С новым годом!

Поздравляю всех читателей с наступающим Новым годом!
Наступающий год по китайскому календарю - год дракона. Я вижу в этом положительный знак для информационной безопасности, поскольку данное животное наиболее близко  к ней по своей сути:

• охраняет сокровища
• если поймает кого-то,  покусившегося на сокровище - может спалить 
• воспринимается другими как страшное и злобное создание 
• регулярно совершает бессмысленные и беспощадные (с точки зрения других) поступки 

Поэтому хочу пожелать, чтобы в новом году Ваши сокровища оставались нетронутыми, а Ваши сотрудники  видели в Вас защитника, а не злобного монстра.
Здоровья, счастья, достатка и времени всем эти насладиться!

 

Новый подход к оценке зрелости процессов от ISACA

Пару слов о новой инициативе  ISACA - программе по оценке зрелости процессов.
На текущий момент, помимо основного документа, содержащего в себе модель оценки процессов, ISACA предлагает руководства по оценке и самооценке, а также инструментарий. Руководство по самооценке и поддерживающий его инструментарий бесплатны для членов ассоциации, в то время как за руководство по оценке процессов и инструментарий придется потратиться.
Чем же новый подход лучше  и почему нельзя использовать старый добрый CMM? Рассмотрим аргументы ISACA:

• PAM (process assessment model) соответствует международному стандарту по оценке процессов ISO 15504. Лично для меня аргумент сомнительный, поскольку в наших реалиях стандарт практически не используем. 
• PAM содержит детальные требования к процессам из CobiT - ... хм. Поскольку информация и так из CobiT - в чем преимущество не понятно
• PAM позволяет оценить достижение "атрибутов процесса" из ISO 15504 - смотрим пункт первый
• PAM содержит требования к "доказательствам" работы процесса - первый серьезный аргумент. Вместо общего описание "документирован и доведен до всех", "производит 1,2,3..."
• PAM содержит требования к квалификации и опыту оценщика - тоже, на мой взгляд, весомый аргумент, поскольку качество результатов оценки критично зависят от оценщика. 

Результат оценки отражается такой же 5-и уровневой шкалой. Процессы оценки очень похожи, но все-таки они разные:

• PAM использует шкалу из ISO15504, а CobiT -  CMM
• 3-й уровень зрелости PAM не то же самое, что 3-й уровень зрелости CMM
• Оценка по PAM выполняется по более детализированным атрибутам

После беглого осмотра новый подход кажется более взвешенным и детальным, а значит и более полезным. Главное, разобраться с отличиями во избежание путаницы.

В поиcках корней. Часть 2. Обзор инструментов для выявления причины

В прошлой части мы в общем рассмотрели процесс решения проблем. Определи что нам необходимо сделать для решения проблемы. Теперь рассмотрим как. Существует масса инструментов для выявления коневой причины. Некоторые из них можно использовать только на определенных этапах выявления причины, другие можно использовать многократно на разных этапах. Для того чтобы не создавать кашу, разобьем их по назначению на группы.

Определение проблемы - инструменты, которые помогают понять природу проблемы:

• Блок-схемы: диаграмма, помогающая "вспомнить" бизнес процесс
• Критический случай: анализ наиболее критических случаев в сложившейся ситуации
• Радарная диаграмма: диаграмма для проведения сравнительного анализа
• Матрица влияния: используется, чтобы помочь в определении важности проблем или причин

Поиск вероятной причины и достижение консенсуса - достаточно универсальные инструменты, которые пригодятся на самых разных этапах анализа. Если анализ проводится в группе, без инструментов, которые помогут вам прийти к единому решению не обойтись:

• Мозговой штурм: может пригодиться на всех этапах анализа, где требуются идеи
• Письменный мозговой штурм: тот же мозговой штурм, только в профиль в письменном исполнении
• Метод формальной группы: может помочь группе приоритезировать альтернативные варианты, например причины проблемы
• Попарное сравнение: метод, используемый для достижения консенсуса путем выбора одного из двух вариантов каждым членом группы

Сбор информации о проблеме и причине - набор инструментов и для сбора данных о проблеме и ее возможной причине:

• Выборка: используется для сбора информации о большом наборе данных путем выборки небольшого образца
• Опрос: используется для сбора информации о мнении или отношении заказчиков, сотрудников и т.д.
• Проверочный листок: используется систематического сбора информации с использованием заранее подготовленных листов, используемых в процессе сбора

Анализ вероятной причины - инструменты применяются для получения максимальной отдачи от информации, собранной о проблеме. Во время анализа одних и тех же данных с разных точек зрения, можно прийти к различным заключениям. Некоторые из сделанных заключений могут быть недостаточны для раскрытия причины проблемы. Поэтому важно иметь несколько разных инструментов для анализа данных: 

• Гистограмма: графическая диаграмма, упрощающая выявление тенденций или аномалий
• Диаграмма Парето: показывает, какая из причин оказывает наибольшее влияние
• Диаграмма рассеивания: используется для представления взаимосвязи между парами причин или других параметров, связанных с проблемой
• Диаграмма зависимостей: помогает идентифицировать логические взаимосвязи между разными идеями или вопросами, связанными с проблемой
• Аффинная диаграмма: диаграмма, помогающая выявить связи между казалось бы независимыми идеями, причинами или представлениями для их последующего совместного изучения

Причинно-следственный анализ - суть анализа основной причины. Анализ основной причины - это не отдельный метод и не группа инструментов. Мы можем использовать эти инструменты, чтобы более глубоко исследовать причины проблемы:

• Причинно-следственная диаграмма: применяется для анализа возможных причин проблемы
• Матричная диаграмма: визуальный метод для упорядочивания информации к различному виду
• Пять почему: подход, используемый для углубленного изучения взаимосвязей между причинами

На сегодня все. В следующий раз более подробно пройдемся по  группе "определение проблемы".

В поисках корней. Часть 1 Обзор процесса решения проблем

Сегодня начинаю серию постов посвященных анализу корневых причин.
Штука, популярная в процессе управления ИТ, известном как "управление проблемами", прекрасно подходит как для нужд информационной безопасности, так и для аудита.
В любом случае она нам понадобится в ситуации, когда мы имеем ряд негативных проявлений, будь то инциденты информационной безопасности или признаки неэффективно работающего процесса. Главное, что что-то подсказывает нам, что у этих проявлений есть потенциально что-то общее - класс инцидентов, общий регион/подразделение/временной период или это просто сигнал от спинного мозга, и мы почувствовали, что за этим стоит всемирный масонский заговор какая-то общая причина. И если понять ее суть и избавиться от нее, в будущем это потенциально избавит нас от повторения всей этой кучи инцидентов. Что положительно повлияет на премию статистику для показа руководству общую защищенность, эффективность процесса, или что мы там пытаемся улучшать.
Для решения проблемы нужно выявить корневую причину (причины) и найти пути ее (их) устранения и предотвращения повтора в будущем. Звучит очень просто, но на практике это может оказаться не такой тривиальной задачей.
Далеко не всегда можно сразу назвать причину происходящего.
Например, большое количество инцидентов безопасности, регистрируемых SIEM, могут возникать в результате неправильного конфигурирования сети. Вроде все просто? Поправили и забыли. На небольшой период времени. А потом опять инциденты и та же причина. Копаем глубже, и видим, что вроде бы проблема в постановке процесса администрирования. Недосмотр администратора? Копнув еще глубже, понимаем, что проблема не в знаниях и навыках администратора, а в его мотивации. И знает, что можно внедрить контроль  в процессе согласования изменения, который позволит избежать таких ситуаций, но не хочет это делать. Обидели его во время одного из проектов, вот он и доказывает всем, что он д`Артаньян был прав.
Часто бывает, что причин несколько, и они имеют разный уровень вложенности, т.е. одна причина порождает, вторая - третью, а та уже является источником проблемы.

Классифицируем причины:

• Симптомы. Они являются не настоящими причинами, а скорее признаками существования проблемы.
• Причины первого уровня. Это причины, которые напрямую являются источником проблемы.
• Причины более низкого уровня. Это причины, которые порождают причины первого уровня. Хотя они и не являются непосредственным источником проблемы, причины более низкого уровня являются связующим звеном в цепочке причинно-следственных  связей, которая приводит к возникновению проблемы.
• Корневая причина - причина, запускающая всю цепочку причинно-следственных связей, порождающую проблему.

Итак, рассмотрим подход по выявлению ключевой причины.

Разберем процесс по порядку:

• Идентификация проблемы -  определить для себя, что проблема все-таки есть
• Формулировка проблемы - сформулировать в чем проблема состоит и добиться единого понимания от всех заинтересованных сторон
• Осознание проблемы - определение характера проблемы
• Идентификация основной причины - определить истинную причину, порождающую проблему
• Устранение основной причины - выполоть корень зла, порождающий проблемы
• Мониторинг симптомов - наблюдаем, не проявятся повторно симптомы, сигнализирующие, что от проблемы мы не избавились. Если они все же проявились - основная причина была определена не верно - возвращаемся в начало

При этом не следует забывать, что не все проблемы целесообразно устранять. Иногда затраты на выявление и устранение корневой причины могут существенно превышать ущерб от существующей проблемы.

На сегодня все. В следующий раз об инструментах выявления основной причины.

часть 2 ->

О безопасности данных при работе с аутсорсерами

Использование аутсорсинга - замечательная вещь. Не нужно содержать штат, обеспечивать его рабочими местами, помещениями и т.д. Достаточно лишь подписать договор и SLA и получать удовольствие. По крайней мере, так подают себя компании, оказывающие аутсорсинговые услуги.
В реальности, конечно, и стоимость может существенно превышать содержание собственных сотрудников, и с SLA могут быть проблемы... Но речь сегодня не об этом.
Как бы надежно мы не  защищали свои данные в компании, как только они  покидают ее пределы, попадая в руки аутсорсеров, уверенность в надежности защиты данных существенно падает.
Да, мы подписали NDA (договор о неразглашении). Да, в договоре написано "холить и лелеять".
Но уверенности нет. Чем же ее можно укрепить? Прописать требования к безопасности в SLA?
Откровенно говоря, прописать их грамотно на практике крайне не просто. Хотя и нужно. Составление SLA само по себе дело не простое, а включение туда грамотных требований по безопасности - задача и вовсе из разряда ракетостроения. Но это - только начало. Нужно еще определить механизмы оценки качества сервиса в разрезе выполнения требований по безопасности.
Если у компании есть сертификат соответствия международным стандартам по безопасности, вроде ISO 27001, можно попробовать полагаться на него. Если нет (что вполне логично - ведь в природе таких компаний практически нет) - можно попробовать заставить компанию проходить внешнюю оценку и предоставлять нам отчет.
На какие грабли можно наступить при использовании подобных вариантов?
Начнем с ISO, поскольку многие аутсорсеры  заявляют о скорой сертификации "во благо клиентов". Что же, рассмотрим этот фантастический сценарий.

Темные стороны ISO 27001

1. Прелесть стандарта состоит в том, что для получения сертификата абсолютно не нужно, чтобы СУИБ охватывала все процессы и географические объекты компании. Т.е. сертифицированная СУИБ может не иметь никакого отношения (!) к процессам по обработки ваших данных.
2. Стандарт не требует внедрения всех 133 контролей из приложения А (annex A), как многие думают. По большому счету, для успешной сертификации достаточно выполнить требования разделов с 4 по 8 и на этом ограничиться. Поэтому нужно внимательно почитать SoA (положение о применимости, обязательный документ по требованию стандарта) - какие именно контроли внедрены и почему. И, разумеется, убедиться в том, что интересующие нас контроли внедрены.
3. На что еще нужно обратить внимание, так это на результаты оценки рисков и решение по их обработке. Если в компании определен высокий риск-аппетит, большинство оцененных рисков может быть попросту принято руководством компании (т.е. оставлено как есть). В результате мы имеем официально утвержденный перечень принятых рисков и ни одного контроля (крайний случай, конечно, но теоретически возможен). При этом, компания все еще соответствует требованиям стандарта.
4. Снова оценка рисков. Методика, используемая для оценки рисков, может быть любая, удовлетворяющая скудным требованиям стандарта (читаем "почти все существующие методики"). Поэтому качественная оценка (например, риск высокий, средний или низкий) - вполне приемлемый вариант.  Для аутсорсинговой компании разумеется, но не для вас. Субъективное понятие "средний уровень риска" может означать все, что угодно и оценить адекватность выбранных мер - просто не реально.
5. Если мы прошли все предыдущие пункты и остались удовлетворены, неплохо бы убедиться, что компания не только построила СУИБ для сертификации, но и поддерживает сертификат (т.е. проходит соответствующий ежегодный аудит) 

Итак, фантастический сценарий с сертифицированным поставщиком услуг рассмотрели, возвращаемся на землю. Если у компании нет волшебной цветной бумажки сертификата, можно попробовать обязать компанию проходить регулярные внешние аудиты.


Проблемы внешнего аудита 
Поскольку сервисная компания включит затраты на проведение аудита в наш счет, сразу зададимся вопросом - все ли еще стоимость услуг + стоимость аудита меньше стоимости собственного выполнения активности, отданной на аутсорс? Допустим, да - идем дальше.

Делаем аудит собственными силами
Заставить сервисную компанию впускать к себе наших аудиторов - вопрос технически не сложный. Другое дело, есть ли у нас в наличии достаточно квалифицированных ресурсов? Если да - может это сон? делаем аудит своими ресурсами - проблема закрыта. Если нет - зовем консультантов.


Стоимость консультантов не забыли добавить? Все еще выгодно?  Тогда идем в проблемы привлечения консультантов.

Аудит по SAS 70

Как красиво подают стандарт консультанты, SAS 70 предназначен для оценки эффективности управления рисками и эффективности системы внутреннего контроля, обеспечивающей информационную безопасность и надежность услуг. Так вот же оно! То, что нужно!
Да и внешних компаний, готовых проводить оценку - хоть пруд пруди. Но, как говорил персонаж анекдота, есть один нюанс. Стандарт не предлагает типового набора целей аудита, поэтому результат в большей части зависит от качества постановки целей аудита. Т.е. мы должны четко понимать, что именно необходимо проверить и на предмет чего.
Кроме того, отчет второго типа содержит мнение аудитора о достоверности системы и пригодности дизайна контролей на  данный момент времени и не распространяется на весь период. Т.е. контроли хорошо работали на момент аудита, а что было в течении, например, года - кто знает?
К счастью, этот недостаток восполнен в требованиях SSAE 16, который в этом году пришел на смену SAS 70.
Если не нравится  SSAE 16 (вы - америкофоб?) - можно взять ISAE 3402 - международный стандарт, на основе которого SSAE 16 и создавался. Может это и есть то самое волшебное решение?

Проблемы внешнего аудита - ISAE 3402
Стандарт учел все недостатки своих предшественников и предстал перед нами во всей красе. В чем же подвох? А дело в том, что поголовное число консультантов на текущий момент обладает большим количеством буклетов о преимуществах данного стандарта, а вот опыта - увы и ах. Первые аудиты по PCI-DSS послужили замечательным примером того, как консультанты за счет заказчиков обучались работать по стандарту, предоставляя печально низкий уровень услуг. Такая же судбьа уготовлена и ISAE. Это не значит, что направление тупикове. Наоборот - в перспективе, как говорят консультанты, данный стандарт позволит вывести надежность аутсорсинговых услуг на новый уровень,  но пока следует очень избирательно подходить к выбору консультантов, обращая внимание на наличие практического опыта использования стандарта. Да и в будущем это не помешает. Я бы остановился на тех, у кого богатый опыт SAS70 и точное понимание отличий его от нового стандарта, будь то ISAE или SSAE.

Есть еще проблемы использования аутсорсинга в облаках, но это тема достойна отдельного поста. Так что как-нибудь в другой раз.

Adobe избавится от уязвимостей в Flash player для мобильных платформ

Наконец Adobe начала двигаться в правильном направлении по устранению бесконечного числа уязвимостей в Flash player. Утомив пользователей мобильных платформ бесконечными обновлениями, связанными с наличием серьезных уязвимостей в своем продукте, компания наконец выбрала единственно правильное решение - отказалась от дальнейшего развития своего нерадивого детища.  Признание собственных ошибок достойно уважения. Остается лишь сделать второй логичный шаг и повторить это решение для других платформ.

FAQ по экзаменам ISACA (СISA, CISM, CGEIT, CRISC)

В жизни каждого специалиста наступает момент, когда ему хочется признания. И становится насущим вопрос о сертификации. И возникает множество вопросов. И начинает специалист атаковать форумы вопросами о сертификации. Как человек, в свою очередь сам прошедший через этот процесс 6 лет назад, а в последствии и сам многократно отвечавший на подобные вопросы, решил составить список наиболее популярных вопросов и ответов.
Итак экзамены от  ISACA.

Перед экзаменом

Где можно сдать экзамен?  
Свежий список стран, где проходят экзамены, всегда можно посмотреть тут. Конкретно в Украине экзамен проходит в офисе Ernst&Young по адресу Киев, Крещатик 19а

Когда можно сдать экзамен? 
Экзамен проводится дважды в год - в конце первой декады июня и декабря.

Сколько стоит?
Стоимость сдачи колеблется от $395 до $645 в зависимости от:

• Способа регистрации (online / почта, факс).
• Времени регистрации (ранняя / поздняя).
• Являетесь ли Вы членом ISACA.

Последнее условие не является обязательным как для сдачи экзамена, так и для сертификации. Однако, я очень рекомендую получить членство, т.к. стоимость членство+экзамен+материалы ниже, чем экзамен+материалы. К тому же членство дает доступ к разнообразным дополнительным ресурсам, но это уже отдельная тема. 

Какие материалы нужны для подготовки?

Для успешной сдачи достаточно двух вещей - официальной Review Manual и Practice Question Database. Остальное - по желанию. Первая дает знания для сдачи экзамена (хотя без практического опыта их может быть недостаточно). Вторая - понимание логики экзаменационных вопросов. Это важно, поскольку в большинстве вопросов минимум два ответа являются правильными и необходимо выбрать НАИБОЛЕЕ ПОЛНЫЙ. При этом ПОЧЕМУ данный ответ НАИБОЛЕЕ ПОЛНЫЙ далеко не всегда очевидно. Наиболее длинный ответ не всегда НАИБОЛЕЕ ПОЛНЫЙ, т.к. может содержать лишние элементы и являться неправильным. Помимо НАИБОЛЕЕ ПОЛНОГО ответа, могут быть вопросы вроде, что Вы сделаете ВО ВТОРУЮ (ТРЕТЬЮ, ЧЕТВЕРТУЮ) ОЧЕРЕДЬ из приведенного списка.

Какие курсы нужны для подготовки?
Мое личное убеждение, что курсы для сдачи не нужны вовсе.  Официальные курсы от ISACA - это скорее увеселительное мероприятие, которое ни коим образом не может заменить подготовку по книге. Статистика по моим знакомым, которые ездили на официальные курсы, говорит не в пользу последних. Из 9 человек - 1 успешно сдавший. Если же брать тех, кто учился по книге - процент сдачи на порядок выше. Количество сдававших  точно не помню, но оно существенно больше. И при это процент сдавших где-то порядка 75-80%.

Экзамен

Сколько длится экзамен?

Экзамен длится 4 часа.

Сколько вопросов?

Экзамен состоит из 200 вопросов

На каком языке можно сдавать экзамен?
Язык сдачи экзамена - английский.

Можно ли сдавать экзамен в виде компьютерного теста?

Нет, экзамен проводится только в письменном виде.

Чем можно пользоваться на экзамене?

В отличие от, например, экзаменов CISSP, пользоваться словарем на экзамене не разрешается. Об этом важно помнить, поскольку сами вопросы в изобилии содержат экзотические синонимы, часто являющиеся ключевыми при выборе правильного ответа. Если быть точным, то на экзамен можно принести с собой два карандаша и ластик.

Есть ли еще какие-нибудь тонкости, на которые следует обратить внимание?

Я бы обратил внимание на следующие вещи:

1. Экзамен письменный и подразумевает закрашивание кружочков с номером правильного ответа карандашом. Физически это занимает время. В общей сложности минут 15-20 физического закрашивания, с учетом перепроверки правильный ли кружочек закрашен. Об этом следует помнить и правильно планировать время.
2. Если какой-то вопрос занимает много времени на раздумье - лучше его пропустить и вернуться к нему в конце. Времени на каждый вопрос выделено достаточно мало и есть шанс, застряв на одном вопросе, не успеть ответить на несколько следующих.
3. Даже если ответа на вопрос нет,  лучше ответить что-нибудь - у нас еще есть 25% шанс по теории вероятности ;)

Сертификация

Я сдал экзамен - когда будут результаты?
Обработка результатов экзаменов занимает 8 недель.

Я успешно сдал экзамен - где мой сертификат?

Сдача экзамена не является достаточным условием для получения сертификата.

А как его получить? Какие требования к кандидату?

Для получения сертификата, помимо успешно сданного экзамена, нужно:

• заполнить форму заявки на сертификацию, с указанием практического опыта. Опыта  необходимо  иметь не менее 5 лет в соответствующей области. Часть этого срока может быть засчитана при наличии высшего образования по специальности, а также работой в смежных областях. Подробнее по каждой сертификации можно почитать на сайте ISACA: CISA,CISM,CGEIT и CRISC

• Следовать кодексу профессиональной этики
• Выполнять требования политики непрерывного обучения

А если у меня не достаточно опыта?

При недостаточном количестве опыта, его можно получать в течение 5 лет с момента сдачи экзамена.

Жизнь с сертификатом

Сколько действует сертификат?

Сертификат действителен в течение трех лет при условии ежегодной оплаты стоимости поддержки сертификации ($40). По завершению трехгодичного цикла, при условии соблюдения политики непрерывного обучения (CPE policy), т.е. набора необходимого количества CPE, сертификат перевыпускается. В противном случае, нужно снова сдавать экзамен.

Как набирать CPE и сколько их нужно?
В трехгодичном цикле необходимо набирать 120 CPE и не менее 20 в год. Т.е. можно набрать 40+40+40, 20+50+50, 20+20+80 и т.д., но 19+19+82  уже недопустимо.
CPE начисляются за участие в профильных конференциях, выступлении на профильных конференциях, написании статей на профильную тему. Для членов ISACA есть также дополнительная возможность получать CPE за чтение журнала ISACA (точнее за ответы на вопросы в журнале), просмотр вебинаров, комментирование проектов новых стандартов.
Свежие CPE политики можно найти тут.

Куплю банковскую СУИБ. Недорого.

Реакция банков на позавчерашнее письмо Национального банка похоже осталась столь же прагматичной как и на сам стандарт. Как я уже писал во вчерашнем посте, лидером запросов, который приводит людей на мой блог через поисковик, неизменно оставался "Что грозит банку если не внедряют СУИБ?".
И вот, по истечению всего двух дней после НБУ-шного письма, новый восходящий по популярности запрос - "купить документы по СУИБ согласно НБУ".
Торговцы бумажным СУИБом, ваш час настал - готовьте карманы и точите карандаши.

Что грозит банку если не внедряют СУИБ?

Именно так звучит запрос в Google, который  я вижу в начале списка источников трафика на моем блоге, при ежемесячном анализе, вот уже почти год.

Именно этим вопросом озабочиваются все украинские банки вместо того, чтобы внедрять стандарт. Консультанты, предлагающие помощь во внедрении стандарта распускали страшилки, Национальный банк отмалчивался, банки ждали.
Вчера Национальный банк разослал всем коммерческим банкам телеграмму, в которой напоминает что "начиная  с 01.10.2011 Национальный банк Украины начинает проверки ИТ-риска как составляющей операционно-технологического  риска при проведении инспекционных проверок банков  Украины". При этом уточняется, что "Информационной основой проверки ИТ-риска являются  Стандарты, основанные на международных стандартах ISO / IES 27001:2005  и ISO / IES 27002:2005  с добавлением требований по защите информации, обусловленных конкретными потребностями банковской деятельности и правовыми требованиями,  предусмотренными нормативными правовыми актами Национального банка".  Рискну предположить, что речь скорее всего идет о стандартах ISO/IEC 27001:2005  и ISO/IEC 27002:2005.
Новость ни для кого не секретная - объявлено было еще год назад. Вопрос лишь в одном - что будет банку, который не соответствует (читаем "всем банкам")?
Национальный банк сохраняет интригу, туманно ссылаясь на статью 66 Закона Украины "О банках и банковской деятельности" угрожая тем, что "Национальный банк Украины имеет право применить адекватные меры воздействия". Возможно, что речь идет о старом постановлении №369 "Об утверждении Положения о применении Национальным банком Украины мер воздействия за нарушения банковского законодательства". Если соблюдение (точнее не соблюдение) закона попадает под действие данного постановления, к банку могут быть применены очень серьезные штрафы. В противном случае,  адекватные меры воздействия будут представлять общественное порицание и рекомендации все исправить. Интрига сохраняется. Ждем 1-е октября.

Оптимизируем комплаенс-функцию (SOX)

И снова немного аналитики от Ernst&Young.
На этот раз рекомендации по оптимизации комплаенс-функции по вопросам SOXа.

Thinking outside the box (SOX)

View more documents from Vladimir Matviychuk.

Полный результат опроса:

Thinking outside the box survey questions

View more documents from Vladimir Matviychuk.

Текущие тренды управления непрерывностью бизнеса

Еще одна свежая публикация от Ernst&Young Insights on it risk bcm

View more documents from Vladimir Matviychuk.

Немного аналитики от Ernst&Young по ИТ рискам

Insights on it risks evolving it landscape

View more documents from Vladimir Matviychuk.

Базы персональных данных - готовимся к регистрации

Позавчера вступило в силу положение кабинета министров № 616 "Про Государственный реестр баз персональных данных и порядок его ведения". С документом можно ознакомится тут.

Прочтение документа оставляет открытыми некоторые вопросы. Например, где форма заявки, о которой говорится в 6-м пункте положения? Или куда отправлять заявки?

На самом деле нужно набраться немного терпения и подождать пару дней. Вслед за положением, гос. служба Украины по вопросам защиты персональных данных должна опубликовать "Порядок подачи и заполнения заявления о регистрации базы персональных данных". Документ раскрывает:

• кто попадает под регистрацию

• в какие сроки сколько заявок нужно составить
• по каким каналам можно передавать заявки на регистрацию
• контакты кому подавать заявку
• общие требования заполнения заявки

Кроме того, документ содержит саму форму заявки. Достаточно объемную - аж 8 страниц. К счастью, обязательными являются только первые 4, остальные - рекомендованы для заполнения. Учитывая, что нужно заполнять заявку на каждую базу - работы будет много.

В обязательной части необходимо заполнить:

• Информацию о владельце базы (стандартный набор реквизитов)
• Именование и месторасположение базы персональных данных, включая информацию про лицо, ответственное за ведение базы
• Цель обработки персональных данных. Содержит два раздела. Собственно цель - отметить галочками из списка. И правовое основание для обработки ПД - опять же, выбрать из списка.
• Информацию о других распорядителях персональных данных

В дополнительной части можно еще описать следующее:

• Форма предоставления согласия на обработку персональных данных субъектами персональных данных
• Способ ведения баз (электронный, картотеки и т.д.)
• Источники получения персональных данных
• Распространение персональных данных (третьим сторонам)
• Информация о передачи персональных данных за границу
• Категории субъектов, относительно которых осуществляется обработка персональных данных
• Категории персональных данных, которые обрабатываются 
• Типы информации, содержащиеся в базе (классификация)
• Описание принятых мер по защите персональных данных от незаконной обработки и незаконного доступа

Не смотря на дополнения и разъяснения, остается еще масса не закрытых вопросов: откуда взялась категоризация данных, как не нарушить пункт про регистрацию базы в течение 10 дней с момента начала обработки данных, если они там обрабатываются уже годами и т.д.
К счастью, наконец-то должен заработать официальный сайт - www.zpd.gov.ua (вроде в будущую субботу, но если ссылка не заработает - попробуйте позже).

Ударим регистрацией по разгильдяйству и бездорожью беспределу с персональными данными!

О фальшивых тренингах по защите персональных данных

Обратился ко мне знакомый юрист с просьбой посмотреть одним глазом разработанный документ соглашение с сотрудниками на обработку их персональных данных. Некоторые формулировки мне показались откровенно противоречащими закону. Обратив внимание юриста на сомнительные места, поинтересовался - почему заинтересовались данным вопросом? Да, закон есть, да, утверждена ответственность. Но типового порядка и других подзаконных актов еще нет (точнее есть, но не имеют пока официального статуса). С чего вдруг такая сознательность?!? То есть это хорошо, но как-то не привычно. Оказывается, юрист был недавно на специализированном тренинге, посвященному вопросам защиты персональных данных. Название компании- автора этого шедевра мне не о чем не сказало, но рискну предположить, что таких контор сейчас не одна и не две. Ведь ответственность уже есть и даже уголовная (и не важно, что только со следующего года). А официальных разъяснений от контролирующего органа - нет. Золотое время для шарлатанов и блаженных, которые думают, что постигли суть защиты персональных данных и спешат поделиться своим уникальным опытом с другими. Естественно за деньги. Рискну предположить, что за шарлатанами-юристами сегодня-завтра к вам придут шарлатаны-безопасники, которые пытаются втюхать доверчивому народу свои услуги (например, техническую защиту персональных данных) под любое изменение в законодательстве. Так было,есть и будет и с этим ничего не поделать. Скупой платит дважды, а лох - постоянно.
Но есть и хорошая новость.
Ориентировочно в сентября будет государственная служба Украины по вопросам защиты персональных данных планирует проводить семинар (возможно и не один), посвященный вопросам защиты персональных данных. Мероприятие ориентированно на компании всех секторов экономики и представителей всех управленческих вертикалей. Мероприятие БЕСПЛАТНОЕ. Основная цель - обучение трактованию закона, объяснение что делать, а что не нужно. Первая ласточка уже была - на 6-м собрании UISG. Планируемое же мероприятие будет посвящено целиком вопросам защиты персональных данных и будет длиться целый день.
В общем, если Вы озадачились вопросом соблюдения закона, но достаточно цените свое время и деньги, и не желает тратить ни то не другое на проходимцев - следите за анонсами и не пропустите мероприятие.

Большой брат следит за тобой.

Природное стремление человека, животного по природе стадного, к коммуникации  в сочетании с развитием технологий дает нам такие замечательные вещи, как социальные сети, видео конференции и прочие приятности, позволяющие вовлекать большие массы людей в общение, вне зависимости от расстояний. Все меньше можно найти мобильных устройств без фронтальной камеры. Так что вместе с текстом и звуком можно передавать изображение неотразимого себя.
А можно использовать устройство для негласного сбора информации. Например, для андроида подобны приложений существует уйма, причем бесплатных.  Настраиваем соответствующим образом и телемаркет - телефон, с якобы выключенным экраном безобидно лежащий на столе/в руке/другое постоянно, либо с определенным интервалом, фиксирует все, что находится в области действия камеры/камер и передает через интернет / сохраняет на диске /отправляет через MMS изображение в виде фото или видео, со звуком или без. Красота.
А можно пересылать изображение и без ведома обладателя устройства. И делать это можно как из добрых побуждений так и не очень.
Добрыми назовем побуждения, например, вычисление злоумышленника, укравшего наш <вписать имя любимого устройства>. Соответствующих программ тоже предостаточно. Активируются удаленно и могут пересылать изображения того, что устройство видит, плюс геолокационные дынные с GPS. Пример душещипательной истории как человек нашел свой украденный Mac недавно пролетал в рунете - любознательные смогут найти через гугл.
Менее добрым можно, например, назвать инициативу Тревора Харвера, сотрудника компании, занимающейся в том числе ремонтом Mac'ов. Инициативный специалист, обделенный женским вниманием, устанавливал на компьютеры своих клиенток приложение Camcapture, с помощью которого собирал коллекцию фотографий своих клиенток в жанре Ню. Информации о том, какое наказание грозит изобретательному извращенцу пока нет, но рискну предположить, что собранная коллекция фотографий будет служить ему утешением в скромной камере со спартанской обстановкой не один год.
Но устройства можно использовать не только для успокоения разбушевавшихся гормонов.  Гораздо интереснее собирать данные... ну хотя бы с систем видеоконференции во время заседания больших боссов компании. Ведь она, как правило, в одной сети со всем остальным. Достучались до управляющего оборудования и вперед. Да и через ноутбуки/планшеты/телефоны топов не сложно стать свидетелем интересных событий.
Для силовых структур, опять же не паханное поле.
В общем, технология есть - включайте фантазию.

СУИБ в банках - внедрить нельзя платить штраф

Проповедование Национальным банком риск-ориентированного подхода в области управления информационной безопасности начало приносить плоды. Хотя и не совсем совсем не те, которые ожидались. Замечательная идея внедрять контроли информационной безопасности только там, где уровень риска выше приемлемого приглянулся банкам. И первый риск, который банки решили оценить, стал риск ... не внедрения стандарта.
Анализируя источники трафика в статистике посещения моего блога, я обратил внимание на то, что около 50 (если точно, то 47) посещений за последний месяц было выполнено с гугловского поисковика с параметрами поиска "Что грозит банку если не внедряют СУИБ?".
Не могу сказать, что это стало для меня чем-то неожиданным. Посмотрим на ситуацию глазами банков. С одной стороны, методику внедрения опубликовали только в этом году, а сроки надзоровской проверки (1 октября 2011) оставили без изменений. 6 месяцев для внедрения стандарта в полном объеме в рамках всего банка (именно такая формулировка вопреки здравому смыслу рекомендациям международного оригинального стандарта присутствует в СОУ Н НБУ 65.1) не реален - в него сможет уложится только мелкий банк, при условии, что есть необходимые ресурсы и... работающий СУИБ. А ресурсов то нет. Бюджеты составлялись в прошлом году, и внедрение стандарта никто не закладывал. Да и кризис для многих банков закончился только теоретически.  А был бы бюджет - где взять людей? Грамотных специалистов по информационной безопасности - раз, два и обчелся. Да и загружены они и без того текучкой. А привлекать консультантов... см. пункт про ресурсы.
Вот и стоят банки перед дилемой - дождаться 1-го октября, заплатить штраф (а то, глядишь, и просто рекомендациями отделаются) и спать спокойно до следующего года или судорожно строить бумажный симулятор СУИБ для надзора. Ведь у надзора тоже нет специалистов. Так что, посидев пару недель на нормативной базой и "доказательствами" работы процессов и проведя репетицию распределения ролей среди персонала (чтобы складно врали рассказывали проверке как все здорово работает) проверку соответствия пройти будет не так уже и сложно.
Защита информации прочнее не станет, но получить отсрочку на год и сфокусироваться на более насущих вещах - вполне реально.

Определена ответственность за несоблюдение закона "О защите персональных данных"

Сегодня Верховная Рада приняла закон "О внесении изменений в некоторые законодательные акты Украины относительно усиления ответственности за нарушение законодательства о защите персональных данных". Вступает в силу с 1-го января 2012. Основные моменты:

Кодекс Украины об административных правонарушениях:

• Неуведомление или несвоевременное уведомление субъекта персональных данных о его правах в связи с включением его персональных данных в базу персональных данных, цель сбора этих данных и лиц, которым эти данные передаются - штраф 200-300 необлагаемых минимумов для граждан и 300-400 для должностных лиц и граждан - субъектов предпринимательской деятельности.

• Неуведомление или несвоевременное уведомление специально уполномоченного центрального органа исполнительной власти по вопросам защиты персональных данных об изменении сведений, представляемых для государственной регистрации базы персональных данных - штраф 100-200 необлагаемых минимумов для граждан и 200-400 для должностных лиц и граждан - субъектов предпринимательской деятельности.

• Повторное на протяжении года совершение нарушения из числа предусмотренных частями первой или второй настоящей статьи, за которое лицо уже подвергалось административному взысканию - штраф 300-500 необлагаемых минимумов для граждан и 400-700 для должностных лиц и граждан - субъектов предпринимательской деятельности.

• Уклонение от государственной регистрации базы персональных данных- штраф 300-500 необлагаемых минимумов для граждан и 500-1000 для должностных лиц и граждан - субъектов предпринимательской деятельности.

• Несоблюдение установленного законодательством о защите персональных данных порядке защиты персональных данных в базе персональных данных, что привело к незаконному доступу к ним - штраф 100-10000 необлагаемых минимумов.

• Невыполнение законных требований должностных лиц специально уполномоченного центрального органа исполнительной власти по вопросам защиты персональных данных по устранению нарушений законодательства о защите персональных данных - штраф 100-200 для должностных лиц и граждан - субъектов предпринимательской деятельности.

Криминальный Кодекс Украины:

• Незаконный сбор, хранение, использование, уничтожение, распространение конфиденциальной информации о лице или незаконная смена такой информации, кроме случаев, предусмотренных другими статьями этого Кодекса, - штрафом 500-1000 необлагаемых минимумов или исправительные работы на срок до двух лет, либо арест на срок до шести месяцев, или ограничением свободы на срок до трех лет. Те действия, совершенные повторно, или если они причинили существенный вред охраняемым законом правам, свободам и интересам лица, - арест на срок от трех до шести месяцев или ограничением свободы на срок от трех до пяти лет или лишением свободы на тот же срок.

Так что, в отличие от последствий за не соблюдение требований Национального банка по информационной безопасности, о которых даже сам регулятор не имеет четкого представления, картина проста и прозрачна. Ждем самих требований по защите и механизмы регистрации баз.

Новости с фронта защиты персональных данных

Пока отечественный проект "типового порядка обработки персональных данных в базах персональных данных" проходит свой нелегкий путь сквозь тернии отечественной бюрократии, Европа тоже не стоит на месте.

Во-первых, подвели черту под серией скандалов со сбором геолакационных данных пользователей приложений на мобильных устройствах. Вердикт однозначный - геолокационные данные о пользователе есть информация конфиденциальная. Такое решение (Opinion 13/2011 on Geolocation services on smart mobile devices) было принято в рамках Article 29 Working Party (совет, созданный на основании директивы 95/46/EC "Data Protection Directive", созданной для обеспечения защиты граждан Евросоюза в отношении обработки их персональных данных). Теперь продавцы устройств, желающие  иметь возможность работы с геолокационными данными пользователей, обязаны получать явное согласие конечного пользователя, которые он (производитель) должен будет предъявить в случае каких-либо разбирательств на эту тему.  Ссылка на многотомное пользовательское соглашение 6 кеглем, которое никто при покупке не читает, не поможет.

Во-вторых, не все так в Европе хорошо, как кажется на первый взгляд.  Только три европейские страны (Дания, Эстония и Великобритания) приняли меры по пересмотру политик в области защиты персональных данных граждан в интернете, необходимые для реализации в рамках  E-Privacy Directive. В частности, речь идет о так называемой coockie-директиве (требует, чтобы компании уведомили пользователей о том, что в отношении них будут применяться технологии, отслеживающие действия пользователя на сайте). Хотя до вступления ее в силу (25 мая) у стран было два года. Складывается впечатление, что большинство европейских стран не так сильно беспокоятся о защите персональных данных своих граждан в интернете, как заявляют.

Управление рисками - серебряная пуля или данность моды?

Выкладываю материалы моего доклада на UISG VI.
Временные ограничения не позволили  рассмотреть множество подводных камней процесса управления информационными рисками. Постарался остановится на наиболее интересных.

Управление рисками - серебряная пуля или данность моды?

View more presentations from Vladimir Matviychuk.

Материалы второго доклада на подходе.

Рационализация и оптимизация контролей: как сделать больше с меньшими затратами ?

Свежая публикация от Ernst & Young  о том, как в условиях ограниченных ресурсов добиваться большего от системы внутренних контролей.Текст английский.

Building control efficiency: Rationalization, optimization and redesign

View more documents from Vladimir Matviychuk.

Что нам стоит ИБ построить?

За последний год-два  многие руководили компаний наконец обратили внимание на собственную информационную безопасность. Точнее на ее отсутствие. Точнее на ее отсутствие, вопреки наличию собственных специалистов по информационной безопасности. Вроде бы и есть собственный специалист (а то и целый отдел). Вроде бы чем-то занимается. Умные бумаги пишет. Иногда покупает солидного вида мигающие коробочки, которые могут генерировать неподвластные разуму отчеты. А инциденты сыпятся как из рога изобилия.
И приглашает руководство внешнюю проверку - узнать как же можно горю помочь. Посидев несколько недель (зависит от размера компании, размера подразделения ИБ и его деятельности и т.д.) консультанты предоставляют отчет. В нем много страниц умного текста и красивые графики зрелости процессов против ведущих практик. Уже на четвертой странице презентации (где сводная таблица с результатами) в душе руководителя зарождается смутное чувство. Дальнейшие детали с красочными иллюстрациями только усиливают это чувство. Чувство того, что если бы это (функция безопасности) была лошадь, то лучше ее сразу пристрелить. Чтобы не мучилась. Написанные документы по ИБ на проверку оказываются бесполезной грудой бумаги с мечтами не воплощенными в жизнь. Заумная программа, генерирующая красивые отчеты, оказывается системой мониторинга событий, настроенной по-умолчанию. Т.е. генерирующая сотни false-positive инцидентов, на которые никто не обращает внимание. И так далее, по всем разделам.  Далее следует короткое и беспощадное решение - разогнать. Что же, ломать - не строить.
Разогнали. Пора строить. Объявляем вакансию, ищем кандидата. Но, чтобы не плодить сразу новый отдел дармоедов, выбираем осторожный подход. Возьмем для начала одного человека, да на испытательный срок. Естественно на невысокую зарплату. Покажет себя хорошо - повысим. И человека и зарплату. Нет - дешевле обойдется, а потом поменяем.
Вот только на сколько хорош такой подход? Кто откликнется на непритязательный компенсационный пакет с туманными перспективами? Рассмотрим соискателей:

• Студенты. Много энтузиазма. Часто много теоретических знаний, из которых на практике многие не жизнеспособны.Таких берут неохотно и редко. Из-за возраста и опыта. Высокий риск, что что-нибудь сломает в результате эксперимента. Например, прочитает в журнале статью такого же студента про небезопасные сервисы и повыключает больше, чем нужно.  И что-то перестанет работать. И все админы будут два дня искать почему поломалось. Или по любому чиху будет бегать к начальству с криками "у нас проблемы!"
• Люди без опыта, решившие поменять вид деятельности (бывшие админы, девелоперы и т.д.). Похожи на предыдущих, только возраст поболее и есть кое-какие практические навыки, пусть и не из информационной безопасности, но полезные. Таких берут охотнее, но риски почти те же. Бегать к начальству будет меньше (человек по-опытнее), но сломать что-нибудь может не хуже. Либо начнет строить "бумажную" безопасность, переводя время на нормативную базу, которой никогда не суждено реализоваться на практике.
• "Похитители тележек". Как-то выпала эта категория прошлый раз. Термин старый - раскрывать не буду, лучше почитать первоисточник. Эти ничего делать не будут. Пополучают пол-года зарплату и привет!
• Специалисты, которых разогнали в соседней компании. Тоже, что у вас было, только вид сбоку. Закончиться также, как и предшественниками.

Вот такой небогатый выбор. Либо те, кто делать все равно ничего не будет, либо те, кто может превратить компанию в площадку для сомнительных экспериментов, бессмысленных и безжалостных как исследования британских ученых:

• Пример номер 1 (все примеры из реальной жизни). Служба ИБ решила проверить сложность паролей сотрудников компании. Для этого запустила утилиту для подбора паролей для учетных записей домена. Разумеется, без какого-либо планирования. Ибо при планировании скорее всего бы подумали о последствиях. Например того, что в настройках политики домена была включена блокировка учетной записи после 5-и неудачных попыток ввода пароля. Почему о такой мере безопасности не знала сама безопасность... скромно промолчим. Результат очевиден - с помощью мощного средства автоматизации процесса подбора паролей за считанные секунды удалось заблокировать несколько сот пользователей домена. И остановить работу нескольких подразделений до момента, пока администраторы, перебирая вслух все известные им ругательства, не разблокируют вручную все учетные записи.
• Пример номер 2. Служба информационной безопасности, придя к выводу об избыточности выданных прав для большого количества сотрудников компании, решает восстановить справедливость.   Благо, право на отбор прав есть - не нужно никого привлекать. Справились сами. Результат такой же - админы вручную (с теми же матами) восстанавливали права для пользователей. Несколько часов часть процессов стояло.
  

И примеры можно продолжать до бесконечности.
А все потому, что квалифицированные специалисты, с опытом, не пойдут на низкую зарплату. Не так их много на рынке. Спрос на них есть и с лучшими предложениями. И все они при работе. Но скепсис относительно полезности информационной безопасности, не позволяет  руководителю компании инвестировать в мероприятие с сомнительным исходом. А ведь преимущества от данного подхода есть и не малые. Квалифицированный специалист, принятый на позицию руководителя подразделения, сам займется формированием команды, хорошо понимая какие ресурсы ему нужны для  решения задач. Он будет приходить к руководителю с подготовленным решением, а не с вопросами "у нас вот такая проблема - что делать?" Ибо кумулятивный ответ на большое количество таких вопросов у руководителя будет "менять специалиста по ИБ". Он не начнет ставить сомнительные эксперименты и не позволит это делать подчиненным (в будущем, когда они появятся).
В общем, в безопасности как в жизни: дешевая рыбка - плохая похлебка. Сэкономите в начале - чуда не будет. А вот дополнительные незапланированные затраты вполне реальны. Скупой платит дважды. А в случае с информационной безопасностью - регулярно.

World backup day

С праздником! Не будьте дураками первого апреля - сделайте бэкап!

Yesterday,
All those backups seemed a waste of pay.
Now my database has gone away.
Oh I believe in yesterday.
Suddenly,
There's not half the files there used to be,
And there's a milestone
hanging over me
The system crashed so suddenly.
I pushed something wrong
What it was I could not say.
Now all my data's gone
and I long for yesterday-ay-ay-ay.
Yesterday,
The need for back-ups seemed so far away.
I knew my data was all here to stay,
Now I believe in yesterday.

Сапожники без сапог

После совсем свежей удачной атаки на RSA с похищением информации о SecurID, каждый хакер (а также каждый думающий, что он хакер) посчитал своим долгом увековечить себя на страницах желтой прессы интернета историей как он сломал сайт поставщика услуг по информационной безопасности.

Неделя еще только начинается, а уже сломаны mysql.com и sun.com (при помощи банальной sql-injection!). Сайт McAfee оказался слабоват против XSS атак. Да и securitylab.ru, которая активно это все освещает, имеет ряд уязвимостей. Рискну предположить, что список не полный и данный флешмоб пополнит список в ближайшее время новыми громкими именами.

И попадают консультанты по безопасности в ту же ситуацию что и, например, банки, отдающие на аутсорс кому попало свои сайты. Сайт сломали, написали матерное слово на главной странице (на больше не хватило ума и навыков). А СМИ напишут "проникли в банковскую сеть" или подобную формулировку. У клиентов первая мысль - "могли украсть мои деньги" (к которым доступа нет - сайт вообще не в банковской сети).

Пора консультантам по безопасности уделить чуть-чуть времени и себе. Перечитать свои же советы и хотя бы позакрывать дырки на сайте. Ведь не важно, что взломанный сайт может содержать только публичную информацию и никакие секреты похитить не удалось. Факт этот труднодоказуем, позиция оправдывающегося всегда проигрышна, а репутация пострадала.
Да и СМИ  лучше написать "масштаб убытка не известен, пострадавшая компания от комментариев отказалась", чем "никто не пострадал и ничего не украли". Ибо нужен скандал, иначе никто читать не будет.

Об эффективности пугалок против различных психотипов

В жизни каждого безопасника (аудитора ИТ, ИТ-шника ... и вообще любого сотрудника) наступает момент, когда нужно "продать" свою идею начальнику и получить соответствующее финансирование под реализацию идеи. И неважно, что это за идея - пойти на тренинг за $200 или внедрить систему за $200 000+.  Главное - убедить руководство, что от этого будет выгода. Причем руководству.
При этом информационная безопасность и ИТ-аудиторы обычно используют "пугалки". Вроде "У нас сейчас вот так и вот так. Согласно ведущим практикам - это высший уровень удивительного безобразия. И очистить карму мы сможем внедрив супермегабионаносистему (процесс и т.д.) под названием экслипсмиллениумдотнетфорефронт360°.  После этого наступит тотальное счастье. А если мы так не сделаем, то семь следующих реинкарнаций родимся баобабом." В доказательство приводятся ссылки на международные стандарты с указанием номеров и без указания названий и большое количество технической информации.
Про технические обоснования и не использование экономического я уже писал. Хочу теперь остановиться на эффективности "пугалок". В свое время пытливые умы вроде Юнга пришли к тому, что всех людей, в зависимости от психологической совместимости, можно условно разделить на группы по психотипам. Исследований и методик на текущий момент существует множество, но есть один аспект, в котором они сходны между собой. Вне зависимости от того, будем мы использовать MBTI, DISC или соционические типы, все методики рассматривают четыре основные дихотомии, комбинации которых и образуют 16 основных психотипов.
Абстрагируясь от заумных терминов, каждый психотип имеет свою систему жизненных ценностей, понимая которую значительно легче с ним находить общий язык.

В свое время мне посчастливилось познакомится с несколькими  такими системами (MBTI и система Томаса у нас входят в стандартный набор тренингов для менеджеров, остальные факультативно). Наиболее практичной я считаю систему Томаса.
На ее примере и рассмотрим эффективность "пугалок" для топов. Поскольку в большинстве случаев один фактор является доминирующим, рассмотрим четыре основных случая:


Доминирующий D фактор (доминирование).
Основная мотивация - достижение цели. Любит "срезать углы" и идти к цели напрямую.  В спорах всегда старается выйти победителем, для чего может злоупотреблять властью и проявлять агрессию.

Для D фактора "пугалка" имеет мало веса.  Если не предоставить убедительное доказательство того, что наше "удивительное безобразие" стоит на пути достижения цели нашего D-босса, поддержки мы не получим. Формулировка должна ориентироваться на "мы не достигнем того и того" и ни в коем разе не "нас накажут если не сделаем".
При этом помнить, что убедительное доказательство не должно быть перегружено техническими деталями, поскольку они нашего босса раздражают.

Доминирующий I фактор (влияние).
Основная мотивация - признание, популярность, имидж.  Может говорить с кем угодно о чем угодно часами, порхая с одной темы на другую не вдаваясь в детали.

Для I фактора "пугалка" - тоже пустой звук. Поскольку мотивирующие факторы для данного типа - признание, доводы нужно строить на том, чего мы (читай наш босс) добьемся и все будут приседать два раза и делать ку нами (боссом) восхищаться. I фактор достаточно экспрессивная личность, поэтому в аргументации хорошо работают красивые обороты (синергия, командный дух) и яркая визуализация.

Доминирующий S фактор (постоянство).
Основная мотивация - защищенность, признание лояльности.
Для S фактора "пугалка" - это аргумент. Поскольку защищенность - это один из его основных мотивирующих факторов. Однако следует также учитывать, что любые изменения в устоявшемся порядке вещей для него противны. Поэтому страх потери защищенности должен превышать страх внедрять новое.


Доминирующий C фактор (соответствие). 
Основная мотивация - структурированный подход, формализация, перестраховка.

 Для C фактора "пугалка" будет иметь вес, если мы покажем, что у нас все не аккуратненько. А после внедрения нашей идеи все будет работать как часы и согласно всем мыслимым и будущим нормативным актам и внутренним политикам. При этом технические детали в аргументации в отличие от D фактора очень важны. Чем более структурировано и детализировано будет наше изложение, тем больше шансов на успех.

Подобные системы можно использовать не только для убеждения боссов, но и для продаж, переговоров, управления персоналом. В общем, полезная вещь в хозяйстве.

Нацбанк установил тарифы на услуги Удостоверяющего центра

Национальный банк Украины сделал следующий шаг на пути к СЭП3 и передаче управления инфраструктурой открытых ключей банкам - опубликовал перечень услуг, оказываемых своим Удостоверяющим центром, и соответствующих тарифов.

Регистрация центра сертификации ключей в Удостоверяющем центре Национального банка Украины и формирования сертификатов ключа ЦСК обойдется коммерческому банку в 219 грн.

Аккредитация ЦСК в Удостоверяющем центре Национального банка Украины и формирования сертификатов ключа ЦСК - 2121 грн.


Обслуживание сертификатов ключей ЦСК, предоставление информации о статусе сертификатов ключей, услуги фиксирования времени, консультации по вопросам, связанным с использованием электронной цифровой подписи, внесение изменений в регистрационные данные ЦСК - 324 грн. в месяц.

Анализ и согласование регламента работы ЦСК - 584 грн.

Повторный анализ и обработка документов, поданных ЦСК, в Удостоверяющем центре Национального банка Украины для осуществления регистрации / аккредитации ЦСК в Удостоверяющем центре Национального банка Украины - 219 грн.

Повторное проведение проверок ЦСК на соответствие требованиям, определенным нормативными правовыми актами Национального банка Украины с учетом регламента работы ЦСК, необходимых для аккредитации ЦСК - 1730 грн.

Голая женщина, как средство усиления информационной безопасности

Platform45 предлагает оригинальное средство, стимулирующее мужсукую половину (и часть альтернативной женской) к выбору "стойких" паролей.
На сайте можно бесплатно скачать скрипт, под названием naked password, для проверки сложности паролей на ваших сайтах.
При этом, слева от поля ввода изображается женщина. Чем сложнее вы выбрали пароль, тем меньше одежды остается на ней.

Остается открытым вопрос как стимулировать оставшуюся женскую  (и часть альтернативной мужской) половины к использованию стойких паролей...

NIST финализировал стандарт по управлению рисками

National Institute of Science and Technologies (NIST) выпустил финальную версию старндарта, посвященного управлению информационными рисками. Финальная версия отличается по названию от проекта, опубликованного в конце декабря.  "Интегрированного подхода на уровне всей организации" в названии не сохранилось. Окночательное название документа - SP800-39-Managing Information Security Risk. Organization, Mission and Information System View.
Что касается содержания, то изменения коснулись в основном визуализации - одни куби со стрелочками заменили другими.
NIST обещает "где это возможно" гармонизацию с международными стандартами, регламентирующими вопросы управления информационной безопасностью (ISO 27001 и  ISO 27005), а также стандартами управления рисками (ISO 31000 и  ISO 31010).
Сам стандарт можно взять тут.

Немного аналитики по кибер атакам от Ernst & Young

Insights on it risks cyber attacks

View more documents from Vladimir Matviychuk.

О банковской тайне, персональных данных и иллюзиях соответствия.

 Вот уже полтора месяца действует закон о защите персональных данных. За это время у компаний, у которых, в соответствии с законом, возникли определенные обязательства по защите персональных данных, накопилось немало вопросов.  Например, "где регистрировать базы?" или "как их защищать?".
Ответ на этот вопрос знает только малая толика людей, которая удосужилась внимательно прочитать, что:

"Кабинет Министров Украины в течение шести месяцев со дня  вступления в силу Закона обеспечивает принятие нормативно-правовых актов, предусмотренных этим Законом, приведение своих нормативно-правовых актов в  соответствие с настоящим Законом."

Т.е. делать особо пока нечего, кроме того, что провести инвентаризацию своих баз и ждать, когда уполномоченный орган даст соответствующие требования по защите и начнет регистрировать базы.

Ситуация в банках еще более пикантная. С одной стороны, в законе четко сказано:

"Порядок обработки персональных данных, относящихся к банковской тайне, утверждается Национальным банком Украины. "

О чем Национальный банк лишний раз напоминает в своем письме N 18-311/695-2160
 от 8-го февраля.  Да и на всех последних семинарах по информационной безопасности (благо их последнее время проходит огромное количество) звучали те же разъяснения. Мол, пользуйтесь 267-м постановлением (Об утверждении Правил хранения, защиты, использования и раскрытия банковской тайны), а мы, если будет нужно, его поправим.
В результате у банков возникает иллюзия, что они полностью соответствуют текущим требования.
В реальности же речь идет только о части персональных данных, используемых в банках.
В соответствии с 60-й статьей закона "О банках и банковской деятельности " к банковской тайне относятся:

1. сведения о банковских счетах клиентов, в том числе  корреспондентские  счета  банков  в Национальном банке Украины;
2. операции, проведенные в пользу или по поручению клиента, осуществленные им соглашения;
3. финансово-экономическое состояние клиентов;
4. системы охраны банка и клиентов;
5. информация об организационно-правовой структуре юридического лица - клиента, ее руководителях, направлениях деятельности;
6. сведения о коммерческой деятельности клиентов или коммерческой тайны, любого проекта, изобретений, образцов продукции и другая коммерческая информация;
7. информация относительно отчетности по отдельному банку, за исключением той, которая подлежит опубликованию;
8. коды, используемые банками для защиты информации.

Внимательный читатель заметит, что в перечне нет ни слова о персональных данных сотрудников банка. А ведь они тоже подлежат защите.
А есть еще интересные парадоксы. Например, отдельно взятые персональные данные сотрудников клиентов банка (например ФИО + адрес проживания) без данных о счетах и финансовом состоянии - это банковская тайна? По приведенному определению вроде как нет. А под закон "О защите персональных данных" попадает? Попадает. А проблема кроется в том, что нет единого трактования как "персональных данных" так и "базы персональных данных". А два толкователя с перекрестными ссылками только усугубляют картину. Как говорится, "у семи нянек дитя без глазу".

Немного новостей о СОУ Н НБУ65.1 СУІБ 1.0:2010

В прошлую пятницу состоялось очередное собрание украинского отделения ISACA. Пользуясь случаем, расспросил Ирину Сергеевну Ивченко (разработчик СОУ Н НБУ65.1 СУІБ и других стандартов по информационной безопасности для банков) о новостях в области внедрения стандартов.
Новости следующие:

• Проект методики внедрения стандарта  объединен с проектом методикой оценки информационных рисков и выйдет единым финальным документом в середине февраля. Еще пару недель, и можно начинать внедрять.
• Новость номер два - готов проект "программы проверки соответствия требованиям стандарта" для банковского надзора. Проверки банков начнутся после 1-го октября. Разумеется, проект документа для банков не доступен.
• Ну и на самый главный вопрос "что будет за несоответствие?" ответа по-прежнему нет. Вопрос в процессе обсуждения.

Сокращение операционных затрат как источник убытков

Последний год банки начинает захлестывать волна внутренних мошенничеств. То там то тут просачивается информация о хищении достаточно крупной суммы денег. В результате увольняют виноватых инсайдеров и разгоняют службы информационной безопасности. Но могла информационная безопасность предотвратить инцидент?
Последний кризис больно ударил по банкам. В результате сокращение затрат, в том числе и операционных, стало для большинства банков приоритетом номер один. И там, где грамотные управленцы оптимизировали процессы, менее грамотные опытные сокращали персонал. В результате контроль "четырех глаз"  (один сотрудник создает платеж / выдает кредит / и т.д., а другой его верифицирует) работал в поголовном большинстве банков по следующим вариантам:

1. Сотрудник создает платеж и он же его верифицирует.
2. Сотрудник по одной учетной записью создает платеж, а затем под другой учетной записью его верифицирует. Отличие первого варианта от второго в том, что нарушение разделения прав очень тяжело выявить.

Создаются прекрасные предпосылки для мошеннической операции.
Возьмем проверенный временем треугольник мошенничества, который отражает факторы способствующие возникновению мошенничества:

• Возможность – обычно слабость системы внутреннего контроля или возможность ее обойти. В нашем примере контроль (четыре глаза) перестал работать вместе с уходом уволенного сотрудника. Про функцию информационной безопасности отдельно ниже.

• Давление – факторы, заставляющие идти на злоупотребление (например, финансовая нужда). Ни что так не создает финансовую нужду как финансовый кризис.

• Оправдание – способность оправдать совершение противоправных действий (например, «все воруют – чем я хуже?»). Имея возможность и находясь под давлением внешних факторов, найти оправдание своим действиям очень легко.

Вернемся к вопросу "могла информационная безопасность предотвратить инцидент?".  В поголовном большинстве банков на текущий момент информационная безопасность, исходя из численности, зрелости процессов и используемых средств автоматизации, может:

1. Выполнять роль статистов, составляя отчеты об инцидентах и предоставляя их руководству.
2. Выполнять функцию "найти и наказать". Которая удается с очень переменным успехом, поскольку многие инциденты выявляются через значительные промежутки времени.

Предотвратить мошенническую операцию возможности практически нет, по следующим причинам. Контроли разделения прав, которые требуются Национальным банком существуют только на бумаге (политика ИБ, должностные инструкции и т.д.). Регулярной проверки прав пользователей не предмет соответствия их должностным обязанностям и соблюдения требований по разграничению прав никто не делает. Если проверка и выполняется, результат может быть следующим:

• Нарушения не выявляются, поскольку по документам все нормально, а про то, что сотрудник знает пароли от нескольких учетных записей, знают только он и его начальник, которым нет резона раскрывать эту информацию.
• Нарушения выявляются, но руководство закрывает глаза на выявленные несоответствия. 

Потому, что нужно экономить деньги, а дополнительный исполнитель - это дополнительные затраты.