Приват и защита персональных данных

Приват продолжает "радовать" креативностью в области защиты персональных данных.
Получение согласия на сбор персональных данных оформлено на квитанции о получении средств. Поставив подпись о получении денег, клиент автоматически дает согласие на обработку его любых(!) персональных данных.

Любые персональные данные банк не может обрабатывать хотя бы по причине 7-й статьи закона о защите персональных данных, которая вводит перечень данных не подлежащих обработке. По крайней мере для целей коммерческих и банковских услуг.
Кстати, в последней редакции закона убран раздел о том, что Национальный банк определяет типовой порядок обработки для банков. Теперь банки приравнены к простым смертным  другим коммерческим организациям и история с профанацией на тему "персональные данные=банковская тайна" закончилась.
Теперь о сборе согласия таким. Если вы столкнулись с таким вот чудо-способом - смело пишите рядом со своей подписью оговорку. 10 раздел 8 статьи закон в последней редакции дает вам такое право.
Если конечно для вас важен вопрос сохранения конфиденциальности  ваших персональных данных.
Если вас это вопрос не волнует - посмотрите ролик о том, что потом банк делает с вашим данными.

О тяге делиться информацией и ее последствиях

Однажды одна девочка съела борщ, предварительно не сфотографировав и не выложив его на instagram, и умерла.
Вирусная реклама  instagram

В прошлом посте я приводил несколько примеров, когда бездумная тяга фотографировать все, что движется и не движется приводит к утечкам конфиденциальной информации с серьезными последствиями для компании. Если быть точным, то о последствиях я не писал, но они были и достаточно неприятные.
Сегодня наткнулся на очередной прекрасный пример человеческой глупости необдуманных действий в стремлении к вершине пирамиды Маслоу.  А именно, на публикацию фотографий принца Уильяма на фоне закрепленной на стене распечатки логина и пароля для входа в одну из информационных систем ВВС Британии. Поскольку этим событием забит весь интернет, повторяться не буду. Читаем, например, тут.
Абстрагируясь от причин, побуждающих людей распечатывать пароли и вешать их на стену в видном месте, хочу поговорить о стремлении людей заполнить собой мир делиться информацией о себе.   Точнее не о самом стремлении к самореализации, тут лучше обратиться к психологам, а о современных инструментах и технологиях, которые помогают ее (самореализацию) достичь. О тех самых интсаграмах, твитерах, болгах (да, да, блог - это тоже инструмент самовыражения), ютюбах и прочих фейсбуках. Дополняем сюда современный мобильный  телефон/планшет, который можно таскать с собой, все описывая и снимая в онлайн, и мы можем легко заполнить этот мир собой, рассказывая что мы ели на завтрак, какое у нас настроение, хороший ли был стул, кого мы сегодня видели, в каком настроении наша кошка и какие психологические проблемы есть в вашего двоюродного брата племянника тестя. И при этом абсолютно не задумываясь над тем, а кто же аудитория, которая весь этот объем информации читает, какие у нее отношения с автором, мотивы и т.д.
Еще один яркий и свежий пример из жизни. Одна из завсегдатаев "мамских" форумов активно выплескивает во всемирную инфопомойку все, что происходит с ней, ее знакомыми, какие между ними отношения. И все это сопровождает большим количеством фотографий. Другая регулярная участница этого форума случайно встречает одного из героев повествования в живую. Она знает о нем не все, но очень много - как зовут, как выглядит жена и т.д. и т.д. И вот она подходит к этому персонажу, который с этой самой участницей форума незнаком и вообще не подозревал о ее существовании. Здоровается с ним, как со старым знакомым и спрашивает,  а почему, собственно, он на мероприятии не с женой, а непонятно с кем? У мужика шок и буря смешанных эмоций. Закончилось все хорошо, ибо форумчанкой двигало лишь природное любопытство. Ну а если бы таким багажом знаний был упакован человек настроенный менее дружелюбно? Миллионы мошеннических схем с использованием кражи личности стали намного доступнее, ибо не нужно собирать по крупицам информацию об одном лице в течении месяца. Это можно сделать за пару часов сидения в гугле. Помните эпизод в "Знакомстве с Фоккерами", где отставной агент ЦРУ пытается раздобыть компромат через старый канал в ЦРУ и получает отказ в предоставлении информации и рекомендации покопаться в гугле - мол там компромата значительно больше, чем в ЦРУ?  На мой взгляд, это не шутка, а реальная правда жизни.
Отказываться совсем от социальных сетей может и не стоит - ведь их можно использовать во благо себе. А вот представить себе, что мы не выкладываем фото на сайт, а раздаем пачку этих фото (или заметок о себе) своим соседям, знакомым, включая тех, с которыми у нас отношения не очень,  всем незнакомцам на улице... Может не всем следует делиться с миром?

Социальные сети: бороться или возглавить?

Несмотря на то, что тема уже давно не новая и много раз пережевана, компании продолжают наступать на те же грабли. Информация, иногда очень конфиденциальная, утекает через социальные сети со страшной скоростью, нанося репутации (и не только) компаний достаточно ощутимый ущерб. При этом, большая часть утечек происходит не по злому умыслу сотрудников, а по причине банальной неосведомленности. Захотел, к примеру, сотрудник похвастаться своими достижениями на работе. Опубликовал в каком-нибудь линкедине в своих заслугах руководство проектом Х. Да вот незадача - информация о том, что компания-работодатель вообще интересуется данным направлением, а тем более ведет проекты - секрет стратегического уровня. Или сделал сотрудник фото своего рабочего места и опубликовал в сети. А на рабочем месте конфиденциальный документ. Да еще и достаточно хорошо читаемый на фото. Или ответил на провокацию  в комментах на всех 12345+ "друзей" и "друзей друзей" и "друзей друзей друзей". Да и слил сгоряча информацию "для внутреннего использования". Утечки такого же типа, что были до соц. сетей: беседа в лифте/кафе/самолете при посторонних. Разница лишь в том, что в случае соц. сетей, с нами "в лифте" едет и слушает половина интернета. И поставив "лайк" под неосторожным постом, каждый посторонний человек увеличивает аудиторию "в лифте" в геометрической прогрессии.
Добавляем ко всему вышесказанному осознанный сбор информации в рамках конкурентной разведки. Многие уже давно оценили социальные сети как богатый источник разнообразной информации. И занимаются ее сбором и обработкой профессионально. Тут уже при неосознанном сливе информации можно заработать и прямые убытки компании.    
Не смотря на то, что пьедестал "самого слабого звена" незыблемо занимает человеческий фактор, большинство компаний по-прежнему продолжают использовать бинарную логику в подходах по использованию социальных сетей - разрешать все / запрещать все. Т.е. борются не с причиной, а симптомами. 
О бессмысленности и неэффективности запрета социальных сетей я уже писал пару лет назад. Запрет по факту не работает, а сотрудники как не понимали, так и не понимают почему произошел запрет и продолжают неосознанно сливать информацию во всемирную помойку паутину.
Но это еще не все. Бездумно запрещая использование соц. сетей, компания лишается достаточно мощного инструмента продаж. Использование зомбоящиков телерекламы и прочих традиционных методов продвижения продуктов теряет свою эффективность. Покупатели постепенно приобретают иммунитет к традиционной рекламе и реагируют на нее все чаще раздражением. Другое дело вирусная реклама и "советы знакомых" публикуемые специально обученными ботами и разносимые в массы трудолюбивыми хомячками: "Я прочитала на форуме, что 2,147,483,647 мам дают положительные отзывы по продукту Х или компании Y." Прочитав такой отзыв, делаешь для себя вывод, что "2,147,483,647 леммингов не могут ошибаться" и "нужно, если не купить, то хоть посмотреть". Ну а вирусная реклама? "Это же просто прикол. Я поставлю "лайк" и разошлю друзьям.". В маркетинговых подразделений компаний даже появились новые (ну как новые, в астрономическом масштабе несколько лет - ничто)  должности - специалисты по продвижению продукта в социальных сетях. Можно еще долго рассуждать о том, как работает система бизнес-контактов и т.д., но не буду. В общем, это работает, и отказываться от такого канала продаж для многих компаний просто не разумно.

Ну, а чтобы обезопасить использование сетей, нужно не запрещать, а объяснять. Безусловно, без суровой, но справедливой  понятной и доходчивой политики не обойтись, но сама по себе она быстро забывается. Так, что лучше всего дополнить ее тренингами или обучающими фильмами  с красочными примерами из жизни "как кто-то сделал что-то и чем ему это вылилось". И показывать / доносить их в первый день работы нового сотрудника. Ну и освежать его знания на эту тему хотя бы раз в год.   

Презентация: вовремя и связно

Сегодня хочу отойти от технической тематики в сторону "мягких" навыков - навыка презентации. Не всего конечно, ибо тема достойна обширной книги. Остановлюсь на парочке распространенных проблем, с которыми сталкиваются выступающие. Под выступающими я имею в виду не профессиональных продавцов/консультантов у которых выступления и презентации составляют треть жизни, а тех, кто выступает эпизодически.
Итак, симптом номер раз: не смотря на то, что вчера вечером мы еще четко представляли себе, что и в какой последовательности будем рассказывать, сегодня утром на презентации судорожно пытаемся вспомнить зачем тут этот слайд и как его связать с предыдущим. Суть выступления тонет в звуках "эээээээ.....", театральных паузах, фразах "ну, это я говорил на прошлом слайде..." и выступление, задуманное как интересное и информативное,  постепенно превращается в тыкву (с Хеллоуином кстати).
 Почему так произошло? Дело в том, что проговаривая для себя презентацию, мы делаем это мысленно. И хотя нам кажется, что мы озвучиваем слайды четко, ясно и последовательно, на самом деле так не происходит. Мы мыслим образами, а на связанными предложениями. Многие вещи, для нас очевидные, просто опускаются. Там, где нам кажется, что по поводу фразы или изображения на слайде мы проговорили красивое и умное описание, на самом деле, в мозгу прозвучало нечто вроде Кисы Воробьянинова: "Гебен зи мир битте... ну это я знаю". Ничего удивительного, что озвучивая то, что у нас происходит в голове, мы получаем набор разрозненных образов. Проговаривая их вслух, мы понимаем, что это - не совсем то, что мы бы хотели озвучить. А попытка озвучить один и тот же образ по-разному, пытаясь подобрать наиболее подходящую формулировку, будет выглядеть на презентации совсем уж нелепо.
Бороться с это проблемой очень просто. Нужно делать тестовый прогон презентации вслух. Тогда сразу всплывают огрехи и нестыковки. Подобрав удачную формулировку, ее лучше записать. Если мы используем Power Point (кто-то использует что-то другое?!?), для записей у нас есть соответствующий инструмент -  окошко notes под окном слайда. Получив набор подходящих формулировок, неплохо бы их прогнать вслух в виде связанного текста пару-тройку раз для закрепления эффекта.

Синдром номер два: вне зависимости от наличия первого синдрома, говорим мы четко и ясно или путано и туманно,  внезапно, в середине выступления выясняется, что из отведенного времени остается только 5 минут (или оно закончилось). Дальше мы судорожно листаем оставшиеся слайды пропуская большую часть доклада, на ходу пытаясь вспомнить, что же существенного осталось, что нужно озвучить в оставшиеся пару минут. Про вопросы и дискуссию можно забыть - при таком выступлении единственный вопрос у слушателей: "что это было?". Потом, после конференции, анализируя ситуацию, вспоминаем, что и это забыли сказать и то, и вообще озвучили только ту часть, которую можно было и не рассказывать.
Для успешного решения этой проблемы нужно сначала выполнить упражнение по решению первой - т.е. получить связный текст. Теперь делаем прогон вслух, но уже с хронометражем. Смотрим, на сколько мы выпадаем из отведенного времени и либо добавляем детали, либо наоборот - их убираем. Тут нам поможет второй полезный инструмент Power Point - Record Slide Show из меню Slide Show. Этот инструмент не только покажет общую продолжительность презентации - это можно сделать и при помощи часов, но и покажет сколько времени ушло на каждый слайд. А вот эта информация уже полезна - можно смотреть какой слайд занял много времени и подумать, действительно ли это все нужно озвучивать.
На сегодня все. Удачных презентаций.

Осведомленность, как образ жизни

Экономический кризис уже не первый год продолжает  бить по карманам потребителей, вынуждая экономить на многих товарах и услугах. Как результат, продажи падают, доходы тоже, соответственно и бюджет на развитие. Компании от пафосной каскадной рекламы перешли на проверенные временем методы рыночных попрошаек - хватанию за руку и наглым требованиям  спаму и "холодным" продажам по телефону. А для того, чтобы донести свою "полезную" информацию как можно до большего количества респондентов, собираются всеми возможными способами контакты этих самых респондентов. В методах и средствах компании не брезгуют ничем - от требований заполнить анкету для предоставления услуги до перетягивания сотрудников вместе с базой клиентов предыдущего работодателя. Прихожу я, к примеру, в банк, куда пришли деньги на мое имя. Задача банка не сложная - идентифицировать меня и отдать законные кровные. А вот и нет. Кроме паспортных данных, сонный клерк требует заполнить анкету на 8 страниц. А в анкете нужно заполнить не только информацию обо мне, но и моих родственниках, их контакты, адреса проживания ... вплоть до увлечений. На мой вопрос, какое отношение все эти данные имеют к моей идентификации, получаю лаконичный ответ, что это - постановление руководства банка и без заполнения анкеты ничего не будет.  Интересуюсь: а это самое постановление пришло до или после письма национального банка, которое разъясняет  тем кто в танке какие данные банки имеют право требовать с клиентов, а какие - нет? И чудо - оказывается, что "нужно заполнить  всю анкету" означает "только паспортные данные".
Или другой пример. Звонок с незнакомого номера. Беру трубку. Уважаемый Владимир, меня зовут имярек из компании "Рога и Ко" и я хочу Вам предложить... Раньше кроме как молча положить трубку или сделать встречное предложение с использованием местных идиоматических выражений - отправится в пешую прогулку конкретного направления, вариантов не было. Сейчас же спокойно предлагаешь удалить свои персональные данные из их базы и рассказываешь о последствиях с цитатами из законодательства, и - опять чудо. Из трубки слышаться испуганные извинения и обещания больше не звонить. И не звонят.
Есть еще конечно SMS спам. Честно говоря, удалить не читая много времени не занимает, а перезванивать лень. А вот мой знакомый, получив каждый раз от того или иного спамера очередную SMS, не лениться и перезванивает. Дальше разговор проходит по вышеописанному сценарию, и - снова чудо. В 95% случаев SMS больше от данного спамера не приходит. Есть конечно 5% особо тупых настойчивых. В этом случае мой знакомый терпеливо звонит еще раз и объявляет, что разговор может быть записан для повышения качества понимания. И цитирует закон в той части, где ответственность. Второй раз действует безотказно.
Наконец-то закон по защите персональных данных начинает работать так, как он первоначально задумывался - для защиты прав субъектов персональных данных, а не создания еще одной кормушки. Несите закон в массы, отстаивайте свои права, делайте свою жизнь проще.

Запись bloggers meet up на UISGCON8

Выкладываю ссылку на bloggers meet up с моим участием, который проходил на UISGCON8.
http://vimeo.com/51255279

Необычный формат общения с блоггерами, но показался достаточно интересным.

Впечатления от UISGCON 8

В прошлую пятницу состоялась 8-я конференция украинского сообщества информационной безопасности. Если быть точным, то "конференция", пожалуй, 4-я - посиделки с пивом и драками не в счет, а "конференция UISG", так вообще первая, ибо UISG официально только-только создали ... В общем, состоялось UISGCON 8.

Организационно-административная часть
Не смотря на достаточно сжатые сроки подготовки и, мягко скажем, поздний старт этой самой подготовки, мероприятие прошло с рекордно маленьким количеством неприятностей, которые случаются на любой конференции. Если не считать того факта, что на мероприятие успело зарегистрироваться и прийти больше народу, чем планировалось изначально (что породило на некоторых выступлениях нехватку стульев, и некий дефицит закусок на кофебрейках), можно сказать, что накладок вообще не было.
Отдельно хотелось отметить качество синхронного перевода. Неоднократно сталкивался на других мероприятием с некачественным, да еще и асинхронным переводом, который очень сильно портил впечатление от докладов. И был приятно удивлен качеством на UISGCON 8.
Также порадовала работа модераторов, которые не только сурово следили за временем докладов, но и заворачивали при необходимости дискуссии в колею тематики мероприятия. Практически все доклады прошли строго в отведенное время, что на моей памяти происходило на других мероприятиях ... никогда. Короче, организация на отлично.

Содержательная часть
Мероприятие проходило в виде двух параллельных потоков. По сему, пока не доступны видео записи второй половины, впечатление только по одному потоку (первый в программе).
Доклады, в основном, понравились. И, судя по полным залам и почти отсутствующим кулуарам, не только мне. Было много иностранцев-докладчиков, что сильно повлияло на посещаемость. Во истину, нет пророка в своем отечестве.  Хотя тематика докладов была скорее не конференции ИБ, а конференции консультантов ИБ. Были отзывы и от других представителей реального сектора, что, мол, хочется больше послушать детального и прикладного... Да вот только не вызвался никто поделится опытом в выступлении.
Необычной частью мероприятия был blogger's meet-up, когда зал задает вопросы блогерам, а те должны ответить, при чем ответов должно быть не меньше двух. На практике пришлось ограничивать количество ответов "не больше трех", ибо у каждого находилось что сказать. Вопросы были в основном "вечные": кому подчинить ИБ, как убедить руководство, как построить ИБ для малого бизнеса, почему руководство компании не понимает зачем им ИБ и т.д. Не упомянули в суе только KPI и почему не работает оценка рисков.

Подводя итоги, мероприятие удалось. Жалею, что не попал на неофициальную часть и жду видео выступлений.        
 
Чего хочется от  UISGCON 9

• Более ранняя регистрация докладов
• Доклады от представителей реального сектора, а не только консультантов.
• Формирование программы в разбивке на тематические блоки. Чтобы избежать ситуации когда на 20 докладов на тему пентеста нет ни одного на тему, например, управления инцидентами.
• Более ранняя регистрация участников и регистрация на конкретные потоки/доклады. Таким образом убивается сразу два зайца: более четкое планирование посадочных мест и заблаговременное планирование командировок для иногородних.