Об оценке соответствия средств защиты

Задался я тут целью провести исследование на тему надо ли все-таки сертифицировать средства защиты или нет. И вот что, вкратце, у меня получилось. В существующей нормативной базе существует два примера упоминания вопросов сертификации - прямое и косвенное. Прямое, например, есть в совместном приказе ФСТЭК и ФСБ, в Указе Президента 351 или в пресловутом Постановлении Правительства 330. В них прямо говорится, что средства защиты должны быть сертифицированы ФСБ или ФСТЭК. Косвенное упоминание есть в Постановлении Правительства № 424, в Приказе ФСТЭК № 58, в СТО Банка России (РС 2.3) и т.п. В них говорится о том, что системы защиты должны пройти оценку соответствия в установленном порядке.

Согласно ФЗ-184 "О техническом регулировании" установлено 3 формы подтверждения соответствия - декларация соответствия, обязательная и добровольная сертификация. Декларировать нам не на что - техрегламента по ИБ так и не появилось. Остается два оставшихся варианта - добровольная и обязательная сертификация. С обязательной все ясно - она должна быть определена Правительством или Президентом (но не регулятором и поэтому приказ ФСТЭК № 199 "не у дел"). По обязательной сертификации средств защиты у нас несколько постановлений, как минимум, ПП-608 "О сертификации средств защиты информации". С ним вроде бы все ясно - оно четко говорит, что обязательной сертификации у нас подлежат только средства защиты гостайны. Все остальное носит добровольный характер. И вот тут начинается самое интересное.

Оказывается системы сертификации Федеральной службы по техническому и экспортному контролю (регистрационный номер № РОСС RU.0001.01БИ00), Федеральной службы безопасности (регистрационный номер № РОСС RU.0001.030001), Министерства обороны Российской Федерации (регистрационный номер № РОСС RU.0001.01ГШ00) и у Службы Внешней Разведки (регистрационный номер № РОСС RU.0001.01СЗ00) являются системами добровольной сертификации средств защиты. Именно так они зарегистрированов в Ростехрегулировании, который в России и отвечает за регистрацию систем добровольной сертификации и регулировании вопросов обязательной оценки соответствия.

Также к системам добровольной сертификации средств защиты информации относятся:

• система добровольной сертификации ГАЗПРОМСЕРТ. Она создана ОАО «Газпром» приказом от 06 февраля 1999 г. № 10 (регистрационный № РОСС RU.3022.04ГО00 от 17 июля 2000 г.). Ориентирована только на Газпром и его дочерние предприятия.
• система добровольной сертификации «АйТиСертифика». Она создана ЕВРААС (регистрационный № РОСС RU.М089.04ИТ00). По информации создателей данной системы ее сертификаты признаются ФСТЭК России и Федеральной службой безопасности.
• система добровольной сертификации Ecomex (регистрационный № РОСС RU.З680.04УЭТ0). Данная система сертификации создана в сентябре 2010 года в связи с чем широкого распространения она пока не получила. Я вообще ее в Интернете, кроме сайта Ростехрегулирования, не нашел.

Иными словами уйти от сертификации нам пока не удается (если это прямо не разрешено отраслевым регулятором, как, например, ЦБ в СТО разрешил для защиты АБС не использовать сертифицированные средства защиты). Вопрос в том, что сертификация средств защиты не должна быть обязательной, и не обязательно по линии ФСТЭК или ФСБ ;-) Вы можете провести ее, например, в "Газпромсерте" или в "АйТиСертифике". Законодательство дает вам такое право (как, собственно, и сама ФСТЭК своей формулировкой об "оценке соответствия в установленном порядке"). А системы сертификации, отличные от, например, ФСТЭКовской, должны быть выгоднее. Иначе они не смогут конкурировать с регуляторами.

Вот такой расклад получается... на данный момент.

Подробнее…

СоДИТ перевел ISO 15408:2009

Союз ИТ-директоров России перевел первую часть новой версии стандарта оценки ИТ с точки зрения информационной безопасности - ISO/IEC 15408:2009. Это всем известные "Общие критерии", которые приняты в качестве ГОСТа и в России, но в своей предыдущей, второй версии. Нынешняя же версия - самая последняя. Пока переведена только первая часть, но остальные на подходе.

Об этом переводе было объявлено на 3-м Форуме директоров по ИБ, прошедшем в конце октября в Москве Борисом Славиным, председателем правления СоДИТ. Несмотря на обещание выложить этот стандарт на сайте СоДИТ или на Global CIO, пока я там этого текста не увидел. Но я получил разрешение у Бориса выложить текст стандарта у себя в блоге, что и делаю.

ISO IEC 15408-2009-1 by Russian

Подробнее…

Регулирование криптографии - финальная версия карты

Несмотря на почти полное отсутствие комментариев и конкретных предложений (исключая Ригеля), я довел документ до ума и финализировал его. Надеюсь будет полезным в работе.

PS. Возможно я плохо искал, но я не нашел документов, регламентирующих сертификацию СКЗИ для защиты конфиденциальной информации. По гостайне есть приказ ФСБ о создании системы сертификации. А вот по конфиденциалке такого документа нет... Или я плохо искал?

Russia Crypto Regulation

Подробнее…

И вновь о выборе паролей

Полтора года назад я уже обращался к теме выбора паролей и вот новый виток привел меня туда же ;-) Microsoft недавно опубликовал свое исследование, в котором предложил выбирать пароли не как захочется, а используя статистику уже выбранных пользователями паролей. Иными словами предлагается автоматически исключать популярные пароли, даже если они соответствуют требованиям сложности, часть реализованным в различных системах и приложениях.

Другое интересное исследование изучает вопросы использования энтропии, как метрики для правильного выбора паролей. Идея этого исследования проста и понятна. Многие политики выбора паролей рекомендуют (требуют) использования в пароле не только букв, но цифр и специальных символов; букв в разных регистрах и т.д. Насколько это повышает защищенность пароля? Влияет ли длина пароля на его стойкость к взлому? Влияет ли на защищенность системы использование список запрещенных к использованию паролей? Именно ответу на эти вопросы и посвящено исследование сотрудников университета во Флориде, компаний Redjack и Cisco IronPort.

Подробнее…

Измерение экономической эффективности ИБ

В среду читал на InfoSecurity Russia доклад на тему изменения экономической эффективности ИБ. И хотя частично я эти слайды уже выкладывал, я решил их повторить, т.к. примерно половина слайдов там новая.

Measurement of security efficiency

View more presentations from Alexey Lukatsky.

ЗЫ. Аналогичную тему я поднимал на CiscoExpo, но там я экономику показывал применительно к оборудованию Cisco. Презентация (как и все остальные с CiscoExpo) выложены тут.

Подробнее…

Законопроект о НПС внесен в ГосДуму

Правительство в понедельник внесло в Госдуму законопроект "О национальной платежной системе" и "О внесении изменений в некоторые законодательные акты Российской Федерации, а также "О признании утратившими силу Федерального закона "О деятельности по приему платежей физических лиц, осуществляемой платежными агентами" и некоторых положений законодательных актов Российской Федерации в связи с принятием Федерального закона "О национальной платежной системе". Что он принесет рынку ИБ? Т.к. он не сильно по "нашей" теме меняется последние полгода (да и в его обсуждении безопасники почти не принимают участие), то можно говорить, что он в таком виде и дойдет по подписания у Президента.

Итак, что такое НПС? Согласно законопроекта - это "совокупность операторов по переводу денежных средств, включая операторов электронных денег, платежных агентов (субагентов), операторов платежных систем, операторов услуг платежной инфраструктуры, участников финансовых рынков, органов федерального казначейства и организаций федеральной почтовой связи при осуществлении ими деятельности, связанной с переводом денежных средств (субъекты национальной платежной системы)". Сразу хочу отметить, что в НПС входят не только банки, но и, например, почтовые отделения, операторы по переводу электронных денег (тот же Яндекс.Деньги или WebMoney), пенсионные фонды, профессиональные участники рынка ценных бумаг, а также любая другая организация или индивидуальный предприниматель, которая принимает от физлиц наличные деньги. Т.е. НПС - это масштабная система по количеству участников.

"Наша" тема описана в трех статья - 18-ой, 19-ой и 20-ой. 18-я требует, чтобы все участники НПС, исключая субагентов, расчетные, клиринговые и операционные центры, соблюдали требования по обеспечению банковской тайны в соответствие с требованиями закона "О банках и банковской деятельности". При этом требования соблюдения БТ для указанных исключений даны во втором законопроекте (см.ниже).

19-я статья (тот же номер у статьи по защите в ФЗ-152) говорит об обеспечении защиты информации платежной системы. Требования по защите устанавливает Правительство, а контроль и надзор за ними осуществляют ФСБ и ФСТЭК. Эти требования обязательны для всех субъектов НПС. Также для них обязательны требования (при переводе денежных средств), устанавливаемые ЦБ. Эти требования должны быть согласованы с ФСТЭК и ФСБ, а контроль за их исполнением ложится на ЦБ.

Со стороны Правительства, ФСТЭК и ФСБ пока никаких требований по безопасности НПС не было (хотя слухи о том, что ФСТЭК разрабатывает документ по защите платежных систем ходят). А вот то, что сделает ЦБ примерно понятно (хотя и не финально). Требования по защите прописаны в СТО, который уже согласован с ФСТЭК и ФСБ (по проекту ПДн), и ЦБ врядли будет писать что-то новое. Хотя... мало ли что нас ждет в будущем.

Дополнительно к ст.19, в ст.20 для операторов платежных систем устанавливается требование наличия системы управления рисками в соответствие с нормативными требованиями ЦБ (скорее всего речь пойдет о 76-Т, Базель II, 197-Т, 36-Т и т.п.).

Интересно, что участники НПС могут подключаться к т.н. трансграничной платежной системе (Visa, AmEx, MasterCard и т.п.), но при выполнении последней ряда условий, в т.ч. и всех требований ФЗ об НПС. Это значит, что Visa должна будет соблюдать требования ФСТЭК и ФСБ по защите информации о денежных средствах. Интересно будет посмотреть, как будет реализовано данное требование.

За невыполнение данных требований предусмотрено несколько видов наказания:

• приостановление деятельности (для клиринговых и расчетных центров)
• исключения из реестра операторов платежной системы (для оператора платежной системы)
• административная ответственность

Закон вступает в силу по истечение года с момента его опубликования.

Второй закон о внесении изменений содержит много разных поправок в действующие законы, но по "нашей" части изменения касаются только ст.26 закона "О банках и банковской деятельности" (расширяя список лиц, обязанных соблюдать банковскую тайну) и в КоАП добавляется новая статья 15.26.1 "Нарушение законодательства о национальной платежной системе". Штраф до 200 тысяч рублей распространяется только на операторов платежных систем, операционные и клиринговые центры.

ЗЫ. Достаточно интересно читать законопроект, в контексте работы Visa, MasterCard и т.п. платежных систем. Исходя из текста законопроекта они становятся участниками НПС, но... обязаны будут строить процессинг здесь, т.к. законом будет запрещена передача информации зарубеж по переводам денег (или доступ к процессингу из-за рубежа). Исключений только два - резервное хранение данных заграницей или передача данных только платежной карте и только в объеме суммы, валюты и PAN/CVV (ФИО и адрес клиента передавать запрещено).

Подробнее…

Незамеченное изменение ФЗ-152

Совершенно незамеченным прошло изменение в ФЗ-152, проведенное ст. 23 Федерального закона от 27.07.2010 N 227-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона "Об организации предоставления государственных и муниципальных услуг" (спасибо коллегам на bankir.ru).

Дословно ст.23 звучит так: " Внести в статью 9 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451) следующие изменения:

1) в части 4:

а) абзац первый изложить в следующей редакции:

"4. В случаях, предусмотренных настоящим Федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных. Равнозначным содержащему собственноручную подпись письменному согласию субъекта персональных данных на бумажном носителе признается согласие в форме электронного документа, подписанного электронной цифровой подписью или в случаях, предусмотренных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами, иным аналогом собственноручной подписи. Письменное согласие субъекта персональных данных на обработку своих персональных данных должно включать в себя:";

б) дополнить пунктом 7 следующего содержания:

"7) собственноручную подпись субъекта персональных данных.";

2) дополнить частью 4.1 следующего содержания:

"4.1 . Порядок получения согласия субъекта персональных данных в форме электронного документа на обработку его персональных данных в целях предоставления государственных и муниципальных услуг, а также услуг, которые являются необходимыми и обязательными для предоставления государственных и муниципальных услуг, определяется Правительством Российской Федерации. "

Это изменение, кстати, в очередной раз показывает, что уполномоченный орган в лице РКН совершенно не в курсе про то, что письменное согласие может быть не только на бумаге. Да и ЭЦП рекомендуется, но не является единственным механизмом. Достаточно описать механизм АСП (аналог собственноручной подписи) и вы можете подписывать им сообщения электронной почты, получая тем самым письменное согласие... хотя оно и не нужно во многих случаях - можно обойтись устной или конклюдетной формой.

Подробнее…

Изменение законодательства по контролю в области ПДн

Правительство РФ внесло в ГД законопроект № 454517-5 "О внесении изменений в отдельные законодательные акты Российской Федерации по вопросам осуществления государственного контроля (надзора) и муниципального контроля".

В части ПДн предложена ст.53, в которой предлагаются следующие ключевые изменения:

• четко указывается, что контроль и надзор осуществляется согласно ФЗ-294
• предметом проверки является соблюдение только обязательных требований
• плановая проверка может осуществляться только по одному основанию - истечение 3-х лет с государственной регистрации оператора или последней проверки
• внеплановые проверки осуществляются только по истечению выданного предписания, а также поступления в РКН обращения субъектов о нарушении их прав в области обработки ПДн  или в результате наличия поручения Президента или Правительства
• внеплановая проверка должна быть согласована с прокуратурой
• срок проверки - не более 10-ти дней (раньше было 20)

Подробнее…

Сравнение подходов к защите ПДн в России и в Европе

Как-то я уже делился документом по описанию подходов к защите ПДн в Европе, любезно предоставленным компанией Яндекс. За это время я познакомился еще с двумя аналогичными работами - отдельным документом, сделанным в рамках НИР "Тритон", и результатами работы рабочей группы страховщиков, занимающейся выработкой собственных требований по защите прав субъектов ПДн. И вот новый обзор. Его готовили три известных эксперта в области ИБ и ПДн - Алексей Волков, Евгений Царев и Александр Токаренко. Мне этот обзор понравился больше всех. Не только с точки зрения исследования, но и с точки зрения русского языка ;-) Читать было интересно и полезно.

Начало здесь..., комментарии одного из авторов здесь...

ЗЫ. Кстати, материалы конференции РКН, о которой я писал, выложены на сайте мероприятия.

Подробнее…

Регулирование криптографии в одном месте

Задался я тут целью свести все нормативные акты, регулирующие криптографию в России (исключая гостайну), в одном документе. Что и сделал, разделив нормативные акты по этапу жизненного цикла системы криптографический защиты - от ввоза и разработки до эксплуатации и вывоза. Собственно результат перед вами.

Посмотрите, пожалуйста, критическим взглядом на сей документ. Что в нем не хватает? Как его сделать лучше? Что в нем лишнее? Я внесу все изменения и выложу затем финальный вариант для открытого использования.

Russia Crypto Regulation

Подробнее…

Что нас ждет в ближайшее время с точки зрения регулирования темы ПДн?

На основании презентации по будущему регулированию в области ИБ сваял презу, ориентированную только на тему персданных. Я ее читал в Челябинске и решил выложить еще и тут. Собственно там ничего нового почти нет - кроме чуть более детальной информации по законопроекту Резника и изменениям в ФЗ "О техническом регулировании".

Personal data future regulations

View more presentations from Alexey Lukatsky.

Подробнее…

Алгоритм приведения себя в соответствие с ФЗ-152

В Челябинске читал презентацию по алгоритму приведения себя в соответствие с требованиями ФЗ-152. Выкладываю. В основе этого алгоритма лежит результат работы рабочей группы АРБ/ЦБ.

Optimal algorithm for personal data operators

View more presentations from Alexey Lukatsky.

Подробнее…

Новый совместный приказ ФСТЭК / ФСБ

31 августа 2010 года был принят (зарегистрирован в Минюсте 13 октября, опубликован 22 октября в "Российской газете", вступил в действие с 2 ноября 2010 года) совместный приказ ФСБ и ФСТЭК № 416/489 "Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования".

Распространяется он на все федеральные государственные информационные системы, содержащие сведения о деятельности Правительства РФ и федеральных органов исполнительной власти, обязательные для размещения в Интернет (согласно Постановления Правительства от 24 ноября 2009 года № 953). Иными словами речь идет о сайтах госорганов.

Данный приказ содержит требование обязательного использования антивирусов, межсетевых экранов и средств предотвращения вторжений, прошедших сертификацию в ФСБ (!).

Интересна хронология событий по данному направление. Сначала был принять приказ ФСО от 7 августа 2009 года № 487, который требует в сегменте «Интернет» для федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации использовать средства защиты (в т.ч. межсетевые экраны и системы предотвращения вторжений), сертифицированные ФСТЭК и ФСБ. При этом четкой регламентации (кто и что сертифицирует) указано не было.

Двумя неделями позднее Минкомсвязь выпускает приказ от 25 августа 2009 года № 104, который требует применения сертифицированных в ФСБ средств предотвращения вторжений при их использовании в государственных информационных системах, содержащих сведения о деятельности Правительства РФ и федеральных органов исполнительной власти, обязательных для размещения в Интернет. При этом МСЭ должны иметь сертификат ФСТЭК.

И вот новый приказ, который требует использовать для защиты сайтов госорганов средства, прошедшие сертификацию в системе ФСБ.

Куда катится этот мир? Скоро ФСТЭК отдаст вообще всю свою сферу деятельности в ФСБ ;-( Наличие единой системы сертификации может быть и неплохо, если бы не сложности этой сертификации в ФСБ. Ни требований публичных нет, ни процедура нигде не описана... Полный вакуум...

Подробнее…

Cisco запускает сертифицированное производство

Очередное значимое для Cisco событие - запуск в России сертифицированного производства средств защиты на базе компании Kraftway. Несколько лет назад у нас уже был реализован такой проект и вот новый этап его развития. Учитывая возрастающую роль сертификации (все-таки изменения в ФЗ "О техрегулировани" пока не приняты и не реализованы на практике), такое событие не может не радовать ;-) Особенно государственные органы, для которых сертификация скорее всего останется и в будущем.

Подробнее…

Отчет по мероприятию в Челябинске по ПДн

Компания Аста-Информ пригласила меня на конференцию по персональным данным, где выступали также, из регуляторов, представители РКН, ФСТЭК и прокуратуры. Краткие тезисы по их выступлениям:

• Роскомнадзор

• Уведомление РКН обязательное. За отказ уведомления - ст.19.7 КоАП
• Согласие только в письменной форме
• Передача ПДн в коллекторские агентства - незаконно
• Если ПДн передаются от оператора ПДн третьему лицу, то вся ответственность все равно лежит на операторе ПДн. Т.е. неявно, но институт обработчика все-таки РКН принимает.

• ФСТЭК по УрФО

•  Методические рекомендации ФСТЭК по УрФО будут перерабатываться с целью их актуализации
• Операторам ПДн не надо лицензироваться, если не оказываются услуги по защите
• На "тонких клиентах" антивирусы можно не использовать

• Прокуратура
• Основные нарушители ФЗ-152 - ЖКХ и ФМС
• Задолженность в квитанциях ЖКХ характеризует имущественное положение субъекта ПДн (хотя скорее оно характеризует отсутствие имущественного положения)
• Справки, которые ЖКХ выдают за деньги, незаконны (исходя из статьи 14 ФЗ-152)
• Даже разглашение ПДн соседа по дому тоже является нарушением ФЗ-152 (хотя такие действия вообще к ФЗ-152 не имеют отношения)
• Отказ ЖКХ в выдаче справок или выписок из лицевых счетов по причине задолженности незаконен (по ст.14).

Подробнее…

Единая терминология на уровне законодательства

Упомянутый мной в июле законопроект №404643 "О внесении изменений в некоторые законодательные акты Российской Федерации в связи с принятием Федерального закона "Об информации, информационных технологиях и о защите информации" 6-го октября прошел первое чтение в Госдуме.

Подробнее…

Россия все-таки отказывается от обязательной сертификации средств защиты

В октябре была зафиксирована целая порция изменений законодательства. Началось все с предложения Самарской Губернской Думы внести изменения в закон о гостайне, устранив проверочные мероприятия (перед допуском) в ряде случаев. Продолжилось все очередным законопроектом Аксакова о сдвиге сроков ст.25.3 ФЗ-152.

Но мне больше всего понравился проект "О внесении изменений в Федеральный закон "О техническом регулировании" (в части ускорения интеграционных процессов по сближению законодательств государств-членов таможенного союза в рамках ЕврАзЭС и Европейским союзом, снижения технических барьеров к продукции впервые выпущенной в обращение, создания национального органа по аккредитации)". В этом законопроекте введено несколько небольших, но очень интересных фрагментов. Например, одним из принципов техрегулирования в России является не только "свобода выбора заявителем документов, применяемых для подтверждения соответствия продукции требованиям технических регламентов", но и "обеспечения условий для взаимного признания в Российской Федерации и в иностранных государствах - торговых партнерах Российской Федерации результатов подтверждения соответствия и результатов исследований (испытаний) и измерений". А это значит, что недалек тот день, когда в России начнут признавать "Общие критерии" и, например, нам, компании Cisco, не придется заново сертифицировать уже сертифицированные продукты по тем же самым критериям, но только в российской системе сертификации ФСТЭК.

Второй ключевой момент заключается в том, что исключается требование об обязательном подтверждении соответствия продукции, на которую не распространяется действие технических регламентов и которая не включена в единый перечень продукции, подлежащей обязательной сертификации, и единый перечень продукции, подлежащей декларированию соответстви.Отмечу, что средства защиты информации (исключая гостайну) не включены в этот единый перечень и не подпадают под техрегламенты.

Подробнее…

ФЗ-152 опять сдвигают?!

Депутат Аксаков опять центре внимания - несмотря на критику Правительства и всех заинтересованных сторон, он предложил продлить мораторий на ст.25.3 ФЗ-152 - на срок до 1 января 2012 года. Мотивация простая - коммерческие организации не успевают и не имеют денег на выполнение требования ФСТЭК и ФСБ.

Подробнее…

Выпущен PCI DSS 2.0

Свершилось - 28-го октября были выпущены новые версии PCI DSS (2.0), PA DSS (2.0) и требования PTS. Действовать они начинают с 01.01.2011, однако аудит по предыдущей версии 1.2.1 будет разрешен до 31-го декабря 2011-го года.

Вместе с выпуском новых стандартов обновился сайт PCI DSS, появился специальный сайт для компаний малого и среднего бизнеса.

Все новые документы могут быть загружены по адресу: https://www.pcisecuritystandards.org/security_standards/documents.php.

Подробнее…

Кто бы это мог быть?

Подробнее…

Аутсорсинг безопасности или безопасность аутсорсинга

Презентация с CSO Forum.

Security outsourcing or secure outsourcing?

View more presentations from Alexey Lukatsky.

Подробнее…

Размышление о конференциях по ИБ - 2

3 года назад я уже поднимал эту тему, критикуя отечественных организаторов различных мероприятий по ИБ. Теперь пришел через критики в адрес выступающих (спикеров). Как ведущий первого дня 3-го межотраслевого съезда директоров по ИБ заметил ряд проблем, которые присутствуют почти у каждого выступающего и почти на каждой конференции (отчасти это проблема выступающих, отчасти - организаторов). Хочу поделиться этим списком и надеюсь он кому-то будет полезен - в конечном итоге умение выступать важно во многих сферах нашей деятельности. Почему я взял на себя смелость такой критики (я сам не идеален в области выступлений)? Хотя бы потому, что в России найдется очень мало людей, которые бы выступали бы столько же, сколько и я. Я как-то подсчитал, что в год у меня около 100-120 презентаций длительностью от 20 минут до 8 часов. Поэтому мне есть чем делиться ;-)

Итак, по порядку:

1. Основная проблема докладчика - эгоцентризм. Он почему-то считает, что он самый умный (иногда это так, но очень редко), а все остальные его слушающие - либо дети неразумные, либо журналисты, которым надо все разжежывать, либо просто посторонние в отрасли граждане. Но ведь это не так. Большинство присутствующих на профильных конференциях - специалисты с немалым опытом работы и разжевывать им прописные истины не надо.
2. Вторая проблема, вытекающая из первой, - считать, что никого кроме докладчика больше на конференции нет. Поэтому большинство докладчиков львиную долю своего выступления тратят не на суть доклада, а на введение. В частности, на Съезде в секции про взгляд на ИБ с высоты птичьего полета, 4 из 6 докладчиков повторили почти одни и те же слайды (в разном оформлении) - о тенденциях и проблемах ИБ. Но это же не статья и не книга, где надо начинать с основы, а уж потом переходить к сути материала. на конференциях должен быть обычно застрельный доклад с рассказом об общих проблемах и тенденциах, а уж все последующие спикеры должны на него просто ссылаться, сразу переходя к основной идее своего выступления. Если уж такого застрельщика нет, то все равно первый докладчик и так расскажет о проблемах и тенденциях. Зачем же повторять его слова и отнимать время у себя и заставлять слушателей в 3-й, 4-й и даже 5-6-й разы выслушивать тоже самое?
3. И вновь связанная с предыдущим пунктом проблема - теория и практика. Конференции директоров по ИБ, да и вообще специалистов по ИБ, не носящие откровенного научного характера подразумевают практически ориентированные доклады. Слушателям не нужна теория и общие разглагольствования на тему важности ИБ, методик оценки рисков и описания ФЗ-152. Это все и так можно подчерпнуть в Интернет или литературе (если уж хочется показать свое умение работать с источниками информации, то включите все в приложения к презентации). Людей интересует практика. То-то и то-то было сделано так-то и так-то. С проблемами столкнулись с такими-то. Решили их так-то. И т.п.
4. Рекламы не надо. Я про это писал 3 года назад, но ситуация не изменяется к лучшему. Из всех докладов первого дня Съезда секция про птичий полет просто изобиловала рекламными докладами спонсоров ;-( Круче всех конечно выступил гендиректор SearchInform. Опустив всех, он говорил только о своем продукте, чем вызвал недовольство не только присутствовавших на заседании других вендоров DLP, но и самих потребителей. Пора уже давно понять, что за свои деньги (а он платит свои деньги) слушатель не хочет в отданное конференции время получать голимую рекламу. Он ее может получить в своем офисе, развалясь в кресле, попивая кофе и раскуривая сигару. Любой вендор прибежит и расскажет о своем продукте. Бесплатно. Или воспользуется другими технологиями (например, Webex) продвижения. А вот на конференциях надо рассказывать то, что интересно потребителю, а не рекламодателю.
5. Отсюда вытекает непонимание аудитории, которой читается презентация. Одно дело на конференции по ИБ банков говорить о СТО, как о понятной для всех аббревиатуре и совсем другое дело упоминать на конференции для всех про стандарт X.1051, считая, что все знают, что это такое (а это известно очень небольшому количеству специалистов по ИБ из отрасли связи).
6. Теперь перейдем к технике. Почти все докладчики не соблюдают регламент (за исключением некоторых представителей западных компаний, где поставлен процесс обучения презентационным навыкам). Когда докладчика заранее предупреждают, что ему выделено 10 минут на презентацию и 2 минуты на вопросы, это значит, что так и есть. И больше ему времени не положено, т.к. после него есть еще выступающие. Как минимум, несоблюдение регламента - это неуважение к последующим спикерам. Как максимум, неуважение к слушателям, которые надеятся не сидеть лишнее время, а вовремя уйти на перерыв или завершить конференцию. Иногда проблему можно решить правильным модерированием секций, но далеко не всегда.
7. Отсюда вытекает неумение подстраиваться под изменение регламента. Если предыдущий докладчик съел почти все ваше время, то не надо, несмотря ни на что, продолжать читать свой доклад как будто ничего не случилось. Как показывает мой опыт, действительно интересных докладов, которые люди готовы слушать в ущерб обеду или перерыву на кофе очень мало. А значит неумение подстраиваться под динамически изменяемый регламент играет плохую шутку с выступающим. Люди, умеющие ценить свое время (а это как раз руководители, принимающие решения), ценят это качестве и в других.
8. Отсюда же вытекает незнание презентационных основ. В большинстве учебников и курсов по данной теме сказано - скорость чтения презентации обычно равна 1-му слайду за 1-2 минуты (обычно 2, но бывает и за одну). Если вам выделено 10 минут на презентацию, то не надо думать, что вам удастся 26 слайдов рассказать за это время. В большинстве случаев это не получается. Только у опытных спикеров скорость может быть больше. Например, у меня есть опыт чтения 180 слайдов за 1 час. Но тут надо понимать, что при такой скорости может страдать как качество доклада, так и снижается уровень восприятия со стороны слушателей.
9. С этой проблемой связана и другая - правильная речевая подготовка. Выступление - это не только поставленный голос, но и живость, темп, ритм рассказа. Если мямлить, то даже очень интересный доклад не запомнится. А если говорить громко и уверенно, то даже полная фигня может быть воспринята благосклонно. Говорите громче, а то многие даже в микрофон умудряются говорить так, что ничего не слышно уже на первом ряду. Но и ставить это во главу угла, конечно, не стоит. Вот для меня - выступления - один из видов моей работы. Мне надо уметь говорить громко и иногда это пригождается (например, когда в зале на 300-400 человек вдруг пропадает звук у микрофона). Но для большинства громкость - это вторично, а вот уверенность и ритм - первичны. Кстати, часто присутствующая монотонность и академичность докладов людей только усыпляет (иногда это полезно).
10. Теперь о слайдах. Как говорит современная молодежь - "многа букафф". Это проблема и очень серьезная. Очень многие докладчики либо боясь забыть что говорить, либо просто пытаясь показать кропотливый труд над презентацией, вставляют на слайды по 10-30 строк текста. Такие слайды читать невозможно. Их и оценить-то не успеваешь. В итоге качество доклада резко падает. Снижается оно и тогда, когда в презентации отсутствуют средства визуализации материала - графики, диаграммы, схемы, скриншоты. Главное не переусердствовать, а то бывает такая аляпистость в презентациях, что кажется, что лучше бы вообще без картинок... которые надерганы из Интернет (в нарушении прав на интеллектуальную собственность), вставлены на слайд беспорядочно, у картинок отсутствует единая стилистика и цветовая гамма, ну и т.д. Этакий зоопарк ;-(
11. Ну и последнее, что хотелось бы отметить. Никогда не зачитывайте текст на презентациях. Слушатель - не первоклассник и читать умеет сам. Лучше прокомментируйте то, что написано на слайде. Это позволит вам дать вдвое больше материала за тоже время. Если вы будете просто читать текст, то через 2-3 слайда слушатели начнут отвлекаться от вашего доклада и начнут заниматься своими делами. Оно вам надо?

Вот вкратце все, что наболело после Съезда директоров по ИБ в Хилтоне. Читатлеям не стоит воспринимать  все это на свой счет - просто модерирование первого дня позволило аккумулировать мой опыт презентаций и посмотреть на другие презентации со стороны. Возможно кому-то это будет полезно. Хотя, безусловно, нормального курса (а то и не одного) по искусству выступлений (presentation skills) эта заметка не заменит.

Подробнее…

3-й съезд директоров ИБ - краткие впечатления от первого дня

Первый день 3-го съезда директоров ИБ завершился. Программа была насыщенная и интересная, а т.к. я еще был и модераторов всего дня (работка, я вам скажу, адская), то прослушал все презентации и доклады.

Не претендуя на всеобъемлющий пересказ всего того, что было хочу тезисно отразить наиболее понравившиеся мне моменты:

1. Все берут направление на стандартизацию. Банк России, операторы связи, игроки фондового рынка (НАУФОР готовит свой стандарт по ПДн) и т.д. СоДИТ и вовсе решил поднять знамя стандартизации ИБ/ИТ и взялся за перевод 250 необходимых ИТ/ИБ-директору стандартов. Первым, в области ИБ, стал стандарт ISO 15408:2009 (часть 1-я). Это пресловутые "Общие критерии", но не действующая в России 2-я версия, а самая последняя, третья версия критериев оценки соответствия ИТ требованиям ИБ. В ближайшие дни электронная версия стандарта будет доступна либо на сайте СоДИТ, либо на сайте съезда (там же будут доступны в среду вечером и все презентации).
2. Елена Константиновна Волчинская (ведущий советник аппарата комитета ГосДумы по безопасности) рассказала о ключевых изменениях в 4-х ФЗ - "О персданных", "Об ЭЦП", "О лицензировании отдельных видов деятельности" и "О госуслугах". Наиболее интересен был второй законопроект - ряд здравых идей и предложений был высказан. Как минимум, есть желание разделить единую лицензию на все 4 вида деятельности в области шифрования на 2 вида - разработку выделить отдельно.
3. Андрей Владимирович Федосенко (ведущий советник аппарата комитета ГосДумы по конституционному законодательству и государственному строительству) рассказал о планах по изменению законодательства в области персданных. По сути он прошелся по законопроекту Резника и прокомментировал отдельные его положения с точки зрения отношения к ним Правительства и ряда других заинтересованных лиц. Если будет выполнено хотя бы половина из того, что было сказано, то жить станет легче. Что же каается второго чтения, то оно будет все-таки в этом году, а сам законопроект постараются принять также в этом году.
4. Была интересная секция про взгляд с высоты птичьего полета, но ни о каком полете речи не было. Были интересные доклады Сергея Голяка (ММК) и Александра Кириллова (СеверьСталь) о реальном и практическом опыте обеспечения ИБ в холдинговых структурах. Коротко и по делу.
5. Как всегда, выступление Льва Матвеева из SearchInform можно было охарактеризовать следующими тезисами - "Все козлы, а мы самые крутые", "Мы делаем то, что другие никогда не сделают, потому что у нас есть крутой патент", "Мы решим все ваши проблемы с безопасностью, поиском, репутацией, лояльностью, экономическими преступлениями и вообще все", "Время на внедрение нашего крутого продукта всего 8 часов" и "Заказчиков не назову, потому что это секретная информация, но мы все равно самые крутые". Такой безаппеляционный подход, разумеется, вызвал реакцию со стороны аудитории, которая попыталась поспорить с г-ном Матвеевым. Я пресек начинающуюся склоку ;-)
6. В предпоследней интерактивной сессии была дискуссия на тему ПДн. Рассказ банков, химпромышленности и операторов связи был интересен, но наибольшее внимание было приковано к 2-м представителям 8-го Центра ФСБ, которые поделились своим взглядом на проблематику шифрования в контексте ПДн. Во-первых, сейчас готовится проект нового приказа ФСБ, который систематизирует все текущие наработки службы в области защиты ПДн. Во-вторых, будет уточнен перечень случаев, когда лицензия ФСБ не нужна. Например, на выполнение действий, указанных в эксплуатационной документации. Или на распространение СКЗИ клиентам для организации взаимодействия (например, ДБО у банков). В-третьих, рассматривается вопрос разрешения использования несертифицированных СКЗИ там, где нет и не будет в ближайшее время российских аналогов. В-четвертых, банки, подключившиеся к СТО, в 2011-м году проверять по линии ФСБ не будут. Такова договоренность ЦБ и ФСБ (представителей РКН и ФСТЭК на мероприятии не было).
7. Последняя секция была посвящена работе западных компаний в России и как они решают вопрос выполнения корпоративных и локальных требований по ИБ. Надо заметить, что общего взгляда здесь не нашлось. Судя по ответам, каждая международная компания по разному смотрит на локальные требования ИБ. Кто-то на них откровенно забивает, т.к. выполнить "этот бред" невозможно. Кто-то пытается найти компромисс. Кто-то пытается выполнить в полном объеме. Но универсального рецепта так и не было найдено (хотя его, наверное, и нет).

Вот на этом официальная часть мероприятия закончилась и мы плавно переместились на теплоход, курсировавший по Москва-реке. Общение, но уже неформальное, продолжилось там ;-)

Подробнее…

И вновь о Роскомнадзоре и его мнении - 3

Коллега из Новосибирска прислал краткий обзор мероприятия по ПДн, которое прошло на позапрошлой неделе в Новосибирске. Краткие комментарии и высказывания регуляторов:

1. Если страна ратифицировала Конвенцию, то РКН считает, что страна с адекватной защитой прав субъектов.
2. Упоминался ГОСТ 19794 "Автоматическая идентификация. Идентификация биометрическая. Форматы обмена биометрическими данными" по биометрической идентификации человека. Если изображение соответствует требования этого ГОСТа, то фото и видео - биометрия. Если не соответствуют - то не биометрия.
3. Рассмотрение Резниковского законопроекта перенесли на весну (буду проверять эту информацию).
4. Говорили об планируемом увеличии штрафов и изменении статьи 13.11. Правда планируется это с конца прошлого года и все никак. Есть мнение, что увеличения штрафов не будет, т.к. сразу увеличится корруационная емкость этой статьи.
5. Представитель ФСТЭК заявил, что почти все существующие ИСПДн - типовые. Судя по формулировкам, он оперировал только "приказом трех" и совершенно был не в курсе ни мнения центрального аппарата ФСТЭК, ни мнения других региональных управлений ФСТЭК, которые считают, что почти все существующие ИСПДн - специальные.
6. Средства защиты могут быть только сертифицированными. Основание - неопубликованное и поэтому необязательное к применению ПП-330. В четверг, на конференции в Барнауле, один из лицензиатов ФСТЭК рассказал, что сибирская ФСТЭК ПП-330 раздает по запросам и без ограничений. Но видимо лицензиатам, все-таки, т.к. нам на такой запрос отказали, ссылаясь на то, что мы не лицензиаты. Хотя вот северо-западная ФСТЭК это постановление не дает даже лицензиатам. В-общем, все как всегда.
7. Настройка, использование и обновление антивируса требует по мнению представителя ФСТЭК наличия лицензии на ТЗКИ (!).

Вот такие дела ;-)

Подробнее…

О форме согласия на обработку ПДн

Напомню, что у РКН есть мнение, что согласие субъекта ПДн на обработку его ПДн может быть только в письменной и никакой иной форме. Алексей Волков запросил РКН по этому вопросу и получил официальный ответ (приведен в блоге). Я также провел ряд консультаций и их результат примерно следующий: ответ РКН правильный, но только потому, что соответствует вопросу ;-)

Алексей ссылался в запросе на статьи ГК, регулирующие договорные отношения. РКН и ответил в том ключе, что договор - это договор, но обработка ПДн может вестись и без договора и поэтому может понадобиться письменное согласие. Универсальных же рецептов здесь нет - по каждому сценарию обработки надо смотреть, что и как там обрабатывается и нужно или нет письменное согласие.

А вообще один ответ РКН ничего не значит ;-) Два региональных управления могут иметь разные точки зрения на один и тот же вопрос. А если сюда добавить еще потенциальное мнение центрального РКН, то картины вырисовывается и вовсе сюрреалистичная ;-)

Подробнее…

О моделях угроз для виртуализации и облачных вычислений

Наткнулся недавно в каком-то интервью на высказывание о том, что для технологий виртуализации и облачных вычислений сегодня нет ни средств защиты ни общепризнанных и устоявшихся моделей угроз. Надо сразу заметить, что общепринятых и устоявшихся моделей угроз вообще нет, ни в какой области - каждый по своему понимает и этот термин и его наполнение. Есть методики моделирования угроз, но и тут об общепринятых подходах говорить тоже не приходится.

Но вернемся к виртуализации и облачным вычислениям. Действительно ли нет для них опубликованных моделей угроз? Оказывается все нет плачевно. Если не брать различные статьи по безопасности виртуализации (например, тут), то есть неплохой документ от NIST - "Guide to Security for Full Virtualization Technologies" (SP 800-125). Пока это проект (документ опубликован в июле 2010 года), но он очень неплохо описывает (без привязки к вендорам) и саму технологию виртуализации, и ее проблемы с безопасностью, и рекомендации по защите. Тем, кто сейчас разрабатывает требования/рекомендации по защите виртуализации (а такие шаги сейчас предпринимают даже регуляторы), я бы рекомендовал отталкиваться именно от этого документа.

С моделью угроз для облачных вычислений все обстоит еще проще - образованный в 2009-м году Cloud Security Alliance (Cisco является его членом) опубликовал 1-го марта 2010 года первую версию модели угроз для облачных вычислений. В конце этого года планируется опубликовать вторую версию этого документа. На сайте альянса много и другой полезной информации по информационной безопасности для участников облачных вычислений.

Подробнее…

Мифы ИБ... онлайн-проект закончен

Итак, совместный проект по написанию книги "Мифы и заблуждения информационной безопасности" меня и портала bankir.ru закончен. Я сдал последние мифы и они скоро будут опубликованы на сайте. Ну что сказать?.. Проект был непростой. Имея в багаже опыт написания 4-х книг, я думал, что и пятую осилю без проблем. Оказалось не так. Онлайн-публикация по частям - сильно отличается от подготовки оффлайн-издания. И размер отдельных разделов должен быть не меньше определенного порогового значения (мне пришлось много мифов "зарезать" по этой причине). И сроки публикации надо выдерживать (я так и не смог). И Web-функциональностью надо активно пользоваться (ссылки, анимация и т.п.). И аудиторию надо четко выбирать (у меня получилось и для пользователей и для специалистов). Но опыт был безусловно полезный.

Возможно на основе онлайн-книги будет выпущена оффлайн-версия. Но обновленная и расширенная. По крайней мере желающие ее издать есть.

ЗЫ. Ну и конечно уже есть идеи публикации других книг ;-) Времени бы хватило.

Подробнее…

Чего не хватает эффективному DLP-решению?

Презентация с DLP Russia 2010 в прошлый четверг.

What is effective DLP solution

View more presentations from Alexey Lukatsky.

Подробнее…

Мифы 86-90

И вновь мифы:

• Одноразовые коды по SMS спасают от несанкционированного перевода денег со счета
• Ограничение на сумму платежа через Интернет спасает от незаконного снятия средств со счета
• Сертификату Интернет-банка в браузере можно доверять
• Шифрование по SSL обеспечивает защиту транзакций в Интернет-банке
• Сайты умеют защищать хранимую на них информацию
  

Подробнее…

Мифы 81-85

Новая порция мифов:

• Безопасность не влияет на бизнес-показатели
• Во всех бедах с информационной безопасностью виноваты хакеры
• Моя компания неизвестна и поэтому ее незачем атаковать
• USB-токен спасает от кражи секретных ключей ЭЦП
• Виртуальная клавиатура спасает от троянов, крадущих пароли
  

Подробнее…

Мифы 79-80

Продолжаю публикацию мифов:

• Заниматься инвестированием выгоднее, чем писать вирусы или хакеры заинтересованы только в славе
• Нас уже взломали и второй раз не вернутся
  

Подробнее…

Как полезно иногда читать "старые" законы - 2 или почему можно не использовать сертифицированные средства защиты?

Продолжаю тему, начатую в четверг... Пообщался я с коллегами, которые сейчас анализируют поправки в законодательство по информационной безопасности, и ткнули они меня в интересный пункт не только ФЗ-149, но и ГК РФ. Дальше я добавил к этим двум пунктам еще свои изыскания и получилось вот что:

1. Ст.3 ФЗ-149 говорит нам, что недопустимо установливать нормативными правовыми актами какие-либо преимущества применения одних информационных технологий перед другими, если только обязательность применения определенных информационных технологий для создания и эксплуатации государственных информационных систем не установлена федеральными законами.
2. Ст.6.3 ФЗ-149 говорит, что только обладатель информации, если иное не предусмотрено федеральными законами, определяет порядок и условия доступа к информации.
3. Ст.16.5 ФЗ-149 говорит, что ФСБ и ФСТЭК устанавливают требования по защите информации для государственных информационных систем. Про обязательность требований ФСБ и ФСТЭК для негосударевых ИС в законе ни слова.
4. Ст.49.2 ГК РФ говорит о том, что "юридическое лицо может быть ограничено в правах лишь в случаях и в порядке, предусмотренных законом".

И, наконец, смотрим на ст.16.6 ФЗ-149, которая гласит что "федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации".

К какому выводу мы приходим? Правильно. Применение средств защиты (сертифицированных или несертифицированных) находится полностью в ведении обладателя информации, т.е. "лица, самостоятельно создавшего информацию либо получившего на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам".

Но у нас же есть Приказ 199 ФСТЭК, документы ФСБ и даже неуловимое Постановление Правительства 330?.. Безусловно есть. Только вот вышеприведенные ФЗ-149 и ГК РФ четко говорят, что любое ограничение (а использование сертифицированных СЗИ - это именно ограничение) должно быть указано в федеральном законе и никак иначе. А даже Постановление Правительства имеет меньшую юридическую силу, чем закон.

Подробнее…

Что нас ждет в ближайшее время с точки зрения регулирования ИБ?

В среду я разместил свою первую презентацию с ИнфобезЭкспо 2010 и вот пришел черед для второй, прочтенной в четверг. Саму презентацию я показать не смог по техническим причинам (на компе организаторов не было office 2007/2010, а я поленился сделать версию для Office 2003). Поэтому рассказывал без слайдов, а многие заинтересовались названиями и ссылками на упоминаемые документы. Поэтому выкладываю презентацию тут. Частично я ее уже выкладывал ранее, но сейчас я систематизировал информацию и актуализировал ее исходя из самых последних изменений.

Security furure regulations

View more presentations from Alexey Lukatsky.

Подробнее…

Как получить меч за туманный рассказ?..

В четверг, на конкурсе "Львы и гладиаторы" на ИнфобезЭкспо 2010, в компании достойных  коллег, в непростой борьбе с перевесом в 5 голосов удалось у "Кода безопасности" вырвать победу и заполучить гладиаторский меч за презентацию сервиса облачной безопасности Web-доступа Cisco ScanSafe.

Некоторые коллеги, не имея возможности попасть в зал и услышать рассказ о ScanSafe, попросили выложить презентацию о данном сервисе, что я и делаю.

Cisco ScanSafe Cloud SecurityService

View more presentations from Alexey Lukatsky.

Подробнее…

Как полезно иногда читать "старые" законы или что такое общедоступные ПДн

Перечитывал на днях трехглавый ФЗ-149 и наткнулся на определение, которое сильно помогает операторам персональных данных. Речь идет о понятии "общедоступная информация". Очень часто во время приведения себя в соответствие с ФЗ-152 возникает вопрос о том, как оптимизировать свои усилия. Одним из сценариев является перевод обрабатываемых ПДн в разряд общедоступных, что позволяет не обеспечивать для них конфиденциальность и даже не заниматься их защитой. Если читать только ФЗ-152, то для перевода ПДн в разряд общедоступных необходимо получить письменное согласие субъекта, а это непросто. И соотношение выгод и затрат на смену статуса уже не так очевидно.

Ждать законопроекта Минкомсвязи долго. Но если обратиться к ст.7 ФЗ-149, то мы увидим, что "к общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен". Вот и получается, что, например, мой мобильный телефон, должность или e-mail относятся к общедоступным ПДн на том основании, что это информация доступна не только в Интернет, но и на визитках, которые я сам и раздаю всем желающим.

Подробнее…

Может ли выполнение требований по ИБ привести к прерыванию бизнеса?

Моя презентация с вчерашней конференции по непрерывности бизнеса BCR 2010. Хотя конференцией "это" назвать можно с трудом. Было всего 7 человек на мероприятии ;-(

Security punishment

View more presentations from Alexey Lukatsky.

Подробнее…

И вновь о Роскомнадзоре и его мнении - 2

Возвращаясь к 6-му пункту вчерашней заметки. Напомню ее: "Подисскутировали на тему "оператор - обработчик". РКН, как всегда, считает, что института обработчика у нас нет. В ситуации, когда одно юрлицо передает другому юрлицу обработку ПДн,второе юрлицо должно уведомлять субъектов ПДн о том, что их ПДн обрабатываются. Такова позиция РКН. На замечание, что это второе юрлицо может вообще не иметь информации о способах контакта с субъектом, было проигнорировано ;-( Как и замечание о том, что Евроконвенция оперирует и понятием "оператор" и понятием "обработчик". На упоминание судебной практики не в пользу РКН (суды нередко разделяют понятия оператор и обработчик ПДн) представительница регулятора заметила, что есть и другие прецеденты (правда, не назвала какие)". И вот сегодня, на мероприятии в Казани представитель РКН опроверг эту точку зрения своего ижевского коллеги ;-)

По мнению казанского РКН третье лицо, получившее ПДн не от субъекта ПДн, не обязано его уведомлять при условии, что между оператором ПДн и третьим лицом заключен договор, в котором указано условие обеспечения конфиденциальности и безопасности ПДн. Вот такой новый поворот ;-) Даже и не знаешь, радоваться ему или нет. Я уже боюсь думать, что в среду в Питере скажет РКН по этому поводу ;-)

Что мне понравилось в Казани - так это представитель РКН. Видно, что ему небезразлична эта тема. Свое выступление он сразу начал с того, что признался, что он не истина в последней инстанции и может ошибаться. Но при этом он призвал всех операторов ПДн обращаться к ним, чтобы вместе искать решение возникающих проблем. Другое отличие - он просидел почти весь семинар. Он не боится учиться! Я такое вижу впервые у представителей РКН. Обычно они приходят перед своим выступлением и уходят сразу после него (или сидят с "умным" выражением лица в президиуме). И вообще Татарстан по части всяких вопросов, связанных с информатизацией, впереди всех регионов России.

Подробнее…

Мое выступление на BCR 2010 и Инфобезе 2010

Пусть с опозданием, но вопрос моего участия в Инфобезе 2010, а заодно и в BCR 2010, все-таки решился положительно. Так что 5-го числа я выступаю на тему: "Может ли привести исполнение законодательства в области ИБ к прерыванию деятельности?" (в рамках конференции BCR 2010), а 7-го числа на тему: "Что нас ждет в законодательстве по ИБ в ближайшее время?" (в рамках Инфобеза 2010).

7-го также участвую в конкурсе "Львы и гладиаторы" с рассказом об облачной безопасности ScanSafe ;-)

Подробнее…

И вновь о Роскомнадзоре и его мнении

В пятницу выступал на конференции в Ижевске. Как всегда в последнее время - по теме персданных. После меня выступала представительница Роскомнадзора. Классическое выступление, но несколько интересных высказываний я позволю себе привести тут:

1. РКН не может направить дело в суд по ст.13.11 - это прерогатива только прокуратуры. А РКН, в свою очередь, обычно направляет дела только по статье 19.7 (непредоставление данных по запросу надзорного органа).
2. У РКН нет задачи помогать операторам правильно защищать права субъектов. Представительница РКН заявила, что они по максимуму стараются доводить все дела до суда, чтобы наработать судебную практику.
3. РКН не проверяет правильность классификации ИСПДн - это не его прерогатива.
4. Несмотря на наличие в 687-м Постановлении указания, что обработка без средств автоматизации не означает отсутствие информационной системы, РКН все-таки считает, что 687-е касается только бумажной обработки.
5. По мнению РКН существует только одна форма согласия - письменная. Ни устной, ни конклюдентной. Причем представительница РКН сама путалась в показаниях (заодно путая и аудиторию). Свою позицию (про только письменное согласие) она обосновывала следующим фрагментом ФЗ-152 "В случаях, предусмотренных настоящим Федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных" (ст.9.4). На мое замечание, что этих случаев всего 5 и они описаны в ФЗ-152, она заявила, что все наоборот - либо согласия не надо (согласно ст.6) либо согласие только в письменной форме. На мой вопрос - как РКН относится к тому, что в Европе практика применения Евроконвенции совершенно иная и она противоречит мнению РКН, представитель РКН ответила, что она это понимает, но официальная позиция РКН именно такая и никакой другой.
6. Подисскутировали на тему "оператор - обработчик". РКН, как всегда, считает, что института обработчика у нас нет. В ситуации, когда одно юрлицо передает другому юрлицу обработку ПДн,второе юрлицо должно уведомлять субъектов ПДн о том, что их ПДн обрабатываются. Такова позиция РКН. На замечание, что это второе юрлицо может вообще не иметь информации о способах контакта с субъектом, было проигнорировано ;-( Как и замечание о том, что Евроконвенция оперирует и понятием "оператор" и понятием "обработчик". На упоминание судебной практики не в пользу РКН (суды нередко разделяют понятия оператор и обработчик ПДн) представительница регулятора заметила, что есть и другие прецеденты (правда, не назвала какие).

Вот такие дела творятся ;-(

ЗЫ. По дороге в Ижевск пролистывал журнал, полученный в самолете. В нем один ижевский интегратор по ИБ утверждает, что аттестация объекта информатизации, обрабатывающего ПДн, это обязательное требование к любому оператору ПДн. И начать делать это надо было еще в 2006-м году. А ведь на дворе уже октябрь 2010-года и 58-й приказ уже как полгода выпущен.

ЗЗЫ. Сегодня выступаю в Казани с той же темой. Планируется выступление и РКН. Может тоже, что интересное прозвучит ;-)

Подробнее…

Закон о персданных и закон о рекламе

В ФЗ-152, в его 15-й статье есть запрет на использование ПДн при рекламе товаров и услуг без предварительного согласия субъекта ПДн. На курсе по ПДн я обычно даю ряд простых рекомендаций по решению данной проблемы - либо включать согласие на получение рекламы в текст договора/анкеты/формы с субъектом ПДн (многие подписывают их не глядя), либо убирать персонификацию из сообщения, тем самым лишая сообщение признака идентифицируемости субъекта и тем самым выводя его из под действия ФЗ-152. Иными словами, вместо "Уважаемый Алексей Викторович!" писать "Уважаемый клиент!".

Но вот на последнем курсе представительница одного из банков рассказала, что ФАС последний сценарий забраковала, посчитав его нарушением федерального закона "О рекламе" (ФЗ-38). Согласно последнему неперсонифицированная рассылка - это реклама, т.е. "информация, распространяемая любым способом, в любой форме и с использованием любых средств, адресованная неопределенному кругу лиц и направленная на привлечение внимания к объекту рекламирования, формирование или поддержание интереса к нему и его продвижение на рынке". А раз так, то на рассылку рекламы требуется предварительного согласие ее получателя. На замечание банка в сторону ФАС, что персонификация нарушает ФЗ-152, а обезличивание - ФЗ-38, ФАС ничего вразумительного ответить не смог ;-(  Вот такая нелицеприятная ситуация.

От себя могу заметить, что ФАС следует сложившейся у них практике применения закона "О рекламе". Единственным сценарием выхода из сложившейся ситуации является только получение согласия субъекта ПДн на рассылку ему сообщений рекламного характера. К счастью, данное согласие не должно включать 7 обязательных элементов, присущих письменной форме согласия, а значит можно ограничиться обычным чекбоксом "Я согласен на получение сообщений рекламного характера".

В качестве направления дальнейшего исследования можно покопать в части неотнесения к рекламе "информации, раскрытие или распространение которой либо доведение до потребителя которой является обязательным в соответствии с федеральным законом". И если, например, сообщение о появлении нового, например, вклада в банке, является рекламой в чистом виде, то сообщение об изменении тарифов по текущим вкладам рекламой может и не являться, т.к. скорее всего подпадает под обязательные требования об уведомлении потребителей об изменении существенных условий договора и т.д., т.е. под требования федерального законодательства (ГК РФ, ФЗ "О защите прав потребителей" и т.п.).

Подробнее…

И вновь о 57-ФЗ

И снова вспомним 57-ФЗ. После сообщения о том, что Royal Bank of Scotland запретили увеличить долю в ЗАО "Королевский банку Шотландии" по причине наличия у последнего лицензии ФСБ на криптографию. И вот ФАС внес в Правительство пакет поправок, который исключает деятельность банков (кроме банков с госучастием) в области криптографии из стратегических видов деятельности.

ЗЫ. Правда, непонятно, почему исключение касается только банков? Но все равно хоть что-то... Первый шаг сделан.

Подробнее…

Лужков, Медведев и рынок ИБ

Ехал я вчера с работы и как-то долго ехал. 3,5 часа против обычных 40 минут. Толи дождь пошел неожиданно, толи бывший мэр решил всем показать, что при нем пробки были меньше ;-) Но факт остается фактом - тема увольнения с позором бывшего мэра Москвы склонялась на радио всеми и вся. И пока я все это слушал, я размышлял, как это все может сказаться на рынке ИБ в России и имеет это увольнение хоть какую-нибудь связь с нашей тематикой? Вообще политология и прогнозы - вещь неблагодарная, да еще и для неспециалистов, но... как известно играть в футбол и управлять государством у нас может каждый и делает это лучше профессионалов ;-) Так что поразмышлял и я.

Как-то летом я уже делал презентацию о тенденциях в области ИБ, которые нас ждут. Все они зависили от того, какой клан возьмет вверх в России - "либералы" (Медведевский) или "силовики" (Путинский). Еще совсем недавно у меня не было четкого ответа на этот вопрос и более того, я думал, что Путин "одержит вверх" ;-) Но после новости о снятии Лужкова я подумал, что несмотря на заявления "врагов", наш Президент может и делает самостоятельные шаги. Причем такие, что ого-го ;-) Все-таки снять с такой формулировкой одного из организаторов партии, которой сейчас руководить Путин, - это Поступок. А если учесть, что ходили слухи о том, что Путин никогда не согласится со снятием Лужкова, который должен был обеспечить электорат на выборах 2012-го года, то решение Дмитрия Анатольевича (уникальное в своем роде) выглядит совсем уж сногсшибательно. А значит Медведев в состоянии пробить и другие свои, менее навореченные инициативы. Например, принятие международных стандартов в системе техрегулирования или исключения ФСБ из системы регулирования гражданской криптографии.

Правда, все может быть и наоборот ;-) Но верить в это не хочется ;-) Хочется надеяться, что эпоха "синепогонников" (как их сегодня не раз называли по радио) постепенно заканчивается. По крайней мере на гражданском рынке информационной безопасности.

Подробнее…

Калькулятор рисков от Symantec

Наверное многие видели эту ссылку на калькулятор рисков Symantec для малого и среднего бизнеса. Идея интересная, но вот реализация... ;-(  Я поигрался с этим сервисом, давая разные ответы на вопросы, ища между ними зависимость. Не нашел ;-(

Интересный результат дал такой сценарий - вся обрабатываемая в гипотетической компании информация важна как никогда (бегунок в самом правом положении). Иными словами, размер потенциального ущерба должен быть максимальный. Число сбоев (инцидентов) поставил 1 (меньше нельзя), длительность простоя и длительность ежедневного удаления спама - тоже минимально возможные значения. Самый худший случай простоя (есть и такой вопрос) - неприятно, но никакого нарушения работы. Т.к. инцидентов минимум, то и на вопрос "сколько вы тратите на восстановление системы?" я указал нижнюю границу - 1 тысячу долларов.

Теперь смотрим на результаты. Они достаточно интересны. Например, этот "калькулятор" насчитал мне 63 часа потери времени в год. На основании чего? Логичный вывод о том, что они умножили 1 минуту на ежедневное удаление спама на число сотрудников и число дней в году, не срабатывает ;-( Да и то, что разные сотрудники используют разные усилия для удаления спама (как и его объем тоже отличается для разных сотрудников) видимо не учитывается. Итоговая сумма потерь тоже непонятно откуда взялась, но с порядком я могу согласиться. В моем примере эта цифра равна 4,7 тысячам долларов (всего). Но дальше интереснее. Из того, что ущерб компании с 40-миллионным оборотом составил всего около пяти тысяч долларов сделан парадоксальный вывод о том, что уровень риска у меня гораздо выше среднего. Зато потом все понятно - "Компания Symantec поможет вам защитить важную для вас информацию. Перейдите к выбору решения прямо сейчас".

Дальше больше ;-) В исходных данных я указал, что речь идет об индивидуальном предпринимателе. 1 сотрудник. Минимальная зарплата. Минимальный доход. Минимальные показатели ущерба. Максимальный уровень важности информации. Как вы думаете, какой результат был получен? Идентичный первому описанному выше сценарию ;-) Та же сумма ущерба. То же количество потерянного времени (значит число сотрудников в этой формуле не участвует вовсе). Только риск стал еще выше (почти максимальной отметки достиг).

Ну и третий сценарий  ;-) Максимальные исходные данные с точки зрения объемов продаж, зарплаты и числа сотрудников. Никакой важной информации на предприятии вообще нет. И что же? Результаты аналогичные ;-) 63 часа простоя, 4688 долларов потерь. Только вот риск ниже нижнего значения ;-)

А теперь феерия чувств ;-) Использовал минимальные исходные данные, отсутствие важной информации, но поигрался с числом инцидентов (поставил 5), временем восстановления после простоя (поднял до 2 часов) и временными затратами на удаление спама (увеличил до 10 минут). Что у нас должно произойти по логике? Время простоя должно возрасти. И возрасти многократно. Ан нет. В калькуляторе оно сократилось в 5 раз - до 13-ти часов. И где логика, спрашиваю я?

ЗЫ. В общем какая-то ...гня ;-(

Подробнее…

Напоминание: общественные слушания по теме персданных

Напоминаю, что летом был запущен сайт общественных слушаний по совершенствованию законодательства в области персональных данных. И именно к результатам, полученным через этот сайт, будут прислушиваться ко второму чтению резниковского проекта. Так что присоединяйтесь! И ваш голос будет услышан!

Подробнее…

АРСИБ - новая ассоциация руководителей служб ИБ

Я уже не раз писал о попытках объединить безопасников в некое сообщество, которые заканчивались ничем. Одним из немногих исключений является RISSPA, которая продолжает жить и здравствовать. Но вот на днях было продекларировано создание АРСИБ - Ассоциации руководителей служб ИБ.

Задачи у АРСИБ достаточно амбициозные:

1. объединение руководителей ИБ;
2. выражение консолидированного мнения и позиций профессионалов в области информационной безопасности;
3. взаимодействие с регуляторами по вопросам информационной безопасности;
4. воздействие на вопросы законодательного обеспечения ИБ;
5. взаимодействие с профильными ассоциациями, такими как АЗИ, ABISS, RISSPA и др.;
6. проведение тематических семинаров, тренингов, консультаций, в том числе узкоспециализированных по актуальным вопросам информационной безопасности;
7. повышение уровня квалификации и компетенций специалистов и руководителей информационной безопасности;
8. создание в интересах членов собственного центра информационной и сетевой безопасности (NSIC) и установление контактов с международными организациями (например: FIRST - Forum of Incident Response and Security Teams). За основу создания и определения полномочий принимаются подходы создания центров типа CSIRT\CERT;
9. популяризация идей и профессий в области информационной безопасности.

Я, если честно, скептически отношусь к этой затее по ряду причин. Во-первых, ничто не мешает руководителям служб ИБ и сейчас общаться между собой. В качестве площадки можно выбрать любую из существующих социальных сетей, предусматривающих закрытые дискуссионные группы (тот же LinkedIn, Facebook или даже "ВКонтакте.ру"). Во-вторых, консолидированного мнения у большого количества людей достичь сложно. Хотя положительные (но непубличные) примеры и тут есть. А главное, что несовсем понятно, куда это мнение транслировать. Как показывает опыт - общение с законодателями возможно организовать и по существующим каналам, а с регуляторами общаться практически бесполезно.

Мне лично больше всего импонирует 8-я цель создания АРСИБ и я даже знаю, кто был ее инициатором ;-) Только вот в рамках АРСИБ это сделать будет невозможно. В курсе по управлению инцидентами я рассматриваю вопрос создания CSIRT (CERT - это чужая торговая марка). Там видно, что это, как правило, чисто затратное мероприятие, которое требует постоянного и немалого финансирования. На членские взносы это не сделаешь. Именно отсутствие финансирования не позволило реализоваться, как минимум, двум известным мне попыткам (за последние 10 лет) создать российскую группу реагирования на инциденты ИБ. И именно потребность в инвестициях стала основным мотивом вхождения Group-IB в Группу Лета. Популяризация идей и проведение мероприятий - тоже мероприятия не бесплатные (хотя RISSPA и удается проводить семинары бесплатно). Да и вообще клубная (именно клубная) деятельность - это всегда затраты.

Описание преимуществ членства тоже вызывает немало вопросов ;-( Как АРСИБ будет бороться с недобросовестными поставщиками услуг и вендорами? Как АРСИБ будет решать вопросы трудоустройства (и почему нельзя использовать существующую биржу труда по ИБ)? Как участие в АРСИБ поднимет статус руководителя службы ИБ внутри своего работодателя? Ну и т.д.

Вопросов больше чем ответов... Хотя было уже два собрания, на котором решались вопросы по созданию АРСИБ, на мой взгляд эта тема совершенно не проработана ;-(  Кроме статусности (и то спорной) я почти не вижу смысла в появление АРСИБ ;-( По крайней мере сейчас. Если она будет похожа на СоДИТ (что можно предположить, исходя из изучения списка инициаторов создания АРСИБ), то может что-то дельное и родится. Но я как-то не верю уже в попытку создания чего-то, действительно помогающего руководителю ИБ. Может просто я скептик?

ЗЫ. О вступлении можно узнать по ссылке выше.

Подробнее…

ФАИТ продолжает жить?!

Не в качестве флейма, а токмо ради напоминания ;-) ФАИТ было закрыто в августе этого года. А недавно на сайте госзакупок появился интересный конкурс по созданию в России единой системы электронно-цифровых подписей. В качестве контактного лица указан Владимир Георгиевич Матюхин, который перестал руководить ФАИТ еще в январе!

Однако эти люди не тонут ;-) Федеральное агентство - призрак! Что-то в этом есть!

Подробнее…

Контркриминалистика?! А нафига?

Прочел на секлабе статью про контркриминалистику и возникло у меня непонятное ощущение. Сначала я подумал, что статья будет про расследование инцидентов; да и авторство статьи принадлежит Group-IB, которая занимается компьютерной криминалистикой. Но внимательно прочитав материал и зайдя на сайт автора статьи, возникло определенное недоумение. Зачем компании, которая занимается расследование преступлений в сфере высоких технологий и помогающей собирать доказательства для правоохранительных структур, нужен проект, направленные на изучение и ПУБЛИКОВАНИЕ методов, препятствующих их основной деятельности?

Я понимаю изучение методов злоумышленников с целью противодействия им. Но публиковать-то это зачем? И зачем открывать проект с преложением присоединиться к нему всех желающих? Вот как-то не стыкуется у меня это в голове ;-(

Подробнее…

Cisco SIO

Я уже как-то писал про приложение Cisco SIO for iPhone, которое позволяет иметь постоянный доступ к информации о текущих Интернет-угрозах, новостях о ИБ и т.п. Работает это приложение на базе результатов, которые генерит наше подразделение Cisco Security Intelligence Operations (SIO). И вот мы в очередной раз обновили наш SIO-портал, который является единой точкой входа по всем вопросам безопасности, как связанным с Cisco, так и не связанным с моим работодателем. Блоги по безопасности, аналитика, статистика, различные Web-инструменты, видео, новости, бюллетени по уязвимостям, политика в области работы с уязвимостями и т.д. Все это на одном портале по понятной ссылке www.cisco.com/security или www.cisco.com/go/sio.

Подробнее…

HP покупает ArcSight

Все-таки ArcSight был куплен HP. За 1.5 миллиарда долларов. Пока никаких деталей об интеграции продуктов обеих компаний нет. И вообще, как пройдет поглощение тоже не совсем понятно. В пресс-релизе руководство обеих компаний отделывается общими словами, не более.

Подробнее…

Leta IT инвестирует в Group-IB

На проведенной сегодня пресс-конференции компаний Leta IT и Group-IB был анонсирован факт вхождения последней в состав ИТ-интегратора. Group-IB является, пожалуй, единственной компанией, которая профессионально занималась в России расследованием инцидентов (хотя попутно она пыталась торговать решениями SourceFire и GuardianEdge). В общем, решение Леты было вполне логичным - расширить свою экспертизу и портфолио услуг (а может и под какой-то конкретный проект). А вот с точки зрения внешнего наблюдателя, который смотрит на все это отстраненно и читает пресс-релизы, вопросов немало.

В пресс-релизе Group-IB написано, что она получает доступ к центру исследований и аналитики ESET. Логичный шаг, позволяющий получать доступ к информации о современных угрозах, их источниках и путях распространения. Но зачем отдавать 50%-ую долю за это? Неужели в Интернете мало источников такой информации? Или возможностей получать эту информацию, не продавая себя инвестору? Нелогично как-то ;-(

Другой вопрос возникает когда видишь озвученные цифры оборота Group-IB в 2009-м году. Согласно опубликованным данным это 43 миллиона рублей (почти 1,5 миллиона долларов). Если верить информации Cnews, в Group-IB работает 4 человека; по другой информации - около 8. Даже если рассматривать последнюю цифру, то получается порядка 180-200 тысяч долларов годового дохода на сотрудника. Больших накладных расходов для консалтинговой компании из 8 человек не требуется; налоги тоже будут не сильно обременительными. Я далеко не уверен, что в Лете смогут платить столько же (хотя и был бы рад ошибиться).

Так что посмотрим, как будет развиваться это направление в Лете ;-)

UPDATE: По достоверной информации в Group-IB сейчас работает около 30 сотрудников. А инвестиции нужны для запуска новых сервисов и приобретение специфического оборудования.

ЗЫ. Group-IB вошла не в Leta IT, а в Leta Group.

Подробнее…

SurfPatrol - проверь защищенность своего ПК через Интернет

Есть у многих разработчиков браузеров интересная возможность на их сайтах - проверка защищенности компьютера пользователя. Иными словами, разработчики встают на место злоумышленников и проверяют, что можно было бы сделать, если бы через ваш дырявый браузер полезет хакер. Например, у Mozilla (разработчик Firefox) такое тестирование преставляет собой проверку актуальных и обновленных плагинов.

И вот в конце прошлой недели аналогичный по сути, но более глубокий по анализу инструмент, был запущен компанией Positive Technologies. Система проверки SurfPatrol расположена по одноименному адресу. Сервис бесплатный. И возможностей по его использованию я вижу много. Начиная от операторов связи, которые могут предложить своим клиентам такой сервис, до клиентов банков, которые могут проверять защищенность своих ПК перед доступом к своим виртуальным счетам.

В чем  преимущество такого сервиса перед аналогичными заявками  западных игроков? Ну, во-первых, поддержка русского языка, что для рядовых пользователей Рунета является одним из основных критериев. Во-вторых, этот инструмент функционирует без агента. Т.е. никаких апплетов ставить не надо, загружая и без того нагруженный плагинами браузер. У того же Qualys или Secunia я не рискнул ставить плагин (фиг знает, что он там собирает). Кстати, у Qualys есть один неприятный сюрприз, который вводит многих пользователей. Их решение проверяет не защищенность системы, а актуальность установленного софта, плагинов и т.п. (т.е. по сути то, что делает Mozilla). Но последняя версия и защищенная версия - это совсем не одно и тоже.

Фокус у любого такого инструмента - на ОС Windows. Тот же Qualys об этом говорит только в FAQ и пользователи Linux или MacOS, желающие проверить свой комп, будут неприятно удивлены (а еще Qualys не проверяет нелицензионный Windows). SurfPatrol похоже тоже ориентирован на продукцию Microsoft (судя по ухе имеющимся отзывам). Сам я на Linux его проверить не смог (ибо нет ее у меня), а вот на MacOS и iOS 4 я его проверил - все чисто (правда и патчится мой Mac регулярно).

ЗЫ. Думаю, что список поддерживаемых SurfPatrol платформ будет постоянно пополняться.

Подробнее…

IP-адрес приравнен к персданным

Верховный суд Швейцарии 8 сентября принял решение о том, что IP-адреса Интернет-пользователей относятся к персональным данным и полностью подпадают под законодательство о защите прав субъектов ПДн.

Вот такие интересные новости в Европе. Надо заметить, что в России аналогичное судебное решение (правда не на уровне ВС РФ) было принято еще в 2003-м году, когда районный суд Екатеринбурга принял решение о том, что IP- и MAC-адрес пользовательского компьютера в Интернет относится и к персданным пользователя и одновременно к служебной и коммерческой тайне оператора связи. Вот такая мы прогрессивная страна - на 7 лет опередили всю Европу ;-)

На курсе я эту ситуацию рассматривал как требующую дополнительного изучения. И вот теперь, похоже, найден ответ. А решение пока только одно - перевод IP-адресов в разряд общедоступных и фиксация этого во внутренних нормативных документах оператора связи. И остается надеяться на принятие законопроекта по Интернет. Тогда IP-адреса будут считаться общедоступной информацией автоматически.

Подробнее…

Курс "Управление инцидентами ИБ" (часть 5)

Incident management (part 5)

View more presentations from Alexey Lukatsky.

Подробнее…

Курс "Управление инцидентами ИБ" (часть 4)

Incident management (part 4)

View more presentations from Alexey Lukatsky.

Подробнее…

Курс "Управление инцидентами ИБ" (часть 3)

Incident management (part 3)

View more presentations from Alexey Lukatsky.

Подробнее…

Курс "Управление инцидентами ИБ" (часть 2)

Incident management (part 2)

View more presentations from Alexey Lukatsky.

Подробнее…

Курс "Управление инцидентами ИБ" (часть 1)

В феврале я выкладывал в блог полную версию своего курса по моделированию угроз. И вот настал момент для выкладывания очередного курса. Уже по управлению инцидентами информационной безопасности. Ввиду большого объема презентации (431 слайд), курс разбит на 5 частей - как раз получается на всю рабочую неделю. Это последняя версия, которую я читал.

Incident management (part 1)

View more presentations from Alexey Lukatsky.

ЗЫ. Детальная карта курса (чтобы окинуть его взглядом с высоты птичьего полета) тут.

Подробнее…

Управление К выведено за штат

За штат МВД выведено Бюро специальных технических мероприятий (БСТМ, известное как управление «К»), занимающееся борьбой с преступлениями в сфере высоких технологий и техническими мероприятиями по прослушиванию правонарушителей в рамках оперативно-розыскных мероприятий.

Выведение за штат — рутинная процедура в рамках структурных преобразований министерства, за штат будут так или иначе выведены в скором времени все подразделения, сотрудники которых после переаттестации будут вновь приняты, но уже в состав киберполиции. Как пишет сайт каспаров.ру, за штат та или иная структура милиции выводится в случаях, когда ее планируется распустить, переподчинить, сократить численность или изменить внутреннюю структуру.

В случае с управлением К роспуска не будет, но вот остальные мероприятия коснутся их могут. В частности, ходят слухи о сокращении БСТМ на четверть, а в начале года ходили слухи о переподчинении БСТМ одноименному управлению в структуре ФСБ.

Подробнее…

Что ФСТЭК думает о лицензиатах?

Наверное уже многие видели, но я решил тоже откросспостить ссылку на ответ начальника отдела управления ФСТЭК. Если это подстава, то скоро сообщение должно исчезнуть, а если это реальный ответ сотрудника ФСТЭК, то становится грустно...

Подробнее…

Нужно ли шифрование для защиты ПДн?

Чего-то понесло меня в тему шифрования в последнее время... Видимо постоянное "окружение" влияет ;-) Но обратимся к непростому, как оказывается, вопросу: "А нужно ли шифровать ПДн?" Многие операторы ПДн почему-то считают, что убрав из текста закона фрагмент "в т.ч. использовать шифровальные средства", законодатели сказали, что это самое шифрование теперь необязательно. И да и нет. Оно и раньше было необязательным, но находились "читатели", которые в словах после "т.ч." видели обязательство применения шифрования. И вот по инициативе ФСБ фрагмент убрали и многие "читатели" ринулись в другую крайность.

Но дело даже не в этом, а в том, что все почему-то ставят знак равенства между термином "конфиденциальность", указанном в ФЗ-152, и термином "шифрование". Но ведь это не одно и тоже. Совсем не одно и тоже. Что говорит ФЗ-152 про конфиденциальность? "Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания". Где тут слово "шифрование"? Это всего лишь требование не допускать распространения ПДн без согласия их субъекта или иного законного основания. Достаточно всего лишь вписать в договор с субъектом, что ПДн передаются в открытом виде по Интернет (утрирую малость, но суть остается прежней) и вот вы уже чисты перед законом - согласие субъекта есть. Или передача данных в ФНС, ФМС, ФОМС и т.п. Обязаны передавать? Обязаны. Вот и передавайте без обеспечения конфиденциальности ;-)

Но если все-таки и согласия у нас нет, и законных оснований тоже. Остается только шифрование? Опять нет. Требование не допускать распространения может быть достигнуто разными способами. Например, передачей ПДн в контролируемой зоне. Или передачей ПДн в среде, в которой перехват данных признан в результате экспертной оценки неактуальной угрозой. Или заключением договора с оператором связи на обеспечение конфиденциальности (перекладывание рисков на чужие плечи). И только в последнюю очередь речь идет о шифровании ПДн. А если вспомнить про связку "шифрование - обезличивание", то и вовсе весело становится ;-)

Подробнее…