среда, 7 августа 2013 г.

Меня посчитали за ученого или социальная инженерия Lambert academic publishing

Добрый вечер, дорогие читатели! Спешу поделиться с Вами полезной информацией о "научном" издательстве Lambert academic publishing. Никогда бы мне о нем не узнать, но совершилось чудо и они выбрали именно мою научную работу для издания монографии. Привожу дословно текст письма (да простит меня Лаура и вся их честная компания):


Уважаемая г-жа Шудрова,


Я представляю Международный Издательский Дом, LAP Lambert Academic Publishing.
В ходе исследования в Сибирскогом государственном аэрокосмическом университете имени академика М. Ф. Решетнева, я столкнулась с упоминанием о Вашей работе на тему " ЗАЩИЩЕННЫЙ ДОСТУП К СИСТЕМАМ ВИДЕОКОНФЕРЕНЦИИ".

Мы являемся международным издательством, чья цель заключается в том, чтобы сделать академические исследования доступными более широкой аудитории. Мы очень заинтересованы в издании Вашей работе в форме монографии.

Буду очень признательна, если Вы ответите, указав при этом Ваш email-адрес, на который можно отправить письмо с подробной информацией.

С нетерпением жду Вашего ответа.

С наилучшими пожеланиями, 

Лаура Кубинеца


Ну, естественно, после такого письма первый порыв - бежать и хвастаться родным и близким, вот дескать Вы говорили, что ерундой занимаюсь, да время трачу, а вот за бугром моей работой серьезно заинтересовались. Потом возникают в голове такие картинки - я издаю собственную монографию, люди читают и плачут от восторга и изумления, как они сами до этого не додумались и до чего же гениально и просто устроены системы видеоконференций и как же ОНА хорошо их изложила... :) 
Однако остался во мне еще здравый смысл, прежде чем кидаться собирать по сусекам все свои научненькие изыскания, я решила поинтересоваться, что за издательство написало мне письмо. После открытия первой же ссылки от радости не осталось и следа. Оказывается такие письма приходят очень и очень многим, на форумах пишут, что свеженьким кандидатам наук (вот здесь немножко погордилась собой, я все-таки кандидат еще только будущий) и везде подписываются разные люди, но надо заметить, что всегда с экзотическими именами. Держу пари, моя Лаура Кубинеца всех затмила!:) 
Суть предложения от издательства такова: Вы берете свой оригинальный научный текст, обрабатываете на их сайте, моделируете обложку и права на печать переходят издательству. Через две недели они уже продают ее на разлиных книжных сайтах. Вы получаете процент от продаж, но не ранее, чем через год. А самое главное - книга распечатывается издательством только после того, как ее уже купили на сайте. Шикарная бизнес-модель! Размер рукописи, судя по информации на сайте, не менее 50 листов, согласитесь, немного жаль потерять права на издание такого объема текста. к тому же цена, по которой будет продаваться книга - от 30 до 70 евро, а значит вряд ли ее будут активно приобретать, ну если только родители, супруги, дети, братья или сестры не захотят сделать Вам приятное :) 
А самый главный развод заключается в том, что это НЕнаучное издательство, хотя именно этим они и цепляют в своем спам-письме. Доказательством этого я хочу привести заголовок одной из монографий: 

It's not like this is my dream job!: Student Sex Workers in the U.K

Возможно я ошибаюсь и это у них ТАМ такая наука, такие насущные вопросы, а у нас ЗДЕСЬ все по старинке, сразу даже как-то почувствовала себя нафталиновой старушкой со своими видеоконференциями, не туда я копаю, секс-вокерс - мейнстрим современной науки :)

В общем, дорогие читатели, не спешите радоваться таким вот письмам счастья и будьте осторожны. Как часто специалисты по информационной безопасности считают, что попадаются на спам и фишинг только дурачки-пользователи: "ну я бы никогда не перешел по ссылке на чудо-электро-нано-веник". А здесь издательство как хороший социальный инженер замешивает коктейль из лести (мое исследование кому-то интересно!), статуса (международное издательство!) и волшебного слова - бесплатно (у меня выйдет собственная книга!).
Дополнительную информацию от других счастливчиков, получивших письма, можно найти здесь и здесь. Очень прошу представителей издательства не писать комментарии к данному посту, держите себя в руках, ай эм нот э сэкс воркер, ай эм э янг рашн сайэнтист ;)

среда, 31 июля 2013 г.

Видеосеминар - Реальная безопасность и система защиты информации

Добрый вечер, дорогие читатели! Хочу поделиться с Вами полезной находкой. Интересный семинар МГИМО по защите информации на ютуб - ссылка. Очень любопытно послушать, вдохновляет, советую.

понедельник, 22 июля 2013 г.

Типовая программа проверки Роскомнадзора

Добрый вечер, дорогие читатели! Многих из нас интересует, что же проверяет Роскомнадзор при проверке? Перечень необходимых к предоставлению документов был найден мною на странице Управления Роскомнадзора по Вологодской области - ссылка. Несколько лет назад я была непосредственным участником выездной проверки и могу сказать, что представители Роскомнадзора запрашивали примерно такую информацию. Также перечень необходимых документов встретился мне на сайте Роскомнадзора по Уральскому Федеральному округу - ссылка. Здесь менее подробно, но по существу. Данные перечни документов могут быть полезны всем операторам для проверки полноты своего пакета документов по защите персональных данных. 

понедельник, 1 июля 2013 г.

Документация по безопасности

Добрый вечер, дорогие читатели! Вышла моя новая статья в журнале "Директор по безопасности" под названием "Необходимая бюрократия". Анонс:
Многие практики считают, что организационная защита уступает технической и не так эффективна, однако нельзя недооценивать ее роль в жизни организации. «Все, что не закреплено на бумаге, выполняться не будет» – это простое правило для каждого, кто еще сомневается в необходимости организационных мер. Если обратиться к лучшим практикам наиболее крупных и успешных компаний, можно увидеть, что их документация очень обширна и регламентации подлежит практически любой аспект деятельности организации. Благодаря тому, что существуют четкие инструкции на каждый возможный случай, можно заранее предугадать поведение сотрудника.Нормативная документация служит для нескольких целей.
Надеюсь материал статьи будет Вам полезен!

вторник, 18 июня 2013 г.

21 Приказ ФСТЭК: что делать оператору персональных данных

Добрый вечер, дорогие читатели! О 21 Приказе ФСТЭК я уже кратко писала здесь, затем приводила базовые наборы мер защиты:

  1. Базовый набор мер защиты для 1го уровня защищенности.
  1. Базовый набор мер защиты для 2го уровня защищенности.
  1. Базовый набор мер защиты для 3го уровня защищенности.
  1. Базовый набор мер защиты для 4го уровня защищенности.

Теперь хочу рассказать Вам об этапах работы по выбору защитных мер. Существует 5 этапов:
Этап 1. Определяем базовый набор мер защиты. 
Этап 2. Адаптируем базовый набор мер под свою систему с учетом особенностей ее функционирования.
Этап 3. Уточняем список мер с учетом не выбранных ранее мер для нейтрализации актуальных угроз. 
Этап 4. Добавляем меры, обеспечивающие выполнение требований к защите персональных данных, установленных иными нормативными правовыми актами.
Этап 5 (необязательный). Выбираем компенсирующие меры. 
Подробнее об этих этапах работы Вы можете прочитать здесь. Публикация на портале sec.ru находится в открытом доступе, читайте, оставляйте свои комментарии, буду рада, если статья окажется Вам полезной!


пятница, 7 июня 2013 г.

Базовый набор мер для 4 уровня защищенности

Условное обозначение и номер меры
Содержание мер по обеспечению безопасности персональных данных
I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ)

ИАФ.1
Идентификация и аутентификация пользователей, являющихся работниками оператора

ИАФ.З
Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов

ИАФ.4
Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации

ИАФ.5
Защита обратной связи при вводе аутентификационной информации

ИАФ.6
Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)

II. Управление доступом субъектов доступа к объектам доступа (УПД)

УПД.1
Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в   том числе внешних пользователей

УПД.2
Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа

УПД.З
Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами

УПД.4
Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы

УПД.5
Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы

УПД.6
Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)

УПД.13
Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети

УПД.14
Регламентация и контроль использования в информационной системе технологий беспроводного доступа

УПД.15
Регламентация и контроль использования в информационной системе мобильных технических средств

УПД.16
Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы)

V. Регистрация событий безопасности (РСБ)

РСБ.1
Определение событий безопасности, подлежащих регистрации, и сроков их хранения

РСБ.2
Определение состава и содержания информации о событиях безопасности, подлежащих регистрации

РСБ.З
Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения

РСБ. 7
Защита информации о событиях безопасности

VI. Антивирусная защита (АВЗ)

АВ3.1
Реализация антивирусной защиты

АВ3.2
Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

VIII. Контроль (анализ) защищенности персональных данных (АНЗ)

АНЗ.2
Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации

XI. Защита среды виртуализации (ЗСВ)

ЗСВ.1
Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации

ЗСВ.2
Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин
XII. Защита технических средств (ЗТС)

ЗТС.3
Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены

ЗТС.4
Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр

XIII. Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС)

ЗИС.3
Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи

Базовый набор мер для 3 уровня защищенности

Условное обозначение и номер меры
Содержание мер по обеспечению безопасности персональных данных
I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ)

ИАФ.1
Идентификация и аутентификация пользователей, являющихся работниками оператора

ИАФ.З
Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов

ИАФ.4
Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации

ИАФ.5
Защита обратной связи при вводе аутентификационной информации

ИАФ.6
Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)

II. Управление доступом субъектов доступа к объектам доступа (УПД)
УПД.1
Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в   том числе внешних пользователей

УПД.2
Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа

УПД.З
Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами

УПД.4
Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы

УПД.5
Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы

УПД.6
Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)

УПД.10
Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу

УПД.11
Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации

УПД.13
Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети

УПД.14
Регламентация и контроль использования в информационной системе технологий беспроводного доступа

УПД.15
Регламентация и контроль использования в информационной системе мобильных технических средств

УПД.16
Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы)

IV. Защита машинных носителей персональных данных (ЗНИ)

ЗНИ.8
Уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания

V. Регистрация событий безопасности (РСБ)

РСБ.1
Определение событий безопасности, подлежащих регистрации, и сроков их хранения

РСБ.2
Определение состава и содержания информации о событиях безопасности, подлежащих регистрации

РСБ.З
Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения

РСБ. 7
Защита информации о событиях безопасности

VI. Антивирусная защита (АВЗ)

АВ3.1
Реализация антивирусной защиты

АВ3.2
Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

VIII. Контроль (анализ) защищенности персональных данных (АНЗ)

АНЗ.1
Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей

АНЗ.2
Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации

АНЗ.3
Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации

АНЗ.4
Контроль состава технических средств, программного обеспечения и средств защиты информации

XI. Защита среды виртуализации (ЗСВ)

ЗСВ.1
Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации

ЗСВ.2
Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин

ЗСВ.3
Регистрация событий безопасности в виртуальной инфраструктуре

ЗСВ.9
Реализация и управление антивирусной защитой в виртуальной инфраструктуре

ЗСВ.10
Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки персональных данных отдельным пользователем и (или) группой пользователей

XII. Защита технических средств (ЗТС)

ЗТС.3
Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены

ЗТС.4
Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр

XIII. Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС)

ЗИС.3
Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи

ЗИС.20
Защита беспроводных соединений, применяемых в информационной системе

XV. Управление конфигурацией информационной системы и системы защиты персональных данных (УКФ)

УКФ.1
Определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных

УКФ.2
Управление изменениями конфигурации информационной системы и системы защиты персональных данных

УКФ.3
Анализ потенциального воздействия планируемых изменений в конфигурации информационной системы и системы защиты персональных данных на обеспечение защиты персональных данных и согласование изменений в конфигурации информационной системы с должностным лицом (работником), ответственным за обеспечение безопасности персональных данных

УКФ.4
Документирование информации (данных) об изменениях в конфигурации информационной системы и системы защиты персональных данных