторая половина книги более детально рассматривает различные механизмы уничтожения данных, описывая их преимущества и недостатки, риски и влияние на окружение.

Резюмируя, могу сказать, что книга интересна именно с точки зрения погружения в проблему и поиска лучшего варианта для уничтожения данных, хранящихся в электронном виде. Но... если перед вами стоит задача уничтожения данных, которые хранятся в автоматизированных системах, тот тут ситуация сложнее - книга на этот вопрос не отвечает. Как и на вопрос уничтожения данных на мобильных или сетевых устройствах. Но...

Когда эта заметка уже была написана и я проставлял ссылки на упомянутые в ней документы, оказалось, что NIST 6-го сентября выложил на обсуждение проект новой версии SP 800-88 по уничтожению данных, который коснудся вопрос уничтожения на сетевом оборудовании, мобильных устройствах, флешках, картах памяти, CD и т.п. Вообще SP 800-88 очень неплохо описывает, что и как надо делать по уничтожению данных, кто за это отвечает и какими документами этот процесс должен регламентироваться в компании.

ЗЫ. Кстати, уничтожение данных - редкий раздел в политиках информационной безопасности многих компаний. Как, собственно, и вообще учет жизненного цикла информации (я про него как-то писал в статье про классификацию информационных активов).

ЗЗЫ. Кстати, в книге нет ссылки на очень неплохой документ "DSS Clearing and Sanitization Matrix", сводящий различные методы уничтожения  данных для разных типов носителей.

Подробнее…

Как меня развели или об очередном творении в моей библиотеке

Предыстория... Наткнулся на Озоне на книжку "Экономика защиты информации" некоего Шепитько Г.Е.

Анонс меня привлек. Рецензии тоже. Там и про то, что ее все практики ИБ должны прочесть, и про возможность общаться с бизнесом после прочтения книжки, и про многое другое. Потом, правда, я обнаружил, что все рецензии даны в течение всего одной недели мая 2011 года. Содержание весомое.

Начал читать. Вообще автор местами просто удивлял. Начиная от предложения использовать методы страхования информационных рисков, опираясь на статистику, которой в нашей сфере просто нет. А как вам практическое задание по теме экономики защиты информации: "Период работы гражданина до пенсии составляет 40 лет, возраст его дожится после пенсии - 20 лет, причем размер пенсии не превышает 50% от его средней зарплаты. Сколько процентов от зарплаты он должен накапливать на банковском счету, чтобы получать 50% надбавку к пенсии при таком способе самофинансирования пенсии?" И причем тут защита информации спрашивается?

Раздел оценки информационных ресурсов тоже требует отдельного упоминания. Автор не знаком с методикой оценки нематериальных активов, утвержденных постановлением Правительства. Поэтому он предлагает свои вариант. Один из них просто донельзя - стоимость информационного ресурса равна стоимости лицензии на покупаемый продукт, который и называется информационным ресурсом. Дальше автор приводит свой метод расчета стоимости уникальной разработки и делает вывод, что такая стоимость не превышает единиц процентов от стоимости фонда заработной платы. Кстати, про стоимость самой информации, а не ПО автор вообще не пишет ни слова. Дальше больше. Автор дает методику расчета ущерба от инцидентов. Выводы следующие - стоимость прямого и косвенного ущерба соизмеримы, а стоимость потенциального ущерба на порядок меньше. Вот так - ни больше ни меньше. И плевать, что на практике размер прямого ущерба от утечки информации составляет копейки по сравнению с косвенным ущербом от ухода клиентов, размера исков, удара по репутации и т.д. Вообще автор под инцидентом, похоже, понимает только выведение из строя какого-либо узла сети в результате чего сотрудники простаивают и не работают.

Потом автор начинает вычислять интенсивность инцидентов. Ну тут я вновь умолкаю. "Теорема 2. При воздействии пуассоновского потока инцидентов внутренних преднамеренных нарушителей с переменным ресурсом поведения автономной линейной системы защиты первого порядка с переменными параметрами описывается вторым уравнением безопасности вида <две строки непонятных мне букв греческого и латинского алфавитов, цифр, знаков препинания и еще чего-то>". Дальше две практических задачки. Первая - "Системный администратор вуза получает ежемесячно 15 тысяч рублей. Чему равен его вклад в годовую чистую прибыль такого учреждения по оказанию образовательных услуг?". Вторая - "Оператор ввода информации на ПК стоимостью 10 тысяч рублей получает такую же месячную зарплату. Какова стоимость нового информационного ресурса созданного им в течение месяца?".

Третий раздел труда Шепитько Г.Е. посвящен категорированию объектов информатизации. Зачем-то он полез в тему персданных. Мало того, что он вводит новый гриф "персонально" и перевирает ФЗ-152, т.к. он еще накрутил там столько формул. Я, например, узнал, что то, что в "приказе трех" по классификации определялось как 3 значения объема ПДн (до 1000, от 1000 до 100000, и больше 100000 субъектов), на самом деле является "логарифмической интервальной шкалой измерений количества субъектов персональных данных". И если в обычной жизни я просто беру одно из трех значений данного показателя, то автор даже предлагает особую формулу для расчета этого значения (результаты, правда, получаются те же). А еще я не вкурил, зачем нужно рассчитывать зависимость значения категории объема ПДн Xнпд от их объема Vнпд по формуле Xнпд=3,5 - 0,217 * lnVнпд.

Потом идет много-много формул и таблиц расчета нелинейных скалярных показателей категорирования степени защиты ПДн. Я так и не вкурил. Видимо моего диплома прикладного математика не хватает для оценки глубины исследования. Но вывод, сделанный автором, меня зацепил. Оказывается, причин слабости защиты ПДн (выведено на основе формул) всего 4:

• слишком большой перечень лиц, допущенных ко всем записям базы ПДн
• низкая заработная плата допущенных лиц
• большая доля устаревшего оборудования с малой остаточной стоимостью
• отказы устаревшей техники и отсутствие резервирования.

Практическое задание в этом разделе такое: "В ИТ-подразделении коммерческого вуза находятся 4 компьютерных класса по 25 компьютеров каждый. Срок службы компьютеров - более трех лет, поэтому наблюдается ежемесячно более трех мелких компьютерных нарушений с ущербом не более 3 тыс.руб. Определите категорию важности такого объекта информатизации, содержашего коммерческую тайну".

В разделе про оценку рисков и эффективности системы защиты я узнал, что для оценки эффективности защиты недостаточно знания только экономического риска. Необходимо принять во внимание дополнительную "социальную нагрузку" на нее со стороны общества для одобрения им уровня допустимого риска в соответствии с ФЗ "О техническом регулировании". Также я узнал, что интенсивность потока допущенных инцидентов ИБ можно оценить по модели Остроградлского-Ланчестера-Осипова, разработанной в Генеральном штабе русской армии еще в 1905 году.

Дальше автор, попутно опустив Эйнштейна и назвав его "известный из газет А.Эйнштейн", утверждает, что вероятности ущерба от последствий инцидентов ИБ описываются логарифмически нормальным распределением. И на этом сей опус завершается. Из заданий этого раздела: "Оцените стоимость базы паспортных данных предпринимателей московского региона, если их количество не превышает 1 миллиона человек".

Потом обратил внимание на то, что на каждой странице от руки написан экземпляр книги. Вдумайтесь только. На каждой странице и от руки.

Я решил было посмотреть выходные данные, ан нет. Нет их. Тираж определить невозможно. Мне сразу подумалось, что речь идет о печати под заказ. Заказали книжку - напечатали; не заказали - не напечатали. Ну а как еще объяснить от руки подписанные номера экземпляров? Дальше больше. На первой странице предупреждение о контроле каждого экземпляра и ссылка на отмененный закон об авторских правах.

Но и это не все. В книгу был вложен вот такой листочек! Я его даже не буду комментировать - просто читайте и ужасайтесь.

ЗЫ. Не рассматривайте заметку, как рекламу книги!

ЗЗЫ. И ведь не первое апреля вроде. Но ржал наш офис, когда я читал выдержки, в течение пары часов. Массу удовольствия доставило это чтиво.

ЗЗЗЫ. Данное пособие планируется к включению в государственный образовательный стандарт третьего поколения. Мне жаль студентов, которые будут учиться по этой х..не.

ЗЗЗЗЫ. На форзаце висит гриф "Для внутреннего пользования". Хорошо что не для наружного применения.

ЗЗЗЗЗЫ. Книга посвящена светлой памяти резидента русской разведки Полежаева А.П., награжденного "За выдающийся вклад в информатизацию мирового сообщества". Билл Гейтс или Стив Джоббс отдыхают.

Подробнее…

Новое творение в мою библиотеку

Будучи в Нижнем Новгороде разжился новым раритом (издан тиражом в 500 экземпляров).




Читая вот такие книжки, допущенные УМО в качестве учебника для студентов ВУЗов, понимаешь, почему все, кому задаешь вопрос о качестве и уровне знаний выпускников, плюются и говорят, что их еще шлифовать и шлифовать. Ну нельзя, прочтя эту книжку, приблизится даже немного к понятию специалиста по ИБ ;-(

Казалось бы, все там есть. И ПЭМИН, и обзор законодательства, и защита сети, и персданные, и аутентификация, и уничтожение информации, и криптография, и вирусы и даже аутентификация по GPS. Но вчитываешься и что-то не то. Например, персданных всего три типа - общедоступные, специальные и биометрические (других просто нет). Раздел по брандмауэрам даже читать не захотел, когда увидел этот термин. Ну не говорят специалисты брандмауэр. Еще можно не использовать термины "зашифрование"/"расшифрование", но уж "брандмауэр"... Но в разделе брандмауэров бросились в глаза "мостиковый межсетевой экран" (видимо речь идет о bridge firewall или МСЭ канального уровня) и "межсетевой экран экспертного уровня" (это stateful inspection firewall). Шамир (один из трех авторов RSA) по-английски звучит как Sharnir (Шарнир). Опечатка наверное. Но вот термин "имущественная аутентификация", который часто используют в жизни (так в книге написано), я так и не узнал.

Жаль, что у нас публикуют такие книжки...

Подробнее…

Психология персональных данных современных детей и молодежи

Начал читать книжку "Дети цифровой эры". Посвящена она тому, как вести себя с детьми, для которых iPod, Sony PSP или Интернет гораздо ближе и понятнее, чем плейер Walkman, игра в "яйца" на Электронике или походы в лес для общения с друзьями. Но интересна она не только для родителей, но и с точки зрения ИБ, т.к. показывает мир современных подростков, которые станут править балом через несколько лет. Именно их поведение бужет определять ситуацию с ИБ на предприятиях, в школах и ВУЗах, в обществе.

Согласно проведенным исследованиям, современная молодежь не видит ничего зазорного в предоставлении своих персональных данных на всеобщее обозрение в социальных сетях, на собственных сайтах,блогах, в виртуальных мирах и т.д. Более того, закрытие такой информации делает молодежь изгоями в своей среде. Как доказывают авторы книги предоставление такой информации о себе формирует цифровую идентичность (видимо это не самый удачный перевод термина online или digital identity) подростка или юноши/девушки. Помимо формирования идентичности раскрытие своих персональных данных обеспечивает членство в группе ровесников, которые также свободно раскрывают сведения о себе и делятся подробностями своей частной жизни. Да и люди более взрослого поколения не чужды такой привычке. Достаточно посмотреть, что публикуют о себе пользователи Facebook и как они заводят контакты. Пустой профиль почти не дает шансов быть принятым в группу или получить/принять приглашение "дружбы". Но если для людей поколения 80-90-х раскрытие своей своих ПДн - это скорее неизбежное зло для онлайн-общения, то для поколения 2000-х-2010-х -это в порядке вещей и не вызывает никаких сомнений.

К чему я это пишу? Просто эта книга показывает, что проблема защиты персданных кроется совсем не там, где сконцентрированы усилия наших законодателей и регуляторов. Они сфокусированы на технической защите и выработке обязанностей для операторов персданных; в то время как надо заниматься повышением осведомленности и обучением современной молодежи и детей по вопросам обеспечения свой защиты в онлайн-пространстве. Если пользователи Интернет будут меньше бездумно распространять свои персональные данные направо и налево, то эффект от этого будет гораздо выше, чем от применения сертифицированных средств защиты, аттестованных объектов информатизации и получения всеми лицензий на деятельность в области защиты информации.

Подробнее…

Шнайер отдыхает

Увидел сегодня у коллеги на столе толстенный манускрипт (см. картинку). Книга впечатляет своими размерами. Ну и содержание тоже достойно изучения криптографам-теоретикам. Мне этот фолиант напомнил Шнайеровскую "Прикладную криптографию". Похожее содержание, похожий размер. Единственное, чего не хватает лично мне - это практической части. Теория теорией, но в России она никому не нужна - есть ГОСТы и все. А вот практические вопросы применения криптографии мало кто расписывает. Но это даже не претензия - просто замечание; судя по названию книги авторы и не ставили перед собой задачи погружения в тему практической криптографии.

Подробнее…

Новая книга по ИБ

Совершенно случайно купил новую книгу - "Обеспечение информационной безопасности бизнеса" - ее анонса даже на сайте издательства "Альпина Паблишерз" в Интернете нет. Судя по выходным данным, она издана в 2011-м году. Книга повторяет название уже выпущенного ранее издания почти тем же авторским коллективом. Тумана добавляет фраза "2-е издание, переработанное и дополненное".

(Это фото "первого" издания)

На самом деле - это не 2-е издание, а практически новая книга. С ориентацией на банки (издана под редакцией А.П.Курило). С большим упором на различные стандарты - СТО БР ИББС, COSO, CoBIT, ITIL, ISO 27001. Книга страдает, на мой взгляд, излишней академичностью, но учитывая почти полное отсутствие попыток подвести базу под ИБ в России, это может быть и неплохо. Большое раздел посвящен оценке ИБ. Но не измерению отдельных ее элементов, процессов или продуктов, а именно общей оценке ИБ предприятия. Почти четверть книги посвящена работе с персоналом в контексте ИБ - мотивация, моделирование угроз, сообщники внутри организации и т.д.

В общем, книга интересная в определенном смысле - я не пожалел потраченных денег ;-)

Подробнее…