О паранойе, вселенском заговоре и многом другом

Работа конференции ВУЗов, имеющих специальности по ИБ, завершилась. Могу подвести первые итоги. По новым госстандартам 3-го поколения отпишусь подробнее попозже, а сейчас расскажу о конференционной части. Доклады были интересные и не очень (первых больше). Видно, что ВУЗы несмотря на полное неприятие их работ регуляторами в лице ФСТЭК, ФСБ, МВД и т.п. занимаются по различным грантам, НИРам, заказам такими вещами, которые не соответствуют действующей политике государства в области ИБ. Работа по линии ПЭМИН, криптографии, криптоанализу, распознаванию речи ведутся очень активно. Некоторые ВУЗы автоматизируеют результаты своей деятельности. Например, в ТУСУРе разработали программу по автоматизации процессе классификации и моделирования угроз в рамках ФЗ-152, создав некий аналог Wingdoc ПДн.

Было пару о-о-очень дискуссионных докладов. Один выступал от МЭСИ (Баяндин Н.И.), второй якобы от ФАИТ (хотя его доклад не имел никакого отношения к месту его работы в отделе удостоверяющих центров). Баяндин рассказывал про читаемый ими в МЭСИ курс по деловой разведке и попытке сделать из этого официальную специализацию в рамках госстандарта. Нареканий на эту программу обучения было много. Одно из них заключалось в том, что готовящиеся специалисты могут работать как на благо государства, так и во вред. Т.к. умение аккумулировать из разрозненных открытых источников информацию приводит к созданию аналитических отчетов, которые по совокупности могут содержать гостайну. Второй вопрос связан с нарушением ФЗ-152. Все-таки сбор сведений о гражданах без их согласия нарушает закон о персданных. На что выступающий, не раз отмечая, что закон они не нарушают, в данном случае заявил, что ФЗ-152 неработает, прецедентов пока нет и что они все равно будут собирать ПДн без согласия ;-)

Второй выступающий (от ФАИТ) говорил о проблемах ИБ. Интересный доклад, суть которого может быть выражена примерно следующим: американцы - сволочи, придумали Интернет, распространили его по всему миру и теперь все находятся под колпаком у спецслужб США. Дальше больше. Все протоколы Интернет - американские, оборудование - тоже американское, операционные системы американские, закладки на закладках, демократия под угрозой. Операторы связи тоже сволочи, т.к. не заботятся о безопасности клиентов, а только стригут "бачки" (как выразился выступающий). Интеграторы - некомпетентны и их надо привлекать к ответственности за продажу некачественного товара (некачественный - это тот, в котором, по мнению выступающего, могут быть в теории закладки), выпускаемые в России книги иностранных авторов - это псевдонаучная шелуха, засорящая и обманывающая молодые умы...

Все бы ничего, если бы не два аспекта. Признание неспособности России выпускать адекватное ПО и железо всем известно. Но когда его делает представитель ФАИТ (а именно от этого ведомства выступал оратор), то возникает вопрос? А что же делает ФАИТ, как головное ведомство по развитию ИТ в России? На эту тему профессор Преображенский хорошо высказался в "Собачьем сердце" (монолог про разруху и большевиков).

Второй момент связан с самой постановкой проблемы. Любой специалист признает, что на недоверенных элементах сложно строить защищенную систему с гарантированным уровнем ИБ. Но советовать всем выбросить Microsoft, Linux (как низкозащищенную приманку со стороны американских спецслужб; видимо про то, что на базе этой ОС разработаны МСВС и другие "наши" ОС автор не знает), Cisco и продукцию других западных вендоров - это верх умстевнной работы. Заменить-то на что? Оратор предложил вернуться к MS DOS, как к проверенной спецслужбами системе. И видимо оратор не знает, что выбор платформы должен зависеть не от желания спецслужб (это логично только для госорганов и критически важных объектов), а от стратегии управления рисками заказчика. Готов он принять риск использования недоверенной платформы - пожалуйста. Не готов - предложите ему альтернативу. А ее-то и нет. Правда, даже если принять "умную" идею о возврате к MS DOS, то у любого грамотного специалиста возникает другой закономерный вопрос. Раз спецслужбы пекутся о защищенности ОС, то наверное стоит и системотехнику предлагать тоже отечественную и тоже проверенную. Но ее вообще у нас нет. Штучная сборка, пожалуйста. А вот серийного производства, увы... В общем представитель ФАИТ, как бывший сотрудник ФАПСИ, показал свою компетенцию в области
 ИБ для граждан и общества. А то, что он представитель головного ведомства по ИТ в России говорит и о будущем информационных технологий в России.

ЗЫ. А еще по мнению представителя ФАИТ, а по совместительству преподавателя трех московских ВУЗов, NetBIOS - это протокол доступа к BIOS по сети ;-)

ЗЗЫ.  И в заключение, оратор из ФАИТ очень много ругал Cisco. Из наиболее одиозных высказываний можно отметить одно. Cisco непрофессиональная в сетевых технологиях компания потому что выпускники ее сетевых академий считают, что стек протоколов TCP/IP состоит из 4-х уровней, а оратор написал книгу, в которой описано 5 уровней. А второе доказательство незнания сетей в том, что Cisco переводит термин "Voice over IP" как "голос поверх IP", в то время как надо переводить как "речь поверх IP". Ну про понимание оратором NetBIOS я написал выше.

Подробнее…

Документы ЦБ/АРБ утверждены

Свершилось - документы нашей рабочей группы АРБ/ЦБ утверждены. Их согласовали ФСТЭК, ФСБ и РКН. Также присоединилась ассоциация региональных банков "Россия".

Детали - http://www.arb.ru/site/action/list_news.php?id=3719

Подробнее…

О ситуации с образованием в ИБ

Сижу я а конференции, посвященной новым государственным образовательным стандартам в области ИБ, которые должны появиться в сентябре. Как все запущено... Оказывается программа специальностей по ИБ относится к технологиям двойного назначения и контролируется ФСТЭКом на предмет экспортного контроля и утечки за границу! Даже то, чему учат сейчас в ВУЗах и то, что спокойно находится в Интернете в виде конспектов лекций и диктофонных записей, контролируется, чтобы преподаватель, не дай Бог, не сказал чего-то лишнего и секретного. ВУЗы сейчас активно переходят на хозрасчет и принимают за деньги зарубежных студентов на обучение (в т.ч. и из стран СНГ). Но оказывается принимать студентов из Украины, Белоруссия, Казахстана и т.п. на специальности ИБ запрещено. А то, не дай Бог, они узнают, как пользоваться VipNet'ом или прочитают свободно находимый в Интернет СТР-К или даже требования по безопасности критически важных объектов... Детский сад, чессно слово ;-(

Подробнее…

Новый курс - управление инцидентами

Сваял новый курс - по управлению инцидентами. Именно управлению, где расследование, реагирование и обработка инцидентов, лишь часть более всеобъемлющего процесса. Цель курса: систематизация сведений и понимание конкретных шагов по управлению инцидентами.

Краткая программа такова:

• что такое инцидент и в чем разница понимания термина между ИТ и ИБ, коммерсантами и госорганами?
•  жизненный цикл управления инцидентами и место в нем обработки инцидентов
• проблемы и ошибки при управлении и расследовании инцидентов
• как правильно выстроить процесс управления инцидентами и из каких составных частей он состоит
• визуализация процессов управления инцидентами с помощью карт и диаграмм процессов
• с чего начать построение программы управления инцидентами
• органы расследования инцидентов в мире и в России и стоит ли обращаться в правоохранительные органы?
• особенности расследования инцидентов в России правоохранительными органами
• как расследуются органами внутренних дел атаки из-за границы и как наши органы взаимодействуют с иностранными спецслужбами?
• что такое CSIRT или что делать, если вы решили бороться с инцидентами своими силами?
• сценарии существование CSIRT и ее место в организации
• план создания CSIRT (далее идет рассмотрение этого плана)
• план проекта создания CSIRT
• квалификация членов CSIRT
• сервисы CSIRT (уведомления, обработка инцидентов, обработка уязвимостей, обработка артефактов, реагирование на инциденты и т.п.)
• документирование CSIRT - как описывать предлагаемые сервисы
• описание информационых потоков
• политики управления инцидентами и что они должны содержать?
• как аннонсировать и рекламировать CSIRT?
• контроль качества и измерение эффективности CSIRT
• юридические вопросы в работе CSIRT
• сервис обработки инцидентов как основной элемент CSIRT (подробное описание)
• систематизация входящей информации
• обработка информации - анализ, принятие решений, отслеживание нарушителя, реагирование, документирование
• уведомление об инциденте
• обратная связь
• как общаться с внешним миром, если вас взломали
• обработка информации внутри CSIRT
• сбор доказательств - методология, специализированный инструментарий, процедуры...
• эскалация инцидентов
• закрытие инцидента
• стандарты управления инцидентами
• российская практика управления инцидентами.

Подробнее…

SonicWALL продался Thoma Bravo

2 июня компания SonicWALL заключила соглашение о своей продаже инвестиционной группе Thoma Bravo. Сумму сделки - 717 миллионов долларов. Thoma Bravo и входящие в нее компании раньше не были замечены на рынке ИБ.

Подробнее…

В России есть требования уведомления клиентов об утечке их ПДн

Вот иногда читаешь-читаешь документы и думаешь, что знаешь их наизусть, ан нет... при очередном прочтении выясняются новые и новые нюансы и факты. Вот, например, закон о персданных. Раньше считалось (я, по крайней мере), что он не предусматривает обязанности оператора ПДн уведомлять клиентов об утечке их ПДн. Ан нет... Предусматривает.

Читаем: "В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган".

Правда ответственности за неисполнение этого пункта почти никакой - та же статья 13.11, т.е. пшик.

Подробнее…

Общественные слушания по ФЗ-152

Оргкомитет Общественных слушаний по совершенствованию законодательства в области персональных данных приглашает всех, кто заинтересован в решении этой проблемы, принять участие в Слушаниях на сайте http://www.fz-152.org/.

Подробнее…

Новая версия курса по измерению ИБ

До кучи обновил еще и программу курса по измерениям ИБ (назвал ее версией 1.5). Собственно основная задача была - систематизировать имеющуюся информацию и дать ее применительно к потребностям слушателей:

1. Введение
• Безопасность на уровне бизнеса
• Security Governance
• Проблема измерений или почему службы ИБ не считают результаты своей деятельности
2. Определения
• Что такое измерение?
• Что такое ИБ?
• Что такое эффективность?
• Цели ИБ и цели бизнеса. Как привязать ИБ к бизнесу?
3. Что мы хотим измерять в ИБ чаще всего?
• Какой уровень опасности нам грозит?
• Что мы потеряем?
• Оценка нематериальных активов
• Оценка информации
• Оценка материальных активов
• Метод ALE
• Какова вероятность ущерба ?
• Что нам грозит?
• Насколько мы уязвимы?
• Сколько денег на безопасность надо?
• Сколько мы потратим? Почему именно столько?
• Какова отдача? И есть ли она?
• Выгоден ли этот проект по ИБ?
• Рискованны ли инвестиции в ИБ?
• Мы соответствуем требованиям?
• регуляторов
• SLA
• стандартов
• Какая СЗИ лучше?
• Дешевле, функциональнее, быстрее работает, быстрее окупается...
• Как мы соотносимся с другими?
• Насколько мы защищены?
• На каком уровне находимся?
• Стало ли лучше по сравнению с прошлым?
• Сколько времени потребуется?
• На проникновение / распространение вредоносного ПО?
• На внедрение СЗИ?
• На возврат в исходное состояние после атаки?
• Оптимально ли
• мы движемся к цели?
• тратим деньги?
• настроена система защиты?
4. Что является результатом измерения или метрики ИБ?
• Монетарные и нефинансовые метрики
• Классификация метрик
• Как выбирать метрики?
• Сколько метрик достаточно?
• Как объединить сотню метрик в одну?
• Бизнес-ориентированные метрики ИБ
• Тестирование метрик
• Пересмотр метрик
• База метрик
5. Программа управления измерениями ИБ
• Модель зрелости
• "Женская" модель зрелости
• Модель NIST
• Типичные ошибки
• Кто выбирает метрики?
• Фактор времени?
6. Методы измерений
• описываются методы для п.3
7. Автоматизация измерений
8. Визуализация и презентация метрик
9. Стандарты измерений ИБ
10. Универсальный метод измерения
11. Прямая и косвенная отдача

Подробнее…

Новая версия курса по ПДн

Настал черед серьезного обновления курса по персданным - вчера я отчитал версию 2.0. Удалил все старое и ненужное, актуализировал последние сведения, внес множество изменений. Основное изменение касается банковской тематики, но есть и другие интересные новшества:

• Как оформить обработку получения ПДн от третьих лиц?
• Как передавать ПДн третьим лицам?
• Как получить согласие получателя платежа?
• Доверенности (для банков)
• Модно ли передавать ПДн в органы власти без согласия субъектов?
• Как передавать ПДн аутсорсинговым партнерам?
• Зарубежные SaaS-сервисы и ПДн
• Алгоритм опротестования результатов проверок надзорных органов
• Инвалидность и другие примеры «состояния» здоровья, а также что такое вообще "состояние здоровья"?
• Почему можно не использовать сертифицированные СКЗИ при передаче ПДн за пределы России?
• Можно ли обрабатывать ПДн при открытии вклада в пользу третьего лица?
• Завещательное распоряжение денежными средствами
• Можно ли распоряжаться денежными средствами по требованию третьих лиц?
• Как обрабатывать ПДн при оплате от имени или в пользу третьего лица?
• Расчет платежными поручениями и ПДн
• Надо ли уничтожать ПДн после проведения платежа?
• Обработка ПДн и действия в чужом интересе без поручения
• Почему субъект ПДн не может отказаться от данного согласия?
• Анализ законопроекта Резника - что получило/не получило поддержку Правительства РФ?
• Уведомление субъектов ПДн о фактах утечек их ПДн – теперь и у нас!
• Анализ отраслевых требований по защите ПДн Рособразования, Минздравсоцразвития, операторов связи и Банка России
• Последние изменения в ФЗ-294
• Приказ ФСТЭК №58 и решение ФСТЭК об отмене части четверокнижия
• Как выбрать консультанта по ПДн?

Следующее изменение также не за горами - принятие законопроекта Резника, появление новых отраслевых требований, новый приказ ФСБ (после его принятия), "письмо пяти"...

Подробнее…

Презентация "Измерение эффективности ИБ"

В пятницу я выступал на отличном мероприятии в Казани - IT & Security Forum. Тема презентации была посвящена вновь измерению эффективности ИБ. По сути только сейчас удалось создать некую рамочную модель любого измерения в ИБ. Достаточно определить четыре ключевых элемента - что такое ИБ, что такое эффективность, что такое измерение и какие цели ИБ мы хотим достичь. Ответив на эти 4 вопроса, мы получаем возможность измерить практически все, что угодно в области ИБ, включая и многие финансовые вопросы. Вот этой рамочной модели и была посвящена моя презентация.

Security Measurement.pdf

View more presentations from Alexey Lukatsky.

Подробнее…

Новости ФСТЭК

3 июня планируется совещание во ФСТЭК с участием представителей органов по сертификации, на котором планируется представить проекты двух новых руководящих документов - по антивирусам и по системам обнаружения атак.

Не прошло и десяти лет, как говорится. Проект РД по антивирусам был уже давно и вот только сейчас его решили выпустить в свет. Ну а по IDS/IPS давно был профиль защиты. Но видимо идея перехода на Общие критерии в России умерла, не родившись, и ФСТЭК снова вернулся к практике выработки РД.

Ждемс...

Подробнее…

Человек заразился компьютерным вирусом...

По словам профессора из университета Ридинга, он заразил себя сам, вживив себе под кожу чип, содержащий вредоносную программу.

В ходе испытаний Марк Гассон доказал, что он может передавать вирус на компьютеры, оснащенные системами внешнего ввода информации. В частности, профессору удалось взломать двери, запертые с помощью электронного звонка, и передать вирус на свой мобильник.

Профессор отмечает, что его исследование может быть важным в области медицины, передает Би-би-си. Доктор Гассон заявил, что кардиостимуляторы и другие электронные имплантанты находят все большее распространение и становятся все сложнее. И в будущем может возникнуть опасность умышленного заражения кардиостимуляторов вирусом. Поэтому уже сейчас нужно разрабатывать системы защиты электронных имплантантов от вредоносных программ.

Отсюда...

Подробнее…

О так называемой поддержке ГОСТа в западных криптосредствах

Честно говоря, не хотел я поднимать эту тему - ну прошелся по ней в мифах один раз, ну и ладно. Оказалось нет, не ладно. Слишком много в последнее время пошло злоупотреблений на эту тему. Да и потребители стали воспринимать за чистую монету рекламу многих компаний, реализовавших ГОСТы в своей продукции. Чтоже на самом деле?

Как поступает большинство вендоров (преимущественно западных, но и российские не брезгуют этим подходом)? Они встраивают в свои решения поддержку отечественных криптоалгоритмов. Сделано это с помощью сертифицированных в ФСБ криптобиблиотек (их сегодня на российском рынке немало). Однако, ФСБ справедливо отмечает, что криптографическая библиотека может использоваться только в соответствие с требованиями, указанными в условиях ее эксплуатации (они же ТУ, они же формуляр). Дополнительно ФСБ в одном из своих писем разъясняет "Так называемая "оценка корректности встраивания СКЗИ" в соответствии с ПКЗ 2005 является оценкой отсутствия негативного влияния разработанного ПО на работу СКЗИ [вырезано]. Но такой оценки применительно к VPN-продуктам недостаточно, т.к. необходима еще проверка правильности работы соответствующих криптографических протоколов, надежности их реализации, корректности настроек и т.д. Все эти аспекты применяются в рамках сертификационных исследований VPN-продуктов".


Если посмотреть на ситуацию с учетом данной информации, то мы увидим, что почти все  вендоры, использующие ГОСТ, нарушают условия встраивания и требования ФСБ. В частности, в формуляре на криптографическое ядро «КриптоПро CSP», которое используется, например, компаниями Check Point или StoneSoft, написано буквально следующее: "3.11. Должна проводиться проверка корректности встраивания СКЗИ «КриптоПро CSP» версии 3.0 в прикладные системы СКЗИ в случаях:

• если информация конфиденциального характера подлежит защите в соответствии с законодательством Российской Федерации;
• при организации криптографической защиты информации конфиденциального характера в федеральных органах исполнительной власти, органах исполнительной власти субъектов Российской Федерации;
• при организации криптографической защиты информации конфиденциального характера в организациях независимо от их организационно-правовой формы и формы собственности при выполнении ими заказов на поставку товаров, выполнение работ или оказание услуг для государственных нужд.

Указанная проверка проводится по ТЗ, согласованному с 8 Центром ФСБ России".

Т.к. такая проверка в большинстве случаев не проводилась, то абсолютное большинство решений не являются не то, что сертифицированными, но и их производство чревато для вендоров проблемами с регулятором. Это ж разработка СКЗИ - лицензируемый и строго контролируемый вид деятельности. А уж использовать их нельзя ни в госорганах, ни для защиты персональных данных нельзя, т.к. действующие нормативные акты требуют в данных сценариях именно сертифицированных СКЗИ (или имеющих положительное заключение).

Дополнительно напомню, что не только встроенный ГОСТ, но и наличие сертификата ФСБ на средство криптографической защиты не снимает необходимости легитимного ввоза шифровальных средств (в России – это два независимых направления). Т.к. все западные решения содержат неотключаемую «сильную криптографию» (насколько я знаю, только мы реализовали такую возможность) на западных алгоритмах 3DES, AES, RSA и т.д., то такие решения должны ввозиться по лицензии Министерства по экономическому развитию и только после получения разрешения со стороны ФСБ в соответствии с существующим законодательством. Этого обычно не происходит. Иными словами западные вендоры занимаются контрабандой ;-( Но это отдельная песня.

ЗЫ. Также многие компании забывают, что распространение нелегально ввезенной криптографической продукции может приводить к административной и уголовной ответственности. Такие примеры в отечественной судебной практике уже есть ;-(

Подробнее…

McAfee покупает Trust Digital

25-го мая McAfee объявила о приобретении компании Trust Digital, специализирующейся на защите и управлении мобильных устройств. McAfee рассчитывает усилить свои позиции на рынке защиты iPhone, Android, Symbian и Windows Mobile. Детали сделки не разглашаются

Подробнее…

Признаем ли мы сертификаты других стран?

4 мая Президент направил в ГосДуму законопроект № 368896-5 "О ратификации Соглашения о взаимном признании аккредитации органов по сертификации (оценке (подтверждению) соответствия) и испытательных лабораторий (центров), выполняющих работы по оценке (подтверждению) соответствия".Текст законопроект краток: "Ратифицировать Соглашение о взаимном признании аккредитации органов по сертификации (оценке (подтверждению) соответствия) и испытательных лабораторий (центров), выполняющих работы по оценке (подтверждению) соответствия, подписанное в городе Санкт-Петербурге 11 декабря 2009 года".

Само Соглашение применяется ко всем странам ЕвразЭС (Россия, Казахстан, Беларусь, Киргизия, Таджикистан, Узбекистан) и говорит о том, что для  проведения согласованной политики в области технического регулирования "стороны взаимно признают аккредитацию органов по сертификации
(оценке (подтверждению) соответствия) и испытательных лабораторий
(центров), выполняющих работы по оценке (подтверждению) соответствия,
в национальных системах аккредитации государств сторон".

Отсюда вопрос. Значит ли это, что результаты работы сертификационных лабораторий Беларуси применимы в России (ну и наоборот само собой)? Что будет, если, например, какая-либо компания сертифицирует свои продукты по ИБ в Беларуси и придет с этим сертификатом в Россию? С точки зрения законодательства я не вижу препятствий для признания этого сертификата. Но вот готова ли ФСТЭК к этому при тех аттестациях и проверках?А ФСБ? Вот, например, мы (Cisco) сертифицировали в Беларуси совместный с С-Терра продукт Bel VPN Gate на модуле AXP (аналогичные продукты есть в России, Казахстане и Украине). Значит ли это, что этот модуль можно спокойно применять в России? Вопросы, вопросы, вопросы...

Подробнее…

О ПДн авиапассажиров

В Госдуму поступил законопроект № 373481-5 "О внесении изменения в статью 85-1 Воздушного кодекса Российской Федерации (об уточнении порядка передачи персональных данных пассажиров воздушных судов в автоматизированные централизованные базы персональных данных)".

Текст изменения "В целях обеспечения авиационной безопасности перевозчики обеспечивают передачу персональных данных пассажиров воздушных судов в автоматизированные централизованные базы персональных данных о пассажирах в соответствии с законодательством Российской Федерации о транспортной безопасности и законодательством Российской Федерации в области персональных данных, при международных воздушных перевозках также в уполномоченные органы иностранных государств в соответствии с международными договорами Российской Федерации или законодательством иностранных государств вылета, назначения или транзита в объеме, предусмотренном законодательством Российской Федерации, если иное не установлено международными договорами Российской Федерации".

Подробнее…

Oracle покупает Secerno

20 мая компания Oracle объявила о покупке компании Secerno, специализирующейся на безопасности баз данных. Точнее Secerno разработала межсетевой экран для Oracle и других баз данных. Детали сделки не разглашаются.

Подробнее…

Symantec покупает бизнес VeriSign

Не прошло и месяца с покупки Symantec'ом компаний PGP и GuardianEdge, как желтый гигант купил бизнес Verisign по аутентификации и идентификации, который включает сервис Secure Sockets Layer (SSL) Certificate, сервис Public Key Infrastructure (PKI), сервис VeriSign Trust и сервис VeriSign Identity Protection (VIP) Authentication. Сумма сделки - 1,28 миллиарда наличными.

Подробнее…

Обновление курса по моделированию угроз

Как показал опыт, выкладывание курса по моделированию угроз в свободный доступ, не сделало поток желающих прослушать его меньше. Вчера я читал его в Институте банковского дела АРБ, а в начале июня - будет курс в Екатеринбурге. Также есть запросы на него из Нижнего и Перми.

Я все время поддерживаю курс в актуальном состоянии и недавно вышла версия 1.4, которая пополнилась описанием моделей угроз и подходов по моделированию угроз РС БР ИББС-2.4, НИР "Тритон" (а также модели угроз РНТ) и методика моделирования (и сами модели) Минздравсоцразвития.

ЗЫ. Жаль, что нельзя в курс вставить описание моделей для ряда отечественных предприятий, которые мне попали в руки. Возможно на их основе я сделаю кусок, посвященный типичным ошибкам построения моделей угроз (без указания владельца модели).

Подробнее…

Как разработать отраслевой стандарт по ПДн?

Вчера выступал на одном мероприятии, где рассказывал об опыте создания отраслевых стандартов по защите персональных данных.

Vertical approaches for personal data standartization

View more presentations from Alexey Lukatsky.

Подробнее…

Мифы 76-78

Новые мифы:

• Операционная система Linux не может быть заражена вирусами
• Наша система <имярек> не подвержена вирусам
• В сертифицированных системах шифрования есть лазейки для ФСБ
  

Подробнее…

Как регулировать рынок ПДн в Интернет?

В четверг выступал на российском форуме по управлению Интернетом (RIGF 2010) с обзором подходов к управлению privacy (включая ПДн) в Интернете. За основу взял исследование Университета Гарварда.

Privacy approaches

View more presentations from Alexey Lukatsky.

Подробнее…

Дети не поймут, а взрослые пусть ностальгируют...

Детям 60-х, 70-х, 80-х посвящается!

Подробнее…

Не используешь пароль - плати штраф. Таков вердикт Верховного Суда

Немецкий Верховный Суд постановил, что в Интернет пользователи обязаны использовать защищенные беспроводные соединения. В противном случае нарушитель может быть оштрафован на сумму до 100 евро.

Подробнее…

Можно ли при годовом доходе в 1,3М рублей купить Infiniti FX 35?

Повинуясь Указу Президента Российской Федерации от 18 мая 2009 г. № 561, ФСТЭК разместила на своем сайте сведения о доходах, об имуществе и обязательствах имущественного характера федеральных государственных своих служащих, а также их супругов и несовершеннолетних детей за период с 1 января 2009 г. по 31 декабря 2009 г.

Все, аки агнцы ;-) Живут на зарплату, ездят на отечественных ВАЗах и ГАЗах, большими участками не владеют, квартир по одной и то в долевой собственности с супругой. Приятно смотреть, если честно. Самый крупный доход - 1,8 миллиона рублей в год. Среднегодовой доход остальных сотрудников центрального аппарата - около 700 тысяч рублей. В федеральных округах цифра вдвое-втрое ниже.

Подробнее…

Sophos продал контрольный пакет акций

Известный антивирусный вендор, компания Sophos, договорилась в начале мая о продаже контрольного пакета акций компании Apax Partners. Детали сделки не разглашаются.

Подробнее…

Как переводится Brain Virus?

Попробуйте в Google Translate задать перевод Brain Virus...

Подробнее…

Мифы 73-75

Новые мифы:

• Zero Day атаки являются основной проблемой для служб ИБ
• Вирусы и вредоносное ПО - самый опасный бич сетей
• Одно устройство, включающее все функции безопасности, выгоднее чем несколько устройств
  

Подробнее…

Huawei опять подозревают в шпионаже

Правительство Индии запретило местным телекоммуникационным компаниям покупать произведенное в Китае оборудование. В число пострадавших попали такие крупные китайские производители, как Huawei и ZTE, чьим оборудованием пользуются также и российские сотовые операторы. Впрочем, запрещать ввоз российские власти пока, судя по всему, не собираются.

Причем это уже не первый случай подозрений китайской компании в шпионаже. Пару лет назад австралийское правительство сделало аналогичное заявления. А до этого американский Конгресс проводил расследование в отношении компании, руководство которой, имело военные "корни".

По идее, такие подозрения могут быть в отношении любой крупной компании, но только про Huawei эта тема всплывает уже не первый раз в прессе и только эта компания из всех мировых телекоммуникационных игроков является по сути государственной, а не публичной, как другие вендоры.

Подробнее…

Резниковский законопроект по ПДн - зеленый свет дан. Часть II

Итак законопроект Резника, о котором мы недавно дисскутировали, принят в первом чтении. В тридцатидневный срок со дня принятия постановления должны быть представлены поправки к законопроекту.

Также по теме ПДн был внесен законопроект "О внесении изменений в отдельные законодательные акты Российской Федерации (в части уточнения правовых оснований обработки персональных данных при проведении переписи населения, а также уточнения порядка заполнения переписных листов)".

Подробнее…

Украли ключи ЭЦП? Пусть платит банк!

Достаточно интересный поворот в развитии презентации по заблуждениям банковской безопасности. Сначала на банкир.ру была дискуссия с разработчиком одной системы АБС/ДБО о несанкционированном переводе средств и токенах с неизвлекаемыми ключами ЭЦП. Так и не пришли мы к взаимопонимаю о том, кто же виноват в том, что деньги сняли со счета клиента - сам клиент, банк или разработчик системы ДБО.

Но вот масла в огонь подлил Василий Окулесский, руководитель службы ИБ Банка Москвы, на конференции Visa и МНУЦИБ, где привел интересную статью из ГК, согласно которой исполнитель (в нашем случае - банк) услуги (в нашем случае - ДБО) покрывает ущерб потребителю, если последний понес его вследствие недостоверной или недостаточной информации об  услуге (в нашем случае из-за отсутствия информации о возможных случаях несанкционированного перевода средств из-за проблем с ИБ). Статья - 1095 ГК РФ.

Вот теперь и думай - молчать о проблемах ИБ или оповещать о них клиентов. Ведь последние становятся все подкованнее в юридических вопросах...

Подробнее…

Symantec покупает PGP и GuardianEdge

29 апреля Symantec объявил о подписании соглашения о покупке двух игроков рынка шифрования данных и электронной почты - компаний PGP и GuardianEdge. Цена сделок - 300 и 70 миллионов наличными соответственно. Учитывая специфику регулирования рынка криптографии в России, на нас эти сделки никакого влияния не окажут.

Подробнее…

Все под контроль Генпрокуратуры

Дмитрий Медведев подписал Федеральный закон "О внесении изменений в статью 10 Федерального закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля".

Федеральным законом предусматривается внесение в часть 5 статьи 10 Федерального закона "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" изменение, согласно которому требование о согласовании органами государственного контроля (надзора) и муниципального контроля с органами прокуратуры Российской Федерации выездных внеплановых проверок распространяется на проверки, организуемые в отношении любых хозяйствующих субъектов, а не только субъектов малого и среднего предпринимательства.

Теперь любая внеплановая проверка ФСТЭК, РКН и иже с ними должна быть согласована с прокуратурой. По имеющейся статистике последняя согласует только 10% из них.

Подробнее…

Методические указания по управлению инцидентами

По заказу одного из промышленных предприятий, я сейчас творю курс по управлению инцидентами (именно по управлению, а не по реагировпанию, обработке или расследованию инцидентов). И вот обратил внимание на интересный момент - действительно адекватных методических и практических рекомендаций почти нет. Хотя самих материалов немало. Это и ISO 18044, и ITU-T E.409, и RFC 2350, и многие другие. Но действительно выстроенной цепочки документов от создания CSIRT и до формализации ее работы в виде отрисованных и описанных процессов почти нет. Мне удалось найти только один ресурс, который является лидером по части управления инцидентами на протяжении последних двух десятков лет. Речь идет о CERT. На его сайте можно найти отличные материалы по выстраиванию процесса управления инцидентами, как на корпоративном, так и национальном уровне (такие попытки сейчас делаются и в России).

Подробнее…

Когда сертифицированных СКЗИ попросту нет ;-(

Всем знакома ситуация, когда регулятор, в лице ФСБ, требует использования только сертифицированных СКЗИ. Например, в действующих методических рекомендациях по защите ПДн именно это и написано. При отсутствии же сертифицированного решения рекомендуется задуматься о разработке новой СКЗИ и подаче его на сертификацию. Но всегда ли возможен выбор только между двумя этими сценариями?

Сел я на досуге и составил списочек из сценариев, когда сертифицированных решений нет и не будет в обозримом будущем. Вот этот список:

1. Работа представительств иностранных компаний в России. Они действуют в рамках корпоративных стандартов и применяют западные СКЗИ. Экспорт же отечественных СКЗИ невозможен по той причине, что ради одной страны западная компания не будет менять свои стандарты и не будет экспортировать отечественные СКЗИ во все страны, где западная компания представлена.
2. Коммерческое IP-телевидение (устройства STB не поддерживают и не будут ГОСТы, т.к. они производятся за пределами России и поставляются в сотни стран мира).
3. IP-видеонаблюдение, которое также не поддерживает отечественные криптоалгоритмы.
4. Синхронизация основного и резервного центров обработки данных на скоростях свыше 1 Гбит/сек. Сегодня не редкость скорости 10 Гбит/сек и даже 40 Гбит/сек.
5. Магистральное шифрование, которое сегодня обычно проходит на скоростях свыше 10 Гбит/сек.
6. Стандарт беспроводной связи 802.11i, в котором на уровне стандартизующих организаций прописан иной криптоалгоритм.
7. Стандарты мобильной связи 2.5G, 3G, а также LTE и Wi-Max, где также на уровне стандартов прописаны не ГОСТ.
8. Чиповые смарткарты для платежных систем Visa и MasterCard.
9. Шифрование в смартфонах, iPhone и т.п.
10. Доступ к российским Интернет-банкам с компьютера в Интернет-кафе на заграничном отдыхе (на нем нет никакого российского криптопровайдера).
11. Доступ из-за границы к любой российской платежной системе (Assist, ChronoPay, Яндекс.Деньги, Рапида и т.д.), а также к любой иной системе электронной коммерции (заказ билетов, заказ книг в Интернет-магазинах и т.п.).
12. Защищенная электронная Web-почта по протоколу HTTPS.
13. Шифрование в протоколе FibreChannel при записе на ленточку в центре обработке данных.
14. Шифрование в протоколе FibreChannel при передаче данных внутри центра обработки данных или между разными центрами.
15. Обмен с международными организациями российских федеральных органов исполнительной власти - МВД, ФТС, ФНС и т.д.
16. Аутсорсинг
17. Новая модель SaaS (Cloud Computing), когда вся обработка осуществляется через Интернет и, возможно, где-то за границей. По такому принципу работают многие переводческие компании.
18. Доступ к российскому фондовому рынку из зарубежа.
19. Поддержка АСУ ТП. Когда западные поставщики АСУ ТП решений для нефтянки, энергетики, промышленности и т.п. продают свои решения (Emersson, Rockwell, Siemens, Yokogawa и т.д.), то одним из условий является удаленная техническая поддержка (через Интернет или модем). И поддержка эта, как правило, оказывается из-за границы, опять же по западным криптоалгоритмам.

Хочу отметить, что речь не идет об исключениях, не попадающих под лицензирование согласно ПП-957 или согласно правилам ввоза шифровальных средств. Исключения - это всего лишь набор ситуаций, облегчающих лицензирование и ввоз, но не использование.

Подробнее…

О преприятиях, имеющих стратегическое значение для обеспечения обороны страны и безопасности государства

Коллега из одного иностранного банка, действующего на территории РФ, обратил внимание на интересный Федеральный Закон от 29 апреля 2008 года N 57-ФЗ г. Москва "О порядке осуществления иностранных инвестиций в хозяйственные общества, имеющие стратегическое значение для обеспечения обороны страны и безопасности государства".

Из преамбулы: "В целях обеспечения обороны страны и безопасности государства настоящим Федеральным законом устанавливаются изъятия ограничительного характера для иностранных инвесторов и для группы лиц, в которую входит иностранный инвестор, при их участии в уставных капиталах хозяйственных обществ, имеющих стратегическое значение для обеспечения обороны страны и без опасности государства, и (или) совершении ими сделок, влекущих за собой установление контроля над указанными хозяйственными обществами". Суть проста - если в предприятие, подпадающее под ряд условий, иностранный инвестор хочет вложить денег, действия этого инвестора могут быть очень сильно ограничены. Вплоть до лишения права голоса, блокирования сделок с акциями и т.п.

Причем тут ИБ и, вообще, все мы, спросите вы. А связь самая прямая. Если посмотреть на определение "хозяйственное общество, имеющее стратегическое значение для обеспечения обороны страны и безопасности государства", то мы увидим, что это предприятие "созданное на территории Российской Федерации и осуществляющее хотя бы один из видов деятельности, имеющих стратегическое значение для обеспечения обороны страны и безопасности государства и указанных в статье 6 настоящего Федерального закона". А вот в ст.6 есть пп.11-14, которые повторяют пункт из ФЗ "О лицензировании отдельных видов деятельности", связанные... с шифрованием. Иными словами, если у вас есть лицензия ФСБ и в вас хочет инвестировать иностранная компания, то у нее могут быть определенные сложности в своем благом намерении. И когда речь идет об инвестициях в Газпром, Автоваз, Сухой, Аэрофлот и т.п. предприятия, я допускаю и понимаю желание государства ограничить влияние потенциального врага. Но когда такие ограничения применяются (а в законе нет дифференциации) к любой организации, имеющей лицензию ФСБ, например, на техобслуживание купленного для себя одного маршрутизатора Cisco с IPSec ;-(

Подробнее…

Яндекс ищет руководителя ИБ

http://hh.ru/vacancy/2713974

Подробнее…

Результаты заседания НТС Минкомсвязи

Я уже писал о заседании НТС, которое проходило 21-го марта в Минкомсвязи по вопросам персональных данных, НИР "Тритон" и отраслевых моделей угроз. Решено рекомендовать операторам связи использовать эти документы в своей работе. Учитывая, что это модели угроз "имени РНТ" никак не стыкуются с НИР "Тритон" (да и практическая их реализация может вызвать огромные сложности), то эти две работы должны найти точки соприкосновения.

Подробнее…

Штирлиц, Штирлинг или почему Microsoft закрывает направление безопасности ПК?

После новости о "эвтаназии" ISS последовала новая - о закрытии компанией Microsoft своего направления по защите пользовательских рабочих станций. Толи кризис коснулся и рэдмондского гиганта, толи этот рынок не столь перспективен, толи рынок не маржинален и MS не готов тратиться на развитие направления, которое оккупируют Symantec, McAfee, Лаборатория Касперского и масса других, бесплатных продуктов. Но факт остается фактом, MS будет концентрироваться на защите серверов, системах управления и hosted security (Forefront Online).

Давно обещанный продукт под кодовым названием Stirling, являющийся развитием Forefront Protection Suite, с задержкой в два года так и не стал доступен пользователям.

Подробнее…

Cisco сертифицировала модуль шифрования в ФСБ

Нечасто я публикую тут новости, связанные с моим работодателем, но эта стоит исключения из правил. Наш модуль шифрования, разработанный совместно с компанией С-Терра СиЭсПи 20-го марта сего года получил сертификат ФСБ.

Вот небольшой фрагмент из пресс-релиза: "В рамках технологического сотрудничества компании Cisco Systems и «С-Терра СиЭсПи» в 2003 г. был создан первый сетевой модуль для работы на маршрутизаторах Cisco — NME-RVPN. С его выходом российский рынок получил возможность использовать средства защиты с российской криптографией на платформе мирового лидера индустрии сетевой безопасности.

Модуль получил высокую оценку и признание у российских пользователей, и в начале 2010 г. вышло второе поколение модулей — МСМ. Участие Cisco в таких проектах показывает, насколько эта компания заинтересована в российском рынке и в соответствии требованиям российских заказчиков.

 

...это осуществляется благодаря сертифицированному решению: с одной стороны, оно работает на базе стандартного протокола IPsec, с другой — использует российские криптографические стандарты. Его преимущества — гибкость применения, высокая степень защиты мультисервисного трафика (данные, голос, видео), глубокая интеграция в ведущие решения по обеспечению сетевой безопасности, например, возможность администрирования с помощью Cisco Security Manager.

...В планах на ближайшее будущее — перенос в Россию производства ключевых элементов таких актуальных решений, как представленный нами сертифицированный продукт".

Подробнее…

ISS умер?

Почти три года назад я писал про негативную роль слияний и поглощений в области ИБ. В качестве примера я привел компанию ISS, купленную голубым гигантом (IBM). Меня тогда обвиняли в предвзятости (хотя я почти 5 лет отдал продвижению ISS в России) и нечистой конкурентной борьбе (я тогда уже перешел в Cisco). Но мое мнение было объективным. Таким оно и осталось. А недавно и подтвердилось ;-(

В The Register опубликовали статью, суть которой повторяет то, что я писал три года назад - "зачем IBM потратил 1.3 миллиарда долларов на покупку ISS, непонятно". В статье описывается, что за прошедшие 4 года доля продуктов ISS на мировом рынке сократилась существенно (с 28% до 2,3%). Что решение о включение продуктового направление в сервисный департамент было нелогичным. Да, IBM получил группу X-Force и усилил свою экспертизу на рынке Managed Security Services, но продукты постигла нелегкая судьба. За 4 года четкой стратегии их развития так и не появилось (насколько мне известно, ее нет до сих пор).

И вот в начале этого года, IBM все-таки принял решение о переводе 4 своих продуктов:

• IBM Virtual Server Security for VMware
• IBM Proventia Management SiteProtector
• IBM Proventia Server Protection
• IBM Proventia Network Intrusion Prevention System

в подразделение Tivoli. Учитывая, что сервисный и софтовый департаменты IBM живут каждый своей жизнью и даже иногда конкурируют между собой, то путь флагманских продуктов ISS начинается в IBM заново. Ну а отсутствие озвученной стратегии развития может говорить, что продукты-то перевели, но будут они и дальше самостоятельными или их раздербанят на технологии и включат в уже существующие продукты безопасности Tivoli, непонятно.

Судьба сканера в статье не озвучена. Могу предположить, что он также будет объявлен в End of Sale \ End of Life, что отчасти логично. Уже 6 лет назад продукт остановился в своем развитии и обновлялся только проверками, но не серьезными новыми функциями. За это время конкуренты ушли далеко вперед, а догонять их стало достаточно трудно (да и нужно ли?). Также неизвестна судьба Proventia MFS (многофункциональная устройство защиты) - учитывая не только большое количество нареканий к совместной работе его компонентов, но и то, что Tivoli - это софтовое подразделение. Да и среди лидеров рынка UTM данное решение IBM ISS никогда не числилось. Неисключено, что и этот продукт почит в бозе.

Вот такая судьба постигла компанию, которая была одним из пионеров, а потом и лидером рынка обнаружения уязвимостей и атак ;-(

Подробнее…

"Формула банкинга" - онлайн-конференция bankir.ru

Портал bankir.ru пригласил меня поучаствовать в онлайн-конференции "Формула банкинга". Анонс конференции был такой: "Компьютер успешно заменяет бумажник. Наблюдатели констатируют: банкинг становится одной из самых "IT-продвинутых" индустрий. Что будет дальше… Как оценить IT-решения для банкинга? Есть ли предел "компьютеризации" денег? Что ждет рынок в 2010 году?" Вопросы задавали участники портала. Помимо меня отвечали банковские эксперты, ИТ-специалисты банков и т.п.

Запись конференции...

Подробнее…

Рейтинг Интернет-банков

Довелось мне по приглашению портала banki.ru участвовать в проекте оценки различных систем интернет-банкинга. Суть проекта проста - по набору критериев оценить 22 Интернет-банка, включая и по направлению безопасности осуществления операций. Я оценивал эти банки и как рядовой их пользователь, и как эксперт по ИБ. В итоге получилось то, что получилось. Первое место занял Банк24.ру. Это и понятно. Для этого банка Интернет - основной и единственный канал доставки банковских продуктов до клиентов. Поэтому и продуман он более тщательно.

Из распространенных для многих проблем ИБ могу назвать следующие:

• отсутствие четких и понятных неИТ-пользователю рекомендаций в области ИБ
• отсутствие нормального описания системы защиты (а ведь многие просто боятся работать с ДБО именно по причине мнения о его незащищенности)
• отсутствие виртуальной клавиатуры
• привязка к cookies (у меня они отключены по умолчанию и когда я не мог сходу зайти ни в один из банков, никаких советов и предупреждений о том, что неплохо бы включить cookies не последовало)
• необходимость загрузки мегабайтной документации в формате PDF, чтобы получить описание тех или иных функций ИБ
• отсутствие обратной связи с банком - предлагается только телефон, а e-mail или IM практически никогда
• отсутствие системы регистрации событий в ДБО (как минимум входов в систему)
•  хранение ключей ЭЦП на внешних носителях, что ограничивает применение системы в Интернет-кафе или на смартфонах/iPhone. Иногда работа с ЭЦП и ключами излишне наворочена для рядовых пользователей.

ЗЫ. В мае пройдет пресс-конференция по данному проекту.

Подробнее…

Конференция АРБ по ФЗ-152: результаты

Итак, вчера прошла конференция АРБ по ФЗ-152. Точнее по анонсированию новых (практически последних версий) документов ЦБ в области информационной безопасности и, в частности, в области защиты персональных данных и прав субъектов ПДн. Ссылки на документы я публиковал вчера (сегодня должны быть выложены самые последние версии). Сейчас документы согласованы на 95-98%. В мае должно быть все до конца согласовано и подготовлено "письмо пяти" (ФСТЭК+ФСБ+РКН+ЦБ+АРБ), в котором будет описано, как использовать разработанные документы.

Документы будут развиваться и дальше.Резниковский законопроект, новый приказ ФСБ по персданным, новые административные регламенты регуляторов, новый стандарт ISO по ПДн... все это заставит нас динамично менять и сами документы, чтобы они соответствовали последним веяниям в области защиты ПДн и прав субъектов.

От себя хочу заметить, что если у вас есть замечания, предложения, комментарии, то пишите или сюда, или мне в почту, или на bankir.ru. Мы все постараемся учесть при обновлении документов. Не стесняйтесь ;-)

Еще одной новостью, озвученной на конференции, стал разговор о создании саморегулируемой организации (СРО), которая возьмет на себя процесс как оценки соответствия (в т.ч. и добровольной сертификации) продуктов и услуг в области защиты банковской системы РФ. Пока мы только в начале этого пути, но первый шаг сделан и... он согласован с регуляторами, которые также не видят препятствий к созданию СРО, которая снимает с регуляторов часть головной боли, связанной с необходимостью проверять тысячи организаций по вопросам защиты информации.

Подробнее…

Время снятия сливок на поляне ПДн кончилось?

Многие, кто следит за этим блогом, сталкивались с моим мнением, что интеграторы (не все, но многие) в 2008-2009-м годах активно запугивали своих клиентов страшилками про кару небесную за невыполнение требований ФСТЭК в области защиты ПДн. Клиенты, купившиеся на это, обращались к интеграторам и следовали всем их рекомендациям, даже не удосужившись подумать, а стоит ли выполнять все то, что так рекламируют интеграторы. Может быть стоит творчески подойти к ключевым вопросам защиты ПДн - классификации, обезличиванию, уходу по 687-е постановление и т.п.

Не прошло и двух лет, как ситуация стала меняться ;-) Уже и ФСТЭК сменил свои требования на более адекватные. Вот и интеграторы стали публично рассказывать, как оптимизировать свои усилия по приведению себя в соответствие с четверокнижиями, трехкнижиями и другими ...книжиями. Один из последних примеров - рекомендации Информзащиты по снижению "классности" ИСПДн. В целом ничего нового (все это можно найти у меня в блоге на протяжении последних  пары лет), но важен сам факт признания такой возможности от одного из воротил рынка ПДн, который к тому же еще и лицензиат ФСТЭК.

Но в целом это закономерно. Сегодня запугивать кого-то и играть на незнании и отсутствии информации уже поздно. Хотя бы потому, что уже появляются не просто отдельные факты о том, что при проверках регуляторы отходят от своих же официальных рекомендаций и, например, соглашаются с отказом не использовать классы К1-К4, а целые отраслевые рекомендации, согласованные с регуляторами. Например, рабочая группа ЦБ/АРБ, в которую вхожу и я, опубликовала на сайте АРБ эти документы в свободном доступе:

• РС БР ИББС-2.3 Требования по обеспечению безопасности ПДн
• Методические рекомендации по выполнению законодательных требований
• СТО БР ИББС-1.0-20хх
• Методика оценки соответствия
• РС БР ИББС-2.4 Отраслевая модель угроз ПДн.

Аналогичные по сути (но в бОльшем количестве) документы были разработаны в рамках НИР "Тритон". Они также согласованы с регуляторами и облегчают жизнь операторам связи в деле защиты ПДн.

Подробнее…

Резниковский законопроект по ПДн - зеленый свет дан

Уже писал я о законопроекте Резника, который "малость" изменил действующий ФЗ-152, привнес в него много нового, и поставил множество новых вопросов. У специалистов было много нареканий к этой версии будущего ФЗ-152. да и в самой ГосДуме были противники Резника, продвигающие свой законопроект. Да еще был вариант предложений по изменению ФЗ-152 от Минкомсвязи.

Но видимо Резник победил всех (на текущем этапе гонки). 8 апреля Правительство РФ дало положительное (с оговорками) заключение на законопроект Резника. Есть, конечно, моменты, с которыми Правительство не согласно, но есть и те вещи, на которые многие надеялись и которые не прошли проверку Правительства ;-(

Подробнее…

Как будут защищать ПДн операторы связи?

Я уже писал про НИР "Тритон", выполняемую под эгидой Инфокоммуникационного Союза, и вот новый поворот. 21-го числа состоится заседании секции №1 НТС Минкомсвязи, на котором будут обсуждаться:

• Модели угроз безопасности персональных данных, обрабатываемых в типовых и специальных информационных системах персональных данных
• Концепция защиты персональных данных в информационных системах персональных данных операторов связи.

На сайте Минкомсвязи можно найти эти модели, подготовленные "РНТ" (еще упоминается Инфотехнопроект, но их документов я там не нашел). Детально пока не смотрел, но меня смутило, что РНТ строило свои модели на базе неработоспособной ФСТЭКовской "Базовой модели...". Беглый взгляд показал, что авторы не забыли аппаратные закладки. Зачем? Кому понажобится внедрять аппаратные закладки для перехватка ПДн в сетях связи? Ведь гостайна и ПДн у нас по закону не пересекаются... А еще в качестве носителей вредоносных программ для ПДн специалисты РНТ рассматривают микросхемы материнской платы, видеоадаптер, считыватель CD и... внимание... фанфары... блок питания. Кто мне может объяснить, КАК на блоке питания может завестись вредоносная программа?! Ну про то, как можно серьезно рассматривать вирус, сидящий в микросхеме монитора, сканера, плоттера (в сетях связи!), я вообще молчу. Больших отличий между спецсистемами и типовыми ИСПДн я не обнаружил.

Во второй части будет обсуждаться Концепция защиты ПДн в ИСПДн операторов связи, разработанная в рамках НИР "Тритон".

Подробнее…

McAfee обвиняют в обмане клиентов

Суть обмана проста. Клиенты McAfee сталкивются с показом всплывающего окна, похожего на страницы сайта McAfee. Клиентам предлагается нажать на кнопку "Попробуйте это сейчас", после чего с кредитных карт клиентов списывалась сумма около 5 долларов за покупку непонятно чего. При этом клиенты, доверившие свои кредитки McAfee, не подозревали о таком сервисе и предполагали, что нажав на кнопку они получат обновление своего антивируса.

Иски поданы. McAfee пока не комментирует. Ждем развития событий...

Подробнее…

Почему российские ИБ-стартапы неуспешны?

В мой первый день работы в Cisco я пошел стоять на стенде на первой InfoSecurity Russia. И выступал там же с очередной презентацией. И вот после нее ко мне подошел гендиректор одного известного российского ИБ-интегратора и познакомил с одним человеком, который стал предлагать мне разработанную им классную технологию борьбы с руткитами, которая "делает на раз" все представленные на рынке продукты. Начал он с того, что "опустил" продукты, предлагаемые Cisco, и превознес свое ПО. Мы не нашли общего языка ;-) Через год я вновь его встретил. За это время он пообщался с разными вендорами и нигде не нашел понимания. Уже не такой окрыленный, он спросил меня: "Ну почему никому не нужна его классная технология?" Я ему тогда ответил, что бизнес интересует не технологии, а возможность заработать. Поэтому для стартапа важна не технология, а маркетинг и бизнес-идея. Но он, как истинный технарь, не проникся этим и ушел, пытаясь заработать на своем детище и не понимая принципов, как это сделать.

Потом ко мне на различных конференциях уже не раз подходили разработчики различных "уникальных" технологий, которые сначала пытались всучить это Cisco, а потом просто спрашивали, ну почему же их феноменальный продукт/технология никого не интересуют. Каждому я отвечал примерно одно и тоже. И каждый раз это было впустую. Надо ли говорить, что ни одна из этих технологий так и вышла на рынок.

И вот в уже не раз упомянутом мной блоге "Записки стартаперов", его автор аккумулирует классические ошибки ИТ-стартаперов и описывает 7 мифов, которые делают людей банкротами. Рекомендуется читать всем авторам гениальных идей, желающих заработать на них ;-)  Отмечу, что все это действительно так. Поработав в компании-разработчике, а затем, уже в Cisco, общаясь с отечественными игроками рынка ИБ, понял, что все это действительно имеет место быть.

ЗЫ. Ну и еще про это же.

Подробнее…

Что происходит в области ФЗ-152 (обзор)

Попросили в журнале CIO вести у них на сайте блог. Ну, а почему нет? Тем более, что особой частоты написания заметок пока не требуется. Первая заметка - обзор того, что происходит в области ФЗ-152 за последнее время. Учитывая, что основная аудитория сайта CIO - руководители ИТ-служб, то им некогда читать весь мой блог и рыскать в Интернете в поисках всей необходимой информации. Я в этом обзоре постарался свести воедино все, что сейчас делается.

ЗЫ. Вторая часть заметки.

Подробнее…

Работодатель не имеет права читать личную почту сотрудников

Верховный Суд Нью-Джерси принял решение, запрещающее работодателям читать личную почту сотрудников, отосланную с помощью внешних сервисов, даже если она может находиться на ПК сотрудника в рабочее время. Тем самым суд лишний раз дал понять, что если сотрудник работает на компьютере, являющемся собственностью работодателя, это еще не дает право последнему читать личную почту своих подопечных.

Сама новость... (другой вариант) и юридический анализ.

Подробнее…

Мифы банковской безопасности

В выходные вел секцию на РусКрипто по заблуждениям в области ИБ. Получилось живенько. Жаль только Марии Сидоровой с рассказом о мифах в безопасности виртуализации не было. В остальном все прошло на уровне. И доклады, и дискуссия...

Выкладываю свою презу.

Banking Security Misunderstanding

View more presentations from Alexey Lukatsky.

Подробнее…

Знаете ли вы что такое РС БР ИББС-2.4?

Скорее всего, вы не знакомы с документом с таким названием... Чтобы узнать о нем, а также о документе с номером РС БР ИББС-2.3 необходимо посетить конференцию АРБ "О реализации требований Федерального закона от 27 июля 2006 г. № 152-ФЗ "О персональных данных".

Подробнее…

Как взаимодействовать с регуляторами?

Во вторник в одной весомой организации я выступал с двумя презентациями - "Моделт угроз" и "Как взаимодействовать с регуляторами". Вторую презентацию и выкладываю.

How interact with regulations bodies

View more presentations from Alexey Lukatsky.

Подробнее…

Я переезжаю на Украину

Коллеги, последнее время я много думал и пришел к непростому решению - я уезжаю из России... на Украину, откуда все мои предки родом. Сподвигло меня к этому решению все, что происходит в последнее время в стране. "Демократия", коррупция, бесполезная борьба с чиновниками, терракты... Все это не добавляет оптимизма относительно жизни в этой стране.

Безопасностью я решил тоже больше не заниматься. Решил полностью сменить свой профиль деятельности. Займусь дизайном и торговлей ювелиными изделиями. Я об этом думал достаточно давно и на досуге даже мастерил дома ювелирку "для себя"... Получалось неплохо. Вот только один пример:

Также уход в самостоятельное плавание позволит реализовать многие маркетинговые и рекламные задумки, которые не удавалось запустить, работая "на дядю". В частности придумал название и логотип для своего ювелирного дома ;-) Также заказал у фрилансеров (денег пока на хороший рекламный заказ немного) фирменный стиль, визитки, лого (кстати, изделие с рубином тоже моих рук дело)...

Родственники помогли открыть небольшой магазинчик в Одессе.

Вот так, примерно. Пока не знаю, что из этого всего получится. Надеюсь, что в новой стране не пропаду. Всем удачи!

Подробнее…

Мифы 70-72

Новые мифы:

• Аутсорсинг ИБ в России – это реальность
• Сертификату, выпущенному удостоверяющим центром, можно доверять
• Пароль нужно менять каждые 30 дней

Подробнее…

Проект нового приказа ФСТЭК

ФСТЭК разместил на своем сайте проект приказа "Об утверждении Порядка опубликования и вступления в силу актов Федеральной службы по техническому и экспортному контролю, признанных Министерством юстиции Российской Федерации не нуждающимися в государственной регистрации".

Интересный документ. Например, все акты ФСТЭК, не нуждающиеся в регистрации в МинЮсте, должны быть опубликованы на сайте ФСТЭК и... в журнале "Connect! Мир связи". Это считается их официальной публикацией по мнению ФСТЭК. Срок публикации - 10 дней с момента получения заключения ФСТЭК. Зато предельно ясен срок вступления в силу таких актов - с момента признания их МинЮстом не нуждающимися в регистрации.

Ну а к документам, обязательным для регистрации по-прежнему действуют старые правила, прописанные в ПП-1009 от 13 августа 1997 года.

Подробнее…

Ожидаемое и реальное поведение людей в окружении безопасности

Есть в Норвегии такой федеральный орган как National Security Authority (это наши ФСТЭК и ФСБ вместе взятые). В 1998 году под его эгидой был выпущен Norwegian Security Act, который обязывал государственные и частные предприятия предпринимать ряд мер по защите конфиденциальной информации. Знакомо, не правда ли? Некоторое время спустя агентство решило проанализировать поведение сотрудников организаций, подпадающих под действие закона, с точки зрения ИБ. Неудивительно, что между ожидаемым (все-таки закон обязателен к исполнению) и реальным поведение был обнаружен разрыв, причиной которому было несколько барьеров:

• юзабилити (удобство/неудобство) безопасности (как систем, так и процедур и процессов)
• отсутствие у сотрудников необходимых знаний в области ИБ
• отношение к безопасности (например, "старые" сотрудники не запускали утвержденный процесс реагирования на инцидент, произошедший по вине новичков, предпочитая поговорить с ними "по душам" и дать им еще один шанс в ущерб установленным правилам)
• отсутствие культуры безопасности (например, сотрудники часто думают или говорят "почему я должен это делать, если мой коллега этого не делает?")
• конфликт целей (классическая диллема: что важнее - запустить продукт к заданному сроку, но без серьезных проверок на безопасность, или досконально проверить защищенность, но сорвать сроки запуска проекта?)
• традиционные человеческие ошибки.

Предположу, что аналогичные барьеры существуют не только в Норвегии, но и в любой стране и любой организации, внедряющей различные технологии и практики ИБ. А раз эти барьеры одинаковы, то, зная о них, можно подготовить и меры по снижению их негативного эффекта. Без этого любые попытки навязать какое-либо обязательное требование или заставить выполнять федеральный закон или иной нормативный акт будут обречены на провал.

Подробнее…

Cisco SAFE Next Generation

Многие слышали о разработанной нами технологической архитектуре безопасности Cisco SAFE (Security Architecture for Enterprise). Именно на ее основе многие строили свои защищенные сети. Вторая вышедшая версия, которую мы перевели на русский язык, была многократно скачана с нашего сайта. Но ничто не стоит на месте и вот в прошлом году мы анонсировали новую версию SAFE (SAFE NG), краткий русский перевод которой, я и выкладываю. Также этот документ выложен на сайте cisco.ru и на нашем информационном портале my.cisco.ru.


Cisco SAFE Next Generatrion

Подробнее…

Об ассоциации ИБ, которая мешает рынку, о лживых рейтингах и о зашоренных регуляторах

Размышления Владимира Гайковича о российском рынке ИБ...

Подробнее…

Системное исследование человеческого фактора при разработке систем безопасности

"Многие защищенные и безопасные системы опираются на действия людей для выполнения критически важных функций. Однако, люди часто не справляются со своими ролями. Когда это возможно, дизайнеры и архитекторы систем безопасности должны находить способы исключения человеческого фактора при проектировании систем. Однако, есть ряд задач, для которых альтернатив человеку нет или они экономически нецелесообразны. В этих случаях архитекторы безопасности должны максимизировать свои шансы на выполнении всех критичных для безопасности функций даже при наличии человеческого фактора". Так начинается отчет CMU-CyLab-08-001 "A Framework for Reasoning About the Human in the Loop", опубликованный институтом Карнеги Меллона в январе 2008 года.

"Мы предлагаем основу для рассуждений о человеческом поведении, что обеспечивает систематический подход к выявлению возможных причин для "отказа человека", т.е. действий человека, направленных на умышленный или случайный обход системы защиты. Эта структура (framework) может быть использована дизайнерами и архитекторами для выявления проблемных областей до внедрения систем и для своевременного обнаружения и устранения недостатков, связанных с человеческим фактором. Эксперты безопасности могут также использовать этот подход для анализа причины неудач и сбоев в системе безопасности, которые относятся к разряду человеческих ошибок. Приведены примеры, иллюстрирующие применение этого подхода к различным проблемам проектирования защищенных систем, включая системы антифишинга и управления паролями".

Достаточно интересное исследование, которое лишний раз демонстрирует важности учета психологических аспектов при построении и внедрении систем ИБ.

Подробнее…

Вас взломали? Как общаться с внешним миром?

Пока писать не хватает времени ;-) Буду выкладывать интересные презентации, которые нахожу в архиве.

You are hacked? How contact with press?

View more presentations from Alexey Lukatsky.

Подробнее…

7 способов оценки вероятности риска

Выступить вчера мне не удалось. Причина более чем уважительная - рождение дочери. Поэтому просто выкладываю презентацию про 7 способов оценки вероятности риска.

7 cases of risk probality measurement

View more presentations from Alexey Lukatsky.

Подробнее…

Ексель?.. Моксель?.. Лексиль!

Есть такая штука, называется Lexile. Суть ее проста - она (т.е. модель, алгоритм и т.п.) позволяет оценить сложность любого текста для восприятия. С помощью Lexile в США оценивают школьников и студентов, их умение читать, писать и т.д. При этом у данного метода есть замечательное свойство - ему все равно, тексты на каком языке оценивать. Учитывая многонациональность США это очень важно. Именно после внедрения Lexile во многих ВУЗах с помощью единой шкалы стало проще оценивать студентов, говорящих на разных языках. Минимальный уровень Lexile, означающий текст начального уровня (для детей), составляет 100. Уровень 1700 - это решения Верховного суда США, а также различные научные статьи.

К чему это я все веду? Просто мне тут пришло в голову, что с помощью данного метода можно запросто оценивать понятность и уровень восприятия документов по ИБ, которые пишутся во многих организациях. Т.к. они часто ориентированы на рядовых пользователей, то неплохо бы писать документы, опираясь на их средний уровень Lexile (а не уровень сотрудников ИБ). Правда, это уже из области фантастики. И так не хватает времени на рутину, а тут еще я со своими идеями ;-) Но интеграторам может и стоит задуматься...

ЗЫ. С помощью Lexile можно оценивать и восприимчивость курсов повышения осведомленности, которые далеко не всегда ориентируюся на пользователей.

Подробнее…

Указ 334 возвращается?!

В мае прошлого года в журнале "Финанс" была опубликована статья по результатам общения журналиста с Леонидом Викторовичем Беляевым, начальником отдела лицензирования, сертификации и защиты гостайны ФСБ России. Это то, с чем нам приходится сталкиваться уже сейчас и что нас ждет в самом ближайшем будущем.

Все это очень сильно коррелирует с тем, что я описал в Компьютерре, как прогноз для российского рынка ИБ в 2010 году.

А вот то, к чему это уже все привело. И вот еще. Ну и напоследок.

ЗЫ. А вот что думает про это Cisco.

ЗЗЫ. В курсе про моделирование угроз я эту ситуаию тоже рассматриваю. Она показывает, что на проблему надо смотреть не только с технической точки зрения, а гораздо ширше ;-) В частности изменение законодательства может (могло) стать причиной останова модернизации инфраструктуры безопасности или приостанова ввода в строй новых сервисов, завязанных на СКЗИ, которые оказалось нельзя ввезти. Но это так, к слову...

Подробнее…

ИБ-выставки уходят в онлайн

Полтора года назад я писал про проводимый нами Cisco IT Security Forum, который проводился полностью в виртуальной среде, в онлайн. С тех пор мы провели несколько таких мероприятий по раззличным направлениям деятельности Cisco.

И вот новая тенденция доползла и до России. С 29 марта по 1 апреля 2010 года на интернет-ресурсе НаВыставке.ру пройдёт первая отраслевая онлайн-выставка по информационной безопаcности IT SECURITY ONLINE SHOW. Будет и выставочная часть и конференционная. Так что должно быть интересно.

ЗЫ. В эти даты, правда, уже проходит обычная конференция "Стандартизация, внедрение и оценка безопасности при использовании ИКТ", где я возможно буду выступать с двумя докладами - про международные стандарты в области защиты ПДн и про международные стандарты в области защиты критичных инфраструктур. Также 1-го числа начинается РусКрипто. Надеюсь, что это не сильно помешает проведению онлайн-шоу.

Подробнее…

Как предсказать проблемы с безопасностью?

Это один из ключевых вопросов в области ИБ. Над ответом на него бьются лучшие умы отрасли. Что надо для решения этой насущной проблемы? Правильная модель и правильные данные. С первым, в общем, ситуация более менее разрешима. Особенно если привлекать алгоритмы из смежных областей. Относительно недавно на глаза попалось исследование Келдышевского института. Так там говорится о том, что DDoS-атаки и эпидемии червей можно предсказывать заранее; и даже модели приводятся. Но... все эти модели бесполезны без репрезентативных и качественных данных.

Недавно Министерство национальной безопасности США (DHS) запустило новый проект - PREDICT (Protected Repository for the Defense of Infrastructure Against Cyber Threats). Это защищенный репозиторий данных, используемых для исследований в области информационной безопасности. Основная его идея - помочь исследователям, разработчикам новых продуктов и авторам новых технологий.

ЗЫ. В проект можно подключиться как исследователь, использующий данные репозитория, автор новых данных, и хостер для данных.

ЗЗЫ. DHS также анонсировал на днях конкурс National Cybersecurity Awareness Campaign Challenge по сбору и последующей публикацией идей на тему: "Как сделать граждан более защищенными и более подкованными в информационной сфере?" Если есть желащие, welcome ;-)

Подробнее…

Мифы 67-69

Новые мифы:

• Токены очень удобны и решают все проблемы с аутентификацией
• Dj#wP3M$c – наилучший пароль
• Аутсорсинг дороже, чем создать свой отдел

Подробнее…

Наши ГОСТы по криптографии теперь в виде RFC

http://www.rfc-editor.org/rfc/rfc5830.txt
http://www.rfc-editor.org/rfc/rfc5831.txt
http://www.rfc-editor.org/rfc/rfc5832.txt

Подробнее…

Третий Russian CSO Summit

22-23 марта пройдет третий российский съезд директоров ИБ. Достаточно интересная программа заявлена. Соотношение вендоров-заказчиков среди выступающих примерно 50/50. Из интересных докладов можно назвать выступление Михаила Хазина, известного экономиста и футуролога.

Я тоже буду там выступать с темой "7 спобов оценки вероятности риска" (в секции риск-менеджмента).

Подробнее…

Мифы 64-66

Новые мифы:

• Мобильные вирусы представляют большую опасность
• Системы обнаружения атак умеют обнаруживать неизвестные атаки
• Шредер гарантированно уничтожает информацию на бумаге

Подробнее…

Почему региональные ФСТЭК ничего не знают о 58-м Приказе

Забавно, что региональный ФСТЭК похоже не слышал не только о решении об отмене двух документов четверокнижия, но и о 58-м приказе тоже ничего не знает. Вчера выступал на конференции в Ростове, на которой представители ФСТЭК долго и нужно пересказывали четверокнижие и то, как все должны аттестовать свои системы и получать лицензию ТЗКИ. Подозреваю, что и в других федеральных округах ситуация не лучше.

ЗЫ. Грустно то, что и многие интеграторы и вендоры ИБ, выступавшие там же, тоже ничего не знали про решение ФСТЭК об отмене части четверокнижия ;-(

Подробнее…

ФСТЭК отменяет часть четверокнижия

В связи с изданием приказа ФСТЭК России от 5 февраля 2010 г. № 58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных» (зарегистрирован Минюстом России 19 февраля 2010 г., регистрационный № 16456; опубликован: «Российская газета», 5 марта 2010 г., № 46) не применять с 15 марта 2010 г. для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных следующие методические документы ФСТЭК России:

• "Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных", утвержденные заместителем директора ФСТЭК России 15 февраля 2008 г.;
• "Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных", утвержденные заместителем директора ФСТЭК России 15 февраля 2008 г. 

Взято с сайта ФСТЭК (спасибо malotavr за наводку).

Подробнее…

Создана Ассоциация защиты прав операторов и субъектов ПДн

В феврале была создана некая Ассоциация защиты прав операторов и субъектов ПДн. Как написано на сайте: "Ассоциация" является добровольным объединением, основанным на членстве юридических и физических лиц. Ассоциация создана по инициативе граждан, объединенных профессиональной деятельностью, для реализации общих идей и целей и объединяет специалистов в области персональных данных различного уровня (от специалистов до руководителей направлений)".

Не знаю, что будет делать сама Ассоциация, но сайт должен стать единым источником полезной информации по теме ПДн. Хотелось бы, чтобы Ассоциация еще и в изменении законодательства участвовала, но в ее целях и задачах этого нет - только несение света в массы (правда, непонятно на какие средства, но это мелочи). Уже сейчас на сайте куча всяческих документов, ссылок, новостей, форум и т.п.

ЗЫ. Кто создатель Ассоциации неизвестно (как и список ее членов), но по косвенным признакам - это г-н Травкин. Небезызвестный toparenko активно рулит наполнением сайта, что дает надеяться на качество последнего ;-)

Подробнее…

Privacy filter

Прочел у Шнайера про privacy filter (улыбнуло) и вот навеяло... Если не брать в расчет такой экстравагантный способ скрыть от чужих глаз то, чем мы занимаемся за своим лэптопом, то по сути своей существует только один вариант - поставить privacy filter. Вещь безусловно полезная. Я ее оценил, когда получил фильтр в Cisco. Теперь можно не беспокоиться, что во время командировок ко мне в экран будут заглядывать посторонние люди. А те, кто у нас не ездят никуда, используют его тоже с пользой - никто проходя за спиной не подсматривает, что человек делает. Психологически комфортнее работать.

Это же решение замечательно борется с видовыми утечками, которыми так любит пугать ФСТЭК и требовать защиты от этой угрозы.Хотя парадок в этом решении конечно же присутствует. Производители делают все, чтобы матрица экрана была видима под как можно более широким углом. А фильтр, наоборот, сужает этот показатель до минимума. Яркость изображения, конечно, падает, но зато возрастает безопасность. Да и глаза устают гораздо меньше. Я уже к нему так привык, что и не замечаю его на мониторе.

Но сразу надо заметить, что вещь недешевая (хотя и дешевле традиционных методов борьбы с видовыми утечками). 3M'овские (а это лидер рынка) стоят от 80 до 150 долларов в зависимости от размера монитора. Корпоративные цены существенно ниже. Но можно получить и вовсе бесплатно - в позапрошлом и прошлом годах их бесплатно распространяли на InfoSecurity в Лондоне.

Подробнее…

Всех читательниц с 8-м Марта

Поздравляю всех читательниц с 8-м Марта!

Вы постоянно вдохновляете поэтов,
Писателей, актёров и умов.
Без вас бы Пушкин не писал куплетов,
И не услышали б мы Лермонтовских строф!

Пусть радостью сегодня солнце светит,
В тени оставив сноп больших тревог,
И все цветы, какие есть на свете,
Цветут сегодня пусть у Ваших ног.

Подробнее…

Как банкиры и страховщики тратят деньги на безопасность?

Forrester вчера опубликовал отчет, в котором анализируются статьи затрат банков и страховщиков на безопасность.

Подробнее…

Как научить мобильных абонентов думать о безопасности

Вымпелком запустил зачетный ресурс для абонентов по повышению их осведомленности в области борьбы с мошенниками.

Подробнее…

Мое выступление на IDC IT Security Roadshow

Вчера я выступал на IDC IT Security Roadshow в Москве. Очень достойное мероприятие было - свыше 500 человек, интересные встречи, интересные дискуссии в кулуарах. Меня многие спрашивали, где скачать мою презентацию? Пока организаторы не выложили ее на свой сайт, я выкладываю ее здесь (в расширенном формате - минут на 35, а не 25, как было на конференции).

Cisco Secure Borderless Network

View more presentations from Alexey Lukatsky.

Подробнее…

Законопроект "О национальной платежной системе"

Попал мне в руки законопроект "О национальной платежной системе", о которой говорят много и активно чиновники разных уровней. До 31-го марта законопроект должен быть подготовлен и внесен в ГосДуму. Суть его проста - регулировать деятельность организаций - операторов по переводу денежных средств, операторов по приему платежей, операторов платежных систем, операторов услуг платежной инфраструктуры и определить требования к функционированию платежной системы. Ну а по простому - у нас хотят построить свою Visa или MasterCard ;-)

Теперь о процессинге. Из статьи 9: "Банк России вправе устанавливать требования к деятельности операционных центров значимых платежных систем, включая требования к бесперебойности, информационной безопасности, а также порядок оценки соответствия операционных центров значимых платежных систем установленным требованиям". Требования PCI DSS отдыхают. И хотя ЦБ не раз заявлял, что их СТО во многом схож с PCI DSS, выполнять придется требования СТО, а не PCI DSS... с прохождением оценки соответствия (скорее всего в ABISS).

С процессингом связан и гораздо более неприятный для всех момент (он так и кочует из версии в версию и менять его пока никто не собирается, хотя попытки есть): процессинговые центры "не вправе передавать информацию, касающуюся переводов денежных средств, осуществляемых на территории Российской Федерации, на территорию иностранных государств или предоставлять доступ к ней с территории иностранных государств". Что это значит для простых граждан? Вы не сможете оплатить имеющейся у вас картой Visa или MasterCard покупку в магазине! Вы не сможете снять зарплату с карты! Вы не сможете перевести деньги через Western Union! И т.п. А все потому, что нередко процессинг (по крайней мере у европейских и азиатских банков, не говоря уже о самой Visa и MasterCard) располагаются за пределами РФ.

Законопроект вводит такие понятия, как расчетный и клиринговый центр. Требования по управлению рисками в них устанавливает также Банк России (пора изучать 242-П, 76-Т, 2194-У и т.п.). К обычным участникам платежной системы относятся операторы по переводу денежных средств и приему платежей, участники рынка ценных бумаг, почта и т.п. Чтобы стать участником платежной системы надо будет выполнить ряд условий, в т.ч. и требования по ИБ. Все участники "обязаны выполнять требования по оценке и управлению рисками, предусмотренные правилами платежной системы".

Теперь об информационной безопасности. Операторы платежной системы обязаны обеспечить оценку и управление рисками, а также разработать меры обеспечения информационной безопасности в платежной системе и обеспечить контроль их соблюдения. Ключевым регулятором (в текущей редакции законопроекта) является Банк России. Об этом говорит отдельная, 17-я статья: "Информационная безопасность в платежной системе обеспечивается в соответствии с требованиями законодательства Российской Федерации совокупностью технологических и организационных мер, аппаратно-программных и технических средств защиты информации. Оператором платежной системы, участниками платежной системы, операторами услуг платежной инфраструктуры должна проводиться оценка соответствия информационной безопасности в платежной системе требованиям к обеспечению информационной безопасности в порядке, установленном правилами платежной системы. Банк России вправе устанавливать требования к обеспечению и порядок оценки информационной безопасности в значимых платежных системах".

Отдельный раздел законопроекта посвящен национальной платежной карте (аналог Visa или MasterCard). Будет создан аналог Visa в России, который "разрабатывает и принимает стандарты ...обеспечения информационной безопасности, обеспечивает контроль за их соблюдением". Теперь у нас будет свой аналог PCI DSS.

ЗЫ. С момента опубликования ФЗ выделяется 6 месяцев на его вступление в силу. За это время все участники должны будут выполнить требования по ИБ ;-)

Подробнее…

Новый документ ФСТЭК по защите ПДн

Итак свершилось... То, о чем я писал пару-тройку недель назад свершилось - ФСТЭК выпустил новую версию своих требований по защите ПДн - приказ от 5.02.2010 № 58 "Об утверждении положения о методах и средствах защиты информации в ИСПДн" (в Консультанте и в Гаранте). Он утвержден директором ФСТЭК и зарегистрирован в МинЮсте 19 февраля.

Учитывая легитимность этого документа (и нелигитимность четверокнижия), основание выпуска этого приказа (тоже во исполнение пп-781) и срок выпуска этого приказа (он более новый, чем четверокнижие), а также исходя из общих норм права, можно сделать вывод, что приказ № 58 пришел на замену (а не в дополнение) предыдущих документов ФСТЭК по теме персданных.

Второй приятный момент в документе - отсутствие требований лицензирования, аттестации и применения сертифицированных СЗИ. Последние нужны только для ИСПДн 1-го класса и только в части отсутствия НДВ.

Все защитные меры разрабатываются только исходя из модели угроз и класса ИСПДн - никаких заранее готовых перечней механизмов защиты не предусматривается. Класс определяется только исходя из "Приказа трех". Это один из скользких моментов, т.к. "приказ трех" не предусматривает дополнительной классификации специальных систем, а типовых систем в природе не существует. А вот перечень методов и способов защиты (перекочевал из четверокнижия), приведенный в Приложении к Приказу, привязан к классам типовых систем.

Как решать этот парадокс пока не совсем понятно. Я придерживаюсь точки зрения, что раз методики классификации спецсистем не существует, то мне остается только самостоятельно (или с привлечением лицензиата) разработать перечень защитных мер исходя из модели угроз. А перечень из приложения к приказу - всего лишь рекомендация, не более.

С ПЭМИН борьба только при актуальности данной угрозы.

Подробнее…