Пока отечественный проект "типового порядка обработки персональных данных в базах персональных данных" проходит свой нелегкий путь сквозь тернии отечественной бюрократии, Европа тоже не стоит на месте.
Во-первых, подвели черту под серией скандалов со сбором геолакационных данных пользователей приложений на мобильных устройствах. Вердикт однозначный - геолокационные данные о пользователе есть информация конфиденциальная. Такое решение (Opinion 13/2011 on Geolocation services on smart mobile devices) было принято в рамках Article 29 Working Party (совет, созданный на основании директивы 95/46/EC "Data Protection Directive", созданной для обеспечения защиты граждан Евросоюза в отношении обработки их персональных данных). Теперь продавцы устройств, желающие иметь возможность работы с геолокационными данными пользователей, обязаны получать явное согласие конечного пользователя, которые он (производитель) должен будет предъявить в случае каких-либо разбирательств на эту тему. Ссылка на многотомное пользовательское соглашение 6 кеглем, которое никто при покупке не читает, не поможет.
Во-вторых, не все так в Европе хорошо, как кажется на первый взгляд. Только три европейские страны (Дания, Эстония и Великобритания) приняли меры по пересмотру политик в области защиты персональных данных граждан в интернете, необходимые для реализации в рамках E-Privacy Directive. В частности, речь идет о так называемой coockie-директиве (требует, чтобы компании уведомили пользователей о том, что в отношении них будут применяться технологии, отслеживающие действия пользователя на сайте). Хотя до вступления ее в силу (25 мая) у стран было два года. Складывается впечатление, что большинство европейских стран не так сильно беспокоятся о защите персональных данных своих граждан в интернете, как заявляют.
понедельник, 30 мая 2011 г.
среда, 25 мая 2011 г.
Управление рисками - серебряная пуля или данность моды?
Выкладываю материалы моего доклада на UISG VI.
Временные ограничения не позволили рассмотреть множество подводных камней процесса управления информационными рисками. Постарался остановится на наиболее интересных.
Материалы второго доклада на подходе.
Временные ограничения не позволили рассмотреть множество подводных камней процесса управления информационными рисками. Постарался остановится на наиболее интересных.
Управление рисками - серебряная пуля или данность моды?
View more presentations from Vladimir Matviychuk.
Материалы второго доклада на подходе.
четверг, 14 апреля 2011 г.
Рационализация и оптимизация контролей: как сделать больше с меньшими затратами ?
Свежая публикация от Ernst & Young о том, как в условиях ограниченных ресурсов добиваться большего от системы внутренних контролей.Текст английский.
понедельник, 4 апреля 2011 г.
Что нам стоит ИБ построить?
За последний год-два многие руководили компаний наконец обратили внимание на собственную информационную безопасность. Точнее на ее отсутствие. Точнее на ее отсутствие, вопреки наличию собственных специалистов по информационной безопасности. Вроде бы и есть собственный специалист (а то и целый отдел). Вроде бы чем-то занимается. Умные бумаги пишет. Иногда покупает солидного вида мигающие коробочки, которые могут генерировать неподвластные разуму отчеты. А инциденты сыпятся как из рога изобилия.
И приглашает руководство внешнюю проверку - узнать как же можно горю помочь. Посидев несколько недель (зависит от размера компании, размера подразделения ИБ и его деятельности и т.д.) консультанты предоставляют отчет. В нем много страниц умного текста и красивые графики зрелости процессов против ведущих практик. Уже на четвертой странице презентации (где сводная таблица с результатами) в душе руководителя зарождается смутное чувство. Дальнейшие детали с красочными иллюстрациями только усиливают это чувство. Чувство того, что если бы это (функция безопасности) была лошадь, то лучше ее сразу пристрелить. Чтобы не мучилась. Написанные документы по ИБ на проверку оказываются бесполезной грудой бумаги с мечтами не воплощенными в жизнь. Заумная программа, генерирующая красивые отчеты, оказывается системой мониторинга событий, настроенной по-умолчанию. Т.е. генерирующая сотни false-positive инцидентов, на которые никто не обращает внимание. И так далее, по всем разделам. Далее следует короткое и беспощадное решение - разогнать. Что же, ломать - не строить.
Разогнали. Пора строить. Объявляем вакансию, ищем кандидата. Но, чтобы не плодить сразу новый отдел дармоедов, выбираем осторожный подход. Возьмем для начала одного человека, да на испытательный срок. Естественно на невысокую зарплату. Покажет себя хорошо - повысим. И человека и зарплату. Нет - дешевле обойдется, а потом поменяем.
Вот только на сколько хорош такой подход? Кто откликнется на непритязательный компенсационный пакет с туманными перспективами? Рассмотрим соискателей:
А все потому, что квалифицированные специалисты, с опытом, не пойдут на низкую зарплату. Не так их много на рынке. Спрос на них есть и с лучшими предложениями. И все они при работе. Но скепсис относительно полезности информационной безопасности, не позволяет руководителю компании инвестировать в мероприятие с сомнительным исходом. А ведь преимущества от данного подхода есть и не малые. Квалифицированный специалист, принятый на позицию руководителя подразделения, сам займется формированием команды, хорошо понимая какие ресурсы ему нужны для решения задач. Он будет приходить к руководителю с подготовленным решением, а не с вопросами "у нас вот такая проблема - что делать?" Ибо кумулятивный ответ на большое количество таких вопросов у руководителя будет "менять специалиста по ИБ". Он не начнет ставить сомнительные эксперименты и не позволит это делать подчиненным (в будущем, когда они появятся).
В общем, в безопасности как в жизни: дешевая рыбка - плохая похлебка. Сэкономите в начале - чуда не будет. А вот дополнительные незапланированные затраты вполне реальны. Скупой платит дважды. А в случае с информационной безопасностью - регулярно.
И приглашает руководство внешнюю проверку - узнать как же можно горю помочь. Посидев несколько недель (зависит от размера компании, размера подразделения ИБ и его деятельности и т.д.) консультанты предоставляют отчет. В нем много страниц умного текста и красивые графики зрелости процессов против ведущих практик. Уже на четвертой странице презентации (где сводная таблица с результатами) в душе руководителя зарождается смутное чувство. Дальнейшие детали с красочными иллюстрациями только усиливают это чувство. Чувство того, что если бы это (функция безопасности) была лошадь, то лучше ее сразу пристрелить. Чтобы не мучилась. Написанные документы по ИБ на проверку оказываются бесполезной грудой бумаги с мечтами не воплощенными в жизнь. Заумная программа, генерирующая красивые отчеты, оказывается системой мониторинга событий, настроенной по-умолчанию. Т.е. генерирующая сотни false-positive инцидентов, на которые никто не обращает внимание. И так далее, по всем разделам. Далее следует короткое и беспощадное решение - разогнать. Что же, ломать - не строить.
Разогнали. Пора строить. Объявляем вакансию, ищем кандидата. Но, чтобы не плодить сразу новый отдел дармоедов, выбираем осторожный подход. Возьмем для начала одного человека, да на испытательный срок. Естественно на невысокую зарплату. Покажет себя хорошо - повысим. И человека и зарплату. Нет - дешевле обойдется, а потом поменяем.
Вот только на сколько хорош такой подход? Кто откликнется на непритязательный компенсационный пакет с туманными перспективами? Рассмотрим соискателей:
- Студенты. Много энтузиазма. Часто много теоретических знаний, из которых на практике многие не жизнеспособны.Таких берут неохотно и редко. Из-за возраста и опыта. Высокий риск, что что-нибудь сломает в результате эксперимента. Например, прочитает в журнале статью такого же студента про небезопасные сервисы и повыключает больше, чем нужно. И что-то перестанет работать. И все админы будут два дня искать почему поломалось. Или по любому чиху будет бегать к начальству с криками "у нас проблемы!"
- Люди без опыта, решившие поменять вид деятельности (бывшие админы, девелоперы и т.д.). Похожи на предыдущих, только возраст поболее и есть кое-какие практические навыки, пусть и не из информационной безопасности, но полезные. Таких берут охотнее, но риски почти те же. Бегать к начальству будет меньше (человек по-опытнее), но сломать что-нибудь может не хуже. Либо начнет строить "бумажную" безопасность, переводя время на нормативную базу, которой никогда не суждено реализоваться на практике.
- "Похитители тележек". Как-то выпала эта категория прошлый раз. Термин старый - раскрывать не буду, лучше почитать первоисточник. Эти ничего делать не будут. Пополучают пол-года зарплату и привет!
- Специалисты, которых разогнали в соседней компании. Тоже, что у вас было, только вид сбоку. Закончиться также, как и предшественниками.
- Пример номер 1 (все примеры из реальной жизни). Служба ИБ решила проверить сложность паролей сотрудников компании. Для этого запустила утилиту для подбора паролей для учетных записей домена. Разумеется, без какого-либо планирования. Ибо при планировании скорее всего бы подумали о последствиях. Например того, что в настройках политики домена была включена блокировка учетной записи после 5-и неудачных попыток ввода пароля. Почему о такой мере безопасности не знала сама безопасность... скромно промолчим. Результат очевиден - с помощью мощного средства автоматизации процесса подбора паролей за считанные секунды удалось заблокировать несколько сот пользователей домена. И остановить работу нескольких подразделений до момента, пока администраторы, перебирая вслух все известные им ругательства, не разблокируют вручную все учетные записи.
- Пример номер 2. Служба информационной безопасности, придя к выводу об избыточности выданных прав для большого количества сотрудников компании, решает восстановить справедливость. Благо, право на отбор прав есть - не нужно никого привлекать. Справились сами. Результат такой же - админы вручную (с теми же матами) восстанавливали права для пользователей. Несколько часов часть процессов стояло.
А все потому, что квалифицированные специалисты, с опытом, не пойдут на низкую зарплату. Не так их много на рынке. Спрос на них есть и с лучшими предложениями. И все они при работе. Но скепсис относительно полезности информационной безопасности, не позволяет руководителю компании инвестировать в мероприятие с сомнительным исходом. А ведь преимущества от данного подхода есть и не малые. Квалифицированный специалист, принятый на позицию руководителя подразделения, сам займется формированием команды, хорошо понимая какие ресурсы ему нужны для решения задач. Он будет приходить к руководителю с подготовленным решением, а не с вопросами "у нас вот такая проблема - что делать?" Ибо кумулятивный ответ на большое количество таких вопросов у руководителя будет "менять специалиста по ИБ". Он не начнет ставить сомнительные эксперименты и не позволит это делать подчиненным (в будущем, когда они появятся).
В общем, в безопасности как в жизни: дешевая рыбка - плохая похлебка. Сэкономите в начале - чуда не будет. А вот дополнительные незапланированные затраты вполне реальны. Скупой платит дважды. А в случае с информационной безопасностью - регулярно.
четверг, 31 марта 2011 г.
World backup day
С праздником! Не будьте дураками первого апреля - сделайте бэкап!
Yesterday,
All those backups seemed a waste of pay.
Now my database has gone away.
Oh I believe in yesterday.
Suddenly,
There's not half the files there used to be,
And there's a milestone
hanging over me
The system crashed so suddenly.
I pushed something wrong
What it was I could not say.
Now all my data's gone
and I long for yesterday-ay-ay-ay.
Yesterday,
The need for back-ups seemed so far away.
I knew my data was all here to stay,
Now I believe in yesterday.
Yesterday,
All those backups seemed a waste of pay.
Now my database has gone away.
Oh I believe in yesterday.
Suddenly,
There's not half the files there used to be,
And there's a milestone
hanging over me
The system crashed so suddenly.
I pushed something wrong
What it was I could not say.
Now all my data's gone
and I long for yesterday-ay-ay-ay.
Yesterday,
The need for back-ups seemed so far away.
I knew my data was all here to stay,
Now I believe in yesterday.
вторник, 29 марта 2011 г.
Сапожники без сапог
После совсем свежей удачной атаки на RSA с похищением информации о SecurID, каждый хакер (а также каждый думающий, что он хакер) посчитал своим долгом увековечить себя на страницах желтой прессы интернета историей как он сломал сайт поставщика услуг по информационной безопасности.
Неделя еще только начинается, а уже сломаны mysql.com и sun.com (при помощи банальной sql-injection!). Сайт McAfee оказался слабоват против XSS атак. Да и securitylab.ru, которая активно это все освещает, имеет ряд уязвимостей. Рискну предположить, что список не полный и данный флешмоб пополнит список в ближайшее время новыми громкими именами.
И попадают консультанты по безопасности в ту же ситуацию что и, например, банки, отдающие на аутсорс кому попало свои сайты. Сайт сломали, написали матерное слово на главной странице (на больше не хватило ума и навыков). А СМИ напишут "проникли в банковскую сеть" или подобную формулировку. У клиентов первая мысль - "могли украсть мои деньги" (к которым доступа нет - сайт вообще не в банковской сети).
Пора консультантам по безопасности уделить чуть-чуть времени и себе. Перечитать свои же советы и хотя бы позакрывать дырки на сайте. Ведь не важно, что взломанный сайт может содержать только публичную информацию и никакие секреты похитить не удалось. Факт этот труднодоказуем, позиция оправдывающегося всегда проигрышна, а репутация пострадала.
Да и СМИ лучше написать "масштаб убытка не известен, пострадавшая компания от комментариев отказалась", чем "никто не пострадал и ничего не украли". Ибо нужен скандал, иначе никто читать не будет.
Неделя еще только начинается, а уже сломаны mysql.com и sun.com (при помощи банальной sql-injection!). Сайт McAfee оказался слабоват против XSS атак. Да и securitylab.ru, которая активно это все освещает, имеет ряд уязвимостей. Рискну предположить, что список не полный и данный флешмоб пополнит список в ближайшее время новыми громкими именами.
И попадают консультанты по безопасности в ту же ситуацию что и, например, банки, отдающие на аутсорс кому попало свои сайты. Сайт сломали, написали матерное слово на главной странице (на больше не хватило ума и навыков). А СМИ напишут "проникли в банковскую сеть" или подобную формулировку. У клиентов первая мысль - "могли украсть мои деньги" (к которым доступа нет - сайт вообще не в банковской сети).
Пора консультантам по безопасности уделить чуть-чуть времени и себе. Перечитать свои же советы и хотя бы позакрывать дырки на сайте. Ведь не важно, что взломанный сайт может содержать только публичную информацию и никакие секреты похитить не удалось. Факт этот труднодоказуем, позиция оправдывающегося всегда проигрышна, а репутация пострадала.
Да и СМИ лучше написать "масштаб убытка не известен, пострадавшая компания от комментариев отказалась", чем "никто не пострадал и ничего не украли". Ибо нужен скандал, иначе никто читать не будет.
вторник, 22 марта 2011 г.
Об эффективности пугалок против различных психотипов
В жизни каждого безопасника (аудитора ИТ, ИТ-шника ... и вообще любого сотрудника) наступает момент, когда нужно "продать" свою идею начальнику и получить соответствующее финансирование под реализацию идеи. И неважно, что это за идея - пойти на тренинг за $200 или внедрить систему за $200 000+. Главное - убедить руководство, что от этого будет выгода. Причем руководству.
При этом информационная безопасность и ИТ-аудиторы обычно используют "пугалки". Вроде "У нас сейчас вот так и вот так. Согласно ведущим практикам - это высший уровень удивительного безобразия. И очистить карму мы сможем внедрив супермегабионаносистему (процесс и т.д.) под названием экслипсмиллениумдотнетфорефронт360°. После этого наступит тотальное счастье. А если мы так не сделаем, то семь следующих реинкарнаций родимся баобабом." В доказательство приводятся ссылки на международные стандарты с указанием номеров и без указания названий и большое количество технической информации.
Про технические обоснования и не использование экономического я уже писал. Хочу теперь остановиться на эффективности "пугалок". В свое время пытливые умы вроде Юнга пришли к тому, что всех людей, в зависимости от психологической совместимости, можно условно разделить на группы по психотипам. Исследований и методик на текущий момент существует множество, но есть один аспект, в котором они сходны между собой. Вне зависимости от того, будем мы использовать MBTI, DISC или соционические типы, все методики рассматривают четыре основные дихотомии, комбинации которых и образуют 16 основных психотипов.
Абстрагируясь от заумных терминов, каждый психотип имеет свою систему жизненных ценностей, понимая которую значительно легче с ним находить общий язык.
В свое время мне посчастливилось познакомится с несколькими такими системами (MBTI и система Томаса у нас входят в стандартный набор тренингов для менеджеров, остальные факультативно). Наиболее практичной я считаю систему Томаса.
На ее примере и рассмотрим эффективность "пугалок" для топов. Поскольку в большинстве случаев один фактор является доминирующим, рассмотрим четыре основных случая:
Доминирующий D фактор (доминирование).
Основная мотивация - достижение цели. Любит "срезать углы" и идти к цели напрямую. В спорах всегда старается выйти победителем, для чего может злоупотреблять властью и проявлять агрессию.
Для D фактора "пугалка" имеет мало веса. Если не предоставить убедительное доказательство того, что наше "удивительное безобразие" стоит на пути достижения цели нашего D-босса, поддержки мы не получим. Формулировка должна ориентироваться на "мы не достигнем того и того" и ни в коем разе не "нас накажут если не сделаем".
При этом помнить, что убедительное доказательство не должно быть перегружено техническими деталями, поскольку они нашего босса раздражают.
Доминирующий I фактор (влияние).
Основная мотивация - признание, популярность, имидж. Может говорить с кем угодно о чем угодно часами, порхая с одной темы на другую не вдаваясь в детали.
Для I фактора "пугалка" - тоже пустой звук. Поскольку мотивирующие факторы для данного типа - признание, доводы нужно строить на том, чего мы (читай наш босс) добьемся и все будутприседать два раза и делать ку нами (боссом) восхищаться. I фактор достаточно экспрессивная личность, поэтому в аргументации хорошо работают красивые обороты (синергия, командный дух) и яркая визуализация.
Доминирующий S фактор (постоянство).
Основная мотивация - защищенность, признание лояльности.
Для S фактора "пугалка" - это аргумент. Поскольку защищенность - это один из его основных мотивирующих факторов. Однако следует также учитывать, что любые изменения в устоявшемся порядке вещей для него противны. Поэтому страх потери защищенности должен превышать страх внедрять новое.
Доминирующий C фактор (соответствие).
Основная мотивация - структурированный подход, формализация, перестраховка.
Для C фактора "пугалка" будет иметь вес, если мы покажем, что у нас все не аккуратненько. А после внедрения нашей идеи все будет работать как часы и согласно всем мыслимым и будущим нормативным актам и внутренним политикам. При этом технические детали в аргументации в отличие от D фактора очень важны. Чем более структурировано и детализировано будет наше изложение, тем больше шансов на успех.
Подобные системы можно использовать не только для убеждения боссов, но и для продаж, переговоров, управления персоналом. В общем, полезная вещь в хозяйстве.
При этом информационная безопасность и ИТ-аудиторы обычно используют "пугалки". Вроде "У нас сейчас вот так и вот так. Согласно ведущим практикам - это высший уровень удивительного безобразия. И очистить карму мы сможем внедрив супермегабионаносистему (процесс и т.д.) под названием экслипсмиллениумдотнетфорефронт360°. После этого наступит тотальное счастье. А если мы так не сделаем, то семь следующих реинкарнаций родимся баобабом." В доказательство приводятся ссылки на международные стандарты с указанием номеров и без указания названий и большое количество технической информации.
Про технические обоснования и не использование экономического я уже писал. Хочу теперь остановиться на эффективности "пугалок". В свое время пытливые умы вроде Юнга пришли к тому, что всех людей, в зависимости от психологической совместимости, можно условно разделить на группы по психотипам. Исследований и методик на текущий момент существует множество, но есть один аспект, в котором они сходны между собой. Вне зависимости от того, будем мы использовать MBTI, DISC или соционические типы, все методики рассматривают четыре основные дихотомии, комбинации которых и образуют 16 основных психотипов.
Абстрагируясь от заумных терминов, каждый психотип имеет свою систему жизненных ценностей, понимая которую значительно легче с ним находить общий язык.
В свое время мне посчастливилось познакомится с несколькими такими системами (MBTI и система Томаса у нас входят в стандартный набор тренингов для менеджеров, остальные факультативно). Наиболее практичной я считаю систему Томаса.
На ее примере и рассмотрим эффективность "пугалок" для топов. Поскольку в большинстве случаев один фактор является доминирующим, рассмотрим четыре основных случая:
Доминирующий D фактор (доминирование).
Основная мотивация - достижение цели. Любит "срезать углы" и идти к цели напрямую. В спорах всегда старается выйти победителем, для чего может злоупотреблять властью и проявлять агрессию.
Для D фактора "пугалка" имеет мало веса. Если не предоставить убедительное доказательство того, что наше "удивительное безобразие" стоит на пути достижения цели нашего D-босса, поддержки мы не получим. Формулировка должна ориентироваться на "мы не достигнем того и того" и ни в коем разе не "нас накажут если не сделаем".
При этом помнить, что убедительное доказательство не должно быть перегружено техническими деталями, поскольку они нашего босса раздражают.
Доминирующий I фактор (влияние).
Основная мотивация - признание, популярность, имидж. Может говорить с кем угодно о чем угодно часами, порхая с одной темы на другую не вдаваясь в детали.
Для I фактора "пугалка" - тоже пустой звук. Поскольку мотивирующие факторы для данного типа - признание, доводы нужно строить на том, чего мы (читай наш босс) добьемся и все будут
Доминирующий S фактор (постоянство).
Основная мотивация - защищенность, признание лояльности.
Для S фактора "пугалка" - это аргумент. Поскольку защищенность - это один из его основных мотивирующих факторов. Однако следует также учитывать, что любые изменения в устоявшемся порядке вещей для него противны. Поэтому страх потери защищенности должен превышать страх внедрять новое.
Доминирующий C фактор (соответствие).
Основная мотивация - структурированный подход, формализация, перестраховка.
Для C фактора "пугалка" будет иметь вес, если мы покажем, что у нас все не аккуратненько. А после внедрения нашей идеи все будет работать как часы и согласно всем мыслимым и будущим нормативным актам и внутренним политикам. При этом технические детали в аргументации в отличие от D фактора очень важны. Чем более структурировано и детализировано будет наше изложение, тем больше шансов на успех.
Подобные системы можно использовать не только для убеждения боссов, но и для продаж, переговоров, управления персоналом. В общем, полезная вещь в хозяйстве.
Подписаться на:
Сообщения (Atom)