четверг, 31 марта 2011 г.

World backup day

С праздником! Не будьте дураками первого апреля - сделайте бэкап!

Yesterday,
All those backups seemed a waste of pay.
Now my database has gone away.
Oh I believe in yesterday.
Suddenly,
There's not half the files there used to be,
And there's a milestone
hanging over me
The system crashed so suddenly.
I pushed something wrong
What it was I could not say.
Now all my data's gone
and I long for yesterday-ay-ay-ay.
Yesterday,
The need for back-ups seemed so far away.
I knew my data was all here to stay,
Now I believe in yesterday.

вторник, 29 марта 2011 г.

Сапожники без сапог

После совсем свежей удачной атаки на RSA с похищением информации о SecurID, каждый хакер (а также каждый думающий, что он хакер) посчитал своим долгом увековечить себя на страницах желтой прессы интернета историей как он сломал сайт поставщика услуг по информационной безопасности.

Неделя еще только начинается, а уже сломаны mysql.com и sun.com (при помощи банальной sql-injection!). Сайт McAfee оказался слабоват против XSS атак. Да и securitylab.ru, которая активно это все освещает, имеет ряд уязвимостей. Рискну предположить, что список не полный и данный флешмоб пополнит список в ближайшее время новыми громкими именами.

И попадают консультанты по безопасности в ту же ситуацию что и, например, банки, отдающие на аутсорс кому попало свои сайты. Сайт сломали, написали матерное слово на главной странице (на больше не хватило ума и навыков). А СМИ напишут "проникли в банковскую сеть" или подобную формулировку. У клиентов первая мысль - "могли украсть мои деньги" (к которым доступа нет - сайт вообще не в банковской сети).

Пора консультантам по безопасности уделить чуть-чуть времени и себе. Перечитать свои же советы и хотя бы позакрывать дырки на сайте. Ведь не важно, что взломанный сайт может содержать только публичную информацию и никакие секреты похитить не удалось. Факт этот труднодоказуем, позиция оправдывающегося всегда проигрышна, а репутация пострадала.
Да и СМИ  лучше написать "масштаб убытка не известен, пострадавшая компания от комментариев отказалась", чем "никто не пострадал и ничего не украли". Ибо нужен скандал, иначе никто читать не будет.

вторник, 22 марта 2011 г.

Об эффективности пугалок против различных психотипов

В жизни каждого безопасника (аудитора ИТ, ИТ-шника ... и вообще любого сотрудника) наступает момент, когда нужно "продать" свою идею начальнику и получить соответствующее финансирование под реализацию идеи. И неважно, что это за идея - пойти на тренинг за $200 или внедрить систему за $200 000+.  Главное - убедить руководство, что от этого будет выгода. Причем руководству.
При этом информационная безопасность и ИТ-аудиторы обычно используют "пугалки". Вроде "У нас сейчас вот так и вот так. Согласно ведущим практикам - это высший уровень удивительного безобразия. И очистить карму мы сможем внедрив супермегабионаносистему (процесс и т.д.) под названием экслипсмиллениумдотнетфорефронт360°.  После этого наступит тотальное счастье. А если мы так не сделаем, то семь следующих реинкарнаций родимся баобабом." В доказательство приводятся ссылки на международные стандарты с указанием номеров и без указания названий и большое количество технической информации.
Про технические обоснования и не использование экономического я уже писал. Хочу теперь остановиться на эффективности "пугалок". В свое время пытливые умы вроде Юнга пришли к тому, что всех людей, в зависимости от психологической совместимости, можно условно разделить на группы по психотипам. Исследований и методик на текущий момент существует множество, но есть один аспект, в котором они сходны между собой. Вне зависимости от того, будем мы использовать MBTI, DISC или соционические типы, все методики рассматривают четыре основные дихотомии, комбинации которых и образуют 16 основных психотипов.
Абстрагируясь от заумных терминов, каждый психотип имеет свою систему жизненных ценностей, понимая которую значительно легче с ним находить общий язык.

В свое время мне посчастливилось познакомится с несколькими  такими системами (MBTI и система Томаса у нас входят в стандартный набор тренингов для менеджеров, остальные факультативно). Наиболее практичной я считаю систему Томаса.
На ее примере и рассмотрим эффективность "пугалок" для топов. Поскольку в большинстве случаев один фактор является доминирующим, рассмотрим четыре основных случая:


Доминирующий D фактор (доминирование).
Основная мотивация - достижение цели. Любит "срезать углы" и идти к цели напрямую.  В спорах всегда старается выйти победителем, для чего может злоупотреблять властью и проявлять агрессию.

Для D фактора "пугалка" имеет мало веса.  Если не предоставить убедительное доказательство того, что наше "удивительное безобразие" стоит на пути достижения цели нашего D-босса, поддержки мы не получим. Формулировка должна ориентироваться на "мы не достигнем того и того" и ни в коем разе не "нас накажут если не сделаем".
При этом помнить, что убедительное доказательство не должно быть перегружено техническими деталями, поскольку они нашего босса раздражают.

Доминирующий I фактор (влияние).
Основная мотивация - признание, популярность, имидж.  Может говорить с кем угодно о чем угодно часами, порхая с одной темы на другую не вдаваясь в детали.

Для I фактора "пугалка" - тоже пустой звук. Поскольку мотивирующие факторы для данного типа - признание, доводы нужно строить на том, чего мы (читай наш босс) добьемся и все будут приседать два раза и делать ку нами (боссом) восхищаться. I фактор достаточно экспрессивная личность, поэтому в аргументации хорошо работают красивые обороты (синергия, командный дух) и яркая визуализация.

Доминирующий S фактор (постоянство).
Основная мотивация - защищенность, признание лояльности.
Для S фактора "пугалка" - это аргумент. Поскольку защищенность - это один из его основных мотивирующих факторов. Однако следует также учитывать, что любые изменения в устоявшемся порядке вещей для него противны. Поэтому страх потери защищенности должен превышать страх внедрять новое.


Доминирующий C фактор (соответствие). 
Основная мотивация - структурированный подход, формализация, перестраховка.

 Для C фактора "пугалка" будет иметь вес, если мы покажем, что у нас все не аккуратненько. А после внедрения нашей идеи все будет работать как часы и согласно всем мыслимым и будущим нормативным актам и внутренним политикам. При этом технические детали в аргументации в отличие от D фактора очень важны. Чем более структурировано и детализировано будет наше изложение, тем больше шансов на успех.

Подобные системы можно использовать не только для убеждения боссов, но и для продаж, переговоров, управления персоналом. В общем, полезная вещь в хозяйстве.

среда, 16 марта 2011 г.

Нацбанк установил тарифы на услуги Удостоверяющего центра

Национальный банк Украины сделал следующий шаг на пути к СЭП3 и передаче управления инфраструктурой открытых ключей банкам - опубликовал перечень услуг, оказываемых своим Удостоверяющим центром, и соответствующих тарифов.

Регистрация центра сертификации ключей в Удостоверяющем центре Национального банка Украины и формирования сертификатов ключа ЦСК обойдется коммерческому банку в 219 грн.

Аккредитация ЦСК в Удостоверяющем центре Национального банка Украины и формирования сертификатов ключа ЦСК - 2121 грн.


Обслуживание сертификатов ключей ЦСК, предоставление информации о статусе сертификатов ключей, услуги фиксирования времени, консультации по вопросам, связанным с использованием электронной цифровой подписи, внесение изменений в регистрационные данные ЦСК - 324 грн. в месяц.

Анализ и согласование регламента работы ЦСК - 584 грн.

Повторный анализ и обработка документов, поданных ЦСК, в Удостоверяющем центре Национального банка Украины для осуществления регистрации / аккредитации ЦСК в Удостоверяющем центре Национального банка Украины - 219 грн.

Повторное проведение проверок ЦСК на соответствие требованиям, определенным нормативными правовыми актами Национального банка Украины с учетом регламента работы ЦСК, необходимых для аккредитации ЦСК - 1730 грн.

четверг, 3 марта 2011 г.

Голая женщина, как средство усиления информационной безопасности


Platform45 предлагает оригинальное средство, стимулирующее мужсукую половину (и часть альтернативной женской) к выбору "стойких" паролей.
На сайте можно бесплатно скачать скрипт, под названием naked password, для проверки сложности паролей на ваших сайтах.
При этом, слева от поля ввода изображается женщина. Чем сложнее вы выбрали пароль, тем меньше одежды остается на ней.



Остается открытым вопрос как стимулировать оставшуюся женскую  (и часть альтернативной мужской) половины к использованию стойких паролей...

среда, 2 марта 2011 г.

NIST финализировал стандарт по управлению рисками

National Institute of Science and Technologies (NIST) выпустил финальную версию старндарта, посвященного управлению информационными рисками. Финальная версия отличается по названию от проекта, опубликованного в конце декабря.  "Интегрированного подхода на уровне всей организации" в названии не сохранилось. Окночательное название документа - SP800-39-Managing Information Security Risk. Organization, Mission and Information System View.
Что касается содержания, то изменения коснулись в основном визуализации - одни куби со стрелочками заменили другими.
NIST обещает "где это возможно" гармонизацию с международными стандартами, регламентирующими вопросы управления информационной безопасностью (ISO 27001 и  ISO 27005), а также стандартами управления рисками (ISO 31000 и  ISO 31010).
Сам стандарт можно взять тут.