31.8.11

Новые ресурсы по ФЗ-152

Если не считать различных блогов, так или иначе упоминающих тематику персональных данных, то новых сайтов по данной теме давно не появлялось. И вот коллеги подсказали мне два новых ресурса:
  • Мир персональных данных. Авторы достойные и мне знакомые - Юрий Травкин и Юрий Баевский. Основная задача сайта - оказать посильную помощь организациям-операторам персональных данных. Небезвозмездно, конечно. Но зато можно рассчитывать на внимание к себе и некоторую персонализацию подготавливаемых рекомендаций и документов. Вместе с сайтом работает и ресурс, на котором можно пройти дистанционное обучение по тематике персданных.
  • Б-152. Игра слов, положенная в название сайта, говорит о том, что его авторы - молодежь, нечурающаяся ночных клубов и баров, в которых подают коктейль Б-52. Задача ресурса аналогичная предыдущему - за деньги помочь всем бизнесменам решить проблемы с ФЗ-152 путем консультаций и подготовки документов. Но есть и отличия. С одной стороны - авторы абсолютно неизвестны. С другой - процесс работы на сайте автоматизирован, чтобы по минимуму задействовать человеческий фактор.

ЗЫ. К слову, 29-го сентября в Челябинске пройдет достойное мероприятие по ФЗ-152. Организатор - Аста74. Я там участвовал в прошлом году и буду выстпать и в этом. Женя Царев также заявлен как спикер этого года. Кто будет в Челябинске и окрестностях - милости прошу. Узнаете новости от прокуратуры, РКН, ФСТЭК.

    30.8.11

    Конкурс DLP Russia для молодых специалистов

    Организаторы DLP Russia 2011 объявили конкурс докладов среди специалистов ИБ. Победители конкурса смогут бесплатно сделать свои сообщения на конференции.Суть этой инициативы – дать возможность молодым специалистам и недавно образованным командам программистов (стартапам) заявить на мероприятии о своих инновационных разработках по тематике конференции, а также найти партнеров и, возможно, инвесторов для развития своих проектов в области информационной безопасности. Российский Экспертный совет по вопросам защиты корпоративной информации от внутренних угроз рассматривает этот конкурс как общественный вклад сообщества DLP-экспертов в поддержку инициатив в области научно-технических инноваций по направлению информационной безопасности.

    Лексиль - 2 или что такое Wordle?

    Как-то года полтора назад я писал про Lexile - инструмент оценки простоты/сложности текста и возможность его использования для документов по ИБ. И вот наткнулся в Интернете на немного другой (автор вообще считает его немного забавным), но все же похожий сервис - Wordle. Суть сервиса проста - он подсчитывет подсунутые ему тексты и выдает на выходе графическую карту частоты слов, удалив предварительно слова, не несущие смысловой нагрузки. Получается достаточно интересно. Вот как, например, выглядит мой блог за последнюю неделю:


    За счет визуализации сразу становится видно, о чем я писал - ПДн, ФСБ, локализация. А вот как выглядит ФЗ-152:

    Термин "персональные данные" превалирует над всеми остальными словами. На втором месте - "субъект", "обработка", "право", "РФ". Ну и т.д.

    Не могу сказать, что практическая ценность у этого инструмента высока, но все равно - достаточно интересно. А в ряде случаев может помочь выявить явные перекосы в использовании того или иного слова.

    ЗЫ. С русским языком сервис работает неплохо. Только вот морфологию не учитывает.

    Новая версия курса по персданным

    Вновь обновил курс по персданным, а всего-то прошло меньше месяца с последней версии. В новую версию вошли следующие новые и обновленные темы:
    • ПДн акционеров
    • ПДн аффилированных лиц
    • В каких случаях можно ли обрабатывать сведения о судимости?
    • Можно ли обрабатывать сведения о ближайших родственниках без согласия?
    • Можно ли передавать ПДн коллекторским агенствам?
    • Новый приказ РКН по заполнению уведомления
    • Нужна ли лицензия ФСБ и ФСТЭК - мнение судов
    • Проект административного регламента ФСБ
    • Место СТО Банка России в новом правовом поле.
    В конце сентября я провожу целых три тренинга по этому курсу (расписание справа в центре на главной странице) и скорее всего к нему я вновь его обновлю - есть ряд тем, которые требуют внесения их в курс - судебная практика, статус 781-ПП и 687-ПП в новом правовом поле и т.д.

    29.8.11

    Есть ли в России ИТ-продукция отечественного производства?

    На прошлой неделе прошла новость о том, что Минэкономразвития и Минпромторг выпустили приказ о том, что считать ИТ-продукцией отечественного производства. Многие СМИ и специалисты позитивно восприняли эту новость. Однако, видимо, никто текст самого приказа не читал. Иначе мнение было бы совершенно иным. Ведь проблема не в том, сколько процентов "чего-то там" должно быть в оборудовании, чтобы считать его отечественным. Проблема кроется глубже. Резюмируя, могу сказать, что все соответствует описанной мной ситуации с ветром перемен.


    Если же копнуть и посмотреть на весь приказ, а не на новости о нем, то ситуация следующая. Все пишут про параметры, в соответствие со значениями которых оборудованию присваивается статус отечественного. В Приложении 2 к приказу говорится о формуле расчета уровня локализации. Так вот параметр Кимп (это стоимость импортного сырья, материалов и комплектующих, используемых в телекоммуникационном оборудовании и имеющих отечественные аналоги) посчитать сегодня нельзя. Не установлен орган сличения материалов и комплектующих иностранного и отечественного производства. Не определены, какие каталоги на эти материалы и комплектующие считаются официальными. Не определены процедуры и орган, которые могут утверждать о наличии отечественных аналогов иностранным материалам икоммплектующим. Без этого формула не работает или значение Кимп всегда будет велико, что даст в результате и очень низкий итоговой уровень локализации. Могу заметить, что и большинство российских компаний, которые сейчас считаются производителями отечественного оборудования, по новому приказу не получат желаемого статуса.

    Смотрим дальше. Почти все иностранные вендоры, работающие в России, это резиденты со 100%-м участием иностранных компаний. Чтобы выполнить пункт 2.1 приложения 3 вендоров заставляют создавать совместные предприятия с Ростехнологиями или какими-то госорганами или муниципалами. Но проблема даже не в этом, а в том, что если у российского ООО, являющегося 100%-й дочкой западного вендора еще есть шансы на получение хоть каких-то прав на ПО и документацию, используемые в оборудовании, то у СП таких шансов нет. Это запрещает экспортное законодательство многих стран мира. А наличие у СП прав на интеллектуальную собственность является обязательным условием к заявителям на получение статуса отечественного разработчика.

    Абзац после п.2.3 приложения 3 говорит о том, что заявитель должен осуществлять полный цикл сборки печатных плат. Но согласно приложению 1 приказа я могу достичь необходимого минимального уровня локализации и не обеспечивая полного цикла сборки печатных плат в России. Но дело даже не в том, что между требованиями есть нестыковка. Могу с уверенностью утверждать, что почти все российские разработчки (даже работающие на силовиков), используют печатные платы иностранного производства (как правило, произведенные в Китае и на Тайване). Исключения есть. Например, в Сибири есть одно из предприятий, которое клепает все самостоятельно. Но к нему все равно никто не обращается - высока себестоимость и не так высоко качество (по сравнению с иностранными аналогами). Все по-прежнему берут платы заграницей, ставя крест на своем статусе отечественного разработчика.

    Вдогонку замечу, что сборка печатных плат - это экологически вредное производство. Зачем заставлять его осуществлять в России - непонятно. Мало нам хранения ядерных отходов?.. Ну и совсем уже мелочью является то, что перед принятием приказа речь шла о переходном периоде - минимально допустимые уровни локализации разбивались по годам. А сейчас от этого отказались и требуют выполнять приказ уже сейчас и сразу по максимуму.



    К чему это все приведет? Думаю, что в течение полугода-года будет полная неразбериха. Потом либо что-то изменится, либо некоторые игроки будут уходить с рынка. Или просто откажутся от поставок в сектора, где требуется отечественное оборудование. Или регулятор и заказчик будет закрывать глаза на эти требования. Например, с 2006-го года у Минкомсвязи появилось требования об использовании отечественной криптографии в системах цифрового телевещания. Но на это требование все закрывают глаза - и разработчики, и операторы связи, и сам Минкомсвязь. Но требование есть ;-)

    ЗЫ. Зато инновации у нас разовьются полным ходом!!!

    26.8.11

    Проект административного регламента ФСБ по персданным

    ФСБ опубликовала проект приказа "Об утверждении Административного регламента ФСБ России по исполнению государственной функции по осуществлению государственного контроля (надзора) за выполнением установленных Правительством РФ требований к обеспечению безопасности персональных данных" (HTML и PDF).Правда, почему-то не у себя на сайте, а на сайте РКН.

    Первое, что бросается в глаза, - тему биометрии ФСБ прибрало к своим рукам (собственно, это не первый факт "захвата" темы биометрии со стороны ФСБ). Итак, краткое резюме по проекту:
    1. Контроль и надзор осуществляют представители 8-го Центра и территориальных управлений (а позиция у них, кстати, часто разнится).
    2. Неавтоматизированной обработкой ФСБ не занимается.
    3. ФСБ может не только выдать предписание об устранении нарушений, но и составить протокол об административном правонарушении (правда, непонятно по какой статье), а также направить кляузу в РКН.
    4. Сам регламент составлен в соответствии с ФЗ-294.
    5. Основанием для включения оператора в План проведения проверок является истечение трех лет со дня начала осуществления оператором деятельности в соответствии с представленным в Роскомнадзор уведомлением о начале осуществления деятельности по обработке персональных данных с использованием средств криптографической защиты информации или со дня окончания проведения последней плановой проверки оператора.
    6. Внеплановая проверка со стороны ФСБ практически невозможна в нынешней формулировке.
    В целом ничего сверхествественного в проекте регламенте нет.

    ЗЫ. А у ФСТЭК пока проекта такого регламента нет.

      О новом опусе Роскомнадзора

      Многие слышали о том, что 19-го августа РКН выпустил новый Приказ от 19 августа 2011 г. № 706 "Об утверждении Рекомендаций по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных". Алексей Волков уже прошелся по нему и, в принципе, осветил ключевые моменты, но я со своей стороны тоже не могу обойти его вниманием.

      Начну с того, что РКН не только поторопился выпускать приказ до появления новых Постановлений Правительства, которых будет 9, разъясняющих новый старый ФЗ-152, но и допустил ряд фактических ошибок в тексте приказа. Например, определение основополагающего термина "персональные данные" по версии Роскомндазора отличается от версии, указанной в Федеральном законе. Они опять зачем-то включили в определение перечисление "фамилия, имя, отчество..". Ну а кривизна рук при копировании термина "биометрические персональные данные", рзультат которой теперь попал во всем правовые системы... это отдельная песня. Вообще с русским языком у авторов приказа явно были нелады. Как вам фраза "необходимо указать без передачи полученной информации"?

      А вот дальше пойдут вопросы. Что такое "лицензионные условия, закрепляющие запрет на передачу персональных данных третьим лицам без согласия в письменной форме субъекта персональных данных"? Я несколько раз перечитал этот пункт, но его не понял ;-( Идем дальше.

      Про дублирование пунктов и требование указание класса ИСПДн (при отсутствии такого требования в нормативной базе) Алексей уже написал. Также он задался вопросом, с какого перепугу в приказ попали требования указания для СКЗИ уровня защиты от утечек по побочке и уровня защиты от НСД для СКЗИ. Видимо авторы приказа не знают, что эта информация имеет гриф "секретно" и она недоступна не то, что простому оператору ПДн. Она недоступна даже многим лицензиатам ФСБ, имеющим право на разработку СКЗИ. В лучшем случае эти лицензиаты имеют дело с выписками из секретных документов, а иногда и с выписками из выписок. Как указывать эту информацию РКН, конечно, же не говорит. А вот за ее отсутствие может и привлечь по ст.19.7 КоАП. Ссылка на нелегитимные методические рекомендации ФСБ - это еще один юридический нонсенс.

      Забавно выглядит п.12, который не только повторяет п.10а и 10г, но и требует того, чего еще в природе нет - требования по защите ПДн Правительством пока не установлены.

      Вот такие документы пишут наши уполномоченные органы... А операторам потом расхлебывать это гуано.

      25.8.11

      NIST выпустил руководство по управлению конфигурацией

      Американский институт стандартов (NIST) выпустил новый стандарт - SP 800-128 "Guide for Security-Focused Configuration Management of Information Systems". Данный 88-тистраничный документ разработан во исполнение SP 800-53 (аналог нашего СТР-К) и описывает процесс управления конфигурацией с точки зрения информационной безопасности.

      Что такое информационная безопасность?

      Недавно, а точнее 12-го августа, с Евгением Царевым в Твиттере мы дисскутировали на тему, что такое ИБ с точки зрения бизнеса. Завершили на следующем определеним: "ИБ - это процесс обеспечения интересов стейкхолдеров путем управления бизнес-рисками, связанными с информационными потоками и технологиями". Я бы его в него добавил немного, чтобы получилось: "ИБ - это процесс обеспечения и поддержания необходимого уровня защищенности интересов стейкхолдеров путем управления бизнес-рисками, связанными с информационными потоками и технологиями". На мой взгляд это определение чуть лучше, т.к. объединяет двойственность ИБ как состояния и процесса, а во-вторых, говоря о необзодимом уровне защищенности, мы приходим к понятию оценки и измерению эффективности ИБ.

      Это определение мне нравится даже больше того, которое я использовал раньше - "ИБ - состояние защищенности интересов стейкхолдеров предприятия в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества, государства и бизнеса". Это я переделал из определения в Доктрине ИБ Российской Федерации.

      И вот совсем недавно я наткнулся на еще одно, очень высокоуровневое бизнес-определение - "Весь бизнес - это вопрос доверия. Доверие может развиваться только там, где участники сделки чувствуют себя в безопасности. Поэтому безопасность с точки зрения бизнеса должна рассматриваться как драйвер, способствующий бизнесу, а не как статья затрат". Оно из комментариев "Information Security Assurance for Executives" к руководству ОЭСР по ИБ сетей и информационных систем (OECD Guidelines for the Security of Information Systems and Networks: Towards a Culture of Security). Интересный поворот - от технологий и страховки к понятию доверия и условиям его обеспечения. А вообще оба последних документа (и руководство ОЭСР и комментарии к нему) достойны для изучения. Они позволяют понять, как и каким языком выносить ИБ на уровень руководства компании (разумеется, если руководство руководствуется общепринятыми нормами и принципами ведения бизнеса).

      24.8.11

      Руководство ENISA по облакам - 2

      Я уже писал про руководство ENISA по безопасности облаков. На самом деле, у ENISA есть еще два документа, которые являются основополагающими для данного агентства в данной сфере:
      Кстати, я в прошлый раз не дал ссылку на модель принятия решения о переходе на облака для госорганов с точки зрения безопасности. Исправляюсь...

      Руководство BSI по безопасности облаков

      Продолжая тему безопасности облаков, хочу рассказать о еще одном документе, который выпустил немецкая федеральная служба по ИБ (BSI). Это "Security Recommendations for Cloud Computing Providers". 17-тистраничный документ также разбивает данную тему на домены (архитектура, управление правами, управление инцидентами, BCP, оценка соответствия, персонал и т.д.) и перечисляет требования по безопасности для каждого из них.

      Отличием является выделение трех категорий облаков, каждая из которых имеет свой набор требований, наследующих друг от друга (по аналогии с классами/уровнями защищенности ФСТЭК/ФСБ):
      • категория B - базовые требования - применимы к большинству облачных провайдеров
      • категория C+ - высокая конфиденциальность - дополнительные требования для обеспечения большей конфиденциальности, чем для базового уровня
      • категория A+ - высокая доступность - дополнительные требования для обеспечения большей доступности, чем для базового уровня.
      Разумеется, как и в случае с проектом стандарта ISO по безопасности облаков, в документе BSI рекомендуется выстраивать полноценную систему управления ИБ; либо на базе ISO 27001, либо на базе BSI-Standard 100-2: IT-Grundschutz Methodology (и вообще всей четверки стандартов BSI).

      23.8.11

      Что должен знать ИТ-директор об ИБ... в России - 2

      Раз уж я упомянул сегодня статью в ДИС, то приведу и ссылки на него:
      - часть 1 - о понятии ИБ и исторических предпосылках развития ИБ в России
      - часть 2 - о регуляторах и их требованиях
      - часть 3 - о цене защиты, призраке холодной войны, закрытых нормативных актах и отказах от международных стандартов

      Печенье и информационная безопасность

      Честно говоря, мне казалось, что я за 4 года существования блога писал про концепцию DIKW. Но поиск по блогу показал, что эта тема была мной обойдена вниманием. Зато я про нее написал в большом материале на тему "Что должен знать ИТ-директор об информационной безопасности... в России". Сначала я писал его на английском (для своих заграничных коллег), потом отдал с "Директор информационной службы", который как раз в августе празднует свое десятилетие.

      Приведу оттуда фрагмент про концепцию DIKW - "специалисты по защите всегда занимались в лучшем случае защитой данных. А если вспомнить классическую модель DIKW (data, information, knowledge, wisdom — данные, информация, знания, мудрость), то сфера деятельности служб ИБ крутится вокруг самого низшего уровня этой модели, который и ценности-то никакой не представляет. Например, на этом уровне невозможно определить, что означает, скажем, число «42». Это может быть как возраст сотрудника вневедомственной охраны, так и размер спецодежды, оборот компании в миллионах долларов и т.п. Пока нет контекста, можно говорить только о данных. И именно этим понятием оперирует большинство средств защиты. Добавление контекста позволяет подняться на уровень информации и уже более отчетливо понимать, что циркулирует в информационной системе. Средств защиты на этом уровне почти нет, исключая, может быть, DLP-решения по контролю утечек. Но и этого недостаточно. Информация об обороте компании требует защиты или нет? Мы не знаем этого, не имея представления о ценности той или иной информации и не обладая знанием, как эта информация может быть использована. Только разбираясь в этом, можно говорить о реальной защите бизнеса в информационной сфере".

      Собственно к чему это все? Просто нашел на просторах Интернета картинку, которая хорошо иллюстрирует эту концепцию на понятном языке ;-)


      ЗЫ. В оригинале (на английском) названия элементов картинки немного иные (data, information, presentation, knowledge), но я решил при переводе поставить так.

      ЗЗЫ. Кстати, концепция объясняет, почему у нас с классификацией активов обычно проблемы. Большинство оперирует понятием "данных", а классификации подлежит только "информация" и выше.

      22.8.11

      HP выходит из "аппаратного" бизнеса?

      Вернулся из отпуска и пока не успел окунуться в последние изменения на ниве безопасности. Зато прочел новость о том, что HP выходит из бизнеса ПК, смартфонов и планшетников. Об этом пишут все, а аналитики брызгают слюной на тему будущих последствий. Меня, да и не меня тоже, интересует судьба направления ИБ, которым HP занималась достаточно активно, приобретя сначала Fortify, потом TippingPoint, потом ArcSight, ну и еще по мелочи. Собственно говорить о последствиях для рынка ИБ еще рано, но стоит задуматься вот над каким вопросом: "Что из безопасности HP останется у новой компании, ориентированной на софт?" Fortify - вероятно. ArcSight - пока непонятно. HP так и не объявила о судьбе ArcSight, но допустим, что этот софт тоже останется. А вот с TippingPoint ситуация мне пока непонятна. С одной стороны железо и должно пойти "под нож". С другой - HP заявляет о фокусе на корпоративный рынок, на который всегда и были ориентированы решения TP. В итоге полная неопределенность. Главное, чтобы с Tipping Point не произошло то, что случилось с ISS - годы мучений и прозябания в стенах IBM и почти полный проигрыш всех ранее лидирующих позиций.

      19.8.11

      Как оценить программу повышения осведомленности?

      К теме повышения осведомленности я обращался не раз. К теме оценки эффективности и измерению ИБ тоже. И вот решил я объединить их, тем более, что в курсе по измерению ИБ я эту тему освещаю. Как измерить эффективность программы повышения осведомленности? Очевидно, что не по посещаемости и не по отношению посетивших и не посетивших тренинги по безопасности. Ведь задача таких курсов (очных или онлайн) - не галочку поставить, а научить пользователей правильно действовать и реагировать на те или иные события ИБ.

      Я могу выделить следующие метрики для оценки программы повышения осведомленности:
      • Сколько пользователей знают, что в компании существует политика безопасности? А сколько ее читало? А сколько ее понимает (измеряется с помощью обычных опросов)?
      • Сколько инцидентов ИБ связано с человеческим фактором?
      • Сколько сотрудников сообщают в службу ИБ об инцидентах ИБ (при их организации со стороны самой службы ИБ - аудит, тесты на проникновение, спланированный социальный инжиниринг и т.п.)?
      • Сколько пользователей поддалось на попытки спланированной службой ИБ социального инжиниринга?
      • Сколько пользователей имеют слабые пароли (определяется путем применения систем подбора паролей)?
      • Сколько систем не выполняют требования политики безопасности (позволяет идентифицировать администраторов, которые не выполняют возложенные на них обязанности)?
      • Сколько пользователей открывают письмо от незнакомца?
      • Сколько пользователей знают, куда обращаться в случае инцидента? Сколько пользователей знают процедуру своих действий при реагировании на инциденты? Эти же метрики могут помочь оценить и процесс управления инцидентами (среди других метрик).
      • Сколько прошло времени с последнего тренинга/онлайн-курса, который посетил сотрудник Эта метрика скорее оценивает саму службу ИБ, ответственную за регулярные процедуры повышения осведомленности.
      • Сколько сотрудников было уволено или получило выговоры за нарушение политики безопасности? В российских компаниях этот показатель равен, как правило, нулю. Но это не значит, что все идеально. Скорее, ситуация обратная - никаких наказаний за нарушения политики ИБ просто не предусмотрено или все плюют на них, а влияния на их применение у службы ИБ не хватает. Сюда же можно отнести и число внешних исков со стороны пострадавших клиентов. Но в России это пока тоже из области фантастики.

      18.8.11

      О классификации информационных активов

      3 года назад я написал материал про классификацию информации. И вот сейчас я готовлю новую версию этой статьи, обновленную и дополненную. Готовясь к ней я проанализировал множество новых материалов, политик классификации, нормативных документов и т.п. Надо сразу заметить, что единого и универсального метода классификации нет - каждый применяет что-то свое. Кто-то ориентируется всего на одну характеристику информации - конфиденциальность. Кто-то оперирует важностью. Кто-то использует 2 или даже 3 фактора, из которых выводится итоговая классификация. Но все сходятся в одном - хорошая политика классификация должна:
      • быть краткой
      • содержать не более 3-4 классификаций
      • быть гибкой
      • разрешать исключения
      • находить баланс между требованиями бизнеса и безопасностью
      • позволять отдельным подразделениям создавать собственные политики, базирующиеся на специфических требованиях. Яркий пример - западная компания, работающая в России. Она должна соблюдать и западные правила классификации (например, метки Confidential, Public и т.д.) и учитывать закон "О коммерческой тайне", который подразумевает иные требования к "грифованию" документов.
      • не должна быть привязана к конкретным технологиям или подразделениям
      • содержать не больше 3-4 уровней классификации.
      Нередки случаи, когда политика создается не одна, а целая иерархия. Базовая политика определяет ключевые принципы, а затем уже на уровне политик отдельных подразделений или иных бизнес-единиц происходит детализация правил классификации.

      А вообще классификация - штука очень непростая. И хотя все говорят, что ее надо делать, мало кто пишет, как это делать. Примерно как с принципом "стоимость защиты не должна быть больше стоимости защищаемой информации". Звучит красиво, но практически никто реально не считает стоимость защищаемой информации. Так и с классификацией. Перечень сведений конфиденциального характера обычно есть везде, а вот на практике его мало кто использует. Зачастую именно поэтому проекты по внедрению DLP проваливаются - ведь в них нужна классификация не на словах, а реальная.

      17.8.11

      О будущем криптографии и позиции ФСБ

      Позавчерашний пост о том, что у наших регуляторов нет людей, похожих на менеджеров по развитию бизнеса, приводит нас к одной из ключевых проблем, с которой сейчас приходится сталкиваться - отсутствие взгляда вперед. Возьмем, к примеру, ФСБ и криптографию. Общая идея ФСБ - криптография должна быть сертифицированной. В понедельник я подисскутировал на тему, что даже глобальная экспансия наших криптографических ГОСТов не приведет к тому, что зарубежные продукты их использующие, будут активно использоваться и сертифицироваться в России. Посмотрим на эту проблему с точки зрения менеджера по развитию бизнеса. Ключевое слово здесь "развитие".

      Я уже как-то описывал список сценариев, когда сертифицированной криптографии попросту нет. Но это те технологии, что есть уже сейчас. А если посмотреть чуть вперед, на 3-4 года в будущее. Буквально на днях читал один отчет, в котором аналитики прогнозируют взрывной рост интереса к т.н. "встроенной" (embedded) безопасности и криптографии, как ее части.

      Откуда у нас появляется эта встроенная криптография? Давайте посмотрим на тенденции ИТ-мира на ближайшие годы. Слайд 22 - взрывной рост видео-трафика в сети. Следовательно возрастет объем продаж ТВ-приставок (т.н. STB), где одним из механизмов защиты контента от воровства будет криптография. 5 миллиардов персональных видеоустройств. Слайд 44 - в 2013-м году прогнозируется подключение к Интернет одного триллиона (!) IP-устройств - телевизоры, холодильники, пианино, игровые приставки, домашнее видеонаблюдение, планшетники, электронные книги, смартфоны, микроволновки, унитазы и т.д. Слайд 50 - технологии энергосбережения, реализуемые через управление электричеством с сетевого оборудования по, преимущественно, протоколу IP или иным открытым протоколам. Управление будет защищенное и без криптографии тут опять никуда.

      Но посмотрим еще шире. О чем говорит нам развитие ИТ? Что еще у нас будет объединяться в сеть (необязательно Интернет) для обмена информацией (не зря все чаще говорят о взаимодействии машин - M2M), дистанционного управления или диагностики и т.д. Кардиостимуляторы, счетчики электричества и воды, GPS-навигация, автомобили, NFC, RFID, АСУ ТП и т.д. Тут тоже не обойтись без криптографии. И все это реализуется как правило на уровне чипов.

      И вот тут возникает ключевой вопрос. Как обеспечить выполнение требований ФСБ в таких условиях? Встроить российскую криптографию на уровне аппаратуры каждого устройства каждого производителя невозможно (я думаю не стоит объяснять почему). Сертифицировать западную криптографию тоже. Тупик? Понимают ли это у регулятора? Осознанно ли они идут на это или действительно не смотрят вперед? Ответов пока нет, но последствия могут быть достаточно плачевными, если регулятор будет и дальше упорствовать в своем нежелании изменить процедуру оценки соответствия или признания западной криптографии для ряда сценариев.

      16.8.11

      Роль менеджера по развитию бизнеса в отрасли безопасности

      Мне регулярно поступают предложения сменить работодателя то на мобильного оператора, то на производственную компанию, то еще на что-то подобное. Нередко звонящие предлагают рассмотреть вариант аренды помещения, расширения сферы поставщиков туалетной бумаги или участия в конференции по производству нефтепродуктов. На вопрос, с чем связаны такие звонки и почему они звонят именно мне, ответ всегда один - "Ну вы же менеджер по развитию бизнеса!" И вот в пятницу я ознакомился с одним из последних отчетов Forrester о роли менеджера по развитию бизнеса в деятельности современных технологических компаний.

      Отчет закономерно поднимает вопрос, что до сих пор многие компании совершенно по разному трактуют данную должность - от обычного маркетера до специалиста по развитию партнерской сети, от продавца до менеджера по продукту. Истина как всегда где-то посередине. Отчет Forrester показывает, что роль BDM (business development manager) сегодня включает несколько ключевых направлений деятельности:
      • анализ рыночных факторов
      • анализ бизнес-моделей
      • анализ финансовой/экономической ситуации.
      К чему это я? И причем тут безопасность? А идея-то проста - регуляторам, как основным игрокам рынка ИБ, которые определяют его развитие на годы вперед, неплохо было бы иметь в своем штате людей, схожих по своей основной деятельности с BDMами. Регулятор должен жить не сегодняшним днем, а смотреть вперед, в будущее. Например, согласно анализу Intel всего через 2-3 года основной фокус в построении сетей будет делаться на скоростях 10 и даже 40 Гбит/сек (хотя я знаю парочку отечественных компаний, которые уже сейчас запускают проекты на 100 Гбит/сек). И вот как для таких сетей выполнить требование криптографической защиты сертифицированными решениями? Поставить 100+n гигабитных шлюзов на одну точку и столько же на другую? А что может сделать регулятор в такой ситуации? Проанализировав тенденции, он может дать понять разработчикам, куда им стоит двигаться.

      Вообще, если посмотреть на общемировой рынок ИБ, то на нем сейчас прослеживается ряд интересных тенденций, к которым наши регуляторы сейчас не готовы. И облака - это самый простой пример. Более сложный пример мы рассмотрим уже завтра.

      ЗЫ. Кстати, роль BDM в текущей структуре могут выполнять экспертные советы, о которых говорилось на прошлогоднем заседании ФСТЭК.

      15.8.11

      Есть ли перспективы у ГОСТ 28147 в качестве международного стандарта?

      Сегодня много говорят о признании наших криптографических алгоритмов в качестве международных стандартов. И RFC по ним уже есть. И в рамках ISO работа активная ведется. Еще немного и весь мир признает, что наши ГОСТы - одни из лучших в мире криптоалгоритмов. Ну а дальше что? История создания алгоритмов, а также критерии разработчиков до сих пор не опубликованы, что приводит к регулярному появлению различных "теорий заговора" и опасений, что в ГОСТах есть закладки. Допустим их нет. Допустим будет решен вопрос с таблицей замен, которую по ГОСТу должна разрабатывать ФСБ. Точнее он уже решен и в том же RFC 4357 путем использования "тестовых" узлов замен, доступных в Интернет (хотя по сути, для повышения криптостойкости, таблица замен может служить еще одним секретным элементом). Может это и правильно, т.к. критерии выбора и отсева "слабых" узлов замен неизвестны широкой публике. Что же дальше? Будет ли использоваться наш ГОСТ в условиях такой неопределенности? Допустим будет. Допустим ВСЕ мировые разработчики будут использовать единую таблицу замен (а иначе результаты работы криптоалгоритмов с разными таблицами будут несовместимыми друг с другом). Но что дальше?

      Ведь важно не только навязывание всему миру своего криптоалгоритма (с точки зрения мирового господства и противостояния влиянию США это безусловно важная задача). Живущим и работающим в России гораздо важнее признание разработанной зарубежной компанией системы криптографической защиты. А вот с этим могут быть некоторые сложности. Разрабатывать СКЗИ может только лицензиат ФСБ, а зарубежная компания не в состоянии физически выполнить требования 957-го Постановления (его замена пока еще не выпущена). Ну откуда у зарегистрированной вне России компании допуск к гостайне? А квалифицированный (по меркам ФСБ) персонал? А как аттестовать помещение, находящееся заграницей? Ну и т.д. Т.е. даже при наличии возможности разработать что-то на базе наших ГОСТов, чтобы это признавалось в России, разработка должна весть у нас же. А это маловероятно - западные компании не будут менять сложившиеся годами процессы разработки ради выполнения требований 957-го Постановления Правительства. И опять мы придем к пути, по которому, например, пошла Cisco, - встраивание уже разработанной и сертифицированной криптографии в западные изделия. Хотя и тут есть ряд сложностей, о которых мы поговорим завтра.

      К чему мы приходим? К тому, что если перед Россией (а скорее перед ФСБ) стоит задача установления мирового криптографического господства, то описанные мной сложности никого не интересуют. А вот если мы действительно задумываемся о возможности разработки иностранными компаниями решений на базе ГОСТов с последующим их применением в России, то тут надо думать о механизме признания такой разработки.

      12.8.11

      Онлайн-калькулятор расчета ROI от безопасности

      В апреле я уже писал про методику TEI от компании Forrester. В ней были объединены классические методики ROI и TCO, которые Forrester расширила рядом нововведений, позволяющих оценивать вклад и отдачу от внедрения ИТ и ИБ. В той же заметке я привел пример использования этой методики для оборудования Cisco. И вот на днях мы запустили онлайн-калькулятор по данной методике.

      Какие выводы можно сделать по его применению? Без доступа к финансовым показателям своей организации применение и этого калькулятора и вообще экономической оценки малоэффективны, если вообще возможны. Во-вторых, данный калькулятор базируется на самом "простом" варианте расчета ROI; он исходит из того, что безопасность сама по себе не приносит денег, но дает сэкономить. А это в свою очередь сильно зависит от уровня зарплат. Поэтому калькулятор может показать, что внедрение будет неэффективным с экономической точки зрения. И тут впору вспомнить мой пост "что общего между женскими духами и информационной безопасностью". Он как раз об относительности таких расчетов.

      Сейчас меня обвинят в том, что я пиарю Cisco ;-) Есть немного. Все-таки мой работодатель ;-) Но дело не в этом. Говоря об оценке экономической эффективности нельзя говорить абстрактно - нужны конкретные цифры. Об этом я уже говорил на форуме директоров по ИБ в июне этого года. В той презентации приводились конкретные примеры расчета ROI от наших различных продуктов. Мне, по понятным причинам, ближе Cisco. Кому-то ближе другие вендоры. В любом случае от конкретики в таком вопросе не уйти.

      Аналогичная ситуация, кстати, и с рисками. О них можно рассуждать абстрактно. Вероятность умножить на размер ущерба... Бла-бла-бла. Но как посчитать вероятность? Методов немало. Но только имея конкретные цифры для конкретной организации можно говорить о реальном значении этого показателя. Тоже и с ущербом и с многими другими показателями. Без конкретики, увы, никуда.

      Подсказка: в калькуляторе вы можете выбрать в качестве валюты расчета - российский рубль.